Privacy, protezione dati personali e sanità

Il termine “privacy” deriva dal lessico inglese e il suo significato coincide con quello italiano di “riservatezza”. Esso, dunque, in termini giuridici, è il diritto alla riservatezza della vita privata dell’individuo. 

Il concetto di “privacy” oggi fa parte del linguaggio comune, grazie ad un’acquisita maggiore consapevolezza di ogni individuo dei propri diritti, ma spesso è confuso con il concetto di “protezione dei dati personali” o addirittura utilizzato come sinonimo di questo. Questi concetti sono strettamente interconnessi, è vero, ma non devono essere confusi. Quando parliamo di “privacy” si fa riferimento al diritto al rispetto della propria sfera personale. Essa riguarda la riservatezza delle informazioni personali e della propria vita privata e costituisce un principio mediante il quale tutelare la sfera intima del singolo individuo, escludendone l’intromissione di terzi. Il diritto alla protezione dei dati personali, invece, estende la tutela dell’individuo oltre la sfera della vita privata e in particolare nelle relazioni sociali, garantendo così l’autodeterminazione decisionale e il controllo sulla circolazione dei propri dati. 

In materia di protezione dei dati personali, è utile sapere che la prima normativa italiana organica sul trattamento dei dati personali è la legge 31 dicembre 1996, n. 675, con la quale si dava attuazione alla direttiva 95/46/CE (il primo provvedimento di matrice europea contenente una normativa precisa e strutturata sul trattamento dei dati personali). Il successivo decreto legislativo n. 196 del 30 giugno 2003 “Codice in materia di protezione dei dati personali” raccoglieva invece le indicazioni e le direttive europee intercorse dal 1996 fino al 2003. Il Codice Privacy, infine, veniva modificato dal decreto legislativo 10 agosto 2018, n. 101 per essere adeguato alle disposizioni del GDPR 2016/679; ciò ha comportato l’abrogazione o la modifica di molte disposizioni, tra le quali anche quelle contenute nel titolo V della Parte II, interamente dedicato al trattamento di dati personali in ambito sanitario. 

Ma cosa è un “dato personale”? 

L’art. 4 del Regolamento UE n.679 del 2016 (G.D.P.R., acronimo di General Data Protection Regulation) lo definisce “qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale”. 

Costituiscono esempi di dati personali il nome e il cognome, l’indirizzo di casa, il numero della carta d’identità, un ID cookie, i dati sull’ubicazione di un individuo, etc. 

I dati personali sono quotidianamente oggetto di trattamento mediante azioni o attività che possono riguardare le informazioni private degli individui.

Ma come si “tratta” un dato personale?

Per trattamento si intende, ai sensi dello stesso art. 4 “qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione.

Dalla semplice lettura dell’articolo 4 è evidente che ci si trovi dinanzi ad una definizione talmente ampia da abbracciare tutti i momenti e le fasi in cui si “usa” un dato personale. Ciò significa che ogni “uso” del dato costituisce un trattamento ed in tutti i momenti si deve offrire la maggior tutela possibile a colui il quale il dato si riferisce («interessato»).

Il trattamento di un dato personale può avvenire mediante un documento scritto, cartaceo o informatico (documenti, cartelle cliniche, …) ma anche oralmente o visivamente: si pensi al racconto fatto ad un amico o una telefonata a soggetti non legittimati a conoscerne l’oggetto, all’annotazione dei dati in un foglietto attaccato al nostro monitor in ufficio e visibile a terzi etc…

È fondamentale fare sempre attenzione al modo in cui trattiamo i dati, nella specie dei pazienti, in ossequio al “rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali” (art. 2 G.D.P.R.).

Ma i dati personali sono sottoposti a tutele differenti in ragione della loro importanza. Il Considerando 51 afferma che “meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali”.

Per completezza espositiva si chiarisce che i “Considerando” del GDPR sono importanti indicazioni la cui lettura integrata a quella degli articoli consente di comprendere meglio il testo del Regolamento.

Tali dati particolarmente sensibili hanno ad aggetto informazioni oltremodo delicate e costituiscono un sottogruppo dei dati personali. L’articolo 9 del GDPR, definisce “categorie particolari di dati personali” quei dati che “rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona”.

Il trattamento di tali categorie particolari di dati personali (comunemente definiti “dati sensibili”) è vietato ai sensi dell’art. 9 del G.D.P.R. 

A tal riguardo l’art. 4 dello stesso Regolamento chiarisce cosa si intenda per “dati genetici” e “dati relativi alla salute”, definendo i primi come “i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica, e che risultano in particolare dall’analisi di un campione biologico della persona fisica in questione” e i secondi come “i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute”.

“Nei dati personali relativi alla salute dovrebbero rientrare tutti i dati riguardanti lo stato di salute dell’interessato che rivelino informazioni connesse allo stato di salute fisica o mentale passata, presente o futura dello stesso. Tra esse assumono importanza rilevante anche le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i dati genetici e i campioni biologici e (inoltre) qualsiasi informazione riguardante, ad esempio, una malattia, una disabilità, il rischio di malattie, l’anamnesi medica, i trattamenti clinici o lo stato fisiologico o biomedico dell’interessato, indipendentemente dalla fonte, quale, ad esempio, un medico o altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro” (Considerando 35 G.D.P.R.).

In presenza di dati “sanitari”, le norme che devono essere applicate non sono solo quelle “genericamente” relative ai dati sensibili, ma quelle specifiche contenute nel Titolo V della Parte Seconda, artt. 75 e seguenti del Codice. 

L’art. 75 del Codice della Privacy, nella sua nuova formulazione, sancisce che “il trattamento dei dati personali effettuato per finalità di tutela della salute e incolumità fisica dell’interessato o di terzi o della collettività deve essere effettuato ai sensi dell’articolo 9, paragrafi 2, lettere h) ed i), e 3 del regolamento, dell’articolo 2-septies del codice, nonché nel rispetto delle specifiche disposizioni di settore”. 

L’art. 9 del GDPR, paragrafo 2, lett. h) riguarda la finalità di cura, cioè il caso in cui il trattamento è necessario per “finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati membri o conformemente al contratto con un professionista della sanità”. Sono fatte salve le condizioni e le garanzie di cui al paragrafo 3, il quale ammette che il dato possa essere trattato da o sotto la responsabilità di un professionista soggetto al segreto professionale (conformemente al diritto dell’Unione o degli Stati Membri o alle norme stabilite dagli organismi nazionali competenti) o da altra persona anch’essa soggetta all’obbligo di segretezza (paragrafo 3, art. 9 G.D.P.R.).

A tal proposito, è rilevante la puntualizzazione del Garante, secondo cui il professionista sanitario, soggetto al segreto professionale, non deve più richiedere il consenso del paziente per i trattamenti necessari al perseguimento delle specifiche “finalità di cura”, (a prescindere dalla circostanza che operi in qualità di libero professionista o di dipendente all’interno di una struttura sanitaria pubblica o privata), con la conseguenza che il consenso è divenuto una base giuridica residuale. Ovviamente, laddove i trattamenti di dati relativi alla salute non siano strettamente necessari per la finalità di cura di cui alla lett. h) dell’art. 9, par. 2, anche se effettuati da professionisti della sanità, il titolare dovrà individuare un’altra base giuridica o eventualmente il consenso dell’interessato.

La lett. i) riguarda il caso in cui il trattamento sia necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale.

Prima di procedere al trattamento dei dati, gli organismi sanitari pubblici e privati e gli esercenti le professioni sanitarie devono fornire al paziente un’adeguata e chiara informativa sul trattamento dei dati personali che lo riguardano ed acquisire il consenso al loro uso. L’informativa è una dichiarazione scritta, che deve essere redatta con linguaggio semplice in forma concisa, trasparente, intellegibile e facilmente accessibile. Essa costituisce un adempimento obbligatorio e va consegnata ad ogni singolo paziente (potrebbe anche essere affissa – ma non sarebbe da sola sufficiente – nella sala d’attesa dello studio allo scopo di renderla conoscibile alla generalità degli utenti presenti nello studio). 

Secondo quanto stabilito dal G.D.P.R., l’informativa deve contenere alcuni elementi essenziali: dati di contatto del Titolare del trattamento dei dati, dati di contatto del Responsabile del trattamento dei dati e del Responsabile della protezione dei dati – DPO (se presenti), finalità del trattamento, modalità di trattamento dei dati e tempo di conservazione dei dati, soggetti a cui i dati vengono comunicati, trasferimento all’estero dei dati e diritti riconosciuti all’interessato.

Dopo aver adempiuto all’obbligo di informativa, il medico o l’esercente la professione sanitaria dovrà valutare se, per l’attività che svolge e il trattamento dei dati che compie, sia necessario acquisire il consenso del paziente. 

Il consenso al trattamento dei propri dati, di regola, viene prestato dal paziente maggiorenne, capace di intendere e di volere. Se il paziente, invece, è minorenne o non è capace di intendere e di volere, allora il consenso deve essere dato rispettivamente dai genitori (anche disgiuntamente) o da chi esercita la potestà genitoriale o dal tutore.

Tuttavia, qualora il paziente, che debba essere sottoposto a cure, si trovi nelle condizioni di non poter prestare il suo consenso per impossibilità fisica o incapacità di agire o di intendere e di volere del paziente, lo stesso potrà essere espresso, se ne è in grado, dal paziente stesso, successivamente alla prestazione sanitaria ricevuta, o da un terzo (ad esempio un familiare, un convivente, un responsabile della struttura presso cui dimora).

In tema di trattamento dei dati relativi allo stato di salute del paziente, il medico ha la possibilità di informare altri soggetti sul suo stato di salute, sempre che il paziente abbia preventivamente indicato il soggetto al quale desidera che siano fornite tali informazioni.

Qualora, poi, un soggetto venga portato al pronto soccorso o ricoverato in una struttura ospedaliera, quest’ultima può fornire informazioni, anche per telefono, sulla presenza di una persona al pronto soccorso o sui degenti presenti nei reparti solo ai terzi legittimati (parenti, familiari, conviventi, conoscenti, personale volontario), salvo che il paziente non abbia manifestato la volontà di non rendere note neppure ai terzi legittimati la sua presenza nella struttura sanitaria o le informazioni sulle sue condizioni di salute.

Nell’ipotesi, invece, di referti diagnostici, cartelle cliniche, risultati di analisi cliniche e di certificati rilasciati dagli organismi sanitari, questi possono essere consegnati in busta chiusa anche a persone diverse dall’interessato, purché munite di delega scritta.

E se si trattasse della cartella clinica di un defunto? In questa ipotesi l’accesso ai dati personali è consentito a coloro che abbiano un interesse proprio o agisca a tutela della persona deceduta o per ragioni familiari meritevoli di protezione.

Il problema di tutelare il paziente da ogni possibilità di divulgazione dei propri dati (personali, ma soprattutto sensibili) si manifesta persino nelle sale d’attesa o in quei luoghi nei quali la vicinanza con soggetti terzi è inevitabile. 

Ad esempio, sarebbe buona pratica degli studi medici privati e dei medici specialisti o di base chiamare i pazienti per nome (senza il cognome) o scandire gli orari degli appuntamenti dei pazienti, per evitare che si creino situazioni di promiscuità con altri pazienti derivanti dall’organizzazione dello spazio dei locali o dalle modalità utilizzate. Nei locali di grandi strutture sanitarie i nomi dei pazienti in attesa di una prestazione o di documentazione non devono essere divulgati ad alta voce, ma bisognerebbe adottare soluzioni alternative, come, ad esempio, attribuire un codice alfanumerico al momento della prenotazione o dell’accettazione. 

È utile rispettare anche la c.d. distanza di cortesia, al fine di garantire la riservatezza dei colloqui soprattutto presso gli sportelli di ospedali o delle farmacie (spazi garantiti mediante la classica linea che separa i pazienti in attesa). Ancor di più, nei locali aperti al pubblico, deve essere assolutamente esclusa l’affissione delle liste di pazienti in attesa di intervento, con o senza la descrizione della patologia sofferta né devono essere resi visibili ad estranei documenti che descrivono le condizioni cliniche del malato (es. le cartelle infermieristiche non devono essere poste vicino al letto di degenza dei pazienti; si avalla l’utilizzo di paraventi o simili nei reparti di rianimazione, volti a precludere la visibilità del malato a soggetti diversi dai familiari e dai conoscenti). Il Garante, inoltre, ha prescritto accorgimenti per garantire la riservatezza dei pazienti sia durante l’orario di visita, sia al momento della prescrizione di ricette mediche o del rilascio di certificati. 

Tutto ciò per il preciso obiettivo di garantire che le informazioni sulla salute di un individuo rimangano sconosciute a soggetti non autorizzati.

Ovviamente, è assolutamente vietato pubblicare sul web l’elenco dei degenti di un ospedale e i dati relativi al loro stato di salute o caricare foto o altre informazioni relative a degenti sulle proprie pagine di social network o, ancora, la pubblica amministrazione deve evitare di pubblicare oltre alla lista dei beneficiari di contributi o di altre agevolazioni anche ulteriori informazioni delicate, quali il tipo di patologia associata al singolo individuo.

I momenti e le ipotesi nelle quali si ha a che fare con la tutela dei pazienti in tema di privacy e trattamento dei loro dati sono innumerevoli. La loro violazione (data breach) può consistere in una serie di fatti illeciti come il furto, la perdita, l’alterazione, la manipolazione di dati cartacei o informatici, etc. Non sarebbe possibile elencare in questa sede ogni tipologia di violazione, ma alla base c’è l’obbligo morale, oltre che giuridico, di garantire la libertà personale come diritto fondamentale contro ogni controllo illegittimo ed ingerenza altrui.