Articolo redatto dai Dr. Alfredo Visconti e Avv. Roberto Moroni

 

La refertazione on-line ha particolarità “gestionali e di sicurezza” che il Garante con il suo provvedimento del 19 novembre 2009, ha cercato di dipanare pubblicando le linee guida anche in tema di referti on-line.

Il provvedimento è chiaro e come primo enunciato stabilisce che la pratica della Refertazione on-line è da ritenersi sempre, e senza eccezioni,facoltativa e non obbligatoria dove le strutture la prevedono, e stabilisce che chi vuole sfruttare questo servizio deve:

  • consentire di poter scegliere liberamente se utilizzare o meno il servizio di refertazione on-line (appunto il concetto della facoltatività del servizio) e comunque la struttura che emette il referto deve garantire il ritiro dello stesso anche in modalità cartacea;
  • garantire la facoltà di scelta nella modalità del ritiro e quindi  se aderire o meno al servizio, senza che la decisione dell’utente possa causare la non fruibilità delle prestazioni sanitarie richieste dall’utente;
  • garantire, fornire e rendere pubblica all’interessato l’informativa rispetto al servizio, garantendo anche un eventuale cambio di idea sulla modalità di ritiro del referto;
  • consentire, se viene scelto il recapito attraverso posta elettronica, la possibilità di confermare o variare l’indirizzo comunicato, recependo tale richiesta di cambio con celerità;
  • se la refertazione è preceduta da un SMS, o se lo stesso serve per iniziare la fase del ritiro in sede, occorre assicurarsi che il messaggio contenga soltanto la comunicazione che il referto è disponibile senza specificazioni che potrebbero contenere dati sanitari. L’SMS sarà del tipo “Gentile cliente il suo referto clinico è pronto per il ritiro … ed indicare le modalità del ritiro ad es potrà scaricare il tutto sulla sua casella di posta comunicata”; non è ammesso invece un SMS tipo“Gentile cliente il suo referto clinico contenente le analisi …. (e indicare il tipo di accertamento effettuato) con esito diagnostico ……..è pronto per il ritiro … ed indicare le modalità del ritiro ad es potrà scaricare il tutto sulla sua casella di posta xxxx@yyyyyy.it”.

E’ subito chiaro che in tema di refertazione on line siamo di fronte ad un duplice problema, il primo di natura giuridica che si accompagna ad un secondo problema tecnico ed informatico sulla salvaguardia dei dati.

Non pochi centri, secondo noi correttamente, al fine di mantenere l’informativa chiara, leggibile e fruibile facilmente hanno pensato in caso di refertazione on line di accompagnare la pubblicità del servizio e l’adesione allo stesso con una integrazione dell’informativa, una cui parte potrebbe essere:

“Gentile Paziente,

ad integrazione di quanto già indicato nell’informativa sul trattamento dei dati personali e dei dati inerenti la salute, in conformità a quanto previsto dagli artt. 13 e sg. del Regolamento UE 679/2016 – GDPR e Codice Privacy e da quanto indicato nel provvedimento del Garante per la protezione dei dati personali del 19 novembre 2009 (G.U. n. 288 dell’11 dicembre 2009) “Linee guida in tema di referti on-line”, la informiamo che i Suoi dati personali comuni e sensibili di tipo sanitario potranno esserle resi disponibili usufruendo del servizio di refertazione on-line attivato dal ______________ (indicare il titolare dei dati). Il servizio “referti On-Line” è un servizio facoltativo. Dal servizio sono escluse le refertazioni riguardanti test genetici e HIV.

  1. Fonti dei dati personali e base giuridica del trattamento– I dati personali oggetto di trattamento sono da Lei direttamente e personalmente conferiti. La base giuridica del trattamento consiste nel consenso da lei liberamente prestato in relazione al servizio richiesto
  2. Finalità del trattamento dei dati personali e sensibili – la informiamo chein alternativa al tradizionale ritiro cartaceo, è stato attivato il servizio on line. I dati personali necessari per l’attivazione e la fruizione del servizio di refertazione on-line sono esclusivamente quelli anagrafici (nome, cognome, etc.) che nel rispetto del criterio di proporzionalità permettono l’individuazione corretta per l’invio o la fruizione. Solo nel referto medico, saranno indicati anche dati personali sensibili di tipo sanitario.
  3. Modalità del trattamento e durata della conservazione– I dati sono trattati con strumenti elettronici dal personale della struttura formato ed autorizzato al trattamento, o da soggetti esterni cui vengano affidati compiti di natura tecnica od organizzativa es. esplicativo ma non esaustivo, la manutenzione dei sistemi informatici, in qualità di responsabili o autorizzati al trattamento. I Suoi dati personali sono protetti con adeguate misure di sicurezza, come previsto dalla legge e dal citato provvedimento del Garante

………………..

A questo segue il completamento dell’informativa standard, cosi come già strutturata .

 

Ragionamento simile di integrazione alle normali attività deve essere sviluppato per quanto attiene al consenso che si potrebbe ipotizzare come segue:

 

“Ai sensi e per gli effetti del Regolamento UE 2016/679, Codice Privacy come modificato e Provvedimento del Garante del 19 novembre 2009 su “linee guida in tema di referti on-line”

Il paziente (cognome/nome), nato indicare la città, il data di nascita, residente a indirizzo, telefono

¨per se stesso

 

Il paziente (cognome/nome), nato indicare la città, il data di nascita, residente a indirizzo, telefono

¨esercitando la rappresentanza legale del paziente di cui sopra.

 

DICHIARA

di aver ricevuto la nota informativa integrativa per il trattamento dei dati personali attraverso il servizio di refertazione online e di autorizzare il trattamento dei dati personali comuni e sensibili per finalità di consultazioni dei propri referti derivanti dalle prestazioni richieste.

Il presente consenso sottoscritto dall’interessato verrà ritenuto valido per la fruizione del servizio in relazione ad ogni singola prestazione a cui l’interessato si sottoporrà, salvo diversa richiesta cui resta la facoltà di sospendere/revocare in ogni momento l’adesione al predetto servizio. Liberamente, spontaneamente e consapevolmente, esprime:

¨ Il CONSENSO al trattamento dei dati personali attraverso il servizio di refertazione on-line

¨ Il RIFIUTO al trattamento dei dati personali attraverso il servizio di refertazione on-line

Data _______________________ Firma del paziente ___________________________________

 

Abbiamo già detto che alle attività legali sono conseguenzialmente collegate anche le attività tecniche che occorre porre a protezione dei documenti che normalmente si accompagnano alla diagnosi ed in tal caso occorre partire subito con alcune peculiarità come:

  • idonei sistemi di autenticazione e di autorizzazione in funzione sia dei ruoli sia delle esigenze di accesso e trattamento (ad es., in relazione alla possibilità di consultazione, modifica e integrazione dei dati), prevedendo il ricorso alla strong authentication;
  • separazione fisica o logica dei dati idonei a rivelare lo stato di salute e la vita sessuale dagli altri dati personali trattati per scopi amministrativo-contabili.
  • spedizione del referto esclusivamente in forma di allegato a un messaggio e-mail e non come testo compreso nella body part del messaggio;
  • il file contenente il referto dovrà essere protetto con modalità idonee a impedire l’illecita o fortuita acquisizione delle informazioni trasmesse da parte di soggetti diversi da quello cui sono destinati, che potranno consistere in una password per l´apertura del file o in una chiave crittografica rese note agli interessati tramite canali di comunicazione differenti da quelli utilizzati per la spedizione dei referti (Cfr. regola 24 del Disciplinare tecnico allegato B) al Codice). Tale cautela può non essere osservata qualora l´interessato ne faccia espressa e consapevole richiesta, in quanto l’invio del referto alla casella di posta elettronica indicata dall’interessato non configura un trasferimento di dati sanitari tra diversi titolari del trattamento, bensì una comunicazione di dati tra la struttura sanitaria e l’interessato effettuata su specifica richiesta di quest’ultimo;
  • convalida degli indirizzi e-mail tramite apposita procedura di verifica online, in modo da evitare la spedizione di documenti elettronici, pur protetti con tecniche di cifratura, verso soggetti diversi ed estranei al servizio.
  • prevedere apposite procedure che rendano immediatamente non disponibili, non fruibili e non gestibili per la consultazione online o interrompano la procedura di spedizione per posta elettronica dei referti relativi ad una persona che ha comunicato il furto o lo smarrimento delle proprie credenziali di autenticazione all’accesso al sistema di consultazione on-line o altre condizioni di possibile rischio per la riservatezza dei propri dati personali.

E’ necessario che il titolare individui, sulla base di una  valutazione del rischio, le misure di sicurezza più idonee a garantire la riservatezza, l’integrità e la disponibilità dei dati personali trattati.

In ogni caso dovrebbero essere adottate tutte le misure di sicurezza necessarie per rispettare il divieto di diffusione dei dati sanitari.

E’ importante ricordare che il principale percorso di attacco utilizzato da criminali informatici è la posta elettronica.

 

L’entrata in vigore del GDPR, ancor di più con attività come la refertazione on-line, ha contribuito ad evidenziare le vulnerabilità della rete. Secondo Check Point Software Technologies, società israeliana produttrice di dispositivi di rete e software, il 97% delle aziende italiane risulta arretrata di dieci anni rispetto alle minacce attuali per quanto riguarda la sicurezza informatica.

Tanto detto  si traduce in conclusioni come le seguenti che devono essere monitorate costantemente per la propria sicurezza, in questo caso non parliamo solo di privacy ma anche di business. Per cui :

  • Essere consapevoli che un attacco cyber può causare grossi danni in termini economici e reputazionali e portare anche al fallimento;
  • I cyber attacchi possono colpire chiunque, privato e azienda, e diffondersi facilmente tra soggetti disparati;
  • Essere sempre aggiornati sulle minacce alla cybersecurity e sulle misure che possono essere implementate;
  • Non sottostimare il valore economico e il vantaggio di competitività forniti dai datidei clienti. E’ importante proteggerli al meglio, non solo per evitare aspre sanzioni;
  • Prevedere funzioni in azienda capaci di valutare il livello di sicurezza informatica;
  • Aggiornare i device ogni volta se ne presenti l’occasione;

Al giorno d’oggi gran parte delle comunicazioni viaggiano e risiedonocon le email, spesso purtroppo anche per trasferire un documento o un’informazione da una stanza ad un’altra attigua si utilizza la posta elettronica. E le informazioni in questo modo invece di viaggiare tra due persone partono da un computer, raggiungono vari server in internet (gestiti da esterni) per poi arrivare anche nel computer dell’altra stanza.

Di seguito le principali azioni utili per prevenire la perdita dei dati:

  • adottare soluzioni antimalware per proteggere la casella di posta, che integrino un motore antispam;
  • cambiare le password dei propri account di frequente, creandone di complesse e abilitando dove possibile l’autenticazione a due fattori;
  • non utilizzare la stessa password per più servizi;
  • non fornire mai le proprie credenziali a terzi;
  • se abbiamo fornito informazioni riservate, reimpostare le credenziali di accesso sui siti ufficiali;
  • controllare la veridicità del messaggio e gli allegati contenuti nella email;
  • provvedere al backup del sistema su differenti supporti, dei documenti e dei file;
  • mantenere aggiornati il sistema operativo e le soluzioni di sicurezza installate;
  • stilare, anche in riferimento alle indicazione del Garante, una policy adeguata e specifica per la posta elettronica e per la gestione del mondo internet.

Una attenta lettura alle le linee guida del Garante per posta elettronica e internet per verificare le vostre policy e le vostre azioni  è sempre indispensabile, anche se queste risalgono al marzo 2007 sono tutte in linea generale ancora molto attendibili occorre poi naturalmente calarle nell’attualità informatica.