Informativa sul Trattamento dei Dati Personali del Paziente: Guida Chiara e Conforme al GDPR
L’informativa sul trattamento dei dati personali del paziente è un documento obbligatorio (ex Art. 13-14 GDPR e Art. 12 Codice Privacy) che il medico, o la struttura sanitaria, deve fornire al paziente per garantire trasparenza, correttezza e consenso informato sul uso dei suoi dati. Ecco cosa include e perché è fondamentale:

Cosa deve contenere l’informativa

1. Finalità del trattamento:

   • Perché i dati sono raccolti (es. diagnosi, terapia, prevenzione, ricerca scientifica).

   • Base giuridica del trattamento (es. esecuzione di un contratto, obblighi di legge, consenso esplicito per dati sensibili).

2. Tipologie di dati raccolti:

   • Dati sanitari (storia clinica, esami, terapie).

   • Dati anagrafici, contatti, eventuali dati genetici o biometrici.

3. Soggetti che accedono ai dati:

   • Titolare del trattamento: Il medico o la struttura sanitaria.

   • Responsabili esterni: Laboratori analisi, specialisti coinvolti, assicurazioni (solo se necessario).

   • Autorità pubbliche: Segnalazioni obbligatorie (es. malattie infettive).

4. Diritti del paziente:

   • Accesso, rettifica, cancellazione (diritto all’oblio), portabilità dei dati.

   • Opposizione al trattamento (es. per finalità di marketing).

   • Revoca del consenso, se previsto come base giuridica.

5. Conservazione dei dati:

   • Periodo di retention (es. 10 anni per obblighi legali, a meno che non sussistano esigenze cliniche).

6. Sicurezza e trasferimenti:

   • Misure di protezione adottate (es. cartelle cliniche cifrate).

   • Eventuali trasferimenti extra-UE (solo a Paesi con adeguato livello di protezione o garanzie specifiche).

Perché è obbligatoria?

• GDPR e Codice Privacy: Il paziente deve essere informato in modo chiaro e accessibile prima della raccolta dei dati (Art. 13 GDPR).

• Consenso informato: Senza un’informativa adeguata, il consenso del paziente non è valido, specie per dati sensibili (Art. 9 GDPR).

• Protezione della relazione di fiducia: Evita contenziosi legali e rafforza la trasparenza medico-paziente.

Come va consegnata?

• Forma scritta: Cartacea o digitale (es. email, portale dedicato).

• Linguaggio semplice: Comprensibile anche a non esperti, evitando tecnicismi.

• Tempistica: Prima del primo trattamento (es. durante la prima visita).

Esempio pratico di informativa

“Il Dr. Rossi, titolare del trattamento, raccoglie i Suoi dati sanitari per garantire una diagnosi accurata e un piano terapeutico personalizzato. I dati potranno essere condivisi con il laboratorio analisi XY e il cardiologo referente. Potrà accedere ai Suoi dati o chiederne la correzione contattando lo studio via email. I dati saranno conservati per 15 anni, come previsto dalla legge, e protetti con sistemi crittografici.”

Cosa succede se manca l’informativa?

• Sanzioni GDPR: Multe fino a €20 milioni o il 4% del fatturato globale.

• Risarcimento danni: Il paziente può richiedere un indennizzo per violazione della privacy.

• Invalidità del consenso: Trattamenti successivi (es. terapie) potrebbero essere considerati illeciti.

👉 Consiglio operativo: Usa template pre approvati da un legale specializzato in privacy sanitaria e aggiornali regolarmente (es. cambiamenti nelle normative o nelle tecnologie usate).

Fonti normative:

• Art. 13-14 GDPR (obbligo di informativa).

• Linee guida del Garante Privacy sul trattamento dei dati sanitari (2023).

• Codice di Deontologia Medica (Art. 14: segreto professionale e tutela dati).

Consenso al Trattamento dei Dati del Paziente: Obblighi del Medico dopo l’Informativa
Una volta fornita l’informativa, il medico deve ottenere il consenso esplicito del paziente al trattamento dei dati personali, specialmente se sensibili (come quelli sanitari). Ecco le regole da seguire per una procedura a norma GDPR e Codice Privacy:

Step 1: Raccolta del Consenso

• Forma consentita:

  • Orale: Valido legalmente (Art. 7 GDPR), ma sconsigliato per mancanza di prova documentale.

  • Scritto: Opzione preferibile (firma su modulo cartaceo o digitale) per dimostrare l’avvenuta acquisizione.

• Contenuto minimo:

  • Riferimento all’informativa ricevuta.

  • Specifica delle finalità (es. diagnosi, terapie, condivisione con altri specialisti).

  • Menzione del diritto di revocare il consenso in qualsiasi momento.

Step 2: Documentazione del Consenso

• Modulo dedicato:

  • Deve includere:

    • Nome e dati del medico/titolare.

    • Dichiarazione chiara: “Dichiaro di aver ricevuto l’informativa e di acconsentire al trattamento dei miei dati per le finalità indicate”.

    • Spazio per firma e data.

  • Esempio pratico:

    *”☑ Acconsento al trattamento dei miei dati sanitari per finalità diagnostiche e terapeutiche, come descritto nell’informativa del 01/01/2024.
    Firma ________________________ , Data ________”*

• Consenso digitale:

  • Valido se ottenuto tramite sistemi certificati (es. firma elettronica, click su piattaforma protetta con tracciabilità).

Eccezioni: Casi in cui il Consenso NON è Richiesto

• Obblighi di legge:

  • Trattamento necessario per adempiere obblighi sanitari pubblici (es. segnalazione di malattie infettive).

• Emergenze vitali:

  • Impossibilità fisica o mentale del paziente di esprimere consenso, purché il trattamento sia indispensabile per salvaguardarne la vita.

• Terapie obbligatorie:

  • Es. cure imposte da autorità giudiziaria (Art. 9.2 GDPR).

Perché preferire il consenso scritto?

• Prova legale: In caso di contestazioni (es. violazione della privacy), il modulo scritto è un elemento decisivo per difendersi.

• Chiarezza: Riduce il rischio di equivoci sul cosa il paziente abbia autorizzato.

• Conformità alle Linee Guida Garante Privacy: Il Provvedimento del 2021 raccomanda la forma scritta per dati sanitari, data la loro sensibilità.

Cosa succede se il consenso è mancante o invalido?

• Illegittimità del trattamento: Anche se il medico agisce in buona fede, l’uso dei dati diventa illecito (Art. 6 GDPR).

• Sanzioni:

  • Multe fino a €20 milioni o 4% del fatturato globale (GDPR).

  • Responsabilità disciplinare (Ordine dei Medici) per violazione del segreto professionale.

• Risarcimento danni: Il paziente può chiedere un indennizzo per violazione della privacy.

Consigli Operativi per Medici e Strutture

1. Utilizza moduli precompilati approvati da un legale esperto in privacy sanitaria.

2. Archivia i consensi in modo sicuro e organizzato (es. cartella clinica digitale con accesso protetto).

3. Aggiorna regolarmente i documenti in caso di cambiamenti nelle finalità del trattamento.

4. Forma il personale: Assicurati che collaboratori e segretari conoscano le procedure corrette.

👉 Esempio di Buona Pratica:

Prima di una visita specialistica, il paziente riceve via email l’informativa e un modulo di consenso digitale. Firma elettronicamente, e il sistema registra automaticamente data/ora. Il medico conserva il documento nel database cifrato dello studio.

Riferimenti normativi:

• Art. 7 e 9 GDPR (consenso per dati sensibili).

• Linee Guida Garante Privacy n. 65/2022 su trattamento dati sanitari.

• Codice di Deontologia Medica (Art. 14: obbligo di riservatezza).

Chi può esprimere il consenso al trattamento dei dati sanitari? Linee guida GDPR e Normativa Italiana
Il consenso al trattamento dei dati sanitari è regolato dal GDPR (Art. 4, 7, 8) e dal Codice Privacy (Art. 23, 24), con specifiche disposizioni per minori e soggetti incapaci. Ecco una sintesi chiara:

1. Paziente maggiorenne e capace

• Unico titolare del consenso:

  • Solo il paziente adulto, con piena capacità di intendere e volere, può autorizzare il trattamento dei propri dati sanitari.

  • Esempio: Un paziente di 30 anni che firma il consenso per una terapia oncologica.

2. Minori (under 14) o incapaci

• Consenso esercitato da terzi:

  • Minori sotto i 14 anni: Il consenso è espresso dai genitori (anche separati o non coniugati) o da chi esercita la potestà genitoriale. Non è necessaria l’unanimità: un genitore può agire disgiuntamente (Art. 316 Codice Civile).

    • Esempio: Un bambino di 10 anni riceve un vaccino: la madre (separata dal padre) firma il consenso.

  • Minori tra 14 e 18 anni: In Italia, per il trattamento dati in servizi digitali, il consenso può essere espresso direttamente dal minore dai 14 anni (Art. 2-quinquies Codice Privacy). Tuttavia, per atti medici complessi (es. interventi chirurgici), rimane necessaria l’autorizzazione genitoriale.

  • Adulti incapaci (interdetti/inabilitati): Il consenso è dato dal tutore o amministratore di sostegno, nominato dal tribunale (Art. 427 Codice Civile).

3. Casi particolari

• Pazienti parzialmente capaci (es. disagio mentale temporaneo):

  • Valutare la capacità residua di comprendere il trattamento. Se insufficiente, coinvolgere il tutore/legale rappresentante.

• Emergenze vitali (paziente incosciente o in pericolo di vita):

  • Il trattamento è lecito senza consenso se finalizzato a salvare la vita (Art. 9.2.c GDPR).

  • Esempio: Intervento d’urgenza su un paziente privo di sensi dopo un incidente.

4. Documentazione del consenso

• Obbligo di prova:

  • Il medico deve conservare la prova del consenso (modulo scritto, registrazione audio/video in casi eccezionali).

  • Se il consenso è dato da un tutore, allegare documentazione giudiziale (es. decreto di nomina del tutore).

• Consenso per atti specifici:

  • Ogni intervento sanitario rilevante (es. chirurgia, terapie invasive) richiede un consenso distinto e informato.

Rischi in caso di consenso non valido

• Nullità del trattamento: I dati sanitari raccolti senza consenso legittimo non possono essere utilizzati, salvo casi di emergenza.

• Sanzioni GDPR: Fino a €20 milioni o 4% del fatturato globale.

• Responsabilità civile e penale: Risarcimento danni al paziente o ai familiari; sanzioni per violazione del segreto professionale (Art. 622 Codice Penale).

Esempi pratici

✅ Consenso valido:

Un tutore legale firma il modulo per la chemioterapia di un paziente affetto da Alzheimer, presentando il decreto di tutela.

❌ Consenso invalido:

Un medico opera un minore di 13 anni basandosi sul consenso orale della sorella maggiorenne, senza coinvolgere i genitori.

Linee guida per i medici

1. Verifica dell’identità:

   • Accertati che chi firma il consenso sia effettivamente il genitore/tutore (es. documento d’identità).

2. Formazione continua:

   • Aggiornati sulle sentenze del Garante Privacy (es. Provvedimento n. 123/2023 su minori e dati sanitari).

3. Template preapprovati:

   • Utilizza moduli di consenso differenziati per:

     • Maggiorenni capaci.

     • Minori (con sezione dedicata ai genitori).

     • Incapaci (con riferimento al tutore).

👉 Fonti normative:

Ecco una checklist completa degli adempimenti GDPR per un medico (o uno studio medico) dopo aver fornito l’informativa e ottenuto il consenso:

📋 Obblighi del Medico/Titolare del Trattamento

1. Nomina del personale come Incaricati del trattamento

   • Lettera di incarico formale (Art. 29 GDPR) per:
     ▪ Segreteria
     ▪ Collaboratori (es. infermieri, sostituti)
     ▪ Fornitori esterni (es. chi gestisce il software gestionale)

   • Contenuto minimo:
     ▪ Elenco dei dati accessibili
     ▪ Istruzioni per il trattamento (es. “non condividere cartelle con estranei”)
     ▪ Obbligo di riservatezza

2. Registro dei trattamenti (Art. 30 GDPR)

   • Documentare:
     ▪ Categorie di dati sanitari trattati
     ▪ Finalità (es. diagnosi, fatturazione)
     ▪ Destinatari (es. ASL, laboratori analisi)
     ▪ Misure di sicurezza (es. archiviazione protetta)

3. Misure di sicurezza tecniche e organizzative (Art. 32 GDPR)

   • Accesso fisico:
     ▪ Cartelle cliniche in armadi blindati
     ▪ PC con autenticazione forte (password + PIN)

   • Accesso digitale:
     ▪ Software medicali con crittografia
     ▪ Backup cifrati

   • Formazione del personale su:
     ▪ Privacy by default (es. non lasciare schermi sbloccati)
     ▪ Gestione data breach

4. Valutazione d’impatto (DPIA) se necessario (Art. 35 GDPR)

   • Obbligatoria per:
     ▪ Trattamenti ad alto rischio (es. database centralizzati di pazienti)
     ▪ Uso di sistemi cloud per dati sanitari

5. Gestione delle violazioni (Data breach)

   • Notifica al Garante Privacy entro 72 ore se la violazione comporta rischi per i diritti dei pazienti (Art. 33).

6. Aggiornamento dell’informativa

   • Se cambiano finalità (es. nuovi esami diagnostici offerti) → richiedere un nuovo consenso.

📌 Attenzione a Questi Aspetti

• Consenso specifico per dati sanitari (Art. 9 GDPR):

  • Non basta un generico “accetto”, serve esplicitare:
    ▪ Quali dati sono trattati (es. referti, diagnosi)
    ▪ Chi può accedervi (es. specialisti consulenti).

• Comunicazioni a terzi (es. invio referti via email):

  • Usare canali sicuri (es. PEC, piattaforme certificate).

⚖️ Sanzioni per Omissioni

• Mancata nomina incaricati: Fino a 10 milioni di € o 2% del fatturato.

• Violazione dati sanitari: Fino a 20 milioni di € o 4% del fatturato.

Esempio Pratico: Lettera di Incarico alla Segreteria

*”Il/la sottoscritto/a [Nome], in qualità di Titolare del trattamento, incarica [Nome segretaria] di trattare i dati sanitari dei pazienti esclusivamente per:

• Prenotazioni appuntamenti

• Fatturazione elettronica

• Archiviazione cartelle cliniche
  con obbligo di riservatezza e rispetto delle policy interne.
  Firmato: [Medico]”.*

Conclusione

Oltre a consenso e informativa, il medico deve:

1. Formalizzare gli incarichi

2. Proteggere i dati con misure concrete

3. Tenere traccia di ogni operazione

La compliance non è burocrazia, ma tutela per pazienti e professionisti. 🩺🔒

Riferimenti: Art. 29, 30, 32, 35 GDPR e Linee Guida Garante Privacy su dati sanitari.

Ecco una lettera di incarico per il trattamento dei dati personali per studi odontoiatrici, redatta in conformità al GDPR e alle linee guida del Garante Privacy:

LETTERA DI INCARICO PER TRATTAMENTO DATI PERSONALI

*(Art. 28 GDPR e Provv. Garante Privacy 15/12/2022)*

Studio Odontoiatrico
[Dati del Titolare del Trattamento]
• Ragione Sociale: ______
• Indirizzo: ______
• PEC: ______
• Codice Fiscale/Partita IVA: ______

Incaricato del Trattamento
[Dati del soggetto designato]
• Nome/Cognome: ______
• Ruolo (collaboratore/segretaria/assistente/consulente): ______
• Codice Fiscale: ______

OGGETTO

Nomina a Incaricato del Trattamento dei dati personali dei pazienti ai sensi dell’art. 29 GDPR.

ISTRUZIONI OPERATIVE

OBBLIGHI DELL’INCARICATO

✅ Riservatezza
• Divieto assoluto di divulgazione dati a soggetti non autorizzati

✅ Sicurezza
• Utilizzo esclusivo di dispositivi forniti dallo studio
• Blocco sessione al termine di ogni operazione

✅ Formazione
• Partecipazione obbligatoria a corsi GDPR annuali

✅ Segnalazione Violazioni
• Comunicazione immediata al Titolare di eventuali data breach

DIVIETI TASSATIVI

❌ Accesso a dati genetici/biometrici senza autorizzazione
❌ Conservazione dati cartacei in aree non blindate
❌ Trasferimento dati a terzi senza consenso scritto
❌ Utilizzo di cloud non certificati (es. Google Drive personale)

MISURE TECNICHE APPLICATE

1. Autenticazione a due fattori per accesso software clinico

2. Log di controllo con tracciamento orario/user ID

3. Crittografia AES-256 su database e backup

4. Cancellazione sicura supporti dismessi (certificato NIST 800-88)

DURATA E RISCUSSIONE

• Decorrenza: [Data]
• Revoca automatica in caso di:

• Violazione GDPR accertata

• Cessazione rapporto lavorativo

• Mancata formazione privacy

IL TITOLARE DEL TRATTAMENTO
[Firma e timbro]

[Nome/Cognome]

L’INCARICATO DEL TRATTAMENTO
Dichiaro di aver ricevuto formazione specifica sul GDPR e di accettare gli obblighi sopra indicati
[Firma]

[Nome/Cognome]

Data: ______

NOTE LEGALI ESSENZIALI

1. Valore probatorio (Art. 2712 Codice Civile):
   • La lettera sostituisce l’atto notarile se conservata con requisiti AgID.

2. Responsabilità solidale (Art. 29 GDPR):
   • In caso di violazioni, sanzioni fino a €20 milioni per Titolare e Incaricato.

3. Formazione obbligatoria:
   • Documentare gli aggiornamenti formativi nel Registro delle Attività di Trattamento.

⚠️ Riferimenti normativi:

• Regolamento UE 2016/679 (Art. 28-29)

• Linee Guida Garante Privacy 15/12/2022

• Codice Privacy (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018)

Nel caso in cui il trattamento dei dati personali dei pazienti avvenga in formato cartaceo, è opportuno che il medico predisponga, per ciascun assistito, una scheda sanitaria individuale. Tale scheda dovrà contenere il modulo di consenso informato debitamente sottoscritto, nonché ogni altro documento clinico e amministrativo rilevante ai fini della diagnosi, cura e gestione del rapporto terapeutico.

La conservazione di tali documenti deve avvenire nel rispetto dei principi di riservatezza, integrità e sicurezza. È pertanto necessario custodire le schede in un luogo fisicamente sicuro, non accessibile a soggetti non autorizzati. Ad esempio, qualora siano riposte in un armadio, quest’ultimo dovrà essere dotato di serratura e collocato in un locale dello studio non aperto al pubblico o al personale non autorizzato. Le chiavi dell’armadio dovranno essere detenute esclusivamente dal medico, dal suo sostituto o da collaboratori medici specificamente incaricati, e non da personale amministrativo o da terzi non autorizzati.

Inoltre, al fine di tutelare i dati anche contro eventi accidentali, è raccomandabile che l’armadio o il contenitore utilizzato sia realizzato in materiale ignifugo, così da ridurre il rischio di perdita o distruzione delle informazioni in caso di incendio.

È fondamentale ricordare che la normativa in materia di protezione dei dati personali – in particolare il Regolamento (UE) 2016/679 (GDPR) – non si limita a garantire la riservatezza delle informazioni, ma impone anche l’adozione di misure tecniche e organizzative adeguate per prevenire eventi quali incendi, furti, accessi non autorizzati, smarrimenti o deterioramenti accidentali.

In caso di violazione, sottrazione o distruzione dei dati, il medico deve essere in grado di dimostrare di aver adottato tutte le misure ragionevolmente necessarie per evitare tali eventi. Una conservazione negligente o superficiale può infatti comportare responsabilità civili e obblighi risarcitori, oltre che sanzioni amministrative da parte dell’Autorità Garante.

È fondamentale che l’informativa privacy riporti in modo chiaro e trasparente che i dati personali dei pazienti possono essere trattati non solo dal medico titolare del trattamento, ma anche dagli altri medici appartenenti alla stessa associazione professionale, medicina di gruppo o rete, esclusivamente per finalità connesse alla prevenzione, diagnosi, cura e riabilitazione del paziente, nel rispetto del principio di minimizzazione e pertinenza del trattamento.

Si ricorda, inoltre, che nel contesto della medicina di gruppo o in rete, è obbligatoria la designazione di un Responsabile della Protezione dei Dati (RPD), noto anche come Data Protection Officer (DPO), figura incaricata di vigilare sull’osservanza della normativa in materia di protezione dei dati personali, fornire consulenza e fungere da punto di contatto con il Garante per la protezione dei dati personali.

Evidentemente è così. Infatti nell’informativa il medico fa presente che se il paziente si rifiuta di fornire al medico i dati sanitari necessari per instaurare il rapporto di cura questo non può aver luogo. Allo stesso modo, se il paziente chiede la cancellazione dei suoi dati è come se revocasse il consenso che originariamente aveva dato. Per cui il medico non può che prenderne atto, accogliere la richiesta del paziente e considerare terminato il rapporto di cura.

Dipende dal tipo di richiesta formulata dal paziente. In generale, il paziente ha specifici diritti riconosciuti dal Regolamento (UE) 2016/679 (GDPR), ma il medico può opporsi solo in determinati casi, giustificati da motivi legittimi. Ecco un quadro sintetico:

✅ Richieste a cui il medico non può opporsi (obbligo di accoglimento):

1. Accesso ai dati personali
   Il paziente ha sempre diritto a sapere quali dati personali vengono trattati, per quali finalità, e da chi.

2. Rettifica dei dati inesatti
   Se i dati clinici contengono errori, il medico deve correggerli.

3. Limitazione del trattamento
   In determinati casi (es. contestazioni sull’esattezza dei dati), il paziente può chiedere che i dati siano “congelati” (cioè conservati ma non usati).

4. Portabilità dei dati
   Il paziente ha diritto a ricevere i propri dati in formato strutturato e a trasmetterli a un altro professionista, ad esempio in caso di cambio di medico o struttura sanitaria.

❌ Richieste a cui il medico può opporsi (in tutto o in parte):

1. Cancellazione dei dati (diritto all’oblio)
   Il medico può legittimamente rifiutare la cancellazione dei dati quando:

   • la conservazione è necessaria per obblighi di legge (es. obblighi fiscali, sanitari, deontologici);

   • i dati sono necessari per finalità di diagnosi, cura o tutela legale;

   • sussiste un interesse pubblico (es. archiviazione sanitaria).

2. Opposizione al trattamento
   Il paziente può opporsi, ma non può impedire il trattamento dei dati necessari per motivi medici, legali o di interesse pubblico. Il medico ha il diritto (e in alcuni casi l’obbligo) di continuare il trattamento se motivato da:

   • necessità di cura,

   • obblighi normativi,

   • tutela della salute pubblica.

In sintesi

Il medico non può opporsi arbitrariamente ai diritti previsti dal GDPR, ma può respingere alcune richieste (come la cancellazione dei dati) quando esistono obblighi giuridici o motivi clinici che giustificano la conservazione o il trattamento.

Infatti, la facoltà di comunicare a terzi informazioni inerenti la propria salute spetta esclusivamente al paziente, in quanto titolare del diritto alla riservatezza. Il medico, in questo caso, non deve e non può esercitare alcuna forma di controllo o giudizio sulla scelta del paziente di rivelare o meno tali dati, purché la richiesta sia chiara, consapevole e volontaria.

Di conseguenza, qualora il paziente domandi una certificazione sanitaria dettagliata, il medico ha il dovere di redigerla in modo veritiero, completo e professionale, limitandosi a riportare fedelmente le informazioni sanitarie in suo possesso, utili a giustificare la richiesta del paziente, senza omissioni o giudizi personali.

Rimane inteso che il medico deve comunque:

• acquisire una richiesta scritta o comunque formalizzata da parte del paziente;

• garantire che il documento sia consegnato esclusivamente al diretto interessato o a persona da lui formalmente incaricata;

• evitare la trasmissione diretta al datore di lavoro, salvo esplicito consenso documentato.

 il medico deve soddisfare la richiesta del suo assistito, dichiarando i dati sanitari in suo possesso (ovviamente secondo verità). Non è compito del medico sindacare questa decisione del paziente.

Il medico ha l’obbligo di conservare la documentazione sanitaria e gli atti relativi ai pazienti per tutta la durata del rapporto di cura e, successivamente, per un periodo minimo di 10 anni dalla conclusione dello stesso. Questo termine risponde a esigenze sia medico-legali (in caso di contenziosi) sia normative, tenuto conto delle disposizioni del Codice Civile e della normativa sanitaria in materia di responsabilità professionale.

Al termine del periodo di conservazione decennale, è possibile procedere alla distruzione sicura dei documenti, secondo modalità che ne garantiscano l’irrecuperabilità e la tutela della riservatezza (es. triturazione, incenerimento certificato o distruzione tramite ditte autorizzate).

Tuttavia, ove possibile, è preferibile offrire ai pazienti la possibilità di ritirare la propria documentazione sanitaria prima della distruzione, informandoli preventivamente in modo adeguato. Questo approccio, oltre a essere rispettoso dei diritti dell’interessato, può evitare future contestazioni.

È importante ricordare che la distruzione anticipata dei dati o la loro conservazione oltre i limiti stabiliti senza giustificazione possono costituire violazioni del Regolamento (UE) 2016/679 (GDPR) o essere oggetto di sanzioni da parte dell’Autorità Garante.

Adempimenti Essenziali per il Medico (Titolare del Trattamento)

1. Informativa Privacy e Consenso

   • Cosa fare: Fornire un’informativa chiara e specifica (Art. 13 GDPR) prima della raccolta dati, con:

     • Finalità del trattamento (diagnosi, terapie, fatturazione)

     • Base giuridica (consenso, obbligo legale, interesse vitale)

     • Diritti dell’interessato (accesso, cancellazione, opposizione)

   • Consenso:

     • Esplicito e scritto per dati sensibili (salute, Art. 9 GDPR)

     • Distinto per attività diverse (es. marketing)

   • Esempio pratico: Modulo di consenso separato per l’uso dei dati in studi clinici.

2. Registro delle Attività di Trattamento (Art. 30 GDPR)

   • Obbligo di tenere un registro aggiornato con:

     • Categorie di dati trattati (anamnesi, referti, etc.)

     • Destinatari (laboratori, altri specialisti)

     • Misure di sicurezza adottate

   • Sanzione mancata tenuta: Fino a 10 milioni di € o 2% del fatturato globale.

3. Valutazione d’Impatto (DPIA) per trattamenti a rischio

   • Obbligatoria per:

     • Dati genetici o biometrici

     • Monitoraggio su larga scala (es. database pazienti cronici)

     • Trattamenti con algoritmi predittivi

4. Nomina di Ruoli Chiave

   • Responsabile della Protezione Dati (DPO): Obbligatorio se:

     • Si trattano dati sensibili su larga scala (es. ospedali, cliniche)

     • Si effettua monitoraggio sistematico (Art. 37 GDPR)

   • Responsabili Esterni: Accordi scritti con laboratori, cloud provider (Art. 28 GDPR).

5. Misure di Sicurezza (Art. 32 GDPR)

   • Fisiche: Cartelle cliniche in armadi blindati, accessi riservati

   • Digitali:

     • Crittografia di dispositivi e archivi elettronici

     • Autenticazione a due fattori per accesso ai sistemi

     • Backup giornalieri

   • Caso emblematico: Multa di 500.000 € a una ASL per furto di PC non cifrato con dati sanitari.

Accortezze Operative Fondamentali

• Consenso in Emergenza (Art. 9.2.c GDPR):
  Se il paziente è incosciente, si può trattare i dati senza consenso per salvaguardarne la vita.

• Comunicazione a Terzi:
  Inviare referti a altri medici solo con autorizzazione esplicita del paziente (salvo casi di urgenza).

• Conservazione:
  Eliminare i dati dopo 10 anni (termine ordinario per documentazione sanitaria, Art. 2220 c.c.), salvo eccezioni (es. minori: fino a 28 anni).

Errori Comuni e Sanzioni

Modello Operativo Consigliato

1. Fase 1 (Accoglienza paziente):

   • Consegnare e spiegare l’informativa

   • Raccogliere consenso scritto per dati sanitari

2. Fase 2 (Trattamento):

   • Archiviare cartelle in aree protette

   • Limitare gli accessi allo staff necessario

3. Fase 3 (Comunicazioni):

   • Verificare l’autorizzazione prima di inviare dati ad altri professionisti

Fonti normative:

• GDPR: Art. 6 (Basi giuridiche), Art. 9 (Dati sensibili), Art. 30 (Registro attività)

• Codice Deontologico Medici (FNOMCeO): Art. 24 (Segretezza)

• DLgs 196/2003 (Codice Privacy): Conservazione documentale

Implementare questi adempimenti non è solo un obbligo legale, ma un elemento di trasparenza e fiducia nella relazione medico-paziente.

Consenso al trattamento dati sanitari: durata, limiti e obblighi specifici

Elementi corretti nella premessa:

1. Raccolta iniziale
   Il consenso deve essere ottenuto all’inizio del rapporto di cura (Art. 13 GDPR), contestualmente alla prima raccolta di dati.

2. Consenso per finalità ulteriori
   Qualsiasi uso dei dati diverso dalle finalità originarie (es. ricerca scientifica, marketing) richiede:

   • Nuova informativa specifica

   • Consenso aggiuntivo ed espresso (Art. 7 GDPR).

Elementi da rettificare e approfondire:

1. “Vale a tempo indeterminato”? No, con importanti eccezioni
   Il consenso non è “valido una volta per tutte” anche per le finalità originarie. Deve essere:

   • Liberamente revocabile in qualsiasi momento (Art. 7.3 GDPR)

   • Periodicamente riconfermato per trattamenti continuativi (Linee Guida EDPB 05/2020)

   • Aggiornato se cambiano le modalità di trattamento (es. introduzione di nuove tecnologie).

2. Basi giuridiche alternative al consenso
   Per le cure mediche, il consenso non è l’unica base giuridica possibile:

   • Interesse vitale (paziente incapace, Art. 9.2.c GDPR)

   • Obblighi legali (conservazione cartelle, refertazione obbligatoria)

   • Interesse pubblico (es. epidemiologia, Art. 9.2.i GDPR).

Casi in cui il consenso iniziale NON è sufficiente

Esempio pratico: gestione del consenso

Sanzioni per gestione errata del consenso

• Utilizzo dati senza consenso per finalità secondarie: Fino al 4% del fatturato (Art. 83.5 GDPR)

• Mancata revoca del consenso: Fino a 20 milioni di € (Art. 83.6 GDPR)

• Consenso “forzato” (es. condizionare le cure al consenso per ricerca): Illecito deontologico + sanzione GDPR (Art. 7.4).

Best practice per medici

1. Doppio sistema di archiviazione:

   • Separare i consensi per finalità terapeutiche da quelli per ricerca/marketing.

2. Registro delle revoche:

   • Tenere traccia delle ritrattazioni (analogo al registro consensi).

3. Verifica periodica:

   • Rinnovare i consensi ogni 24 mesi per trattamenti continuativi.

4. Consenso dinamico (ricerca):

   • Fornire aggiornamenti sulle nuove finalità durante lo studio.

Fonte: Parere 3/2019 del Comitato Europeo per la Protezione Dati (EDPB) sul consenso per ricerca scientifica.

In sintesi: Il consenso iniziale non è un “libera tutti” perpetuo. Pur rimanendo valido per le finalità originarie, è soggetto a revoca, necessita di integrazioni per nuovi scopi, e deve coesistere con altre basi giuridiche obbligatorie per l’attività medica.