Privacy e sanità. Ecco tutti gli interventi del Garante nel 2013, dal dossier sanitario all'Hiv

Accorgimenti per la non diffusione delle informazioni dei dossier sanitari, divieto di diffondere su siti web istituzionali dei Comuni ordinanze sull’esecuzione di trattamenti sanitari obbligatori, indicazioni per la corretta consegna a domicilio di presìdi sanitari. Questi alcuni degli interventi messi in campo dal Garante della Privacy nel 2013 a tutela della riservatezza e della dignità dei pazienti, contenuti nella Relazione annuale illustrata oggi. IL CAPITOLO SANITA’.

10 GIU - "Il trattamento dei dati personali effettuato da parte di soggetti pubblici e privati per finalità di prevenzione, diagnosi, cura e riabilitazione dell’interessato continua a formare oggetto di specifica attenzione da parte dell’Autorità”. Esordisce così il capito dedicato alla Sanità della Relazione Annuale del Garante della Privacy sull’attività dell’anno 2013 (vedi testo integrale) presentata oggi dal presidente dell’Autorità, Antonello Soro (leggi il discorso del presidente).

I casi di intervento sono stati davvero numerosi, dall’assessore alla tutela della salute aveva inviato una e-mail a tutte le donne che si erano rivolte alla sua segreteria per protestare contro la chiusura di un centro specializzato nella cura delle patologie tumorali della mammella al fine di spiegare la scelta di riconversione del suddetto presidio sanitario, che aveva portato i destinatari della e-mail a conoscere i nominativi di tutte le pazienti che afferivano al centro oncologico, al laboratorio di analisi che aveva telefonato ai pazienti per chiedere di esprimere la propria preferenza nei confronti di un medico operante nel laboratorio nelle imminenti consultazioni elettorali.
Molte anche le questioni che hanno dettato regole generali di comportamento. A partire dall’informativa e il consenso al trattamento dei dati sanitari, così come costante è stata l’attenzione dell’Autorità nei confronti delle problematiche legate alla realizzazione a livello nazionale del Fascicolo sanitario elettronico (Fse) e del dossier sanitario. In tale ambito, l’Autorità ha partecipato al tavolo di lavoro istituito presso il Ministero della salute ai fini dell’emanazione del decreto di attuazione del Fascicolo sanitario elettronico (Fse) in cui devono essere individuati, tra l’altro, i contenuti del Fse, le garanzie e le misure di sicurezza da adottare nel trattamento dei dati personali, i sistemi di codifica dei dati, le modalità e i livelli diversificati di accesso al Fse, la definizione e le relative modalità di attribuzione di un codice identificativo univoco dell’assistito che non consenta l’identificazione diretta dell’interessato. Nell’ambito delle attività svolte nel tavolo di lavoro, l’Autorità ha formulato numerose osservazioni con specifico riferimento al perseguimento di finalità ulteriori rispetto a quella di cura dell’interessato riconducibili a quelle di ricerca scientifica e di governo, nonché relativamente al diritto di oscuramento dei dati e al rispetto di elevati standard di sicurezza sia fisica che logica al fine di consentire l’accesso ai dati sanitari solo da parte del personale a ciò autorizzato.

In merito all’utilizzo dei dossier sanitari da parte delle strutture sanitarie sono state avviate diverse istruttorie, sia d’ufficio che a seguito di specifiche segnalazioni, al fine di verificare se i sistemi attualmente in uso rispettino le misure indicate dal Garante nelle citate linee guida. In tale provvedimento il Garante ha considerato quale dossier sanitario lo strumento costituito presso un organismo sanitario in qualità di unico titolare del trattamento al cui interno operino più professionisti (es., ospedale o azienda sanitaria), contenente informazioni inerenti allo stato di salute di un individuo relative ad eventi clinici presenti e trascorsi (es.: referti, documentazione relativa a ricoveri, accessi al pronto soccorso) volte a documentarne la storia clinica.

Le istruttorie avviate hanno coinvolto in particolar modo alcune strutture sanitarie pubbliche interessate da accertamenti ispettivi. I principali aspetti su cui si è concentrato l’intervento dell’Ufficio hanno riguardato le soluzioni adottate dalle diverse strutture sanitarie affinché l’accesso al dossier sia consentito ai soli professionisti sanitari che hanno attualmente in cura il paziente. Con specifico riferimento all’esigenza di limitare l’accesso al dossier sanitario da parte del personale non sanitario operante nelle strutture assistenziali, merita evidenziare che a seguito dell’intervento dell’Autorità, un’azienda per i servizi alla persona ha modificato i parametri di accesso al proprio dossier sanitario consentendo al solo personale che ha in cura i pazienti di visualizzarne le informazioni sanitarie. Prima dell’intervento dell’Autorità tale accesso era consentito anche al personale amministrativo e di direzione gestionale dell’azienda. Come già descritto nella Relazione 2012, con specifico riferimento all’utilizzo del dossier sanitario, l’Autorità ha effettuato un importante accertamento ispettivo nei confronti delle strutture sanitarie pubbliche di una regione, all’esito del quale ha adottato un provvedimento nei confronti di tutte le strutture sanitarie pubbliche regionali prescrivendo alle stesse le misure da adottare al fine di prevenire indebiti accessi da parte del personale sanitario ai dossier dei pazienti ove non sia in corso una prestazione sanitaria.

“Le misure prescritte dal Garante – si legge nella Relazione - hanno avuto un forte impatto sulla gestione dei servizi informativi sanitari regionali che ha dovuto implementare misure logiche e informatiche affinché i documenti sanitari trattati attraverso lo strumento del dossier sanitario restino disponibili solo al professionista che ha attualmente in cura il paziente (e non siano pertanto più automaticamente condivisi con altri professionisti che non lo abbiano in cura)”.

Viene frequentemente segnalata all’Autorità anche la consegna di referti a soggetti diversi dall’interessato in busta aperta o senza verificare l’esistenza della delega per il ritiro degli stessi. A tal proposito il Garante ha ricordato che le certificazioni rilasciate dagli organismi sanitari possono essere ritirate anche da persone diverse dai diretti interessati dopo aver verificato l’identità del soggetto a ciò delegato sulla base di idonei elementi (ad es., mediante l’esibizione di un documento di riconoscimento) e mediante la consegna delle stesse in busta chiusa.

L’Autorità è anche intervenuta in merito alle modalità di custodia delle prescrizioni mediche da parte di alcuni pediatri in attesa del loro ritiro da parte dei genitori. Nei casi esaminati le prescrizioni venivano collocate in contenitori non custoditi o affisse nelle bacheche situate nella sala di attesa dello studio medico, mentre “devono essere adottate idonee cautele per evitare che le informazioni sanitarie possano essere conosciute da terzi (nel caso di specie, i pazienti presenti in sala di attesa o quelli che erroneamente ritirino una prescrizione non propria)” e “l personale designato incaricato del trattamento (ad es., il personale di segreteria) deve essere debitamente istruito in ordine alle modalità di consegna dei documenti contenenti dati idonei a rivelare lo stato di salute”.

Interventi anche a seguito delle numerose segnalazioni ricevute in merito alle modalità con cui le aziende sanitarie – anche per il tramite di società operanti in outsourcing – effettuano la consegna dei presìdi sanitari al domicilio degli interessati, per le quali l’Autorità ha ritenuto opportuno integrare il suddetto provvedimento del 2005, prescrivendo a tutte le strutture sanitarie di adeguare – entro giugno 2015 – le operazioni di consegna domiciliare dei presìdi sanitari alle misure indicate nel provvedimento. Le segnalazioni ricevute lamentavano le modalità di consegna di specifici presìdi, quali quelli utilizzati da persone incontinenti o stomizzate (ad es., cateteri, ausili per evacuazione e per stomia, raccoglitori e assorbenti per urina), recapitati in pacchi trasparenti o recanti sulla parte esterna o sulla bolla di consegna l’indicazione in chiaro della tipologia del contenuto, ovvero consegnati al vicino di casa o al portiere, in assenza di autorizzazione dell’interessato; in taluni casi, i predetti presìdi sarebbero stati lasciati incustoditi davanti la porta di ingresso della dimora dell’interessato.
Al fine di porre rimedio a tale condotta il Garante ha individuato alcune misure da osservare nelle operazioni di consegna. In primo luogo, essa deve avvenire preferibilmente nelle mani dell’interessato rispettando gli orari scelti da quest’ultimo tra quelli indicati dal titolare; il presidio non può essere lasciato incustodito nelle vicinanze del luogo indicato dall’interessato; nel caso in cui quest’ultimo non sia presente al momento della consegna, il personale a ciò deputato deve lasciare esclusivamente un avviso privo dell’indicazione della tipologia del presidio. Il presidio deve essere imballato in un contenitore non trasparente sprovvisto di indicazione circa il suo contenuto; può essere consegnato a terzi (ad es., vicino di casa, parente, portiere) solo su espressa indicazione dell’interessato; il personale deputato alla consegna non deve indossare divise recanti scritte da cui si possa evincere la specifica tipologia dei presìdi in consegna, né utilizzare automezzi recanti tali scritte.

Il richiamo al rispetto della dignità dei pazienti, si sottolinea nella Relazione, “è stato più volte necessario in merito alle condizioni con cui vengono prestate le cure in numerosi ospedali italiani”. In particolare il Garante ha ricordato che “le strutture sanitarie devono organizzare la prestazione dei servizi adottando opportuni accorgimenti a tutela delle libertà fondamentali e della dignità dei pazienti (ad es., per limitare la visibilità dell’interessato durante la visita o per evitare che in tali occasioni le informazioni sulla sua salute possano essere conosciute da terzi).

Con particolare riferimento alla delicatissima materia del trattamento dei dati personali effettuato nell’ambito dell’erogazione delle prestazioni mediche a pazienti affetti da HIV, sono pervenute alcune segnalazioni con riferimento all’esibizione del codice di esenzione dalla partecipazione al costo per le prestazioni di assistenza sanitaria previsto per le infezioni da HIV. Alcuni interessati, specie se residenti in piccoli centri, lamentano inoltre di dover effettuare le pratiche amministrative per il rilascio o il rinnovo dell’esenzione da HIV nella propria Asl di residenza, ove spesso è impiegato personale che, per le ragioni più varie, può avere conoscenza diretta dei pazienti.
“In merito a tali profili – spiega l’Autorità -, si è ritenuto opportuno avviare un confronto con il Ministero della salute - Direzione generale della programmazione sanitaria e l’Istituto Superiore di Sanità (ISS) - Dipartimento malattie infettive parassitarie e immunomediate, al fine di valutare la possibilità di individuare idonee cautele volte a non far evincere in modo immediato l’esistenza di un’infezione da HIV attraverso la mera presentazione del codice di esenzione all’atto della prenotazione o della prestazione sanitaria, nonché di individuare percorsi alternativi a quello previsto dalla legge per espletare le pratiche di rilascio o rinnovo dell’esenzione”.

Nel corso del 2013, inoltre, è arrivato dall’Autorità il parere sullo schema di accordo tra il Governo, le Regioni e le Province autonome di Trento e di Bolzano sulle linee guida per la ricognizione dei trattamenti sanitari che prevedono l’utilizzo di cellule e tessuti umani per trapianti sperimentali e per medicinali per terapie avanzate al fine di rendere disponibili al Ministero della salute informazioni utili a valutare le reali potenzialità di impiego di tali trattamenti. In particolare, in attesa dell’istituzione di un registro nazionale, lo schema prevede di raccogliere, per ciascuna tipologia di trattamento sanitario, dati relativi al numero dei pazienti coinvolti, alle patologie curate, alle tipologie di tessuti e di cellule utilizzati, nonché al numero delle reazioni o eventi avversi gravi.
Nel rendere il proprio parere, l’Autorità ha chiesto di introdurre opportuni accorgimenti di aggregazione delle informazioni da raccogliere al fine di escludere il rischio di identificazione, anche indiretta, dei pazienti interessati facendo riferimento ai parametri individuati dal codice deontologico per i trattamenti di dati personali per scopi statistici e scientifici.
 

10 giugno 2014
© Riproduzione riservata