L’invio di referti via email tra semplificazione e tutele: il consenso non esclude la sicurezza
Share
L'invio di referti, analisi e altra documentazione sanitaria tramite posta elettronica è una prassi consolidata per molti studi medici, laboratori e farmacie. Questa modalità di comunicazione è apprezzata per la sua immediatezza ed efficienza, ma nasconde insidie significative per la protezione dei dati personali. Le informazioni sanitarie rientrano nelle "categorie particolari di dati personali" ai sensi dell'articolo 9 del Regolamento Generale sulla Protezione dei Dati (GDPR) — espressione che ha sostituito la vecchia dizione di dati "sensibili" — e sono soggette a un regime di tutela fortemente rafforzato.
Nonostante ciò, la gestione quotidiana di queste comunicazioni avviene spesso senza l'adozione di misure di sicurezza adeguate, esponendo pazienti e professionisti a rischi non trascurabili. Errori nell'inserimento dell'indirizzo del destinatario, l'assenza di tecniche di cifratura, l'inoltro incontrollato dei messaggi e una conservazione non sicura sono solo alcuni esempi di vulnerabilità che possono compromettere la riservatezza delle informazioni.
Il Quadro Normativo di Riferimento
La disciplina in materia di protezione dei dati personali impone al titolare del trattamento (come uno studio medico o una farmacia) di adottare misure tecniche e organizzative adeguate per garantire un livello di sicurezza proporzionato al rischio. L'articolo 32 del GDPR stabilisce che, nel valutare l'adeguatezza delle misure, si deve tener conto in special modo dei rischi derivanti dalla divulgazione non autorizzata o dall'accesso accidentale o illecito a dati personali.
I dati relativi alla salute, per la loro natura intrinsecamente delicata, richiedono una protezione maggiore, poiché il loro trattamento può creare rischi significativi per i diritti e le libertà fondamentali degli individui. Questo principio è rafforzato dall'articolo 25 del GDPR, che introduce i concetti di privacy by design (protezione fin dalla progettazione) e privacy by default (protezione per impostazione predefinita), obbligando i titolari a integrare le garanzie necessarie nel trattamento fin dalla sua configurazione. Anche la giurisprudenza di legittimità ha da tempo sottolineato che i dati idonei a rivelare lo stato di salute devono essere trattati con modalità organizzative e tecniche, come la cifratura, volte a blindare la riservatezza dell'interessato.
Le Linee Guida del Garante per la Privacy
Già nel 2009, l'Autorità Garante per la protezione dei dati personali ha emanato le "Linee guida in tema di referti on-line", che rimangono un pilastro interpretativo fondamentale. Tali linee guida, applicabili anche alle strutture sanitarie private, delineano precise cautele da osservare qualora si intenda inviare una copia del referto alla casella di posta elettronica dell'interessato, su sua specifica richiesta:
- Modalità di invio: Il referto deve essere trasmesso unicamente come allegato a un messaggio e-mail e mai inserito come testo nel corpo del messaggio.
- Protezione del file: Il file allegato (es. PDF) deve essere protetto con modalità idonee a impedirne l'acquisizione illecita da parte di terzi. Tali modalità consistono tipicamente nell'utilizzo di una password forte per l'apertura del file o di una chiave crittografica. La password o la chiave devono essere comunicate all'interessato attraverso un canale di comunicazione differente da quello utilizzato per la spedizione del referto (ad esempio tramite SMS o di persona).
- Verifica del canale: È necessaria una procedura di convalida dell'indirizzo e-mail fornito dal paziente per evitare l'invio a destinatari errati.
Il Consenso dell'Interessato non Esime dalla Sicurezza
Una questione a lungo controversa ha riguardato la possibilità di derogare all'obbligo di protezione del file qualora l'interessato ne facesse "espressa e consapevole richiesta", una dicitura presente nelle vecchie Linee Guida del 2009. Molte strutture sanitarie hanno interpretato erroneamente questa facoltà come un'esenzione totale dagli obblighi di sicurezza, limitandosi a raccogliere un modulo di consenso informato in cui il paziente accettava di ricevere il referto "in chiaro" o senza password per motivi di comodità.
Il Garante per la Privacy ha definitivamente stroncato questa interpretazione abusiva. L'Autorità ha chiarito che l'acquisizione di un consenso alla trasmissione via e-mail dei referti in formato PDF senza l'utilizzo di una password non può essere assimilata a una reale "espressa e consapevole richiesta" del paziente e, soprattutto, non solleva in alcun modo il titolare del trattamento dall'obbligo di garantire la sicurezza dei dati ai sensi dell'articolo 32 del GDPR.
In virtù del principio di accountability, il titolare ha il dovere non delegabile di valutare costantemente l'adeguatezza del livello di sicurezza dei propri sistemi alla luce dell'evoluzione tecnologica. Di conseguenza, la semplice annotazione verbale dell'indirizzo e-mail o la sua indicazione in fattura, sebbene utili nell'organizzazione interna, non sono misure sufficienti a mitigare il rischio informatico connesso ai dati sanitari.
Misure Tecniche e Organizzative Indispensabili
Per gestire correttamente la refertazione via e-mail, le strutture sanitarie devono implementare un approccio sinergico:
- Sotto il profilo tecnico: La soluzione standard deve prevedere la cifratura dell'allegato con invio separato delle credenziali di sblocco (es. tramite SMS o sistema OTP).
- Sotto il profilo organizzativo: È obbligatorio che il personale autorizzato al trattamento (segreteria, medici, infermieri) riceva una formazione specifica sui rischi digitali e sulle procedure interne [D.Lgs. 196/2003 e ss.mm.ii.]. Le istruzioni per gli incaricati devono essere formalizzate per iscritto.
- Gestione degli incidenti: La struttura deve predisporre una procedura interna per la gestione delle violazioni dei dati (data breach), fondamentale per intervenire tempestivamente e notificare l'evento al Garante e agli interessati entro i termini di legge in caso di smarrimento o invio errato.
- Adempimenti formali: L'intero processo di refertazione online deve essere mappato e documentato all'interno del Registro delle attività di trattamento (art. 30 del GDPR), e preceduto da una Valutazione di Impatto sulla Protezione dei Dati (DPIA) qualora l'invio avvenga su larga scala tramite nuove piattaforme tecnologiche.
Conclusioni: Un Equilibrio tra Efficienza e Tutela
In conclusione, sebbene la posta elettronica rappresenti uno strumento indispensabile per snellire il rapporto con l'utenza, il suo utilizzo per la trasmissione di dati sanitari non ammette leggerezze. La firma di un modulo di consenso da parte del paziente non è una scappatoia legale per eludere gli standard di sicurezza informatica. Il medico, lo studio o la farmacia, in quanto titolari del trattamento, mantengono la piena responsabilità della protezione del dato. Solo attraverso l'adozione sistematica della cifratura degli allegati e la scomposizione dei canali di invio (e-mail per il documento, un altro mezzo per la password) è possibile conciliare la legittima richiesta di efficienza operativa con il diritto fondamentale del paziente alla riservatezza del proprio stato di salute.