Il Fascicolo Sanitario Elettronico e gli adempimenti in carico al titolare del trattamento.

Premesso che:

• Il FSE è l’insieme dei documenti e di dati di tipo sanitario e sociosanitario relativi a eventi clinici presenti e trascorsi riguardanti un utente di prestazioni sanitarie (“assistito”), generati da strutture sanitarie pubbliche e private. È pensato per essere completo, continuamente aggiornato e sempre a disposizione degli assistiti, degli operatori sanitari e delle istituzioni cui è affidato il governo della sanità. Grazie al FSE, l’assistito viene posto in condizione di consultare tutte le prestazioni ricevute (referti, analisi, ecc.), e di permetterne la consultazione agli operatori sanitari di cui si avvale (medico di base, medici ospedalieri, specialisti, ecc.). Accedendo al FSE, gli operatori sanitari possono assistere meglio gli utenti, cioè i loro pazienti.
• Il FSE 2.0 è destinato a diventare per i cittadini il punto unico ed esclusivo di accesso ai servizi del SSN. I benefici connessi a questa centralità funzionale del FSE 2.0 saranno numerosi: possibilità per l’assistito di accedere ai propri dati in qualsiasi Regione e di condividerli con i propri operatori sanitari; possibilità per gli operatori sanitari di consultazione e ricomposizione trasversale tra i setting assistenziali; ricostruibilità nel tempo della storia sociosanitaria degli assistiti. A ciò si aggiungerà una fruizione semplificata di servizi sanitari digitali, come la prenotazione e il pagamento on line di prestazioni sanitari, la connessione alle farmacie per la gestione del ciclo del farmaco, la possibilità di esprimere un gradimento sulla qualità dei servizi ricevuti.
• L’informativa all’assistito circa i trattamenti connessi al FSE 2.0 deve essere rilasciata da ciascuna Regione. Attualmente, le Regioni stanno rendendo disponibile – ciascuna attraverso i propri canali – l’informativa preventivamente verificata dal Garante.Al fine di assicurare una piena comprensione degli elementi indicati nell’informativa, il Titolare deve formare adeguatamente il personale coinvolto nel trattamento dei dati sugli aspetti rilevanti della disciplina relativa alla protezione dei dati, anche al fine di un più efficace rapporto con gli assistiti.
• Base giuridica del trattamento dei dati personali per le tre finalità coperte dal DM (cura, prevenzione, profilassi internazionale) è necessariamente il consenso, che l’assistito è libero di conferire o no. La richiesta di consenso deve essere specifica per ciascuna delle tre finalità. L’interessato può fare scelte differenziate, ad es. rilasciando il consenso per finalità di cura e negandolo per finalità di profilassi internazionale. Il consenso per la prevenzione deve essere specifico per i singoli soggetti abilitati a farsene carico, che sono autonomi Titolari (soggetti del SSN e dei servizi sociosanitari regionali della Regione di Assistenza, esercenti le professioni sanitarie che hanno in cura l’assistito o comunque gli prestano assistenza sanitaria, Regioni attraverso gli uffici competenti in materia di prevenzione sanitaria nonché il Ministero della salute attraverso la Direzione generale competente in materia di prevenzione sanitaria).
• Il consenso è altresì revocabile in qualsiasi momento, con conseguente disabilitazione dell’accesso ai dati da parte di terzi. La revoca del consenso non pregiudica il diritto all’erogazione della prestazione sanitaria.
• In casi di emergenza (impossibilità fisica, incapacità di agire o incapacità di intendere o di volere dell’interessato oppure rischio grave, imminente ed irreparabile per la salute o l’incolumità fisica dell’interessato che non abbia espresso il consenso alla consultazione dei dati del proprio Fascicolo Sanitario Elettronico), gli operatori sanitari possono accedere al profilo sanitario sintetico dell’interessato o, se questo non è sufficiente, agli altri documenti del FSE 2.0, ma solo dopo aver verificato l’incapacità fisica o giuridica dell’assistito di esprimere il consenso, e comunque per il tempo strettamente necessario a dargli le indispensabili cure e solo fino a quando l’interessato non sia di nuovo in grado di esprimere la propria volontà.
• Il potere di controllo dell’interessato sui propri dati personali si esprime attraverso tre diritti: il diritto di accesso ai dati e documenti del FSE 2.0 utilizzando i servizi del portale nazionale FSE 2.0, i diritti di integrazione, rettifica e aggiornamento dei propri dati, il diritto di oscuramento dei propri dati nel FSE 2.0. Quest’ultimo può riguardare i dati relativi a singole prestazioni sulle quali l’assistito intende mantenere massima riservatezza e può essere esercitato (anche on line) al momento dell’erogazione della prestazione (prima che il FSE 2.0 venga alimentato) verso il soggetto che eroga la prestazione, oppure dopo, con un’istanza specifica verso il soggetto erogante. Se viene esercitato l’oscuramento, chi accede al FSE 2.0 non deve avere né visibilità dei dati oggetto di oscuramento, né evidenza che il diritto di oscuramento è stato esercitato.
• La corretta attribuzione dei ruoli ai sensi del GDPR attraversa l’intero DM e ne determina l’impatto sui soggetti coinvolti in termini di obblighi (ad es. misure di sicurezza da adottare) e il grado di responsabilità nel trattamento dei dati personali, compresa l’esposizione ad eventuali sanzioni in caso di inadempimento.
• Aziende sanitarie locali, strutture sanitarie pubbliche del SSN, servizi sociosanitari regionali e del SSN, strutture sanitarie accreditate con SSN e servizi sociosanitari, strutture sanitarie autorizzate ed esercenti le professioni sanitarie sono Titolari del trattamento per finalità di cura.
• Soggetti del SSN e dei servizi sociosanitari regionali della Regione di Assistenza, esercenti le professioni sanitarie che hanno in cura l’assistito o comunque gli prestano assistenza sanitaria sono Titolari del trattamento per finalità di prevenzione.
• La Regione di Assistenza è Titolare: a) del trattamento connesso al profilo sanitario sintetico (ma, a differenza delle ASL, non può consultare i dati in esso contenuti) b) dei trattamenti connessi ai documenti del taccuino personale (ma non può consultarli), c) dei trattamenti di raccolta e registrazione dei consensi; d) dei trattamenti necessari a consentire l’identificazione e l’autenticazione informatica dell’assistito o di un suo delegato, l’accesso ai dati e documenti del FSE da parte dello stesso, nonché il relativo tracciamento; e) del trattamento con finalità di prevenzione; f) dei trattamenti del Registry.
• Per quanto di sua competenza, il Ministero della Salute è Titolare: a) dei trattamenti di raccolta e registrazione dei consensi, b) dei trattamenti necessari a consentire l’identificazione e l’autenticazione informatica dell’assistito o di un suo delegato, l’accesso ai dati e documenti del FSE da parte dello stesso, nonché il relativo tracciamento; c) del trattamento con finalità di prevenzione; d) dei trattamenti necessari a consentire l’identificazione e l’autenticazione informatica del soggetto che accede ai dati e documenti del FSE per finalità di prevenzione; e) del trattamento dei dati e documenti del FSE per finalità di profilassi internazionale.
• Il Titolare del Portale nazionale FSE è Titolare dei trattamenti necessari a consentire l’identificazione e l’autenticazione informatica del personale del Ministero della salute che accede, tramite il Portale medesimo, ai dati e documenti del FSE per finalità di profilassi internazionale.
• Riguardo alle Misure di Sicurezza, si rammenta quanto segue: Per tutti i trattamenti sopra indicati, i Titolari sono tenuti ad implementare misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio. Nell’utilizzo di sistemi di memorizzazione o archiviazione dei dati, i Titolari devono introdurre idonei accorgimenti per la protezione dei dati registrati rispetto ai rischi di accesso abusivo, furto o smarrimento parziali o integrali dei supporti di memorizzazione o dei sistemi di elaborazione portatili o fissi. Per il trattamento dei dati del FSE 2.0 i Titolari devono garantire:
• a) il rispetto delle disposizioni di cui all’art. 51 del Codice dell’Amministrazione Digitale[1] in materia di sicurezza e disponibilità dei dati, dei sistemi e delle infrastrutture delle Pubbliche amministrazioni, nonché delle linee guida rese disponibili da AGID in materia di sviluppo e gestione dei sistemi informativi;
• b) idonei sistemi di autorizzazione per gli incaricati in funzione dei ruoli e delle esigenze di accesso e trattamento;
• c) procedure per la verifica periodica dei profili di autorizzazione assegnati agli incaricati;
• d) protocolli di comunicazione sicuri basati sull’utilizzo di standard crittografici per la comunicazione elettronica dei dati;
• e) la cifratura o la separazione dei dati idonei a rivelare lo stato di salute e la vita sessuale dagli altri dati personali;
• f) tracciabilità degli accessi e delle operazioni effettuate;
• g) sistemi di audit log per il controllo degli accessi e per il rilevamento di eventuali anomalie;
• h) procedure di pseudonimizzazione.
• Oltre all’articolazione dei profili per quanto concerne la classificazione delle tipologie di informazioni sanitarie indispensabili in relazione alle finalità per cui vengono trattate, la struttura e l’organizzazione dei dati del FSE deve garantire, anche quella relativa ai diversi livelli autorizzativi dei soggetti abilitati all’accesso.
• Ai fini di garantire il corretto impiego del FSE 2.0 da parte degli utilizzatori e di renderli edotti dei rischi che incombono sui dati, nonché delle misure di sicurezza adottate, devono essere organizzate apposite sessioni di formazione, anche con riferimento agli aspetti di protezione dei dati personali, con particolare riferimento all’accessibilità delle informazioni, alle operazioni di trattamento eseguibili e alla sicurezza dei dati, inclusi i rischi di erroneo inserimento dei dati per omonimia degli interessati.
• In caso di incidenti di sicurezza che possano comportare rischi per gli interessati, anche in relazione a trattamenti effettuati da altri soggetti, ciascun Titolare del trattamento dovrà fornire tempestivamente a a questi altri soggetti ogni informazione utile ad agevolare l’adempimento degli obblighi in materia di violazioni dei dati personali dettati dagli articoli 33 e 34 del GDPR.
• Quanto alle basi dati del FSE 2.0, sono state previste queste misure:
• 1) per i metadati, la cifratura dei dati idonei a rivelare lo stato di salute e la vita sessuale o la separazione dei dati idonei a rivelare lo stato di salute e la vita sessuale dagli altri dati personali;
• 2) per i documenti, la loro cifratura;
• 3) i canali di comunicazione sono cifrati e mutuamente autenticati per l’accesso a dati personali (comuni e sensibili) ‘in motion’.

Adempimenti a carico del titolare del trattamento:

[1] Art. 51. Sicurezza e disponibilità dei dati, dei sistemi e delle infrastrutture delle pubbliche amministrazioni. 1. Con le Linee guida sono individuate le soluzioni tecniche idonee a garantire la protezione, la disponibilità, l’accessibilità, l’integrità e la riservatezza dei dati e la continuità operativa, dei sistemi e delle infrastrutture.1-bis. AgID attua, per quanto di competenza e in raccordo con le altre autorità competenti in materia, il Quadro strategico nazionale per la sicurezza dello spazio cibernetico e il Piano nazionale per la sicurezza cibernetica e la sicurezza informatica. AgID, in tale ambito: a) coordina, tramite il Computer Emergency Response Team Pubblica Amministrazione (CERT-PA) istituito nel suo ambito, le iniziative di prevenzione e gestione degli incidenti di sicurezza informatici; b) promuove intese con le analoghe strutture internazionali; c) segnala al Ministro per la semplificazione e la pubblica amministrazione il mancato rispetto delle regole tecniche di cui al comma 1 da parte delle pubbliche amministrazioni. 2. I documenti informatici delle pubbliche amministrazioni devono essere custoditi e controllati con modalità tali da ridurre al minimo i rischi di distruzione, perdita, accesso non autorizzato o non consentito o non conforme alle finalità della raccolta.
2-bis. (abrogato) 2-ter. I soggetti di cui all’articolo 2, comma 2, aderiscono ogni anno ai programmi di sicurezza preventiva coordinati e promossi da AgID secondo le procedure dettate dalla medesima AgID con le Linee guida. 2-quater. I soggetti di cui articolo 2, comma 2, predispongono, nel rispetto delle Linee guida adottate dall’AgID, piani di emergenza in grado di assicurare la continuità operativa delle operazioni indispensabili per i servizi erogati e il ritorno alla normale operatività. Onde garantire quanto previsto, è possibile il ricorso all’articolo 15 della legge 7 agosto 1990, n. 241, per l’erogazione di servizi applicativi, infrastrutturali e di dati, con ristoro dei soli costi di funzionamento. Per le Amministrazioni dello Stato coinvolte si provvede mediante rimodulazione degli stanziamenti dei pertinenti capitoli di spesa o mediante riassegnazione alla spesa degli importi versati a tale titolo ad apposito capitolo di entrata del bilancio statale.