Privacy in hospice, perché il GDPR non può diventare burocrazia di fine vita

L’hospice per cure palliative rappresenta, all’interno del panorama sanitario e socioassistenziale, un contesto di trattamento dei dati personali dotato di caratteristiche del tutto peculiari, che lo distinguono in modo netto da una struttura sanitaria ordinaria. Il paziente accolto in hospice si trova, per definizione, in una condizione di fragilità estrema, spesso aggravata da un progressivo deterioramento delle proprie capacità cognitive e decisionali, che può condurre a una situazione di incapacità naturale non formalizzata da alcuna misura di protezione giuridica.

A questa condizione si affianca un coinvolgimento intenso e continuativo del nucleo familiare, chiamato a interagire con l’équipe curante non solo per finalità informative, ma anche in funzione di supporto decisionale ed emotivo, nonché un approccio assistenziale multidisciplinare che integra competenze mediche, infermieristiche, psicologiche e, non di rado, spirituali o religiose.

Questi elementi impongono al titolare del trattamento, un approccio alla compliance privacy che non può limitarsi alla mera trasposizione di modelli documentali validi per un ospedale per acuti o un ambulatorio, ma richiede una calibrazione puntuale rispetto alle specificità del fine vita: la gestione delle informazioni familiari, la disciplina delle Dichiarazioni Anticipate di Trattamento, la volontà del paziente in ordine al trattamento dei propri dati dopo la morte, e la delicatezza intrinseca di ogni comunicazione che coinvolga la prognosi.

Dati sanitari e base giuridica GDPR

Il trattamento dei dati sanitari in ambito hospice ricade pienamente nella disciplina delle categorie particolari di dati personali di cui all’art. 9 GDPR. La base giuridica principale è individuabile nell’art. 9, par. 2, lett. h), relativo a finalità di medicina preventiva, diagnosi, assistenza o terapia sanitaria, in combinato disposto con l’art. 9, par. 3, che subordina il trattamento all’osservanza del segreto professionale. A livello nazionale, l’art. 2-septies del Codice Privacy (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018) integra tale disciplina, richiedendo che le misure di garanzia per il trattamento dei dati genetici, biometrici e relativi alla salute siano individuate secondo le indicazioni fornite dal Garante, anche con provvedimenti di carattere generale.

Nel contesto hospice, ai dati sanitari propriamente detti si affiancano frequentemente dati relativi alle convinzioni religiose o filosofiche del paziente, rilevanti ai fini dell’assistenza spirituale, e in taluni casi dati genetici, laddove la patologia terminale abbia una componente ereditaria oggetto di approfondimento clinico. È essenziale che l’informativa e il registro dei trattamenti diano atto in modo puntuale di ciascuna di queste categorie, evitando trattazioni generiche sotto l’unica etichetta di “dati sanitari”, poiché ciascuna tipologia comporta un differente livello di rischio e, potenzialmente, differenti misure di sicurezza.

Va inoltre chiarito che il consenso dell’interessato non costituisce, di norma, la base giuridica principale per il trattamento sanitario in senso stretto, stante l’operatività dell’art. 9, par. 2, lett. h): ciò assume particolare rilievo quando il paziente versi in condizioni di incapacità, poiché il trattamento sanitario essenziale non può essere paralizzato dall’impossibilità di raccogliere un consenso validamente prestato.

Comunicazione delle informazioni cliniche a familiari e terzi

Uno dei nodi più delicati della compliance privacy in hospice riguarda la comunicazione di informazioni cliniche a familiari e terzi. La prassi assistenziale tende a un coinvolgimento ampio del nucleo familiare, che tuttavia deve essere ricondotto entro binari giuridicamente definiti. Occorre distinguere con precisione tra:

• il fiduciario nominato ai sensi della L. 219/2017 in sede di Disposizioni Anticipate di Trattamento, legittimato a rappresentare il paziente nelle relazioni con il medico e le strutture sanitarie;
• l’amministratore di sostegno, ove nominato dal giudice tutelare, i cui poteri sono definiti dal provvedimento di nomina;
• il familiare di fatto, privo di qualsivoglia investitura formale, la cui legittimazione a ricevere informazioni cliniche non può fondarsi automaticamente sul solo vincolo parentale.

Particolarmente critico è il caso, tutt’altro che infrequente in hospice, del paziente incapace di intendere e di volere privo di fiduciario, di amministratore di sostegno o di altro rappresentante legale. In tali ipotesi, l’operatività assistenziale deve fare riferimento al criterio del best interest del paziente, richiamato dall’art. 38 del Codice di Deontologia Medica, che consente al medico di agire nell’esclusivo interesse del paziente coinvolgendo, ove possibile, i soggetti a lui più prossimi, senza che ciò si traduca automaticamente in un diritto di accesso indiscriminato alla documentazione sanitaria da parte di chiunque si qualifichi come “familiare”. Sul piano documentale, appare opportuno che l’informativa privacy della struttura preveda espressamente tale ipotesi residuale, chiarendo i limiti e le modalità con cui l’équipe individua l’interlocutore più idoneo in assenza di rappresentanza formale.

DAT e dati personali dopo la morte

Le Disposizioni Anticipate di Trattamento (DAT), disciplinate dalla L. 219/2017, costituiscono un trattamento di dati particolarmente sensibile, in quanto contengono la manifestazione di volontà del paziente in ordine a trattamenti sanitari futuri, spesso corredata da indicazioni relative a convinzioni personali, religiose o esistenziali. La loro acquisizione, conservazione e consultazione da parte dell’équipe curante deve essere organizzata secondo criteri di accessibilità selettiva, riservata ai soli soggetti coinvolti nel percorso di cura del singolo paziente.

Un profilo specifico, spesso trascurato nella modulistica standard, riguarda la dichiarazione di volontà relativa al trattamento dei dati personali dopo la morte, prevista dall’art. 2-terdecies del Codice Privacy. Tale disposizione riconosce ai soggetti legittimati (in primis eredi, o soggetti designati dall’interessato in vita) la possibilità di esercitare i diritti riferiti ai dati del defunto, salvo che l’interessato abbia vietato tale esercizio con dichiarazione scritta. In ambito hospice, dato l’elevato tasso di decesso durante la degenza, la struttura dovrebbe prevedere una sezione dedicata dell’informativa che chiarisca le modalità di accesso alla cartella clinica post mortem, i soggetti legittimati a richiederlo e l’eventuale possibilità, per il paziente, di esprimere in vita una volontà contraria, raccogliendola con modulistica separata e autonoma rispetto al consenso al trattamento sanitario.

Informativa privacy, consensi e finalità ulteriori

L’informativa ex artt. 13-14 GDPR predisposta per l’ammissione in hospice deve contenere, oltre agli elementi standard (identità del titolare, finalità e base giuridica, categorie di dati, destinatari, tempi di conservazione, diritti dell’interessato, dati di contatto del DPO), una trattazione specificamente calibrata sulle finalità proprie del contesto: la gestione dell’équipe multidisciplinare, l’eventuale comunicazione a familiari e fiduciari, la gestione delle DAT, la volontà post mortem, e le eventuali finalità ulteriori rispetto alla cura, quali il supporto al lutto per i familiari superstiti o l’utilizzo di testimonianze e materiali per finalità formative del personale.

Queste ultime finalità, ove effettivamente praticate dalla struttura, non possono essere ricondotte alla base giuridica della cura sanitaria e richiedono pertanto un consenso libero, specifico, informato e distinto, raccolto tramite moduli separati rispetto all’informativa principale, revocabile in ogni momento senza pregiudizio per la prosecuzione dell’assistenza. È buona prassi che tali moduli siano articolati per singola finalità (ad esempio: comunicazione a familiari oltre i limiti ordinari, accesso alla cartella clinica post mortem, utilizzo di materiali per finalità formative, supporto al lutto), evitando consensi “omnibus” che comprometterebbero il requisito di specificità richiesto dall’art. 7 GDPR.

Particolare attenzione va posta al momento della sottoscrizione dell’informativa e dei moduli di consenso in ingresso, che deve tenere conto delle condizioni cliniche del paziente al momento del ricovero: laddove il paziente non sia in grado di sottoscrivere, la struttura dovrebbe prevedere una procedura documentata che indichi chi può firmare in sua vece e sulla base di quale titolo, evitando che la sottoscrizione da parte di un “familiare” non qualificato si traduca in una prassi priva di reale fondamento giuridico.

Accessi, sicurezza e principio di need to know

Il trattamento dei dati in hospice coinvolge un’équipe ampia ed eterogenea: medici, infermieri, operatori socio-sanitari, psicologi, assistenti spirituali, volontari. La corretta applicazione del principio di need to know impone che l’accesso alla documentazione clinica sia profilato in funzione del ruolo effettivamente svolto da ciascun operatore nel percorso di cura del singolo paziente, evitando accessi generalizzati alla cartella clinica integrata da parte di figure professionali prive di un concreto interesse assistenziale.

Le misure tecniche e organizzative ex art. 32 GDPR devono essere calibrate sull’elevato livello di rischio insito nel trattamento di dati sanitari relativi a pazienti in condizioni di estrema vulnerabilità: sistemi di autenticazione differenziata per profilo professionale, tracciamento degli accessi alla cartella clinica elettronica, cifratura dei dati in fase di trasmissione e conservazione, procedure documentate per la gestione degli accessi da parte di personale esterno (consulenti, volontari, tirocinanti). Ove presenti sistemi di videosorveglianza negli ambienti di degenza, la loro installazione deve essere valutata con particolare cautela, tenendo conto della dignità del paziente in fase terminale e della necessità di un bilanciamento rigoroso tra finalità di sicurezza e diritto alla riservatezza, secondo le indicazioni fornite dal Garante in materia di videosorveglianza in ambito sanitario.

Conservazione, data breach e ruolo del DPO

I tempi di conservazione della documentazione sanitaria devono essere definiti in conformità alla normativa di settore in materia di cartelle cliniche, tenendo tuttavia presente che, in caso di decesso del paziente, la conservazione prosegue per le finalità connesse alla gestione dei diritti post mortem di cui all’art. 2-terdecies del Codice Privacy e per eventuali obblighi di natura medico-legale. La struttura deve definire con chiarezza, nel registro dei trattamenti e nelle proprie policy interne, i termini di conservazione differenziati per le diverse categorie documentali (cartella clinica, DAT, moduli di consenso facoltativo).

Sul fronte della gestione delle violazioni di dati personali, la particolare sensibilità delle informazioni trattate in hospice impone una procedura di data breach management che preveda tempi di reazione rapidi e una valutazione rigorosa del rischio per gli interessati ai sensi degli artt. 33 e 34 GDPR, tenendo conto che un’eventuale divulgazione indebita di informazioni relative alla prognosi o alle condizioni di fine vita di un paziente è suscettibile di arrecare un pregiudizio significativo non solo al paziente stesso, ma anche al nucleo familiare coinvolto.

In questo scenario, il DPO svolge una funzione che va ben oltre la mera predisposizione documentale. Il suo apporto si sostanzia nel supporto al titolare e al responsabile del trattamento nella redazione di informative e moduli di consenso calibrati sulle specificità dell’assistenza palliativa, nella valutazione dell’eventuale necessità di una valutazione d’impatto sulla protezione dei dati (DPIA) ex art. 35 GDPR, laddove il trattamento presenti un rischio elevato per i diritti e le libertà degli interessati, e nella formazione continua del personale sanitario e non sanitario coinvolto nel percorso di cura.

Il DPO è altresì chiamato a fungere da punto di contatto per l’interessato e per i suoi familiari in relazione all’esercizio dei diritti previsti dagli artt. 15-22 GDPR, un ruolo che in hospice assume una connotazione particolarmente delicata, dato il frequente subentro dei familiari nell’esercizio di tali diritti in una fase di lutto recente.

Privacy by design nel fine vita

La compliance privacy nell’hospice per cure palliative non può ridursi all’adattamento formale di modelli documentali pensati per contesti sanitari generalisti. Le criticità operative individuate, la gestione dei rapporti con familiari privi di rappresentanza formale, la disciplina delle DAT e della volontà post mortem, la distinzione tra finalità di cura e finalità ulteriori richiedenti consenso richiedono un approccio di privacy by design and by default costruito attorno alla specificità del fine vita. Solo un lavoro di affiancamento continuativo tra titolare del trattamento, équipe clinica e DPO consente di tradurre i principi del GDPR e le indicazioni del Garante in una prassi assistenziale che tuteli concretamente la dignità e la riservatezza del paziente, senza mai ostacolare la qualità e la tempestività della cura.