Le piattaforme utilizzabili tramite web e/o App servono a facilitare la messa in contatto degli utenti con i professionisti sanitari, ivi compresi i Medici di medicina generale (MMG) e i pediatri di libera scelta (PLS).
In particolare – si legge nel Compendio reso pubblico dal Garante – tali strumenti digitali offrono servizi di prenotazione di visite specialistiche e trattamenti diagnostici, consentendo all’utente di scegliere il professionista in base alla specializzazione e alla zona in cui opera e al professionista sanitario di gestire in modo più semplice (grazie alla tecnologia offerta) i rapporti con i propri pazienti, la propria agenda (prenotazione, cancellazione e spostamento degli appuntamenti), le televisite, laddove il servizio è offerto, nonché il pagamento delle prestazioni erogate.
Tali strumenti, in alcuni casi, consentono di inviare e archiviare documenti sanitari, anche al fine di condividerli con il professionista sanitario prima di un appuntamento o durante il rapporto di cura instaurato con lo stesso e ulteriori servizi a beneficio degli utenti, quale quello di visualizzazione dello storico degli appuntamenti e di ricevere via email informazioni sulla salute pubblica e comunicazioni promozionali sui servizi offerti.
Indice degli argomenti
Quali dati possono trattare i proprietari e i gestori delle piattaforme
Resta fermo – si legge nel Compendio – che i proprietari e gestori delle piattaforme in esame non sono legittimati a trattare i dati sulla salute degli utenti per finalità di diagnosi, assistenza e terapia sanitaria, che sono invece perseguibili esclusivamente da un professionista sanitario soggetto al segreto professionale.
Pertanto, i proprietari e gestori delle piattaforme potranno effettuare solo i trattamenti strettamente necessari ad offrire servizi funzionali al rapporto medico paziente, quali quelli di natura amministrativa (es. pagamento delle prestazioni sanitarie) o tecnologica (es. gestione degli account e degli appuntamenti delle visite specialistiche).
Trattamento dati: i 10 punti del Compendio
Il Garante ha articolato le indicazioni del Compendio nei seguenti 10 punti:
1) Le finalità del trattamento
2) Il coordinamento con la disciplina vigente sui principali strumenti di sanità digitale
3) Le basi giuridiche dei diversi trattamenti svolti dalle società che forniscono i richiamati servizi e dai professionisti sanitari
4) Il divieto di diffusione dei dati e l’eventuale comunicazione di dati a terzi
5) La valutazione d’impatto
6) I ruoli privacy, conseguenti adempimenti e responsabilità
7) Il principio di correttezza e trasparenza e le informazioni da rendere agli interessati
8) Trattamenti effettuati al di fuori del territorio nazionale
9) Il principio di Privacy by design
10) La sicurezza del trattamento.
Di seguito, alcuni passaggi importanti dei suddetti punti. Si rimanda il lettore interessato al documento completo per gli approfondimenti del caso.
1 – Le finalità del trattamento dati
I trattamenti di dati personali effettuati attraverso le piattaforme prese in considerazione nel Compendio sono finalizzati principalmente ad agevolare l’utente nella scelta del professionista sanitario cui rivolgersi e a facilitare la comunicazione con lo stesso.
Si tratta, pertanto, di un servizio di carattere amministrativo correlato ad una futura ed eventuale prestazione sanitaria.
Ciò stante, si evidenzia che – attraverso le suddette piattaforme – possono essere effettuate tre macro tipologie di trattamenti caratterizzati da distinte finalità e basi giuridiche:
- TRATTAMENTO DEI DATI DEGLI UTENTI, che potrebbero essere anche idonei a rivelare lo stato di salute degli stessi (es. in relazione alla tipologia di prestazione sanitaria richiesta o alla specializzazione del professionista sanitario), che utilizzano le predette piattaforme per scegliere e prenotare una prestazione con un professionista sanitario (es. creazione dell’account).
Tale trattamento è volto a offrire un servizio di carattere amministrativo all’utente dietro sua esplicita richiesta e, pertanto, non può essere ricondotto ai trattamenti per finalità di cura, che possono essere effettuati esclusivamente da un professionista sanitario soggetto al segreto professionale
- TRATTAMENTO DEI DATI PERSONALI DEI PROFESSIONISTI SANITARI che si avvalgono delle piattaforme per entrare in contatto con possibili pazienti.
Tale trattamento è effettuato nell’ambito di un rapporto contrattuale tra il soggetto proprietario/gestore della piattaforma e il professionista sanitario e può riguardare anche la recensione eventualmente espressa dall’utente sul professionista sanitario
- TRATTAMENTI DI DATI SULLA SALUTE DEI PAZIENTI – che potrebbero essere venuti in contatto con il professionista sanitario attraverso la piattaforma – eventualmente effettuati dal predetto professionista, in qualità di titolare del trattamento- nell’ambito del rapporto medico–paziente (es. condivisione di documenti sanitari, come prescrizioni o referti).
Tale trattamento è effettuato per finalità di diagnosi e cura da o sotto la responsabilità di un professionista sanitario tenuto al segreto professionale.
L’adesione a tali servizi da parte dell’utente, non essendo prevista da nessuna disposizione normativa, deve intendersi come facoltativa anche qualora tali strumenti siano offerti da professionisti sanitari convenzionati con il Servizio Sanitario Nazionale come il MMG o il PLS.
2 – Il coordinamento con la disciplina vigente sui principali strumenti di sanità digitale
La realizzazione delle predette piattaforme deve necessariamente tener conto delle disposizioni normative che regolano gli strumenti di sanità digitale che hanno finalità analoghe e/o strettamente connesse a quelle sopra descritte.
In questo punto, tra l’altro, il Garante sottolinea la necessità di richiamare la differenza tra le piattaforme oggetto del Compendio e gli strumenti di telemedicina, intesa, quest’ultima, come l’insieme delle tecniche mediche ed informatiche che permettono la cura di un paziente da remoto (es. televisita, telemonitoraggio). Tale differenza si fonda proprio sulle diverse finalità perseguite da tali strumenti: finalità di cura per la telemedicina, offerta di un servizio tecnologico nel caso delle predette piattaforme.
A tal fine, il Garante evidenzia la necessità che le piattaforme in esame siano sviluppate in modo tale da rispettare i limiti e gli ambiti di applicazione normativamente previsti per gli strumenti di sanità digitale disciplinati dal nostro ordinamento, con particolare riguardo ai limiti e ai vincoli normativi previsti per la refertazione on-line e per le prescrizioni elettroniche.
Tali disposizioni – precisa il Garante – rappresentano peraltro un parametro di riferimento per il titolare che intenda sviluppare le predette piattaforme anche ai fini dell’individuazione delle misure tecniche e organizzative più idonee a ridurre gli specifici rischi del trattamento.
3 – Le basi giuridiche dei trattamenti dati svolti dalle società che forniscono i servizi e dai professionisti sanitari
Attraverso le suddette piattaforme possono essere effettuati tre macro tipologie di trattamenti, caratterizzati da distinte finalità, con riferimento alle quali rilevano specifiche basi giuridiche.
- Per il trattamento dei dati sulla salute degli utenti che utilizzano le piattaforme per scegliere e prenotare una prestazione con un professionista sanitario, non trattandosi di operazioni strettamente necessarie alla diagnosi o terapia sanitaria, il titolare del trattamento è tenuto ad acquisire il preventivo consenso informato degli utenti
- Per il trattamento dei dati personali dei professionisti sanitari che si avvalgono delle piattaforme per entrare in contatto con possibili pazienti, lo stesso è lecito nella misura in cui è necessario per l’esecuzione di un contratto di servizi tra il soggetto che gestisce la piattaforma e lo stesso professionista sanitario
- Per i trattamenti di dati sulla salute dei pazienti – che potrebbero essere venuti in contatto con il professionista sanitario attraverso la piattaforma – strettamente necessari per le finalità di cura, eventualmente effettuati dal professionista tenuto al segreto professionale, in qualità di titolare del trattamento, nell’ambito del rapporto medico–paziente, fermi restando i limiti normativi indicati nel precedente punto 2) del Compendio, non sarà necessario acquisire il consenso dell’interessato.
4 – Il divieto di diffusione dei dati e l’eventuale comunicazione di dati a terzi
Il titolare del trattamento deve prevedere, nello sviluppare le predette piattaforme, l’adozione di misure tecniche e organizzative che impediscano la diffusione dei dati sulla salute degli utenti che si sono avvalsi delle stesse piattaforme per la scelta del professionista sanitario a cui rivolgersi per motivi di salute.
Il divieto, ovviamente, opera anche con riferimento agli eventuali trattamenti di dati sulla salute effettuati attraverso la piattaforma dal professionista sanitario in qualità di titolare del trattamento.
5 – La valutazione d’impatto
Tenuto conto della natura dei dati trattati attraverso le citate piattaforme e della potenziale numerosità dei soggetti interessati, che potrebbero essere qualificati anche come vulnerabili, il trattamento in esame rientra senza dubbio nei casi in cui il titolare non può prescindere da una preventiva valutazione d’impatto sulla protezione dei dati.
La valutazione d’impatto si ritiene un adempimento obbligatorio per tutte le citate macro-tipologie di trattamenti effettuati attraverso le suddette piattaforme.
6 – Ruoli privacy, conseguenti adempimenti e responsabilità
In ordine all’individuazione dei ruoli del trattamento, il Garante individua i seguenti tre possibili scenari:
- Per trattamenti dei dati personali degli utenti: il proprietario/gestore della Piattaforma assume il ruolo di titolare del trattamento dei dati strettamente necessari che siano raccolti per la registrazione e la creazione degli account e per la fornitura di altri servizi messi a disposizione da quest’ultimo (es. visualizzazione dello storico degli appuntamenti, invio di comunicazioni per ricevere informazioni sulla salute pubblica e comunicazioni promozionali sui servizi offerti)
- Per trattamenti dei dati personali dei professionisti sanitari: il proprietario/gestore della Piattaforma assume il ruolo di titolare del trattamento dei dati personali dei professionisti sanitari strettamente necessari per l’esecuzione di un contratto di servizi tra le parti
- Per trattamenti di dati sulla salute dei pazienti – che potrebbero essere venuti in contatto con il professionista sanitario attraverso la piattaforma, in occasione, ad esempio della prenotazione di una visita specialistica – eventualmente effettuati dal predetto professionista per finalità di cura, lo stesso professionista opera in qualità di titolare del trattamento ed è pertanto tenuto a trattare i dati nel rispetto della specifica disciplina sul trattamento dei dati personali per tali finalità – nell’ambito del rapporto medico – paziente.
Rispetto a tali trattamenti, il proprietario/gestore della piattaforma potrebbe essere designato responsabile del trattamento dal professionista sanitario, qualora effettui trattamenti di tipo tecnico amministrativo per suo conto quale, ad esempio, la gestione dell’agenda degli appuntamenti, la raccolta, l’archiviazione e la conservazione della documentazione medica dei propri pazienti.
Resta fermo che, nell’espletamento di tali trattamenti, per conto del professionista (titolare del trattamento), il proprietario/gestore della piattaforma può agire esclusivamente in qualità di responsabile del trattamento; in tale specifico ruolo, quindi, esso non è autorizzato a trattare i dati sulla salute degli utenti per finalità di cura.
Resta quindi fermo che, in relazione ai trattamenti in esame, possono verificarsi situazioni in cui uno stesso soggetto (ad esempio il gestore della piattaforma) può assumere sia il ruolo di titolare per taluni trattamenti che di responsabile per altri trattamenti.
In ragione di ciò, è fondamentale che, una volta definiti i ruoli di protezione dati dei diversi soggetti, essi siano correttamente rappresentati agli interessati, in quanto ciò si riflette non solo nella individuazione delle corrette basi giuridiche del trattamento e sull’imputazione delle rispettive responsabilità, ma anche sugli obblighi di trasparenza che sono alla base della autodeterminazione informativa degli interessati.
7 – Trattamento dati: il principio di correttezza e trasparenza e le informazioni da rendere agli interessati
In ossequio al principio di trasparenza devono risultare chiare, prima che il trattamento abbia inizio, in particolare sia le finalità perseguite, che le distinte e corrispondenti basi giuridiche del trattamento.
La disponibilità di queste informazioni è infatti fondamentale per ottenere il consenso al trattamento dei dati personali dell’utente, laddove necessario, che può ritenersi valido solo se l’interessato è stato previamente informato in merito agli elementi chiave del trattamento dei dati e quindi consapevole delle scelte in materia di trattamento dei dati che sta effettuando attraverso la manifestazione del consenso.
Inoltre, si dovrebbe comunicare agli utenti con un linguaggio semplice e chiaro se i dati potranno essere riutilizzati da terzi e in tal caso per quali scopi.
Tenuto conto che tali piattaforme sono principalmente accessibili tramite un sito internet e che i trattamenti effettuati mediante le stesse perseguono molteplici finalità, è raccomandato l’uso di informative stratificate o progressive, che consentano agli utenti di consultare le specifiche sezioni di interesse.
8 – Trattamento dati effettuato al di fuori del territorio nazionale
Le piattaforme in esame, nella maggior parte dei casi, sono gestite da soggetti non sempre stabiliti in Italia. Il trattamento svolto può pertanto assumere la natura di trattamento transfrontaliero.
La natura transfrontaliera del trattamento deve essere portata a conoscenza degli interessati prima che il trattamento abbia inizio, assieme agli elementi indicati al precedente punto 7; ciò al fine di renderli edotti della circostanza che la presentazione del reclamo presso altre Autorità (c.d. Autorità interessata), comporta da parte di quest’ultima l’avvio della procedura di cooperazione tra l’Autorità di controllo capofila e le altre Autorità interessate.
9 – Il principio di Privacy by design nel trattamento dati
In base al principio della “protezione dei dati fin dalla progettazione”, il titolare del trattamento è tenuto ad attuare i principi di protezione dei dati adottando misure tecniche e organizzative adeguate e integrando nel trattamento dati le necessarie garanzie per tutelare i diritti e le libertà degli interessati.
10 – La sicurezza del trattamento dati
Con riferimento ai trattamenti in esame, il titolare deve porre particolare attenzione ad individuare misure tecniche e organizzative volte a ridurre il rischio di distruzione, perdita, modifica, divulgazione non autorizzata o accesso, in modo accidentale o illegale, ai dati personali trasmessi, conservati o comunque trattati.
I proprietari/gestori delle piattaforme dovranno inoltre prevedere, a titolo esemplificativo e non esaustivo, le seguenti misure:
a) procedura di adesione alla piattaforma da parte dello specialista che preveda la verifica del possesso della qualifica professionale (es. invio di un codice OTP all’indirizzo PEC – censito su INI-PEC- del medesimo professionista)
b) procedura di verifica/convalida del dato di contatto scelto dall’utente (es. indirizzo di posta elettronica, numero di cellulare);
c) misure volte alla riduzione degli errori di omonimia/omocodia
d) procedure di autenticazione informatica a più fattori
e) meccanismi di blocco della app in caso di inattività (es. time out) o di chiusura della medesima
f) sistemi di monitoraggio anche automatici per rilevare accessi non autorizzati o anomali alle piattaforme.
Il Garante, infine, ricorda che eventuali cookies e altri strumenti di tracciamento non strettamente necessari alla fornitura del servizio possono essere utilizzati a condizione che l’utente abbia espresso il proprio consenso e sia stato adeguatamente informato.
