Trattamento dati in ambito sanitario: un tema cruciale per il futuro della salute

Negli ultimi anni, la gestione dei dati in ambito sanitario è diventata un tema centrale e di primaria importanza, soprattutto alla luce delle nuove sfide globali legate alla salute. Dalla protezione della privacy dei pazienti fino all’uso dei dati per la ricerca scientifica, il trattamento dei dati sanitari è regolato da normative stringenti che ne definiscono i confini e le modalità di utilizzo.

I dati sanitari: cosa sono e come vengono trattati

I dati sanitari costituiscono una categoria speciale di dati personali, ritenuti particolarmente sensibili per via della loro capacità di rivelare lo stato di salute fisica o mentale di una persona. Secondo l’articolo 9 del Regolamento Generale sulla Protezione dei Dati (GDPR – Regolamento UE 2016/679), i dati sanitari fanno parte di una più ampia classe di “dati particolari”, che include informazioni come opinioni politiche, convinzioni religiose, origine razziale o etnica, dati genetici e biometrici. Questi dati richiedono un trattamento conforme a specifiche tutele e normative stringenti, in quanto il loro uso improprio potrebbe causare danni irreparabili alla privacy e alla dignità dell’interessato.

Nel contesto sanitario, il trattamento dei dati personali si rende necessario per perseguire due principali finalità:

1. Trattamento per la cura del paziente

Questa tipologia di trattamento include tutte le attività connesse alla diagnosi, alla terapia e all’assistenza medica che vengono svolte a beneficio del paziente. È fondamentale per il funzionamento quotidiano delle strutture sanitarie e permette di fornire prestazioni personalizzate e adeguate alle necessità cliniche del singolo individuo. In questo caso, i dati trattati possono riguardare anamnesi, referti diagnostici, terapie somministrate, fino ad arrivare alla gestione amministrativa, come la prenotazione di visite o la gestione delle dimissioni ospedaliere.

2. Trattamento per la ricerca scientifica

Il trattamento dei dati sanitari a fini di ricerca scientifica è essenziale per il progresso della medicina, soprattutto in settori come le sperimentazioni cliniche, la medicina preventiva e la sanità pubblica. Attraverso l’analisi di grandi quantità di dati sanitari, i ricercatori possono identificare nuovi trend, testare farmaci e terapie, sviluppare trattamenti innovativi e migliorare le strategie di prevenzione delle malattie. Tuttavia, il trattamento per finalità scientifiche impone obblighi particolari, tra cui la minimizzazione dei dati, la pseudonimizzazione o anonimizzazione delle informazioni, e il rispetto delle normative nazionali e internazionali che regolano l’uso dei dati per la ricerca.

Le basi giuridiche per il trattamento dei dati sanitari

Il trattamento dei dati sanitari richiede sempre una base giuridica solida, definita dal GDPR, per garantire la legittimità e la trasparenza delle operazioni. In passato, il consenso esplicito del paziente era ritenuto la principale base legale per il trattamento di tali dati. Tuttavia, con l’entrata in vigore del GDPR e i successivi chiarimenti forniti dal Garante per la Privacy nel 2019, è emerso che il consenso non è sempre necessario, soprattutto in ambito sanitario.

Per la cura del paziente, il trattamento può essere effettuato senza il consenso dell’interessato, purché sia realizzato da un professionista sanitario soggetto al segreto professionale o sotto la sua responsabilità. Questo approccio si fonda su un’eccezione prevista dal GDPR: quando il trattamento è necessario per proteggere interessi vitali dell’interessato o per motivi di interesse pubblico rilevante, è possibile operare senza consenso. L’articolo 9, paragrafo 2, lettera h del GDPR, specifica infatti che i dati sanitari possono essere trattati per finalità legate alla medicina preventiva, diagnosi, prestazione di cure o trattamenti sanitari o gestione dei servizi sanitari.

Per quanto riguarda la ricerca scientifica, il consenso rimane una base giuridica predominante, ma non esclusiva. Esistono altri fondamenti legali che possono giustificare il trattamento dei dati per finalità di ricerca, come la necessità di svolgere un compito di interesse pubblico o l’esecuzione di un’attività svolta nell’interesse pubblico, in particolare in contesti emergenziali come le pandemie. In situazioni come queste, si applicano deroghe che permettono il trattamento anche senza consenso, purché siano implementate adeguate misure di sicurezza e protezione dei dati, come indicato dall’articolo 9, paragrafo 2, lettera i del GDPR, che fa riferimento a motivi di interesse pubblico nel settore della sanità pubblica.

Consenso e altre basi legali

L’uso del consenso per il trattamento dei dati sanitari, in particolare nel contesto della ricerca scientifica, richiede attenzione. Sebbene rimanga una base legale importante, il consenso non è sempre facile da ottenere, specialmente in studi clinici complessi o su larga scala. È per questo motivo che il GDPR introduce altre basi giuridiche che possono essere utilizzate, come il legittimo interesse (articolo 6, paragrafo 1, lettera f), a patto che sia bilanciato con i diritti e le libertà degli interessati.

Finalità di trattamento e normative applicabili

Il trattamento dei dati sanitari si articola su due principali finalità: la diagnosi e cura e la ricerca scientifica. Entrambe queste aree richiedono l’adozione di specifiche misure di protezione dei dati e un’attenta applicazione delle basi giuridiche previste dalla normativa vigente, in particolare il GDPR.

Diagnosi e cura del paziente

Per quanto riguarda la diagnosi e la cura del paziente, il trattamento dei dati sanitari può essere effettuato senza il consenso esplicito dell’interessato. Questo principio si fonda sull’articolo 9, paragrafo 2, lettera h del GDPR, che consente il trattamento di dati particolari, come quelli sanitari, quando è necessario per fornire assistenza medica e sanitaria da parte di un professionista soggetto al segreto professionale. Il trattamento dei dati per finalità di diagnosi, terapia e gestione dell’assistenza sanitaria è dunque considerato essenziale per il buon funzionamento del sistema sanitario e per la tutela della salute pubblica.

Un chiarimento importante su questo tema è stato fornito dal Garante per la protezione dei dati personali nel marzo 2019. In precedenza, il consenso era considerato obbligatorio per ogni trattamento, anche per la cura del paziente. Tuttavia, con il nuovo quadro normativo, è stato stabilito che, quando il trattamento dei dati è svolto da un operatore sanitario o sotto la sua supervisione, non è più necessario raccogliere il consenso del paziente, proprio perché rientra nelle finalità di interesse pubblico rilevante.

Ad esempio, in contesti di assistenza quotidiana, come la gestione delle cartelle cliniche, l’erogazione di farmaci, o le operazioni chirurgiche, il trattamento dei dati è strettamente legato all’esecuzione di prestazioni sanitarie che tutelano la vita e il benessere del paziente. In questi casi, richiedere il consenso esplicito potrebbe addirittura ostacolare l’efficienza del sistema sanitario.

Ricerca scientifica

La ricerca scientifica rappresenta una delle finalità più delicate e complesse nel trattamento dei dati sanitari, poiché coinvolge questioni etiche e giuridiche di grande rilevanza. Il trattamento dei dati per finalità di ricerca può includere sperimentazioni cliniche, studi epidemiologici, o l’analisi di grandi database sanitari per sviluppare nuovi trattamenti o farmaci.

In molti casi, il consenso esplicito del paziente rimane una base giuridica primaria per il trattamento dei dati in ambito scientifico. Tuttavia, esistono altre basi legali che possono giustificare il trattamento anche senza il consenso. L’articolo 9 del GDPR prevede deroghe specifiche, ad esempio, quando la ricerca scientifica risponde a un interesse pubblico rilevante, come nel caso di studi epidemiologici che contribuiscono al miglioramento della salute collettiva. È proprio in situazioni di emergenza sanitaria, come quella generata dalla pandemia di COVID-19, che queste deroghe assumono una particolare importanza.

Le sperimentazioni cliniche costituiscono un settore specifico dove il trattamento dei dati sanitari è essenziale per il progresso della medicina. In tali contesti, il GDPR prevede disposizioni particolari per consentire il trattamento dei dati in deroga ai principi generali, a patto che siano rispettate condizioni di sicurezza e trasparenza. Gli studi clinici, infatti, coinvolgono molteplici attori, come i promotori degli studi, i ricercatori e le strutture ospedaliere, che devono garantire la protezione dei dati trattati e rispettare il principio di minimizzazione, ovvero trattare solo i dati strettamente necessari per raggiungere le finalità di ricerca.

La pandemia e l’evoluzione del trattamento dei dati sanitari

L’emergenza sanitaria globale legata al COVID-19 ha accelerato l’evoluzione delle normative e delle prassi relative al trattamento dei dati sanitari. La gestione della pandemia ha reso necessario il trattamento di grandi volumi di dati personali e sanitari, spesso senza il consenso diretto degli interessati, in virtù dell’interesse pubblico e della necessità di proteggere la salute collettiva.

Uno degli esempi più rilevanti è l’utilizzo di applicazioni come Immuni, sviluppata per il tracciamento dei contatti al fine di contenere la diffusione del virus. Immuni ha permesso di raccogliere dati relativi agli spostamenti e ai contatti delle persone, contribuendo alla prevenzione e al controllo dell’epidemia, senza la necessità di un consenso esplicito in virtù del contesto emergenziale. La base giuridica per il trattamento in questo caso si fonda sull’articolo 9, paragrafo 2, lettera i del GDPR, che consente il trattamento dei dati sanitari per motivi di interesse pubblico nel settore della sanità pubblica, incluse le emergenze sanitarie.

Un altro aspetto che ha visto una rapida espansione è stato l’utilizzo della telemedicina. Durante i periodi di lockdown, questa pratica si è dimostrata essenziale per garantire la continuità assistenziale ai pazienti, soprattutto a quelli affetti da patologie croniche. Consultazioni a distanza, monitoraggio remoto e diagnosi tramite strumenti digitali hanno permesso di mantenere attivi i percorsi di cura nonostante le restrizioni fisiche, garantendo una protezione adeguata dei dati personali e sanitari trattati.

In ambito sanitario, il trattamento dei dati durante la pandemia ha coinvolto diverse figure professionali, tra cui i medici competenti, i responsabili del trattamento e gli operatori sanitari all’interno delle strutture ospedaliere. Questi soggetti hanno gestito una mole considerevole di dati relativi ai tamponi, alle vaccinazioni e alle condizioni di salute dei pazienti. In molti casi, il consenso non era richiesto, poiché le attività di trattamento rispondevano a finalità di interesse pubblico e alla necessità di proteggere la collettività.

Telemedicina e consulti a distanza

La pandemia di COVID-19 ha accelerato lo sviluppo e l’adozione della telemedicina, rivoluzionando il modo in cui i pazienti, soprattutto quelli affetti da patologie croniche, vengono assistiti. Grazie all’uso di tecnologie digitali avanzate, è stato possibile garantire continuità assistenziale anche durante i periodi di lockdown, quando l’accesso fisico alle strutture sanitarie era limitato. La telemedicina ha permesso di effettuare consultazioni a distanza, monitoraggi remoti e diagnosi, mantenendo un contatto costante tra paziente e medico, minimizzando i rischi di contagio e alleggerendo la pressione sui sistemi sanitari.

Nonostante i numerosi vantaggi, l’uso della telemedicina ha sollevato importanti questioni riguardanti la sicurezza e la protezione dei dati personali e sanitari. I dati trasmessi durante le sessioni di teleconsulto – come anamnesi, referti diagnostici o informazioni su terapie somministrate – sono particolarmente sensibili e devono essere trattati con la massima attenzione per evitare possibili violazioni. La sfida principale è garantire che queste tecnologie rispettino i principi di sicurezza informatica e di protezione della privacy previsti dal Regolamento Generale sulla Protezione dei Dati (GDPR).

Tra le preoccupazioni principali vi è la necessità di implementare misure di sicurezza che impediscano l’accesso non autorizzato ai dati, proteggano l’integrità delle informazioni trasmesse e tutelino la riservatezza del paziente. Un esempio concreto riguarda la verifica dell’identità dei pazienti durante le consultazioni da remoto, che richiede sistemi di autenticazione sicuri e affidabili. Inoltre, è fondamentale garantire che le piattaforme utilizzate per la telemedicina siano conformi alle normative vigenti e dotate di strumenti di crittografia avanzata per proteggere i dati durante la trasmissione.

Protezione dei dati e misure di sicurezza

La protezione dei dati sanitari, in particolare nell’ambito della telemedicina e dei consulti a distanza, richiede l’adozione di misure di sicurezza tecnologiche e organizzative che possano prevenire violazioni e garantire la riservatezza delle informazioni trattate. Le strutture sanitarie e i professionisti che trattano i dati devono adottare protocolli rigidi che rispettino quanto previsto dal GDPR, soprattutto per quanto riguarda i dati particolari, tra cui quelli sanitari.

Le misure di sicurezza devono essere proporzionate alla sensibilità dei dati trattati e possono includere:

• Protocolli di accesso controllato: Il personale sanitario deve poter accedere ai dati solo quando necessario per svolgere le proprie mansioni. Questo comporta l’implementazione di sistemi di autenticazione multifattore e la limitazione degli accessi in base al principio del “need-to-know”.
• Crittografia e sicurezza delle comunicazioni: Le informazioni trasmesse attraverso le piattaforme di telemedicina devono essere protette da tecnologie di crittografia avanzata, che garantiscono che i dati non possano essere intercettati o alterati durante la trasmissione.
• Backup sicuri e ridondanza: La gestione corretta dei dati richiede la realizzazione di backup regolari, mantenuti in luoghi sicuri e soggetti a controlli periodici per evitare la perdita o il danneggiamento dei dati sanitari.
• Formazione del personale sanitario: È fondamentale che tutto il personale sanitario coinvolto nel trattamento dei dati riceva una formazione adeguata riguardo alle best practices in materia di sicurezza informatica e protezione dei dati. Questo include la consapevolezza riguardo alle normative applicabili, come il GDPR, e l’adozione di misure pratiche per prevenire accessi non autorizzati o la condivisione indebita delle informazioni.

La gestione dei diritti dell’interessato

Il GDPR riconosce ai soggetti interessati una serie di diritti in relazione ai propri dati personali, compresi i dati sanitari, per garantire un controllo attivo sulle informazioni che li riguardano. Tra i principali diritti vi sono:

• Diritto di accesso: L’interessato ha il diritto di sapere quali dati personali vengono trattati, come vengono utilizzati e da chi.
• Diritto di rettifica: Nel caso in cui i dati trattati risultino inesatti o incompleti, l’interessato ha il diritto di richiederne la correzione.
• Diritto alla cancellazione (diritto all’oblio): In determinate circostanze, l’interessato può richiedere la cancellazione dei propri dati personali, ad esempio quando questi non sono più necessari per le finalità per le quali sono stati raccolti.
• Diritto alla limitazione del trattamento: Questo diritto permette all’interessato di richiedere che i propri dati siano trattati solo per alcune finalità specifiche o siano temporaneamente bloccati in attesa di verifiche.

Tuttavia, in ambito sanitario, esistono alcune limitazioni all’esercizio di questi diritti, soprattutto quando il trattamento dei dati è obbligatorio per legge o necessario per la tutela della salute pubblica. Ad esempio, la cartella clinica di un paziente deve essere conservata per un periodo di tempo definito dalla legge, e in molti casi non può essere cancellata su richiesta dell’interessato, poiché rappresenta un documento legale essenziale per la gestione del percorso di cura.

Inoltre, nei contesti di ricerca scientifica o studi clinici, i diritti dell’interessato possono essere soggetti a limitazioni per evitare che la revoca del consenso o la cancellazione dei dati compromettano l’integrità della ricerca. È importante che questi diritti siano bilanciati con l’esigenza di garantire la continuità e la validità degli studi in corso, come sottolineato dal GDPR e dalle linee guida emanate dalle autorità competenti.

Il ruolo del medico competente nel trattamento dei dati

Il medico competente gioca un ruolo cruciale nel trattamento dei dati sanitari, in particolare nell’ambito della sorveglianza sanitaria sui luoghi di lavoro. La sua figura è disciplinata dal Decreto Legislativo 81/08, che regola la sicurezza e la salute sui luoghi di lavoro, e prevede che il medico competente sia incaricato di monitorare lo stato di salute dei lavoratori, soprattutto in settori ad alto rischio.

Durante la pandemia di COVID-19, il ruolo del medico competente è diventato ancora più centrale, poiché ha gestito dati altamente sensibili relativi all’esecuzione di tamponi e alla somministrazione dei vaccini. Secondo quanto previsto dalla normativa, il medico competente è l’unico autorizzato a trattare i dati sanitari dei lavoratori per valutare l’idoneità alla mansione e per garantire la tutela della salute negli ambienti di lavoro. Un aspetto fondamentale della sua attività è la capacità di bilanciare la necessità di protezione della salute collettiva con il rispetto delle normative vigenti in materia di protezione dei dati personali, come il GDPR e il Decreto Legge 44/2021.

Il medico competente, infatti, non agisce come titolare del trattamento, ma è una figura di raccordo tra il datore di lavoro e i lavoratori, con precise responsabilità legali nel garantire che i dati sanitari siano utilizzati esclusivamente per finalità connesse alla sorveglianza sanitaria e alla prevenzione sul luogo di lavoro. In particolare:

• Trattamento dei dati relativi ai tamponi: Il medico competente è l’unico che può raccogliere, conservare e analizzare i risultati dei test diagnostici (come tamponi o test sierologici) eseguiti sul personale, e ha il dovere di emettere giudizi di idoneità o inidoneità alla mansione. Tali dati non possono essere trasmessi al datore di lavoro in forma dettagliata, ma solo come risultato finale (ad esempio, giudizio di idoneità) per garantire la riservatezza del lavoratore.
• Gestione delle vaccinazioni: Anche in questo ambito, il medico competente è responsabile della raccolta e della gestione dei dati sulle vaccinazioni effettuate. Deve assicurarsi che i dati siano trattati nel rispetto della normativa sulla privacy e che siano utilizzati solo per finalità strettamente collegate alla sicurezza sanitaria sul luogo di lavoro. È, inoltre, obbligato a garantire che il trattamento di questi dati avvenga in conformità con i requisiti previsti dal Decreto Legge 44/2021, che regola la campagna vaccinale in ambito lavorativo.

Le sue funzioni durante la pandemia hanno incluso anche la gestione delle procedure di accesso alle strutture lavorative, come l’utilizzo dei termoscanner per monitorare la temperatura corporea dei dipendenti e la redazione di specifiche informative sul trattamento dei dati raccolti attraverso questi dispositivi. Le procedure adottate dal medico competente, in collaborazione con il datore di lavoro, devono essere trasparenti e rispettare rigorosamente le normative per evitare abusi o trattamenti illeciti.

Il trattamento dei dati in ambito sanitario è un argomento complesso e in continua evoluzione, influenzato da normative stringenti e da sfide pratiche che emergono con il progredire della tecnologia e delle emergenze sanitarie. Le normative europee, come il GDPR, insieme alle disposizioni nazionali, stabiliscono un quadro legale preciso che deve essere seguito scrupolosamente per garantire la protezione della privacy dei pazienti e l’uso sicuro e conforme dei dati, sia per la cura che per la ricerca scientifica.

L’emergenza COVID-19 ha messo in luce l’importanza di una gestione corretta dei dati sanitari, dimostrando come la capacità di raccogliere, trattare e proteggere questi dati possa fare la differenza nella gestione delle crisi sanitarie. In particolare, la pandemia ha evidenziato la necessità di flessibilità normativa, permettendo il trattamento dei dati per finalità emergenziali anche in deroga a principi generali, come il consenso esplicito, a condizione che vengano adottate misure di sicurezza adeguate.

Per le strutture sanitarie e i professionisti coinvolti, è quindi fondamentale mantenersi aggiornati sulle continue evoluzioni normative e implementare le migliori pratiche per garantire che il trattamento dei dati sanitari sia sempre sicuro, trasparente ed efficace. Questo include non solo l’adozione di tecnologie sicure per il trattamento e la conservazione dei dati, ma anche la formazione continua del personale sanitario e amministrativo, affinché siano consapevoli delle loro responsabilità e degli strumenti a loro disposizione per garantire la conformità normativa.

In questo contesto, il ruolo del medico competente e dei responsabili della protezione dei dati (DPO) diventa strategico, poiché sono chiamati a monitorare il rispetto delle regole e a garantire che ogni trattamento di dati avvenga in modo proporzionato e legittimo. Solo attraverso una gestione rigorosa e consapevole dei dati sanitari si potrà continuare a garantire la sicurezza dei pazienti e la qualità delle cure, anche di fronte alle sfide future.