Vademecum DATA PRIVACY Come tutelare i dati personali nello studio medico LE ISTRUZIONI PER L USO

Transcript

1 Vademecum DATA PRIVACY Come tutelare i dati personali nello studio medico LE ISTRUZIONI PER L USO

2 Introduzione Nel 2014 sono state svolte dal Garante per la protezione dei dati personali circa 200 ispezioni presso studi medici. Il bilancio dell attività ispettiva e sanzionatoria del Garante privacy ha rivelato, in sostanza, una scarsa informazione agli utenti sull uso dei dati personali, ancora numerosi trattamenti illeciti e poca attenzione alle misure di sicurezza. Alla luce delle ispezioni attivate dal Garante privacy per verificare il rispetto delle normative negli studi, in particolare dei Medici di Medicina generale, ecco un promemoria ragionato degli adempimenti da rispettare per gestire correttamente i dati personali dei pazienti. Il Vademecum affronta in maniera sintetica le misure e i comportamenti da adottare: l informativa e il consenso informato, come rispettare la Privacy del paziente, come gestire le ricette, la sicurezza dei dati e le lettere di incarico ai collaboratori. Il documento è stato realizzato a cura di Cegedim Italia in collaborazione con l Avvocato Marco Maglio. L iniziativa Vademecum Data Privacy per il Medico prevede una seconda pubblicazione di materiale di pratica consultazione e utilizzo, tra cui la modulistica di riferimento pronta per essere scaricata e stampata. Un cenno ai riferimenti normativi Il medico deve ottemperare alle norme contenute nel D.Lg. 196/2003 e sue successive modifiche ed integrazioni, concernente il trattamento dei dati comuni e sensibili, nonché all obbligo di garantire le misure di sicurezza imposte dall allegato b) del suddetto decreto. E importante precisare che il comma 1 dell art. 45, Decreto Legislativo 9 febbraio 2012, n. 5 (cd. decreto semplificazioni ) ha eliminato l obbligo di redigere (in forma scritta e con data certa) il documento programmatico per la sicurezza dei dati. 1

3 Informativa Nella sala di aspetto deve essere esposta ben visibile, in particolare nelle vicinanze dei punti di accoglienza, l Informativa che deve dichiarare al paziente la finalità per la quale si raccolgono i suoi dati sensibili, i soggetti che, per garantire queste finalità, potranno avere accesso ai dati, le garanzie che il cittadino ha di escludere comunque uno o più di tali soggetti dalla consultazione, le misure di protezione che il medico adotta per garantire la conservazione e l uso corretto dei dati, anche conservati in repository remoti in cloud. Cosa deve contenere l Informativa? Consenso Informato La normativa, con gli articoli 77, 78 ed 81 del suddetto D.Lg. 196/2003 ha definito che il medico che raccoglie i dati solo per svolgere attività necessarie per la prevenzione, diagnosi, cura, riabilitazione, nei termini di cui all informativa sopra descritta, è autorizzato alla raccolta del consenso informato semplificato, consistente nella raccolta verbale del consenso e nella annotazione in cartella clinica elettronica (quindi senza acquisizione di consenso scritto firmato dal paziente). Il consenso può essere raccolto anche una sola volta. per il Medico vale il consenso informato semplificato... È importante ricordarsi, all atto dell apertura della scheda sanitaria di raccogliere il consenso al trattamento dei dati e di annotarlo in cartella. A questo scopo molti applicativi hanno delle funzioni di Help che se attivate, aprono direttamente la schermata di annotazione del consenso ricevuto per i pazienti che non lo avevano ancora espresso. 2

4 La riservatezza nelle comunicazioni, in ambulatorio e al telefono Rispetto della Privacy del paziente Per garantire al paziente la necessaria Privacy si devono adottare le seguenti misure, specie da parte del personale operante nello studio/ambulatorio: 1. La prenotazione e le visite devono avvenire con modalità tali da evitare che altri pazienti possano sentire le conversazioni e/o individuare l interlocutore. 2. Per nessun motivo dovranno essere comunicate telefonicamente patologie, diagnosi o risultati di esami o referti. 3. In presenza di altri pazienti o terzi in sala di attesa non dovranno essere comunicate ad alta voce patologie, diagnosi o risultati di esami o referti. 4. È necessario evitare di comunicare diagnosi a persone diverse dall interessato, soprattutto per telefono. 5. Le prescrizioni mediche, referti e documenti contenenti dati sanitari devono essere consegnate solo al paziente. È possibile consegnarle anche a persone diverse sulla base di una delega scritta acquisita anche una sola volta e valida per sempre. 6. La consegna o la giacenza di prescrizioni, referti e documenti sanitari deve avvenire sempre mediante busta chiusa e sigillata. Per nessun motivo le ricette/prescrizioni possono essere lasciate in sala di attesa o in altri luoghi accessibili al pubblico. 3

5 Le ricette mediche Le ricette mediche possono essere lasciate presso le farmacie e gli studi medici per il ritiro da parte dei pazienti, purché siano messe in busta chiusa. Lasciare ricette e certificati alla portata di chiunque o perfino incustodite, in vaschette poste sui banconi delle farmacie o sulle scrivanie degli studi medici, viola la privacy dei pazienti. Il Garante ha recentemente precisato (novembre 2014) che le procedure, in vigore già da tempo, consentono ai medici di lasciare ai pazienti ricette e i certificati presso le sale d attesa dei propri studi o presso le farmacie, senza doverglieli necessariamente consegnare di persona. Per impedire la conoscibilità da parte di estranei di dati delicati, come quelli sanitari, è però indispensabile che ricette e certificati vengano consegnati in busta chiusa. La busta chiusa è tanto più necessaria nel caso in cui non sia il paziente a ritirare i documenti, ma una persona da questi appositamente delegata. Semplici regole di buon senso, queste, che permettono di rispettare la riservatezza e la dignità delle persone senza creare troppi aggravi e difficoltà né ai medici né agli stessi pazienti. Tutte queste specifiche devono essere oggetto di formazione specifica del personale e devono essere contenute in apposita lettera di incarico di cui una copia va consegnata al personale ed una, controfirmata dal personale per attestazione di ricevimento/presa visione, va conservata agli atti. Sì alle ricette in farmacia o nelle sale di attesa, purché... 4

6 Sicurezza dei dati Come sopra accennato recentemente è stato eliminato l obbligo di compilazione con data certa del documento programmatico per la sicurezza, ma sono rimaste inalterate le regole previste dall allegato b) del D.Lg. 196/2003 che impone di mantenere stringenti misure di sicurezza. È necessario pertanto fare attenzione a: 1. I Dati del paziente che vengono inseriti nella cartella clinica devono essere crittografati. È sconsigliato utilizzare programmi fai da te mentre è indicato utilizzare uno dei programmi specifici per la gestione della cartella clinica avendo cura, scegliendo il prodotto, di verificare che sia adeguatamente protetto. va inserita una password per l accesso al computer, una per l accesso al programma di gestione della cartella clinica 2. Password: va inserita una password per l accesso al computer ed una per l accesso al programma di gestione della cartella clinica. Si deve fare attenzione a cambiare la password di accesso almeno ogni tre mesi, scegliendole alfanumeriche con non meno di 8 caratteri. Ovviamente le password sono strettamente personali e quindi non vanno annotate in agende o simili e a maggior ragione non vanno attaccati biglietti pro-memoria con le password al monitor o in luoghi accessibili a terzi. 3. Misure di sicurezza per la protezione dei sistemi informatici: vanno fatti regolari e giornalieri back up dei dati e le copie dei dati vanno conservate in luogo diverso da quello dove risiede il personal computer. Il sistema va protetto con un sistema antivirus e firewall anche se non si è collegati ad internet, i virus possono essere annidati anche in file contenuti in altri documenti. 4. Per la manutenzione va utilizzato personale specializzato sottoscrivendo un contratto che obblighi il consulente al rispetto delle normative e delle più scrupolose regole di manutenzione. 5

7 Lettere di incarico La lettera di incarico, oltre ad essere obbligatoria, è anche un sistema per obbligare i terzi alla massima responsabilità: mediante la lettera di incarico il medico titolare responsabilizza il personale ed altri collaboratori come i medici sostituti. Le lettera di incarico, oltre a contenere le indicazioni operative a cui il destinatario si deve attenere, deve contenere anche la specifica che sulla materia il destinatario è stato formato. La lettera di incarico è anche un sistema per obbligare i terzi alla massima responsabilità Il personale deve essere responsabilizzato alla corretta gestione e manutenzione dei sistemi informatici. Spesso il personale, anche il più efficiente, utilizza internet e la posta elettronica. Facile quindi che utilizzi i sistemi anche per ragioni personali. È opportuno quindi che, oltre alla lettera di incarico, sia fornita una adeguata nota di istruzioni in modo che sia possibile anche procedere disciplinarmente in caso di violazioni. Sarebbe utile adottare per il personale un regolamento del personale che contenga adeguate istruzioni scritte. Poiché tutte le specifiche azioni da intraprendere relative a sicurezza dei dati, rispetto della Privacy, lettere di incarico e formazione, sono contemplate e proposte dal Documento programmatico sulla sicurezza, se ne consiglia comunque la compilazione quale utile strumento di check list delle azioni da garantire. 6

8 A completamento di queste istruzioni per l uso è utile riportare in questa sezione il link ad un documento diffuso dal Garante per la protezione dei dati personali nel 2011 e intitolato Dalla parte del paziente. Privacy: le domande più frequenti. Si tratta di una serie di regole utili sia per i cittadini sia per gli operatori sanitari che qui ripercorriamo in una maniera sintetica e ragionata. La tutela dei pazienti. Nel caso delle sale d aspetto, le indicazioni cambiano a seconda che ci si trovi in una struttura sanitaria o nello studio di uno specialista o del medico di base. Nel primo caso, il nome del paziente in attesa non può essere pronunciato ad alta voce, ma bisogna in caso utilizzare un codice numerico. Negli studi medici privati, in quelli specialistici o dal medico di base c è invece libertà di chiamare la persona per nome. Pronto soccorso. Telefonando al pronto soccorso si possono ricevere informazioni sulla presenza di una persona o in uno dei reparti, ma solo se si è un parente, un convivente, un conoscente o personale volontario. Non si possono ricevere informazioni dettagliate sulle condizioni sanitarie del paziente. Questo naturalmente nei casi che l interessato sia comunque d accordo. Cosa succede invece se il paziente non è in grado di dare il consenso al trattamento dei dati, ma deve essere sottoposto a cure? In questo caso, si può fare a meno della sua risposta quando c è rischio imminente per la salute o quando vi è impossibilità fisica o incapacità di agire, di intendere o di volere. I dati e il web. Sul vademecum si scopre che è vietata la diffusione di dati idonei a rivelare lo stato di salute. Non possono quindi essere resi disponibili su internet i dati anagrafici, l indicazione delle diagnosi o i risultati delle analisi cliniche delle persone che si recano presso un ospedale. Non bisogna pubblicare dati personali di pazienti, ad esempio nomi o fotografie, sulle proprie pagine di social network. Anche se spesso si pensa di condividerle solo con amici, magari colleghi sanitari, si rischia invece di diffonderle a un numero imprecisato di utenti della rete, violando così la privacy delle persone coinvolte. Cartelle cliniche. I referti diagnostici, le cartelle cliniche, i risultati delle analisi e i certificati rilasciati dagli organismi sanitari possono essere consegnati in busta chiusa anche a persone diverse dai diretti interessati purché munite di delega scritta. Certificati di malattia. Il datore di lavoro non può raccogliere certificati di malattia dei dipendenti con l indicazione della diagnosi. In assenza di specifiche deroghe previste da leggi o regolamenti, il lavoratore assente per malattia deve fornire un certificato contenente esclusivamente la prognosi con la sola indicazione dell inizio e della durata dell infermità. I sondaggi. Infine, il Garante ha fissato le regole alle quali dovranno attenersi gli organismi sanitari pubblici e privati che svolgono indagini sulla qualità dei servizi sanitari offerti ai cittadini. Inoltre questi sondaggi, effettuati per telefono, per posta, per , tramite questionari cartacei o forum su siti istituzionali, possono riguardare esclusivamente informazioni sulla qualità del servizio sanitario (accoglienza, tempi di attesa, informazioni ricevute, comodità della struttura), senza entrare nella valutazione degli aspetti sanitari delle prestazioni e delle cure erogate. 7

9 Chi siamo Il Vademecum è un iniziativa realizzata da Cegedim Italia, con la collaborazione dell Avvocato Marco Maglio. Cegedim Italia Azienda con casa madre in Francia e filiali in 80 paesi che, da oltre 40 anni, realizza soluzioni tecnologiche e servizi informativi destinati a tutti gli attori interessati al settore Healthcare. In Italia Cegedim è attiva da oltre 20 anni ed è un azienda leader nell ambito della raccolta di informazioni e della gestione di database specifici su individui ed enti del mondo sanitario. Riconosciuta da organizzazioni e istituzioni del mondo della sanità collabora con enti, editori specializzati, società farmaceutiche fornendo dati e servizi di supporto per favorire l informazione delle persone che a vario titolo operano nel settore sanitario. Marco Maglio Avvocato in Milano e fondatore di Lucerna Iuris, il Network Giuridico Internazionale formato da avvocati in Europa, America e Asia esperti di questioni di protezione dei dati personali e di marketing. E professore di Diritto dei consumi e del marketing. E consulente legale delle principali associazioni nel settore del marketing, della vendita a distanza e del commercio elettronico. Dopo essere stato nominato Presidente di AIDIM (Associazione Italiana del Marketing Diretto ed Interattivo) presiede il Giurì per l Autodisciplina. È membro del Consiglio Direttivo di FEDMA (Federazione Europea del Direct Marketing) in rappresentanza dell Italia. E autore di numerose pubblicazioni sui temi della tutela dei dati, del diritto del marketing e del diritto di internet e fa parte del comitato scientifico di alcune pubblicazioni giuridiche nel settore del diritto dell informazione, di internet e delle nuove tecnologie. E specializzato sulle problematiche legali in ambito farmaceutico e sanitario. E Certification Auditor dell European Privacy Seal Institute e Certification Committee Member dell International Association of Privacy Professionals. Contatti Per qualsiasi informazione, suggerimenti o comunicazioni: it.medcare@cegedim.com Pubblicato nel mese di Febbraio 2015 Piazza I. Montanelli, Sesto San Giovanni (Milano) 8