Source: https://www.cybersecurity360.it/legal/privacy-dati-personali/il-gdpr-per-la-casa-di-cura-privata-la-guida-per-gli-adempimenti/
Timestamp: 2020-07-04 18:31:57+00:00
Document Index: 104901384

Matched Legal Cases: ['art. 4', 'art. 12', 'art. 9', 'art. 15', 'art. 17', 'art. 18', 'art. 20', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 7', 'art. 9', 'art. 9', 'art. 6', 'art. 6', 'art. 6', 'art. 32', 'art. 32', 'art. 4', 'art. 32', 'art. 2', 'art. 30', 'art. 35', 'art. 49']

Il GDPR per la casa di cura privata: la guida per gli adempimenti - Cyber Security 360
La casa di cura privata, come qualsiasi struttura sanitaria, soggiace ad una serie di misure previste dal GDPR e in generale a tutte le connesse disposizioni in materia di protezione dei dati personali. Ecco una panoramica su quelli che sono gli adempimenti più rilevanti richiesti dalla normativa privacy europea e nazionale
Anche una casa di cura privata, come qualsiasi struttura sanitaria, deve soggiacere alle misure previste dal GDPR e, più in generale, alle disposizioni in materia di protezione dei dati personali.
Secondo il DPCM 27 giugno 1986, la casa di cura privata si configura come uno stabilimento sanitario gestito da privati, persone fisiche o giuridiche, che provvedono al ricovero ed – eventualmente – all’assistenza sanitaria ambulatoriale e in regime di degenza diurna di cittadini italiani e stranieri a fini di diagnosi, cura e riabilitazione.
Il GDPR per la casa di cura privata: l’accountability del titolare del trattamento
Il GDPR per la casa di cura privata: l’informativa ai pazienti
Il GDPR per la casa di cura privata: i diritti degli interessati
Il GDPR per la casa di cura privata: le basi giuridiche
La formazione del personale autorizzato al trattamento dei dati
Il GDPR per la casa di cura privata: il registro dei trattamenti
La valutazione d’impatto sul trattamento dei dati (DPIA)
Determinando le finalità (es. cura del paziente) e i mezzi del trattamento (es. modalità informatiche), la casa di cura privata opera come Titolare del trattamento dei dati (art. 4 n. 7 del GDPR). Come tale “soggetto del trattamento” la casa di cura privata deve rispettare il “principio di responsabilizzazione” (o di “accountability”) di cui agli artt. 5.2 e 24 del GDPR.
Nel rispetto di tale principio cardine dell’impalcatura europea, la casa di cura privata è pienamente responsabile delle scelte e delle azioni intraprese in materia di trattamento dei dati personali, e deve “darne conto” agli interessati secondo i disposti del GDPR.
La casa di cura privata Titolare del trattamento deve da un lato informare il paziente interessato circa i suoi diritti in materia di trattamento dei dati personali; dall’altro deve agevolare i diritti previsti dal GDPR nel modo più efficace possibile.
Esaminiamo nel presente paragrafo quelli che sono i “diritti informativi” che appartengono al paziente della casa di cura privata (prima del GDPR, ed in costanza della vecchia formulazione del D.lgs. 196/2003, era presente il noto termine “Informativa Privacy”)
Per l’art. 12 del GDPR è necessario che la casa di cura privata utilizzi per tutte le informazioni sul trattamento dei dati ai pazienti interessati:
un linguaggio semplice e chiaro con una forma intellegibile (facilmente comprensibile);
una forma concisa (informazioni brevi e fruibili);
una forma trasparente (e veritiera);
una forma facilmente accessibile (affissioni, modulistiche, presenza su sito web ecc.).
l’identità e i dati di contatto (reali ed aggiornati) del Titolare del trattamento (es. ragione sociale e dati di contatto della casa di cura privata);
i dati di contatto del DPO (obbligatorio per le case di cura private);
le finalità del trattamento (es. trattamento dei dati per finalità di diagnosi, cura e riabilitazione dei pazienti interessati);
la base giuridica utilizzata per il trattamento dei dati (es. il consenso al trattamento dei dati);
i destinatari del trattamento, ossia le persone fisiche, giuridiche, le autorità pubbliche od organismi che ricevono comunicazione dei dati personali. È necessario specificare almeno la categoria di riferimento dei destinatari (es. lo studio commercialista, la Regione ecc.);
il periodo di conservazione dei dati o i criteri utilizzati per determinarne il periodo. È fondamentale stimare diversi periodi di conservazione per le diverse tipologie di dati trattati, in particolar modo per quelli particolari ai sensi dell’art. 9.1 del GDPR (es. dati relativi alla salute, genetici, biometrici ecc.);
i diritti del paziente interessato sui suoi dati personali. Sono esercitati senza alcuna formalità e gratuitamente (salvo richieste reiterate, eccessive o infondate); la casa di cura privata Titolare del trattamento deve ottemperare alle richieste senza ingiustificato ritardo, al massimo entro un mese dal ricevimento delle stesse (prorogato di due mesi in caso di richieste numerose o complesse). Infine si risponde, ove possibile, alle richieste nella stessa loro forma: a richieste cartacee si risponde in maniera cartacea, a richieste elettroniche si risponde in maniera elettronica.
Ai sensi dell’art. 15 del GDPR il paziente interessato ha il diritto di ottenere gratuitamente dalla casa di cura privata Titolare del trattamento la conferma che è in atto – o meno – un trattamento di dati personali che lo riguarda, di ottenere l’accesso a questi dati ed alcune informazioni già previste (e garantite) nelle “informazioni sul trattamento dei dati”.
Ai sensi dell’art. 17 del GDPR il paziente interessato ha il diritto alla cancellazione dei suoi dati:
nel caso il paziente interessato si opponga al trattamento e non vi siano altri motivi legittimi per procedere con lo stesso;
In tutti questi casi la casa di cura privata Titolare del trattamento dovrà procedere alla cancellazione di tali dati (a prescindere se su supporto elettronico o cartaceo) senza ingiustificato ritardo.
vi è un obbligo di legge da rispettare, un compito da svolgere nel pubblico interesse ovvero l’esercizio di pubblici poteri cui può essere investita la casa di cura privata Titolare del trattamento;
vi sono finalità di archiviazione nel pubblico interesse e ricerca scientifica nella misura in cui il diritto alla cancellazione non pregiudichi tali obiettivi;
Ai sensi dell’art. 18 del GDPR il paziente interessato ha il diritto di ottenere la limitazione del trattamento dei dati personali che lo riguardano quando:
il medesimo contesta l’esattezza dei dati personali;
ha necessità di utilizzare i suoi dati per l’accertamento, l’esercizio o la difesa di un suo diritto in sede giudiziaria benché la casa di cura privata Titolare del trattamento non abbia più bisogno di questi dati;
infine, quando si oppone al trattamento dei suoi dati.
Ai sensi dell’art. 20 del GDPR il paziente interessato ha il diritto alla portabilità dei suoi dati, ossia di ricevere dalla casa di cura privata Titolare del trattamento i dati personali che lo riguardano, e ha il diritto di chiedere al Titolare del trattamento di trasmetterli ad altro Titolare (es. un’altra struttura sanitaria).
La casa di cura privata Titolare del trattamento deve consegnare i dati – o trasmetterli – in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
Il paziente interessato può esercitare il diritto alla portabilità dei suoi dati a due condizioni:
Infine, ai sensi dell’Art. 21 del GDPR il paziente interessato ha il diritto di opporsi in qualsiasi momento al trattamento avente come basi giuridiche l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ovvero il legittimo interesse del Titolare del trattamento:
le informazioni sul trattamento dei dati devono contenere la possibilità che il paziente interessato revochi il suo consenso – se utilizzato come base giuridica – in qualunque momento (e senza motivazioni). In questo caso è lecito il trattamento effettuato prima della revoca del consenso;
le informazioni sul trattamento dei dati devono specificare se la comunicazione di dati personali (ai destinatari) è un obbligo di legge o contrattuale, se il paziente interessato ha l’obbligo di fornire tali dati e le possibili conseguenze nel caso in cui lo stesso non volesse procedere con la comunicazione;
Se la casa di cura privata Titolare del trattamento avesse necessità di trattare ulteriormente i dati personali degli interessati per un’altra finalità, sarà necessario informar loro in merito a questo ulteriore trattamento.
Come per la maggior parte delle strutture sanitarie, anche le case di cura private possono utilizzare la base giuridica di cui all’art. 9.2 lett. h) del GDPR: a norma di tale articolo, è lecito il trattamento dei dati particolari “per finalità di medicina preventiva, medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale, ovvero gestione dei sistemi e servizi sanitari o sociali […] ovvero conformemente al contratto con un professionista della sanità […]”.
Riprendendo il DPCM 27 giugno 1986 notiamo lo specifico riferimento alle finalità di “diagnosi, cura e riabilitazione”.
Dato il quasi-parallelismo con l’art. 9.2 lett. h) del GDPR, possiamo affermare che la casa di cura privata non ha necessità di utilizzare la base del consenso al trattamento dei dati personali, in quanto la liceità del trattamento è data da alcune delle “attività” tipizzate proprio dall’art. 9.2 lett. h) del GDPR.
Inoltre, l’art. 9.3 del GDPR dispone che è possibile utilizzare la base giuridica di cui all’art. 9.2 lett. h) del GDPR solo se i dati particolari “sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale […] o da altra persona anch’essa soggetta all’obbligo di segretezza […]”.
In ogni caso, non è sempre possibile “bypassare” la base giuridica del consenso al trattamento dei dati di cui agli Artt. 6.1 lett. a) e 9.1 lett. a) del GDPR).
Nella casa di cura privata – come in altre strutture sanitarie – è possibile utilizzare il consenso per diversi trattamenti e finalità, non rientranti nell’alveo dell’Art. 9.2 lett. h) del GDPR (ad esempio, è possibile ottenere un consenso per comunicare con il paziente interessato tramite telefono, SMS, messaggistica istantanea ovvero tramite e-mail).
Tra gli esempi più noti di consenso privacy in ambito sanitario figurano il Fascicolo Sanitario Elettronico (FSE), il Dossier Sanitario Elettronico (DSE) e la tematica dei Referti Online[1]. L’art. 7 del GDPR sintetizza i requisiti del consenso al trattamento dei dati personali:
la casa di cura privata deve dimostrare che il paziente interessato ha prestato il consenso (principio di responsabilizzazione);
ad ogni finalità del trattamento deve esserci un autonomo consenso (una sorta di “rapporto 1:1”, una finalità – un consenso);
il consenso è revocabile con la stessa facilità con la quale è prestato, in qualsiasi momento (potrebbe essere utile dotarsi di un modulo di revoca del consenso);
la revoca del consenso non pregiudica il trattamento posto in essere sino ad allora (sono fatti salvi – e leciti – i trattamenti che precedono la revoca);
il consenso è sempre informato (da non confondere, nella maniera più assoluta, con il “consenso informato al trattamento sanitario”, disciplinato diversamente).
Infine, il consenso – nel trattamento di dati particolari – deve essere esplicito (art. 9.2 lett. a del GDPR): comunemente è possibile procedere con la messa per iscritto della manifestazione di volontà del paziente interessato.
Come per qualsiasi struttura sanitaria, è possibile che la casa di cura privata possa trattare taluni dati personali mediante altre basi giuridiche:
art. 9.2 lett. c) del GDPR quando il trattamento dei dati è necessario per tutelare un interesse vitale del paziente interessato o di un’altra persona fisica, qualora il paziente interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso;
art. 6.1 lett. b) del GDPR quando il trattamento è necessario all’esecuzione di un contratto in cui il paziente interessato è parte;
art. 6.1 lett. c) del GDPR quando il trattamento è necessario per adempiere ad un obbligo legale cui è soggetta la casa di cura privata (ad esempio, invio di alcuni dati al SSR);
art. 6.1 lett. e) del GDPR quando il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il Titolare del trattamento;
La casa di cura privata Titolare del trattamento valuta autonomamente le basi giuridiche da utilizzare, caso per caso.
L’art. 32 del GDPR dispone che per approntare delle adeguate misure di sicurezza il Titolare del trattamento – nell’ottica del principio di responsabilizzazione di cui agli Artt. 5.2 e 24 del GDPR – deve tener conto dello stato dell’arte (avanzamento tecnologico), dei costi di attuazione (delle misure di sicurezza), della natura, dell’oggetto, del contesto e delle finalità del trattamento dei dati, nonché del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche (porre in essere, quindi, un’analisi del rischio sui dati personali trattati). Il tutto per garantire un livello di sicurezza adeguato al rischio.
Tra le “soluzioni” che l’art. 32 del GDPR elenca – in maniera non esaustiva – vi sono:
la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico (es. backup);
Inoltre, punto importante, la casa di cura privata Titolare del trattamento fa sì che chiunque agisca per suo conto ed abbia accesso ai dati personali dei pazienti interessati sia istruito ed autorizzato.
Esaminiamo ora il data breach, ossia la tematica della violazione dei dati personali. Ai sensi dell’art. 4 n. 12 del GDPR, la violazione dei dati personali si configura come una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.
Ai sensi degli artt. 33 e 34 del GDPR, in caso di data breach il Titolare del Trattamento deve, senza ingiustificato ritardo e non oltre 72 ore dal momento in cui ne è venuto a conoscenza, notificare la violazione al Garante Privacy, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Oltre le 72 ore è necessario allegare alla notifica il motivo del ritardo.
categorie e numero approssimativo di interessati (es. numero di pazienti coinvolti);
dati di contatto della casa di cura privata per tutte le informazioni richieste dal Garante Privacy;
In ogni caso, a prescindere dalla necessità di notifica o meno di un data breach, la casa di cura privata deve documentare qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio.
È possibile inviare la notifica al Garante all’indirizzo e-mail dedicato, utilizzando un modello recentemente messo a disposizione dall’Autorità.
Riprendendo l’art. 32 del GDPR, il paragrafo 4 del medesimo dispone che chiunque agisca sotto l’autorità del Titolare del trattamento, e abbia accesso ai dati personali, non possa trattare i dati se non è istruito (e, quindi, adeguatamente formato all’uopo).
L’art. 2-quaterdecies del Codice Privacy[2] afferma che il Titolare del trattamento può prevedere, sotto la sua responsabilità e nell’ambito del suo assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la sua autorità.
Inoltre, il Titolare del Trattamento sceglie le modalità più opportune per autorizzare al trattamento le sue risorse umane che trattano i dati.
Da un lato la casa di cura privata può autorizzare come meglio crede (principio di responsabilizzazione) il proprio personale al trattamento dei dati, mediante l’attribuzione di specifici compiti e funzioni; dall’altro tale personale deve essere istruito, ossia deve comprendere la reale portata dell’autorizzazione. In altre parole, il personale autorizzato deve essere formato in maniera adeguata.
Tutte le case di cura private sono obbligate alla tenuta dei registri delle attività di trattamento di cui all’art. 30 del GDPR.
Tali registri sono tenuti in forma scritta sotto la responsabilità del Titolare del trattamento (la ricorrenza del “principio di responsabilizzazione” è un mantra unico nel GDPR).
Il Titolare del trattamento è tenuto a rispettare quanto contenuto nell’Art. 30.1 del GDPR:
indicazione del nome e dei dati di contatto del Titolare del trattamento: ragione sociale della casa di cura privata e relativi dati di contatto (via, civico, CAP, città, provincia, contatto telefonico, mail ecc.). Inserire anche i dati di contatto del DPO;
delineare in maniera compiuta quali sono le finalità del trattamento dei dati;
descrivere le categorie di interessati (es. pazienti) e le categorie di dati personali (es. personali e particolari);
ove attuati dalla casa di cura privata, inserire i trasferimenti di dati personali verso il/i paese/i terzo/i ovvero verso la/le organizzazione/i internazionale/i;
inserire, ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati, che non devono discostarsi da quanto previsto nelle informazioni sul trattamento dei dati;
la sorveglianza sistematica su larga scala di una zona accessibile al pubblico (es. videosorveglianza su larga scala)[3].
In base all’art. 35.7 del GDPR una valutazione d’impatto deve contenere:
Ogniqualvolta la casa di cura privata si trovasse in una delle fattispecie di cui agli Artt. 35 e 36 del GDPR, nonché presenti nelle utili Linee Guida WP248, sarà necessario procedere con la valutazione di impatto[4].
È possibile che la casa di cura privata abbia rapporti con soggetti presenti all’estero, ossia presenti in paesi esterni all’Unione Europea (UE) e/o allo Spazio Economico Europeo (SEE).
In tali casi è necessario porre luce su tre condizioni alternative:
presenza di una “decisione di adeguatezza”, se il paese extra UE/SEE verso cui la Casa di Cura privata vuole trasferire i dati sia uno dei seguenti: Andorra, Argentina, Canada, Isole Faer Oer, Giappone, Guernsey, Israele, Isola di Man, Jersey, Nuova Zelanda, Svizzera, Uruguay e USA;
in assenza di una “decisione di adeguatezza”: il trasferimento dei dati personali deve essere effettuato sulla base di accordi contrattuali, stipulati tra il Titolare stabilito in Unione Europea e i soggetti destinatari dei dati stabiliti fuori dall’Unione Europea, che forniscano garanzie adeguate agli utenti (esempio l’esercizio dei diritti del GDPR).
in assenza delle precedenti condizioni, l’art. 49 del GDPR prevede alcune eccezioni – da utilizzarsi in limitate ipotesi e non per trattamenti continuativi – che giustificano comunque il trasferimento. Il trasferimento può avvenire, alternativamente, soltanto se si verificano le seguenti condizioni:
l’utente (es. il paziente interessato) ha espresso esplicitamente il consenso al trasferimento, una volta adeguatamente informato dal Titolare dell’assenza delle condizioni precedenti e degli eventuali rischi;
il trasferimento è necessario per l’esecuzione di un contratto concluso tra l’utente (es. il paziente interessato) e il Titolare del trattamento stabilito in Unione Europea, ovvero nell’esecuzione di misure precontrattuali su istanza dell’utente.
Da leggersi parallelamente al GDPR e Codice Privacy novellato. ↑
Articolo inserito dal D. Lgs. 101/2018. ↑
Da prendere in considerazione se presente nella casa di cura privata. ↑
È possibile utilizzare un utile software opensource dell’autorità privacy francese CNIL, alla cui traduzione in lingua italiana partecipa il Garante Privacy italiano. ↑