Diritto alla portabilità dei dati e GDPR, di cosa si tratta? La nuova normativa sulla privacy entrata in vigore nella fine del mese di maggio del 2018, il tanto discusso GDPR, all’articolo 20 parla del diritto del cittadino ad avere pieno accesso ai dati, i quali dovranno essere “in un formato strutturato, di uso comune e leggibile da dispositivo automatico”. (altro…)
GDPR e Medici di Famiglia: cosa cambia? Con l’entrata in vigore del GDPR molte questioni riguardanti i trattamento dei dati personali e sanitari da parte del Medico di Famiglia restano da chiarire: qual è l’informativa per l’acquisizione del consenso? I medici di famiglia sono obbligati a nominare il DPO?
In questo articolo cerchiamo brevemente di rispondere a queste domande ed evidenziare i nodi irrisolti dalla nuova normativa sulla protezione dei dati.
La sanità è uno dei settori maggiormente coinvolti nel processo di responsabilizzazione al trattamento dei dati personali. Il settore sanitario per sua natura tratta dati sensibili degli individui, ancor di più il Medico di Famiglia che stabilisce relazioni con i pazienti, concentrate sul passaggio di informazioni e dati direttamente fornita dall’assistito.
Dato per assodato l’obbligo da parte di ogni medico di rispettare il “segreto professionale” la questione privacy è più delicata quando rivolta all’uso, ormai consolidato, dei sistemi informatici e le sue molteplici applicazioni, in grado di archiviare, gestire, manutenere, corrispondere dati personali e sanitari, con grande efficacia.
Il medico di famiglia, il primo collettore della raccolta di dati sensibili, accumulati nel tempo sulla base di relazioni quasi sempre ultradecennali, quindi cosa cambia con il GDPR e Medici di Famiglia.
Il GDPR da parte sua prevede l’obbligo di procedere ad una valutazione di impatto sulla sicurezza dei dati nella propria attività e di tenere un registro delle operazioni di trattamento, che deve essere disponibile per eventuali supervisioni da parte del Garante, ma anche per avere un quadro aggiornato delle misure adottate.
Leggi anche: La tutela della privacy dei pazienti, cosa prevede il GDPR?
Il GDPR concentra maggiormente l’attenzione sull’informativa e sull’acquisizione del consenso al trattamento dei dati.
L’informativa deve specificare la base giuridica del trattamento, qual è il suo interesse legittimo, i soggetti che condividono queste informazioni e le modalità con cui i dati vengono gestiti, conservati e per quanto tempo è previsto che questo debba avvenire. L’informativa deve essere concisa, trasparente, intellegibile per l’interessato e facilmente accessibile; può essere fornita per iscritto o in formato elettronico.
Alla luce della mancata pubblicazione del decreto attuativo del Regolamento e la conseguente mancata abrogazione del Codice in materia di protezione dei dati personali del 30 giugno 2003, subentrano le prime difficoltà interpretative. Non è prescritto infatti che il consenso debba necessariamente essere documentato per iscritto, anche se è precisato che deve essere “esplicito” e “inequivocabile”. In quest’ultimo viene infatti prevista una modalità semplificata per acquisire il consenso da parte del medico di medicina generale e pediatra di libera scelta, attraverso la sua registrazione con una biffatura su un campo elettronico della cartella sanitaria del paziente.
Un approccio “realistico” alla questione, è stata offerta sulla base del nuovo GDPR, prendendo in considerazione il fatto che il paziente nel momento in cui si riferisce al medico è scontato che debba condividere con lo stesso dati sensibili e il consenso al loro trattamento apparterrebbe implicitamente alla particolare tipologia della relazione.
Resta però in sospeso però se anche per il MMG può essere esteso lo stesso principio, alla luce del fatto però che lo stesso medico, nella sua attività, è tenuto all’invio di tanti dati sensibili ad altri soggetti: come accade per l’invio di ricette dematerializzate, su server remoti.
Il Medico di Famiglia alla luce di quanto detto dovrebbe quindi fidarsi (come fin ora è stato) che tutti i sistemi di cui è dotato per il trasferimento dei dati (i software di cartella ambulatoriale, i vari portali online dei diversi istituti di tutela e così via), agiscano secondo norma, collocando queste informazioni “cristallizzate” nel loro formato elettronico dal processo di autenticazione (spesso debole in quanto basato sull’utilizzo di una semplice user e password) del medico, sugli effettivi repository di destinazione.
In altri termini, il medico dovrebbe quindi richiedere il consenso (che sinora non ha avuto) al paziente per inviare i suoi dati in percorsi che non conosce e di cui non è in grado di garantire completamente la liceità; inconsapevole, inoltre, di come dovrebbe comportarsi con i paziente che non desiderano non autorizza l’invio di una propria ricetta/diagnosi a Sogei del MEF.
Altro aspetto con nodi non ancora sciolti è quello relativo alla designazione del DPO (Data Protection Officier), la figura professionale designata a svolgere un ruolo di referente della protezione dei dati. Diverso dal ruole del Responsabile del trattamento dei dati.
I MMG (quelli che operano in forme aggregative che oramai rappresentano la grande maggioranza della professione) sono tenuti a dotarsi di questa figura?
Il dubbio nasce dal concetto, non del tutto chiaro e aleatorio, basato sul concetto del trattamento di dati in “larga scala”, quale requisito d’obbligatorietà o meno di disposizione del DPO.
Il pensionamento del medico rende inevitabile la cessione ad altro medico del database ambulatoriale, pieno di dati clinico-assistenziali che, quando privi di una policy definita, difficilmente potranno essere riutilizzati.
Non esistendo procedure per gestire il database del medico che lascia l’attività, la perdita, per l’assistito, di dati che riguardano le storie sanitarie di una vita è definitiva.
Le soluzioni estemporanee che vengono “normalmente” adottate, anche se sono efficaci per gestire “al meglio” una situazione non altrimenti normata, sono applicate in deroga palese a qualsiasi regola e principio.
Sono tutti aspetti appartenenti alla specificità della professione, che non vengono affrontati nel GDPR e che lo stesso GDPR, pertanto, non risolve. Dovranno essere presi in considerazione attraverso riflessioni dapprima condotte nello stesso ambito professionale, in modo tale da produrre, proprio su questi temi, un codice di condotta. D’altronde è il Garante che individua nel codice di condotta, previsto tra l’altro dal nuovo Regolamento, uno strumento attraverso cui tutti i soggetti che fanno parte di un unico contesto di trattamento, come il settore sanitario, possono definire dal basso delle regole per far sì che tutto ciò che viene fatto sia conforme alle previsioni del Regolamento. Le autorità di protezione dei dati hanno il ruolo di incoraggiarne l’adozione, valutare le proposte che provengono dalle associazioni coinvolte e, qualora giudicate congrue con la cornice regolatoria del GDPR, approvarle e promuoverle. (GDPR e Medici di Famiglia)
Tutela della privacy: Le diverse categorie di pazienti delle strutture sanitarie “meritano una maggiore protezione” per ciò che riguarda il trattamento dei dati sensibili e nel rispetto della loro tutela della privacy. A stabilirlo è la normativa europea sulla protezione della privacy – l’ormai nota GDPR – che ribadisce che “i dati personali di questi soggetti meritano una maggiore protezione” e dovrebbero essere trattati “soltanto per finalità connesse alla salute”. (altro…)
Società di Internet e GDPR: Le major ancora non si adeguano
Le grandi società ancora non si sono adeguate in maniera sufficiente alla GDPR. A rivelarlo, a poco più di un mese di distanza dall’approvazione della normativa europea sulla privacy, è uno studio della Beuc (associazione europea per la tutela dei consumatori). (altro…)
Nasce una piattaforma per la protezione dei dati personali. Si tratta di un progetto, denominato PoSeID, che porta la firma del ministero dell’Economia e a cui ha partecipato un consorzio di 10 partner composto da soggetti pubblici e privati provenienti da sette diversi Paesi dell’area Euro. (altro…)
Responsabile del trattamento dei dati
Con l’effettiva entrata in vigore del Regolamento EU sulla Protezione dei Dati Personali (in seguito GDPR 2016/679.) si è assistito all’entrata in scena di nuove figure che, insieme al titolare dei dati (comunemente rappresentati dal titolare dell’attività, amministratore o rappresentante legale) formano le figure predisposte al trattamento dei dati personali.
Tra tali figure il primo ad essere nominato è quello del responsabile del trattamento, con i relativi oneri e doveri.
Il responsabile del trattamento, sia esso una persona fisica, giuridica o autorità pubblica, è l’organismo che tratta i dati personali per conto del titolare del trattamento. Come indicato nell’art. 4 del GDPR 2016/679.
Questa figura, con l’entrata in vigore del nuovo Regolamento EU sulla Protezione dei Dati, assume connotazioni para-professionali. L’individuazione di tale figura, da parte del titolare del trattamento, deve essere condotta tenendo conto delle competenze necessarie a garantire la tutela dei diritti dell’interessato nel rispetto del Regolamento.
Con il nuovo regolamento generale europeo, all’art. 28, la nomina deve avvenire tramite contratto o altro “atto giuridico a norma del diritto dell’Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento“.
Il responsabile dei dati ha autorizzazione a sua volta a nominare un responsabile di secondo livello, salvo approvazione del titolare del trattamento, anche in questo caso il titolare ha l’onere sulla gestione svolta da parte del responsabile. Il responsabile diventerà automaticamente titolare dei dati nel momento in cui, illecitamente, ecceda i limiti fissati nell’accordo con il titolare.
In Italia viene ammessa la nomina di un responsabile interno all’azienda. Nel caso in cui la nomina sia rivolta a soggetti esterni, essi possono essere individuati tra professionisti quali commercialisti, medici del lavoro 81/08, aziende per il DVR, avvocati ecc. In questi casi il termine idoneo sarà “titolare autonomo del trattamento dei dati”, in quanto realtà indipendenti non riceventi istruzioni da parte del titolare.
Il responsabile ottempera ad obblighi sanciti per legge. Tali obblighi sono relativi a responsabilità sulla:
Logica Servizi offre servizi integrati atti a fornirti una consulenza privacy aggiornata al nuovo Regolamento Europeo sulla protezione dei Dati (GDPR), puoi richiedere online un preventivo compilando il form sulla pagina dedicata al GDPR o, in alternativa, contattandoci ai nostri recapiti.
Logica Servizi
Via degli Ontani 34 – 00172 Roma
Tel: 06. 45431710
Indirizzo email: info@logicaservizi.eu
Adempimenti privacy 2019 – Dal 25 Maggio 2018, il Regolamento generale europeo 2016/679 riguardante la “protezione dei dati”, emanato nel Maggio 2016, va definitivamente a sostituire le precedenti norme nazionali inerenti l’argomento “privacy” (termine che ora andrà sostituito con la dicitura “protezione dei dati”). Scopo primario del regolamento è quello di incoraggiare un responsabile utilizzo dei dati personali acquisiti.
La normativa europea infatti prevede che si espliciti in maniera dettagliata e comprensibile le finalità dell’utilizzo dei dati, i responsabili del trattamento (DPO) e la durata di conservazione degli stessi, per citare i punti fondamentali del Regolamento (UE) 2016/679. Con relative eccezioni, che a breve illustreremo.
Per dati personali si intende tutto ciò che aiuti ad identificare il nome della persona quindi, oltre i dati personali indicativi:
il riferimento è anche ad altri dati, definiti “sensibili”, quali:
I primi e fondamentali, validi per tutte le realtà coinvolte, sono naturalmente l’adeguamento delle informative privacy (ora protezione dati), presentate alla persona in caso di contatto diretto o nella pagina policy privacy del proprio sito web ( informativa sul trattamento dei dati personali), su questo ultimo punto gli interventi da svolgere sono per esempio anche di carattere tecnico, in quanto per la normativa devono essere messi in pratica procedimenti riguardanti i “cookie” del sito ed altri sistemi di conservazione e anonimizzazione dei dati, nei casi di profilazione e raccolta di dati personali degli utenti.
Il DPO (Data Protection Officier) è il professionista in possesso di specifiche competenze in ambito della protezione dati.
Viene designato dal titolare del trattamento nelle seguenti circostanze:
In tutti gli altri casi è facoltà dei titolari del trattamento, nonché di loro associazioni o altri organismi che li rappresentano, designare il responsabile della protezione dati.
Il DPO può essere nominato come ente interno ed esterno all’attività e deve essere comunicato al Garante della Privacy entro 48 ore dalla nomina.
Come spesso accade nel nostro Paese ci si è attivati a ridosso della scadenza, 25 maggio 2018, nonostante la norma sia stata emanata dal 2016. Questo comportamento ha naturalmente provocato confusione e dubbi. La normativa generale europea infatti ha lasciato dei margini di indipendenza agli Stati membri, che con specifico decreto avevano la possibilità di emanare linee guida e regolamenti attuativi.
GDPR: Il tanto atteso Decreto sulla privacy è stato pubblicato sulla Gazzetta Ufficiale
Vuoi adeguarti al Regolamento (UE) 2016/679? Contattaci dal seguente form
[ninja_form id=2]
