Se dovessi scegliere un “caso d’uso” emblematico di come i problemi e le soluzioni in materia di protezione di dati personali siano spesso dove meno te l’aspetteresti, opterei per la telemedicina.
L’importanza della protezione dei dati personali nella telemedicina
Fra gli operatori sanitari, è sentire diffuso che – lato privacy – i problemi delle varie, possibili declinazioni della telemedicina siano solo due:
- il contesto di erogazione della prestazione, intrinsecamente più critico per la protezione della vita privata del paziente,
- i rischi della trasmissione di informazioni in rete e dall’uso di dispositivi elettronici, rilevanti per la sicurezza dei dati personali.
Entrambi questi aspetti sono importantissimi, ma non permettono di darsi la bussola che realmente serve per impostare correttamente le attività ed evitare sanzioni.
I rischi privacy nelle principali articolazioni della telemedicina
Per capire quanto questo sentire diffuso possa creare sottovalutazioni o ritardi nella conformità al GDPR, iniziamo a calarlo, con esempi, nelle principali articolazioni della telemedicina.
La televisita
La televisita è un atto medico in cui il professionista interagisce a distanza in tempo reale con il paziente, eventualmente affiancato da un caregiver, ed è ammessa solo per controllo di pazienti la cui diagnosi sia già stata formulata in una visita in presenza. La visione diffusa porta a credere che la protezione della vita privata del paziente sia gestibile con regole a carico sia del medico del paziente sulla possibilità o meno che alla televisita in corso assistano persone non inquadrate dalla webcam nei due rispettivi ambienti (reparto o studio del medico, e domicilio del paziente) e che la protezione dei dati personali del paziente sia gestibile con elevati livelli di sicurezza tecnica per la piattaforma di videochiamata attraverso la quale è erogata la prestazione.
Il teleconsulto
Il teleconsulto è un’interazione a distanza fra medici volta a un confronto, anche tramite videochiamata, riguardo la situazione clinica di un paziente. Viene svolto basandosi primariamente sulla condivisione di tutti i dati clinici, i referti, le immagini, gli audio-video riguardanti il caso specifico. La visione diffusa porta a credere che la protezione della vita privata del paziente sia gestibile con regole rivolte ai medici su quali documenti/dati sanitari condividere, e che la protezione dei dati personali del paziente sia gestibile con elevati livelli di sicurezza tecnica per la dotazione tecnologica di base utilizzata dai medici per sentirsi.
La teleassistenza
La teleassistenza è un atto sanitario non medico (svolto da un operatore come l’infermiere, il fisioterapista, il logopedista) basato sull’interazione a distanza tra il professionista e paziente/caregiver per mezzo di una videochiamata, alla quale si può all’occorrenza aggiungere la condivisione di dati referti o immagini. La visione diffusa porta a credere che la protezione della vita privata del paziente sia gestibile come per la televisita, magari con l’aggiunta di accorgimenti connessi alla probabile presenza (in aggiunta al paziente o in sua vece) del caregiver, e che la protezione dei dati personali del paziente sia gestibile con elevati livelli di sicurezza tecnica per i dispositivi elettronici usati per la registrazione, archiviazioni dei dati e delle immagini, nonché per i supporti per lo scambio dei dati e delle immagini, video e parametri vitali, e per gli eventuali dispositivi fissi e/o mobili che prevedano un facile utilizzo, dispositivi medici e sensori di rilevamento.
Il telemonitoraggio
Il telemonitoraggio permette il rilevamento e la trasmissione a distanza di parametri vitali e clinici su base continuativa, mediante sensori che interagiscono con il paziente. Il set di tecnologie a domicilio, personalizzato in base alle indicazioni fornite dal medico, deve essere connesso costantemente al sistema software che raccoglie i dati dei sensori, li integra se necessario con altri dati sanitari e li mette a disposizione degli operatori del servizio di telemedicina in base alle modalità organizzative stabilite. Posto che gli impatti sulla vita privata sono più evidenti, la visione diffusa porta a credere che credere che sia sufficiente un consenso specifico del paziente ad essere monitorato, insieme alla certificazione dei dispositivi tecnologici utilizzati, e a un elevato livello di sicurezza della piattaforma centrale cui i dispositivi sono collegati.
I punti nevralgici della protezione dati in telemedicina
Come detto, i punti di attenzione sopra indicati sono importanti. Tuttavia, è fondamentale ricordare che la partita della conformità alla protezione dei dati personali si gioca anzitutto su: a) ruoli e responsabilità nel trattamento dei dati personali; b) capacità di dimostrare la conformità e di documentare le scelte fatte per attuare i principi generali del GDPR e per mitigare i rischi che incombono sui dati personali trattati.
Questo vale a maggior ragione per come la telemedicina si è sviluppata recentemente in Italia, sia sul piano normativo sia su quello operativo. La spinta allo sviluppo della telemedicina, nel quadro attuale dello sviluppo della sanità digitale, è forte. E dipende molto dal Decreto Ministeriale 21/9/2022 (linee guida per i servizi di telemedicina), che ha dettato standard tecnici e livelli di servizio che Regioni e Province autonome devono implementare nella progettazione dei propri servizi di telemedicina.
I problemi legati all’esternalizzazione dei servizi
Da un lato, questo atto normativo favorisce l’esternalizzazione, consacrando (e definendo a livello tecnico) la possibilità che la struttura sanitaria che mette a disposizione dei suoi pazienti la telemedicina (centro erogatore) si avvalga di un centro servizi, ente dotato di una infrastruttura tecnologica conforme agli standard organizzativi e tecnici definiti dalla normativa.
Al Centro Servizi è demandato il compito di gestire i dati sanitari generati dal paziente che devono pervenire al Centro Erogatore della prestazione sanitaria da un outsourcer dotato delle necessarie risorse strumentali (centro servizi). Dall’altro, nulla dice in materia di protezione dei dati personali dei pazienti.
Ciò che sta accadendo in questo momento è così sintetizzabile: strutture sanitarie che devono mettere a disposizione della loro utenza servizi di telemedicina esternalizzano parte delle operazioni a player privati che hanno i necessari requisiti e che possono mettere a loro disposizione risorse strumentali necessarie.
Ruoli e responsabilità per garantire la tutela dei dati
Devono essere i centri erogatori a impostare in modo corretto, già in fase di selezione degli appaltatori del servizio e di impostazione dei relativi contratti, i ruoli e le responsabilità, assumendo per sé il ruolo di Titolari (in quanto sono loro a definire finalità e mezzi del trattamento) assegnando con apposito contratto ai centri servizi il ruolo di Responsabili del trattamento ai sensi dell’art. 28 del GDPR. Tutto questo potrebbe apparire una mera formalità, gestibile in modo piuttosto distratto, magari all’ultimo minuto. Invece non lo è. L’adeguatezza della disciplina contrattuale del rapporto centro erogatore Titolare – centro servizi Responsabile è essa stessa possibile oggetto di verifica del Garante, di contestazione amministrativa. Per nominare un Responsabile non basta replicare meccanicamente un modello: occorre avere chiari e indirizzare una serie di elementi essenziali, come l’autorizzazione o meno ad avvalersi di Sub Responsabili, l’autorizzazione o meno di trasferimenti di dati extra SEE, e, in caso positivo, con quali presupposti giuridici, le misure di sicurezza che il Titolare chiede al Responsabile di implementare, e poi ancora la disciplina di eventuali controlli del Titolare sul Responsabile, i livelli di servizio nel rilascio di informazioni su eventuali violazioni di dati personali, gli oneri di collaborazione rispetto ad adempimenti, ecc. Altro aspetto da tenere presente è che il GDPR delinea il rapporto Titolare – Responsabile come un rapporto che non si esaurisce nella sottoscrizione di un accordo, ma viene alimentato da un confronto continuo nell’esecuzione del servizio.
Costruire in modo conforme un rapporto Titolare – Responsabile è ben di più che limitarsi a una generica affermazione circa questo riparto dei ruoli nel capitolato di appalto o nel contratto. Detto questo, può accadere di peggio. Ad esempio, che – per dimenticanza o per insufficiente conoscenza delle norme – non si preveda nulla in tema di ruoli privacy. In questo caso, il centro erogatore e il centro servizi saranno autonomi Titolari, il che implica da un lato che ognuno di essi dovrà gestire in autonomia gli adempimenti (come l’informativa agli interessati), dall’altro che il centro erogatore sarà privo di precisi strumenti di indirizzo e di controllo verso il centro servizi che lo aiuterebbero non solo a esprimere il suo potere/dovere di conformare il trattamento al GDPR, ma anche a rispettare l’affidamento che i pazienti nutrono nei suoi confronti anche per ciò che riguarda la protezione dei loro dati personali. Basti pensare all’eventualità malaugurata che l’infrastruttura tecnologica del centro servizi subisca una violazione dei dati personali: altro è che il centro erogatore possa imporre al suo Responsabile, in quanto Titolare, precise azioni di mitigazione dei rischi, altro è che invece, come Titolare che ha affidato l’attività a un autonomo Titolare, debba limitarsi a prendere atto dell’accaduto ed eventualmente riservarsi una tutela risarcitoria per inadempimento, danni, ecc.
I nodi dell’accountability
C’è un altro aspetto che sfugge al sentire diffuso degli operatori sanitari. In base all’art. 24 del GDPR, giacché decide finalità e mezzi del trattamento, il Titolare deve essere sempre in grado di dimostrare, che il trattamento è effettuato conformemente al GDPR. Questo concetto viene reso come accountability.
Un centro erogatore, sia che gestisca la telemedicina in autonomia (dotandosi dell’infrastruttura tecnologica tipica del centro servizi), per essere conforme al GDPR ed evitare sanzioni non può limitarsi ad avere un DPO, a compilare e manutenere il registro dei trattamenti, a redigere e rilasciare informative complete, a dotarsi di procedure che gli permettano di gestire le richieste degli interessati o le violazioni di dati personali.
Per chi eroga ai propri pazienti servizi di telemedicina, accountability significa analizzare i rischi che incombono sui dati, attrezzarsi a dimostrare di avere compiuto quest’analisi dei rischi con una metodologia piuttosto che un’altra, definire misure organizzative e tecniche idonee a mitigare i rischi.
La valutazione d’impatto
Questo processo di analisi e gestione dei rischi deve essere affrontato prima di avviare l’erogazione dei servizi, e deve sfociare in un preciso documento: la Valutazione d’impatto (DPIA) ai sensi dell’art. 35 del GDPR. Redigere la DPIA è inevitabilmente un lavoro collegiale, che può vedere in prima linea professionalità di tipo legale, ma che deve coinvolgere anche professionalità tecniche e medico-assistenziali.
È nella DPIA, quindi in un documento complesso e strutturato da mettere a disposizione del Garante in caso di richiesta che il Titolare di un trattamento a fini di telemedicina deve fare confluire gli accorgimenti organizzativi a tutela della vita privata e della dignità del paziente, nonché le misure di sicurezza (non solo tecniche, anche organizzative). Un’obiezione ragionevole potrebbe essere: che differenza c’è fra il realizzare, nei limiti del possibile, iniziative concrete su questi due fronti e l’inserirle nel contesto di una DPIA? La differenza è in ciò che non si immagina.
Il legislatore del GDPR ha ritenuto che quando un trattamento di dati personali (a maggiore ragione se sono dati sensibili) presenta rischi elevati per gli interessati, anche in virtù dell’uso di nuove tecnologie, non basta una generica attenzione ad aspetti percepiti come prioritari, magari gestiti a macchia di leopardo; è obbligatorio fare analisi e redigere dei documenti, entrambi dotati di precisi crismi di metodo.
Un lavoro approfondito di mappatura dei flussi di dati connessi alla telemedicina e degli attori coinvolti permette, inoltre, di rilasciare agli interessati informative complete e chiare. L’adempimento dell’informativa, obbligatorio e ormai noto a tutti, può essere gestito in modo più o meno adeguato a seconda di quanto è stato preceduto da un’attività di mappatura del trattamento e delle dinamiche del servizio.
Conclusioni
Ad oggi, quanto descritto in questo articolo non è disciplinato in Linee Guida ufficiali che possano costituire un punto di riferimento da rispettare in modo sistematico. Può darsi che questo accadrà. Per il momento, gli operatori, specialmente i centri erogatori viste le loro responsabilità, devono sposare la chiave di lettura di una gestione dei servizi di telemedicina improntata alla cultura, ostica ma in fondo razionale, della compliance. Seguendo questo approccio, prestando attenzione ai provvedimenti del Garante su tematiche di sanità digitale, è possibile dotarsi di un’impostazione organica e di documentarla, come vuole il GDPR.
