Fascicolo Sanitario Elettronico 2.0 in Gazzetta Ufficiale – Quali profili privacy?

La versione 2.0 del Fascicolo Sanitario Elettronico è ora pubblicata in Gazzetta Ufficiale e solleva una serie di interessanti questioni privacy.

È stato pubblicato in Gazzetta Ufficiale del 24 ottobre 2023, n. 249 il Decreto del Ministero della Salute del 7 settembre 2023 sul Fascicolo sanitario elettronico 2.0 (FSE). In questo articolo ne analizziamo i principali profili privacy.

Cosa è il Fascicolo Sanitario Elettronico 2.0?

Ai sensi dell’Art. 15 del Decreto, il FSE 2.0 è “uno strumento a disposizione dell’assistito, che può consentirne, attraverso l’espressione del consenso, l’accesso in consultazione ai soggetti del SSN e dei servizi sociosanitari regionali nonché agli esercenti   le   professioni sanitarie che lo prendono in cura, anche al di fuori del SSN”. Tale database dovrà essere popolato entro 5 giorni dall’erogazione della prestazione sanitaria. Ma non solo. Dovranno essere inclusi anche gli eventi clinici riferiti alle prestazioni erogate dal Servizio Sanitario Nazionale (SSN) e non fino al 18 maggio 2020 e riferiti ai soli assistiti che non hanno espresso la loro opposizione.

A differenza del Fascicolo Sanitario Elettronico 1.0, il FSE 2.0 rappresenta una grande evoluzione: da semplice contenitore documentale (quale è l’FSE 1.0) a strumento in grado di raccogliere e condividere i dati clinici rilevanti per garantire la continuità assistenziale sul territorio nazionale. L’FSE 2.0 può essere infatti visto come il punto di raccordo di tutte le informazioni sanitarie e cliniche del soggetto, la quali prevalentemente rimangono residenti nei sistemi che le hanno prodotte, archiviate e rese disponibili all’assistito e ai vari attori del sistema sanitario con il fine di migliorare il processo di cura e aumentare l’empowerment del paziente.

Il Fascicolo Sanitario Elettronico 2.0 dovrebbe infatti ora offrire una serie di vantaggi sia ai cittadini, nonché ai professionisti sanitari:

• Per i cittadini, il FSE 2.0 consente di avere accesso ai propri dati sanitari in qualsiasi momento e luogo, e di condividerli con i propri operatori sanitari. Ciò può facilitare la comunicazione tra i professionisti sanitari e migliorare la qualità delle cure.
• Per i professionisti sanitari, il FSE 2.0 consente di avere una visione completa e aggiornata della storia clinica del paziente, migliorando la diagnosi e la cura.

Con il presente decreto, si sono pertanto individuati i contenuti dell’FSE, nonché i limiti di responsabilità e i compiti dei soggetti che concorrono alla sua implementazione, le garanzie e le misure di sicurezza ad adottare nel trattamento dei dati personali nel rispetto dei diritti dell’assistito, e i livelli diversificati di accesso all’FSE.

I profili privacy del Fascicolo Sanitario Elettronico

In materia di protezione dei dati personali, l’adozione dell’FSE 2.0 solleva numerosi profili. Il Garante per la Protezione dei Dati Personali è infatti intervenuto diverse volte rispetto allo schema di Decreto del FSE 2.0, censurando una prima volta tale decreto con parere del 22 agosto 2022, e approvandolo invece in ultima battuta, dopo l’adozione dei correttivi suggeriti, in data 8 giugno 2023.

Di seguito, si illustrano alcuni dei profili privacy menzionati dal decreto sul Fascicolo Sanitario Elettronico:

1. Le categorie di dati personali raccolti

Il decreto contiene i seguenti dati e documenti, non solo selle prestazioni erogate dal servizio sanitario nazionale, ma anche da quello privato. Questi sono:

1. dati identificativi e amministrativi dell’assistito (esenzioni per reddito e patologia, contatti, delegati);

2. referti, inclusi quelli consegnati ai sensi del decreto del Presidente del Consiglio dei ministri 8 agosto 2013, pubblicato nella Gazzetta Ufficiale della Repubblica italiana n. 243 del 16  ottobre 2013;

• verbali pronto soccorso;
• lettere di dimissione;
• profilo sanitario sintetico, di cui all’art. 4;
• prescrizioni specialistiche e farmaceutiche;
• cartelle cliniche;
• erogazione farmaci a carico SSN e non a carico SSN;
• vaccinazioni;
• erogazione di prestazioni di assistenza specialistica;
• taccuino personale dell’assistito, di cui all’art. 5;
• dati delle tessere per i portatori di impianto;
• lettera di invito per screening.

3. le informazioni delle esenzioni per reddito e i relativi codici esenzione, di cui al comma 1, lettera a), resi disponibili  nel  FSE, sono consultabili solo dall’assistito.

Tuttavia, un’eccezione è prevista per alcuni dati soggetti a maggior tutela. I documenti sanitari e socio-sanitari delle persone sieropositive, delle donne che si sottopongono a un’interruzione volontaria di gravidanza, delle vittime di atti di violenza sessuale o di pedofilia, delle persone che fanno uso di sostanze stupefacenti, di sostanze psicotrope e di alcool, delle donne che decidono di partorire in anonimato, nonché i dati e i documenti riferiti ai servizi offerti dai consultori familiari, sono resi visibili solo all’assistito, il quale può decidere liberamente e in qualsiasi momento di renderli visibili a terzi. Tali dati e documenti sono resi visibili solo previo esplicito, informato e specifico consenso dell’assistito, reso al soggetto che eroga la prestazione. In assenza del consenso, l’erogatore della prestazione è responsabile dell’eventuale mancato oscuramento del dato o documento mediante l’apposita funzionalità. Nel caso l’assistito scelga di ricorrere alle prestazioni in anonimato, non è ammessa l’alimentazione del FSE da parte dei soggetti che erogano le prestazioni.

2. Informativa sul trattamento dei dati agli assistiti

Il decreto prevede che, in ottemperanza all’adempimento di cui agli articoli 13 e 14 del GDPR, quale presupposto di liceità del trattamento, entro tre mesi dalla data di entrata in vigore del Decreto, deve essere fornita all’assistito, da parte del Ministero della salute, delle regioni e province autonome, idonea informativa che espliciti i trattamenti dei dati del FSE.

3. Il consenso degli assistiti

Per le finalità di diagnosi, cura, riabilitazione, prevenzione, e profilassi internazionale, la consultazione dei dati e dei documenti contenuti nell’FSE da parte di terzi può avvenire solo dopo che l’assistito (i) ha preso visione dell’informativa privacy, e (ii) ha espresso libero, specifico, informato ed inequivocabile consenso esplicito. Tuttavia, a differenza della precedente impostazione, l’attivazione e l’alimentazione del FSE diviene automatica. Il cittadino non dovrà più richiedere l’apertura del proprio fascicolo e dare il proprio consenso alla sua alimentazione, ma potrà sempre decidere chi può accedere ai suoi dati sanitari, attraverso il meccanismo del consenso esplicito.

4. I diritti degli assistiti

L’assistito può accedere sempre ai propri dati e documenti contenuti nell’FSE 2.0, nonché richiedere l’oscuramento dei propri dati. Può esercitare questo diritto al momento dell’erogazione della prestazione, prima dell’alimentazione dell’FSE 2.0, ma anche online direttamente tramite apposita funzione, in modo gratuito.

5. Conservazione dei dati

fatta eccezione per la cartella clinica, e i documenti afferenti la stessa, i dati vengono cancellati decorsi trent’anni dalla data del decesso dell’assistito stesso.

Considerazioni finali sugli aspetti privacy del Fascicolo Sanitario Elettronico

Le novità apportate dal decreto sul Fascicolo Sanitario Elettronico rappresentano un passo importante verso la realizzazione di un FSE 2.0 più attento alla tutela dei dati personali degli assistiti. Tuttavia, la sfida di proteggere i dati personali contenuti all’interno dell’FSE 2.0 va oltre l’ambito normativo: serve infatti compiere anche uno sforzo tecnico considerevole. Questo sforzo tecnico e normativo si deve tradurre nella progettazione e nell’attuazione di misure avanzate per garantire la sicurezza dei dati, prevedendo, per esempio, sistemi di autenticazione avanzati, crittografia dei dati, accesso controllato e protezione da minacce esterne o interne. L’obiettivo deve essere quello di assicurare che i dati all’interno del FSE 2.0 siano accessibili solo a soggetti autorizzati e che questi rimangano al sicuro da qualsiasi rischio di accesso non autorizzato.

Su un simile argomento, può essere interessante il seguente articolo: “Il nuovo Fascicolo Sanitario Elettronico ed i rischi per la privacy degli assistiti”

Autori: Cristina Criscuoli ed Enila Elezi