Corso di Formazione in Medicina Generale Bari 29 maggio 2007 La privacy nella medicina generale Una precisazione fondamentale: la privacy è un concetto molto più ampio rispetto a quello di protezione o tutela dei dati personali. Dott. Erasmo Bitetti Medico di famiglia MATERA

Un argomento ostico o ostile ?

Storia della legislazione in tema di privacy

Convenzione di Strasburgo n. 108 28 gennaio 1981 Convenzione di Strasburgo n. 108 Protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale 21 febbraio 1989 Legge n. 98/89 Ratifica della Convenzione di Strasburgo

Il concetto di trattamento dei dati personali 1995 Il concetto di trattamento dei dati personali nella Direttiva CE 95/46 del 24.10.95 relativa alla "tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati". Si inizia a precisare che il trattamento dei dati personali è qualsiasi operazione o insieme di operazioni compiute con o senza l'ausilio di processi automatizzati . Viene istituito il Gruppo di lavoro per la tutela dei dati personali.

Garante per la protezione dei dati personali 1996 Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali Legge 31 dicembre 1996 n.675  E’ la prima cosiddetta “legge di tutela della privacy” in Italia . Viene istituito l’ufficio del Garante per la protezione dei dati personali organo collegiale costituito da quattro membri (due eletti dalla Camera dei deputati e due dal Senato della Repubblica) che opera in piena autonomia e con indipendenza di giudizio e di valutazione. Dura in carica quattro anni e i suoi membri possono essere riconfermati solo una volta nell’incarico. La legge 675 del ‘96 è il primo fondamentale testo che disciplina in Italia il trattamento dei dati personali. Abrogata con l’entrata in vigore del cosiddetto Codice unico della privacy ( DLg n.196 del 2003 ) il suo impianto normativo è rimasto pressocché immutato. Ignorata se non osteggiata per anni da varie categorie professionali che la consideravano ostica ed “ostile” ha fatto parlare di sé soprattutto per un aspetto marginale, il presunto divieto di utilizzo di agende personali!

La legge vieta l’uso delle agende personali ? 1996 La legge vieta l’uso delle agende personali ? Trattamento di dati per fini esclusivamente personali Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali non è soggetto all'applicazione della presente legge, sempreché i dati non siano destinati ad una comunicazione sistematica o alla diffusione. La legge 675 del ‘96 è il primo fondamentale testo che disciplina in Italia il trattamento dei dati personali. Abrogata con l’entrata in vigore del cosiddetto Codice unico della privacy ( DLg n.196 del 2003 ) il suo impianto normativo è rimasto pressocché immutato. Ignorata se non osteggiata per anni da varie categorie professionali che la consideravano ostica ed “ostile” ha fatto parlare di sé soprattutto per un aspetto marginale, il presunto divieto di utilizzo di agende personali!

Progetto di Carta dei diritti fondamentali 2000 Progetto di Carta dei diritti fondamentali dell’Unione Europea Articolo 7 Rispetto della vita privata e della vita familiare Ogni individuo ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle sue comunicazioni. Articolo 8 Protezione dei dati di carattere personale 1. Ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano.

2000 Progetto di Carta dei diritti fondamentali dell’Unione Europea Articolo 8 Protezione dei dati di carattere personale 2. Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni individuo ha il diritto di accedere ai dati raccolti che lo riguardano e di ottenerne la rettifica. 3. Il rispetto di tali regole è soggetto al controllo di un'autorità indipendente.

2003 Codice in materia di protezione dei dati personali DECRETO LEGISLATIVO 30 giugno 2003 n. 196 Si tratta di una sorta di testo unico che riprende, con alcune innovazioni e integrazioni, tutte le precedenti disposizioni di legge, ivi comprese quelle relative alla misure minime di sicurezza.

2003 Codice in materia di protezione dei dati personali DECRETO LEGISLATIVO 30 giugno 2003 n. 196 Art. 1 Diritto alla protezione dei dati personali 1. Chiunque ha diritto alla protezione dei dati personali che lo riguardano. Art. 3 Principio di necessità nel trattamento dei dati 1. I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l'interessato solo in caso di necessità. Questi i “fondamenta” del codice. Si noti che la protezione legislativa attiene al “trattamento dei dati personali” piuttosto che alla tutela della “privacy” (concetto molto più ampio).

Quali sono i dati oggetto di tutela ? DATI PERSONALI qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale DATI SENSIBILI i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale

Come ci comportiamo con questi dati ? DATI IDENTIFICATIVI i dati personali che permettono l'identificazione diretta del soggetto DATI ANONIMI i dati personali che in origine, o a seguito di trattamento, non possono essere associati ad un soggetto identificato o identificabile

Cosa si intende per “trattamento” dei dati? Qualunque operazione o complesso di operazioni, effettuate anche senza l'ausilio di strumenti elettronici, concernenti la raccolta selezione registrazione estrazione organizzazione raffronto conservazione utilizzo consultazione interconnessione elaborazione blocco modificazione cancellazione e distruzione comunicazione diffusione di dati ,anche se non registrati in una banca di dati.

Alcune tipologie particolari di “trattamento” dei dati comunicazione il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione diffusione il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione blocco la conservazione di dati personali con sospensione temporanea di ogni altra operazione di trattamento

Quali sono i soggetti coinvolti? TITOLARE INTERESSATO RESPONSABILE INCARICATO

Quali sono i soggetti coinvolti? TITOLARE il soggetto cui competono le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza INTERESSATO RESPONSABILE INCARICATO

Quali sono i soggetti coinvolti? TITOLARE INTERESSATO il soggetto a cui si riferiscono i dati personali RESPONSABILE INCARICATO

Quali sono i soggetti coinvolti? TITOLARE INTERESSATO RESPONSABILE il soggetto preposto dal titolare al trattamento di dati personali INCARICATO

Quali sono i soggetti coinvolti? TITOLARE INTERESSATO RESPONSABILE INCARICATO il soggetto autorizzato a compiere operazioni di trattamento dal titolare o dal responsabile

DIZIONARIO MEDICO DELLA PRIVACY (1) Il Paziente, unico proprietario dei dati che lo riguardano e quindi ”interessato” al loro utilizzo, è per la legge l‘ Interessato. Il Medico curante che, per concessione del paziente, ha facoltà e ”titolo” ad utilizzare i dati personali del paziente per scopi di prevenzione, diagnosi, cura e riabilitazione delle malattie, è per la legge il Titolare del trattamento. I Collaboratori di studio del medico curante, “incaricati” di aiutarlo a svolgere una parte del suo lavoro (segretaria, infermiera ecc.) sono per la legge Incaricati del trattamento.

DIZIONARIO MEDICO DELLA PRIVACY (2) I medici sostituti che hanno la “responsabilità professionale” di fare le veci del medico curante (in modo integrale ed autonomo) sono considerati dalla legge Responsabili del trattamento. Anche il personale specializzato cui il medico titolare affida la ”responsabilità” della - manutenzione, assistenza, amministrazione custodia degli strumenti per la raccolta dei dati (personal computer, server di rete, apparecchiature di trasmissione telematica ecc.) o - la gestione dei dati fiscali e contributivi può assumere il ruolo di Responsabile del trattamento. I medici sostituti nell’atto di svolgere una sostituzione assumono integralmente, autonomamente ed individualmente, ogni responsabilità professionale, compresa quella della privacy nei confronti dei pazienti loro affidati dal titolare. Incaricati del trattamento possono essere, in particolari ed eccezionali circostanze, anche i medici sostituti. Facciamo un esempio al riguardo: un sostituto che venga chiamato ad aiutare un titolare temporaneamente e parzialmente impossibilitato a svolgere, in maniera totalmente autonoma, la professione medica per un impedimento fisico quale la frattura di una mano,magari la destra. Il medico titolare, in tale evenienza, non potrà eseguire, compiutamente, un esame obiettivo o redigere una prescrizione medica, compiti, questi, assolti dal medico sostituto (incaricato del trattamento), ma conserva la piena responsabilità professionale,avocando a sé ogni decisione clinica al riguardo , compresa la tutela della privacy dei pazienti di cui egli è titolare. Il tecnico che esegua l’ordinaria manutenzione degli strumenti elettronici, essendo sottoposto alle direttive del medico titolare , può essere considerato “incaricato del trattamento”. - Il tecnico che esegua la manutenzione straordinaria degli strumenti ( pensiamo, ad esempio, alla ricostruzione di una base dati corrotta, con conseguente necessità di accedere alle tabelle dell’archivio) o il soggetto che fornisce assistenza sistemistica ( gestione delle credenziali di autenticazione, profilazione degli utenti, esecuzione dei backup ecc.), per la complessità e la delicatezza dei compiti cui è preposto (che implica, tra l’altro, l’acquisizione di particolari conoscenze e competenze ) , vanno considerati, senza dubbio, responsabili del trattamento. Da ultimo va ricordato che ogni titolare del trattamento, se non delega espressamente un altro soggetto quale responsabile della sicurezza, è esso stesso considerato “responsabile” del trattamento (pur se non espressamente individuato come tale) , in relazione alla particolare natura dei dati trattati ed ai conseguenti obblighi relativi alla sicurezza.

DIZIONARIO MEDICO DELLA PRIVACY (3) I medici associati (associazione semplice, medicina in rete o di gruppo) sono considerati Responsabili del trattamento, dovendosi escludere che essi debbano soggiacere, come semplici incaricati, alla“diretta autorità del titolare”. Tali vanno anche considerati eventuali consulenti specialisti nell’espletamento della consulenza loro affidata dal medico titolare del trattamento. I medici in formazione ed i tirocinanti, dovendo invece soggiacere alla “diretta autorità del titolare”, sono considerati Incaricati del trattamento. Il Codice della privacy all’articolo 4 definisce il titolare come colui cui competono, “anche unitamente ad altro titolare”, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza. Si può dunque parlare di “con -titolarità” nel trattamento dei dati sensibili da parte di medici a vario titolo fra loro associati? Assolutamente no, la risposta è negativa! Nell’autorizzazione generale al trattamento dei dati sensibili da parte dei liberi professionisti (n.4/2005) si parla in effetti di “contitolari del trattamento” ma in riferimento a studi associati di consulenza e assistenza o a collaboratori di studi legali (sostituti, praticanti e tirocinanti di avvocati), con esplicita esclusione degli esercenti la professione sanitaria,degli psicologi e del personale sanitario-infermieristico, tecnico e della riabilitazione.

MA NON BASTAVA IL CODICE DEONTOLOGICO ? Art. 10 Segreto professionale Il medico deve mantenere il segreto su tutto ciò che gli è confidato o di cui venga a conoscenza nell’esercizio della professione. Il medico deve informare i suoi collaboratori dell’obbligo del segreto professionale. La rivelazione è ammessa ove motivata da una giusta causa, rappresentata dall’adempimento di un obbligo previsto dalla legge (denuncia e referto all’Autorità Giudiziaria, denunce sanitarie, notifiche di malattie infettive, certificazioni obbligatorie). Il codice deontologico del 2006 riconferma l’obbligo fondamentale del segreto professionale preoccupandosi di delimitare i confini della rivelazione per giusta causa. Aggiunge però dei riferimenti a degli atteggiamenti “attivi” da parte del medico attinti dalle norme sul trattamento dei dati personali: il medico deve dare l’informativa ai pazienti e deve acquisire il loro consenso. Risente forse di un certo “clima culturale” la richiesta ai medici di un’estrema cautela nella partecipazione alla costituzione di banche dati … Come la mettiamo con la medicina di rete, le card sanitarie, il fascicolo elettronico ? CAPO III Obblighi peculiari del medico Art. 10 Segreto professionale Il medico deve mantenere il segreto su tutto ciò che gli è confidato o di cui venga a conoscenza nell’esercizio della professione. La morte del paziente non esime il medico dall’obbligo del segreto. Il medico deve informare i suoi collaboratori dell’obbligo del segreto professionale. L’inosservanza del segreto medico costituisce mancanza grave quando possa derivarne profitto proprio o altrui ovvero nocumento della persona assistita o di altri. La rivelazione è ammessa ove motivata da una giusta causa, rappresentata dall’adempimento di un obbligo previsto dalla legge (denuncia e referto all’Autorità Giudiziaria, denunce sanitarie, notifiche di malattie infettive, certificazioni obbligatorie) ovvero da quanto previsto dai successivi artt. 11 e 12. Il medico non deve rendere al Giudice testimonianza su fatti e circostanze inerenti il segreto professionale. La cancellazione dall'albo non esime moralmente il medico dagli obblighi del presente articolo. Art. 11 Riservatezza dei dati personali Il medico è tenuto al rispetto della riservatezza nel trattamento dei dati personali del paziente e particolarmente dei dati sensibili inerenti la salute e la vita sessuale. Il medico acquisisce la titolarità del trattamento dei dati sensibili nei casi previsti dalla legge, previo consenso del paziente o di chi ne esercita la tutela. Nelle pubblicazioni scientifiche di dati clinici o di osservazioni relative a singole persone, il medico deve assicurare la non identificabilità delle stesse. Il consenso specifico del paziente vale per ogni ulteriore trattamento dei dati medesimi, ma solo nei limiti, nelle forme e con le deroghe stabilite dalla legge. Il medico non può collaborare alla costituzione di banche di dati sanitari, ove non esistano garanzie di tutela della riservatezza, della sicurezza e della vita privata della persona. Art. 12 Trattamento dei dati sensibili Al medico, è consentito il trattamento dei dati personali idonei a rivelare lo stato di salute del paziente previa richiesta o autorizzazione da parte di quest’ultimo, subordinatamente ad una preventiva informazione sulle conseguenze e sull’opportunità della rivelazione stessa. Al medico peraltro è consentito il trattamento dei dati personali del paziente in assenza del consenso dell’interessato solo ed esclusivamente quando sussistano le specifiche ipotesi previste dalla legge ovvero quando vi sia la necessità di salvaguardare la vita o la salute del paziente o di terzi nell’ipotesi in cui il paziente medesimo non sia in grado di prestare il proprio consenso per impossibilità fisica, per incapacità di agire e/o di intendere e di volere; in quest’ultima situazione peraltro, sarà necessaria l’autorizzazione dell’eventuale legale rappresentante laddove precedentemente nominato. Tale facoltà sussiste nei modi e con le garanzie dell’art. 11 anche in caso di diniego dell’interessato ove vi sia l’urgenza di salvaguardare la vita o la salute di terzi.

Riservatezza dei dati personali Art. 11 Riservatezza dei dati personali Il medico è tenuto al rispetto della riservatezza nel trattamento dei dati personali del paziente e particolarmente dei dati sensibili. Il medico acquisisce la titolarità del trattamento dei dati sensibili previo consenso del paziente o di chi ne esercita la tutela. Nelle pubblicazioni scientifiche di dati clinici o di osservazioni relative a singole persone, il medico deve assicurare la non identificabilità delle stesse. Il medico non può collaborare alla costituzione di banche di dati sanitari, ove non esistano garanzie di tutela della riservatezza, della sicurezza e della vita privata della persona. CAPO III Obblighi peculiari del medico Art. 10 Segreto professionale Il medico deve mantenere il segreto su tutto ciò che gli è confidato o di cui venga a conoscenza nell’esercizio della professione. La morte del paziente non esime il medico dall’obbligo del segreto. Il medico deve informare i suoi collaboratori dell’obbligo del segreto professionale. L’inosservanza del segreto medico costituisce mancanza grave quando possa derivarne profitto proprio o altrui ovvero nocumento della persona assistita o di altri. La rivelazione è ammessa ove motivata da una giusta causa, rappresentata dall’adempimento di un obbligo previsto dalla legge (denuncia e referto all’Autorità Giudiziaria, denunce sanitarie, notifiche di malattie infettive, certificazioni obbligatorie) ovvero da quanto previsto dai successivi artt. 11 e 12. Il medico non deve rendere al Giudice testimonianza su fatti e circostanze inerenti il segreto professionale. La cancellazione dall'albo non esime moralmente il medico dagli obblighi del presente articolo. Art. 11 Riservatezza dei dati personali Il medico è tenuto al rispetto della riservatezza nel trattamento dei dati personali del paziente e particolarmente dei dati sensibili inerenti la salute e la vita sessuale. Il medico acquisisce la titolarità del trattamento dei dati sensibili nei casi previsti dalla legge, previo consenso del paziente o di chi ne esercita la tutela. Nelle pubblicazioni scientifiche di dati clinici o di osservazioni relative a singole persone, il medico deve assicurare la non identificabilità delle stesse. Il consenso specifico del paziente vale per ogni ulteriore trattamento dei dati medesimi, ma solo nei limiti, nelle forme e con le deroghe stabilite dalla legge. Il medico non può collaborare alla costituzione di banche di dati sanitari, ove non esistano garanzie di tutela della riservatezza, della sicurezza e della vita privata della persona. Art. 12 Trattamento dei dati sensibili Al medico, è consentito il trattamento dei dati personali idonei a rivelare lo stato di salute del paziente previa richiesta o autorizzazione da parte di quest’ultimo, subordinatamente ad una preventiva informazione sulle conseguenze e sull’opportunità della rivelazione stessa. Al medico peraltro è consentito il trattamento dei dati personali del paziente in assenza del consenso dell’interessato solo ed esclusivamente quando sussistano le specifiche ipotesi previste dalla legge ovvero quando vi sia la necessità di salvaguardare la vita o la salute del paziente o di terzi nell’ipotesi in cui il paziente medesimo non sia in grado di prestare il proprio consenso per impossibilità fisica, per incapacità di agire e/o di intendere e di volere; in quest’ultima situazione peraltro, sarà necessaria l’autorizzazione dell’eventuale legale rappresentante laddove precedentemente nominato. Tale facoltà sussiste nei modi e con le garanzie dell’art. 11 anche in caso di diniego dell’interessato ove vi sia l’urgenza di salvaguardare la vita o la salute di terzi.

Trattamento dei dati sensibili Art. 12 Trattamento dei dati sensibili Al medico, è consentito il trattamento dei dati personali idonei a rivelare lo stato di salute del paziente previa richiesta o autorizzazione da parte di quest’ultimo, subordinatamente ad una preventiva informazione sulle conseguenze e sull’opportunità della rivelazione stessa. Al medico peraltro è consentito il trattamento dei dati personali del paziente in assenza del consenso dell’interessato solo quando vi sia la necessità di - salvaguardare la vita o la salute del paziente o di terzi - il paziente non sia in grado di prestare il proprio consenso per impossibilità fisica, per incapacità di agire e/o di intendere e di volere. CAPO III Obblighi peculiari del medico Art. 10 Segreto professionale Il medico deve mantenere il segreto su tutto ciò che gli è confidato o di cui venga a conoscenza nell’esercizio della professione. La morte del paziente non esime il medico dall’obbligo del segreto. Il medico deve informare i suoi collaboratori dell’obbligo del segreto professionale. L’inosservanza del segreto medico costituisce mancanza grave quando possa derivarne profitto proprio o altrui ovvero nocumento della persona assistita o di altri. La rivelazione è ammessa ove motivata da una giusta causa, rappresentata dall’adempimento di un obbligo previsto dalla legge (denuncia e referto all’Autorità Giudiziaria, denunce sanitarie, notifiche di malattie infettive, certificazioni obbligatorie) ovvero da quanto previsto dai successivi artt. 11 e 12. Il medico non deve rendere al Giudice testimonianza su fatti e circostanze inerenti il segreto professionale. La cancellazione dall'albo non esime moralmente il medico dagli obblighi del presente articolo. Art. 11 Riservatezza dei dati personali Il medico è tenuto al rispetto della riservatezza nel trattamento dei dati personali del paziente e particolarmente dei dati sensibili inerenti la salute e la vita sessuale. Il medico acquisisce la titolarità del trattamento dei dati sensibili nei casi previsti dalla legge, previo consenso del paziente o di chi ne esercita la tutela. Nelle pubblicazioni scientifiche di dati clinici o di osservazioni relative a singole persone, il medico deve assicurare la non identificabilità delle stesse. Il consenso specifico del paziente vale per ogni ulteriore trattamento dei dati medesimi, ma solo nei limiti, nelle forme e con le deroghe stabilite dalla legge. Il medico non può collaborare alla costituzione di banche di dati sanitari, ove non esistano garanzie di tutela della riservatezza, della sicurezza e della vita privata della persona. Art. 12 Trattamento dei dati sensibili Al medico, è consentito il trattamento dei dati personali idonei a rivelare lo stato di salute del paziente previa richiesta o autorizzazione da parte di quest’ultimo, subordinatamente ad una preventiva informazione sulle conseguenze e sull’opportunità della rivelazione stessa. Al medico peraltro è consentito il trattamento dei dati personali del paziente in assenza del consenso dell’interessato solo ed esclusivamente quando sussistano le specifiche ipotesi previste dalla legge ovvero quando vi sia la necessità di salvaguardare la vita o la salute del paziente o di terzi nell’ipotesi in cui il paziente medesimo non sia in grado di prestare il proprio consenso per impossibilità fisica, per incapacità di agire e/o di intendere e di volere; in quest’ultima situazione peraltro, sarà necessaria l’autorizzazione dell’eventuale legale rappresentante laddove precedentemente nominato. Tale facoltà sussiste nei modi e con le garanzie dell’art. 11 anche in caso di diniego dell’interessato ove vi sia l’urgenza di salvaguardare la vita o la salute di terzi.

Codice in materia di protezione dei dati personali

Quali sono gli obblighi del medico? Informativa Il medico di MG è tenuto ad informare i pazienti, oralmente o per iscritto (manifesto in sala d’attesa) , circa il trattamento dei dati personali in forma chiara ed agevolmente comprensibile, senza trascurare di fornire informazioni circa le modalità del trattamento e la sede in cui i dati sono raccolti (archivio cartaceo, computer di studio , server della medicina di rete); l’informativa dovrà anche indicare gli eventuali incaricati del trattamento (segretaria, infermiera) ed i soggetti cui i dati potranno essere comunicati (medici associati o sostituto) (art. 78). Gli articoli del Codice Unico che riguardano la sanità si ritrovano nella Parte II Titolo V (Trattamento di dati personali in ambito sanitario) articoli da 75 a 94. L’informativa dovrà riguardare,“se non diversamente specificato dal medico”, anche i trattamenti correlati, quali quelli prestati da un medico specialista o dal farmacista che dispensa i farmaci prescritti dal medico curante.

Quali sono gli obblighi del medico? Informativa L’informativa dovrà essere particolarmente analitica nei casi che “presentano rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell’interessato” in particolare in caso di trattamenti effettuati (art. 78 comma 5) a) per scopi scientifici, anche di ricerca scientifica e di sperimentazione clinica controllata di medicinali, in conformità alle leggi e ai regolamenti; b) nell’ambito della teleassistenza o telemedicina; c) per fornire altri beni o servizi all’interessato attraverso una rete di comunicazione elettronica.

Quali sono gli obblighi del medico? Consenso Per trattare i dati personali il medico deve ottenere il consenso del paziente, anche se il trattamento è effettuato nell’interesse esclusivo della salute del paziente (art. 75). Il consenso al trattamento dei dati può essere manifestato con un'unica dichiarazione, anche oralmente. In tal caso il consenso è documentato, anziché con atto scritto dell’interessato, con annotazione del medico (art. 81). Quando il medico fornisce l’informativa per conto di più professionisti (non è per fortuna obbligatorio!) il consenso “è reso conoscibile ai medesimi professionisti con adeguate modalità”. Gli articoli del Codice Unico che riguardano la sanità si ritrovano nella Parte II Titolo V (Trattamento di dati personali in ambito sanitario) articoli da 75 a 94. La semplificazione è tutta qui: invece di un consenso scritto di suo pugno dal paziente, sarà il medico ad annotare il consenso! Il medico di famiglia, oltre alla raccolta del consenso per conto terzi, dovrà anche dare comunicazione di questo agli specialisti e/o al farmacista.

Quali sono gli obblighi del medico? Misure di sicurezza I dati personali sono custoditi e controllati in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale dei dati accesso non autorizzato trattamento non consentito o non conforme alla finalità della raccolta Vietato dunque lasciare ricette mediche nelle cassettine in sala d’attesa, cartelle cliniche e CD con i backup dell’archivio pazienti sulla scrivania! Gli articoli del Codice Unico che riguardano la sanità si ritrovano nella Parte II Titolo V (Trattamento di dati personali in ambito sanitario) articoli da 75 a 94.

Quali sono gli obblighi del medico? Adozione delle misure minime di sicurezza Secondo quanto previsto dal Disciplinare tecnico (Allegato B) Le prime 26 misure riguardano i trattamenti con strumenti elettronici (vi rientra la redazione del DPS). Le ultime 3 misure riguardano i trattamenti senza strumenti elettronici: chi tratta i dati solo su supporto cartaceo non è tenuto a redigere il DPS ma nomina, ove necessario, gli Incaricati e i Responsabili. Documento programmatico sulla sicurezza obbligatorio per chi tratta dati sensibili e giudiziari va compilato ogni anno entro il 31 marzo non va inviato al Garante ma custodito in studio Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige un documento programmatico sulla sicurezza contenente idonee informazioni riguardo: 19.1. l’elenco dei trattamenti di dati personali; 19.2. la distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati; 19.3. l’analisi dei rischi che incombono sui dati; 19.4. le misure da adottare per garantire l’integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità; 19.5. la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento; 19.6. la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati 19.8. per i dati personali idonei a rivelare lo stato di salute e la vita sessuale, l’individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell’interessato. Ulteriori misure in caso di trattamento di dati sensibili 20. I dati sensibili sono protetti contro l’accesso abusivo, di cui all’ art. 615-ter del codice penale, mediante l’utilizzo di idonei strumenti elettronici. 21. Sono impartite istruzioni organizzative e tecniche per la custodia e l’uso dei supporti rimovibili su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non consentiti. 22. I supporti rimovibili contenenti dati sensibili se non utilizzati sono distrutti o resi inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e tecnicamente in alcun modo ricostruibili. 23. Sono adottate idonee misure per garantire il ripristino dell’accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni. Illeciti penali

Come mettere in sicurezza il PC ai sensi del Codice della privacy? Rendere operativa la password di sistema Impostare la password in maniera alfanumerica, di lunghezza non inferiore agli otto caratteri (esempio: fimmgba,23). Non lasciare mai foglietti in vista recanti la password. Scegliere una password facile da memorizzare ma che non contenga il proprio nome o cognome.  Rendere operativa la password del programma gestionale che contiene i dati degli assistiti. Modificare le password ogni tre mesi secondo le modalità sopra indicate.       Lunghezza adeguata. Ogni carattere aggiunto alla password contribuisce ad aumentare la protezione. La password dovrebbe contenere un minimo di 8 caratteri; la lunghezza ideale è da 14 caratteri in su. Molti sistemi supportano anche l'uso di spazi nelle password ed è quindi possibile creare una frase composta da più parole (una "passphrase"). Una passphrase è più semplice da ricordare rispetto a una singola password e anche più lunga e quindi più difficile da indovinare. Combinazione di lettere, numeri e simboli. Più vari sono i caratteri utilizzati per la password, più difficile sarà indovinarla. È inoltre importante ricordare che: • Meno sono i tipi di caratteri utilizzati nella password, più è importante aumentarne la lunghezza. Una password di 15 caratteri composta solo da numeri e lettere è 33.000 volte più complessa rispetto a una password di 8 caratteri composta da caratteri disponibili sulla tastiera. Se non è possibile creare una password che contenga simboli, è necessario aumentarne la lunghezza per ottenere lo stesso livello di protezione. Una password ideale è lunga e contiene diversi tipi di simboli. • Utilizza l'intera tastiera, non solo i caratteri più comuni. I simboli inseriti tenendo premuto il tasto "MAIUSC" e digitando un numero sono molto comuni nelle password. La password sarà molto più efficace se si sceglierà tra tutti i simboli a disposizione sulla tastiera, inclusi i segni di punteggiatura presenti sulla riga superiore e i simboli caratteristici della propria lingua. Utilizza parole e frasi facili da ricordare per te, ma difficili da indovinare per gli altri. Il modo migliore per ricordare le proprie password e passphrase è annotarle. Al contrario di quanto si pensa comunemente, non c'è nulla di sbagliato nell'annotare le proprie password, purché siano conservate in un luogo sicuro. In genere, è più difficile mettere le password in pericolo scrivendole su Internet piuttosto che utilizzando password manager, un sito Web o altri strumenti di memorizzazione basati su software.

Come mettere in sicurezza il PC ai sensi del Codice della privacy? Aggiornare frequentemente il sistema operativo  preferibilmente in modalità automatica mediante “live update”. Dotare il PC di un firewall Il firewall è un software che identifica e blocca tentativi di intrusione nel sistema attraverso internet o collegamenti in rete. Dotare il PC di un software antivirus Eseguire un backup dei dati almeno settimanale da custodire in luogo sicuro. La Microsoft ha annunciato la fine dell’aggiornamento del suo sistema operativo Windows 98 nel luglio 2006: per tale motivo non può ritenersi in linea con le misure minime di sicurezza da adottare obbligatoriamente da coloro che trattano dati sensibili.

Quali sono gli obblighi del medico? Nomina dei responsabili e degli incaricati Possono prestare la propria opera professionale solo se hanno ottenuto la preventiva nomina scritta da parte del titolare del trattamento . Responsabile della sicurezza Ogni titolare del trattamento, se non delega espressamente un altro soggetto quale responsabile della sicurezza, è esso stesso considerato “responsabile” del trattamento (pur se non espressamente individuato come tale), in relazione alla particolare natura dei dati trattati ed ai conseguenti obblighi relativi alla sicurezza.

Quali sono gli obblighi del medico? Limiti alla comunicazione dei dati La comunicazione all’interessato (paziente) di dati sanitari può avvenire solo per il tramite di un medico o di altro personale sanitario che abbia rapporti diretti con il paziente e che sia stato designato dal titolare o dal responsabile del trattamento. Art. 84 Il medico curante potrà dare comunicazione ad altri soggetti di dati personali dei propri assistiti solo - per adempiere ad obblighi di Legge - per rispettare norme o regolamenti di tipo comunitario - su disposizione della Magistratura Art. 84 (Comunicazione di dati all’interessato) L’art. 84 riproduce l’art. 23, comma 2, della legge n. 675/1996 in base al quale i dati personali idonei a rivelare lo stato di salute possono essere resi noti all’interessato da parte di esercenti le professioni sanitarie ed organismi sanitari, solo per il tramite di un medico designato. Poiché la norma ha il chiaro intento di evitare al paziente di venire a conoscenza di notizie sul suo stato di salute da soggetti professionalmente non preposti a tale compito, che spesso è alquanto delicato, la norma è stata integrata prevedendo la sua inapplicabilità in riferimento ai dati personali già conosciuti dal medesimo interessato in quanto da lui forniti in precedenza. In ogni caso si prevede ulteriormente che possa essere espressamente incaricato a tale scopo anche altro personale sanitario che abbia rapporti diretti con il paziente.

La tutela dei dati personali in Ospedale Provvedimento del Garante del 9/11/2005 Tutela della dignità Chiamate in sala d’attesa Riservatezza nei colloqui Liste di pazienti Distanze di cortesia Informazioni stato di salute Notizie su reparti e PS Ritiro delle analisi Il problema della prescrizione dei medicinali in Ospedale Altre misure per il rispetto dei diritti degli interessati (art. 83) - La legge 138/2004 esonera solo i MMG - Il medico è tenuto ad adottare, in caso di prestazioni sanitarie che comportino un periodo di attesa , soluzioni volte a rispettare “un ordine di precedenza e di chiamata degli interessati prescindendo dalla loro individuazione nominativa”. Medicinali a carico del SSN (art. 87) - Articolo in vigore dal gennaio 2005 - Sulle ricette di farmaci a carico del SSN le generalità e l’indirizzo del paziente dovranno essere coperti da un tagliando di carta o da una fascetta adesiva che potranno essere rimossi : - dal farmacista (solo momentaneamente e con annotazione scritta !) solo quando ritenuto indispensabile per il controllo della correttezza della prescrizione, - dagli organi amministrativi delle ASL per la verifica delle prescrizioni , - dai soggetti legittimati a svolgere indagini epidemiologiche e di ricerca. Solo per i MMG la Legge 138/04 subordina l'obbligo della peccetta alla "esplicita richiesta" del paziente ! Medicinali non a carico del SSN (art. 88) - Ricette anonime solo a richiesta del paziente - Il medico non potrà indicare le generalità del paziente salvo casi eccezionali in cui il medico giudicherà indispensabile risalire all’identità del paziente ma solo in relazione a “particolari condizioni dell’interessato” o a “speciali modalità di preparazione o di utilizzazione” del farmaco. Il paziente correrà il rischio di assumere farmaci prescritti ad altre persone e non potrà dedurre fiscalmente la spesa sopportata per i farmaci di classe C. Solo per i MMG la Legge 138/04 subordina l'anonimato della ricetta alla "esplicita richiesta" del paziente !

dell'assistenza primaria Problemi in relazione alla tutela dei dati Le forme associative dell'assistenza primaria   Problemi in relazione alla tutela dei dati • medicina in rete • medicina di gruppo • UMG Dalle carte sanitarie al fascicolo elettronico

Le sanzioni della privacy

SANZIONI Art. 161 Omessa o inidonea informativa per trattamenti che contengono dati sensibili Sanzione amministrativa pecuniaria da € 5.000 a € 30.000 . La somma può essere aumentata sino al triplo quando risulta inefficace, in ragione delle condizioni economiche dei contrav- ventori. Può essere applicata anche la sanzione amministrativa accessoria della pubblicazione dell'ordinanza - ingiunzione, per intero o per estratto, in uno o più giornali indicati nel provvedimento del Garante che la applica.

Trattamento di dati senza il prescritto consenso SANZIONI Art. 167 Trattamento di dati senza il prescritto consenso Reclusione da 6 a 18 mesi se dal fatto deriva un danno. Reclusione da 6 a 24 mesi se il trattamento è effettuato in violazione delle regole sulla comunicazione e sulla diffusione di dati.

Omessa adozione delle misure di sicurezza SANZIONI Art. 169 Omessa adozione delle misure di sicurezza Costituisce illecito penale anche se non si determina un danno per gli interessati! Arresto sino a 2 anni o ammenda da € 10.000 a € 50.000. All'autore del reato è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario (non superiore a 6 mesi). L'adempimento e il pagamento estinguono il reato.

SANZIONI Art. 162 Violazione delle prescrizioni in ordine alla comunicazione di dati in ambito sanitario Sanzione amministrativa pecuniaria da € 500 a € 3.000 nel caso in cui i dati personali, idonei a rivelare lo stato di salute, siano resi noti all'interessato, da parte degli esercenti le professioni sanitarie ed organismi sanitari, tramite persona diversa dal medico designato dall'interessato o dal titolare. Può essere applicata anche la sanzione amministrativa accessoria della pubblicazione dell'ordinanza - ingiunzione, per intero o per estratto, in uno o più giornali indicati nel provvedimento del Garante che la applica.

Spero di non avervi ……

stancato: grazie per l’attenzione! Spero di non avervi …… stancato: grazie per l’attenzione!