Dossier sanitario elettronico e privacy dei pazienti
Il Garante chiede al S. Orsola Malpighi di migliorare le modalità di raccolta e di consultazione dei dati sanitari
Il Garante privacy nell'ambito delle attività di controllo sui dossier sanitari elettronici ha prescritto [doc. web n. 3570631] all'Azienda ospedaliero universitaria S. Orsola Malpighi di Bologna una serie di misure per mettersi in regola con le norme sulla protezione di dati sanitari.
L'Azienda dovrà adottarle al più presto, e comunque non oltre il 31 marzo 2015. Dall'ispezione svolta dal Garante, a seguito delle segnalazioni di alcuni pazienti, sono emerse infatti gravi violazioni da parte dell'Azienda ospedaliera. I dossier sanitari (le raccolte in formato digitale dei dati dei pazienti in cura presso il presidio), oltre un milione, erano stati costituiti senza il consenso informato del paziente. Ed erano inoltre liberamente consultabili da più di mille operatori sanitari tramite il sistema informatico di archiviazione e refertazione delle prestazioni sanitarie: bastava inserire anche solo porzioni di nome e cognome, date di nascita, o Cap di residenza per accedervi. Procedure del tutto in contrasto sia con il Codice privacy sia con le Linee guida del Garante che fin dal 2009 stabiliscono regole chiare in materia di dossier sanitario: al paziente deve essere consentito di scegliere in piena libertà se far costituire o meno un dossier sanitario con tutte o solo con alcune delle informazioni sanitarie che riguardano lo stesso; deve poter manifestare un consenso autonomo e specifico, distinto da quello che presta a fini di cura; gli deve essere inoltre garantita la possibilità di "oscurare" la visibilità di alcuni eventi clinici.
Il paziente, inoltre, deve essere adeguatamente informato: con un linguaggio comprensibile e dettagliato, l'informativa deve indicare chi ha accesso ai suoi dati e che tipo di operazioni può compiere.
Il Garante ha dunque prescritto all'Azienda sanitaria che, fin quando il paziente non avrà espresso il consenso alla costituzione del dossier, i dati relativi alle prestazioni sanitarie erogate dall'Azienda siano resi disponibili solo al medico e al reparto che lo ha in cura. L'Azienda, inoltre, dovrà acquisire consensi ad hoc del paziente sia per far confluire nel dossier sanitario le informazioni relative a eventi clinici pregressi, sia per inserire quelle relative alle prestazioni erogate a seguito di atti di violenza o di pedofilia, sieropositività, uso di sostanze stupefacenti, interruzione di gravidanza. L'Azienda, infine, dovrà garantire al paziente la possibilità di oscurare eventi clinici, presenti nel dossier, che desidera non siano immediatamente visibili.
Il provvedimento del Garante è stato inviato alla Regione Emilia Romagna affinché lo renda noto alle altre aziende del servizio sanitario regionale.
NEWSLETTER N. 396 del 28 novembre 2014