Il rapporto tra GDPR e dati sanitari è uno dei temi più delicati per medici, strutture sanitarie, pazienti e operatori del settore.
Il Garante per la protezione dei dati personali ha chiarito alcuni aspetti importanti del trattamento dei dati relativi alla salute in ambito sanitario, con particolare riferimento al consenso del paziente, all’informativa, alla nomina del Responsabile della protezione dei dati e al registro dei trattamenti.
In linea generale, i medici e i professionisti sanitari possono trattare i dati dei pazienti per finalità di cura senza dover richiedere uno specifico consenso al trattamento dei dati personali. Questo non significa però che vengano meno gli obblighi di trasparenza: il paziente deve comunque ricevere un’informativa chiara, completa e facilmente comprensibile sull’uso dei propri dati.
Dati sanitari e finalità di cura
Il Garante ha precisato che il professionista sanitario, soggetto al segreto professionale, non deve richiedere il consenso quando il trattamento dei dati è necessario per l’erogazione della prestazione sanitaria.
È il caso, ad esempio, delle attività strettamente legate alla diagnosi, all’assistenza, alla terapia o alla gestione del percorso di cura del paziente.
Resta però necessario che il trattamento avvenga nel rispetto dei principi previsti dal GDPR, tra cui liceità, correttezza, trasparenza, minimizzazione dei dati, limitazione della conservazione e responsabilizzazione del titolare del trattamento.
Quando è richiesto il consenso
Il consenso, o un’altra adeguata base giuridica, può invece essere necessario quando il trattamento dei dati sanitari non è strettamente collegato alle finalità di cura.
Rientrano in questa ipotesi, ad esempio, alcuni trattamenti legati all’utilizzo di applicazioni mediche, alle attività di fidelizzazione della clientela, a iniziative promozionali o commerciali, oppure a finalità ulteriori rispetto alla prestazione sanitaria.
Il Garante ha inoltre ricordato che, in specifici ambiti disciplinati dalla normativa di settore, può continuare a essere richiesto il consenso dell’interessato, come nel caso del fascicolo sanitario elettronico o della consultazione dei referti online.
L’informativa al paziente
Un aspetto centrale riguarda l’informativa.
L’informativa deve essere concisa, trasparente, intelligibile e facilmente accessibile. Deve essere redatta con un linguaggio semplice e chiaro, in modo che il paziente possa comprendere come vengono utilizzati i suoi dati personali.
Rispetto al modello precedente al GDPR, l’informativa deve contenere informazioni più complete, tra cui quelle relative ai tempi di conservazione dei dati. Quando tali tempi non sono stabiliti da norme specifiche, devono essere individuati dal titolare del trattamento, ad esempio il medico specialista, la struttura sanitaria o l’ospedale.
Responsabile della protezione dei dati e registro dei trattamenti
Il Garante ha fornito chiarimenti anche sulla figura del Responsabile della protezione dei dati, indicato anche come RPD o DPO.
Sono tenuti alla nomina del Responsabile della protezione dei dati gli organismi pubblici e gli operatori privati che effettuano trattamenti di dati sanitari su larga scala, come ad esempio le case di cura.
Non sono invece tenuti alla nomina del DPO i liberi professionisti e gli altri soggetti che non effettuano trattamenti su larga scala.
Resta invece centrale, per gli operatori sanitari, la tenuta del registro dei trattamenti, nel quale devono essere indicate le attività di trattamento svolte sui dati dei pazienti.
Il registro rappresenta uno strumento importante per governare correttamente i trattamenti, individuare quelli che possono presentare maggiori rischi e dimostrare il rispetto del principio di responsabilizzazione previsto dal GDPR.
Un equilibrio tra cura e tutela dei dati
La disciplina sul trattamento dei dati sanitari richiede un equilibrio tra esigenze di cura, tutela della riservatezza e corretta gestione delle informazioni personali.
Per medici, professionisti sanitari e strutture, non si tratta soltanto di adempiere a obblighi formali, ma di adottare procedure coerenti, trasparenti e adeguate al tipo di dati trattati.
Per chiarimenti in materia di privacy, trattamento dei dati personali e responsabilità in ambito sanitario, è possibile contattare lo Studio Legale Buzzanga attraverso la sezione Contatti.