Privacy, il diritto alla riservatezza in ambito sanitario

Privacy è un termine inglese che viene tradotto in italiano come riservatezza. Con questo termine si intende il diritto di ogni persona di fare in modo che i propri dati personali vengano dati e gestiti solo a chi ne ha ottenuto l’autorizzazione e che altri possano accedere a quei dati solo in caso di necessità.

Privacy, cos’è e come garantirla

Il concetto di privacy assume connotazioni diverse, specie se si tratta di ambito giornalistico e mediatico. In sanità, la privacy comprende la protezione dei dati personali della persona riguardanti il suo stato di salute e la modalità di trattamento. Ogni cittadino che accede ad una struttura sanitaria per visite, esami o ricoveri necessita infatti che gli venga garantita l’assoluta riservatezza, nel rispetto dei suoi diritti fondamentali e della sua dignità.
Le leggi sulla privacy sono contenute nel codice sulla privacy approvato dal decreto legislativo 196/2003, che al suo interno contiene tutte le disposizioni in materia di trattamento dei dati personali, già in vigore nelle leggi precedenti. Il codice garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e della libertà fondamentali, nonché della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati. Inoltre, obbliga al rispetto del principio di necessità nel trattamento dei dati, riducendo così l’utilizzo a finalità specifiche e ben stabilite.
Il codice della privacy distingue i dati in:

• dati personali: qualunque informazione relativa a una persona fisica
• dati sensibili: i dati personali che rivelano l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale.

In ambito sanitario, per dati personali si intendono quelli che fanno riferimento allo stato di salute e alla vita sessuale, ovvero tutte le informazioni sulle condizioni psico – fisiche della persona. Comprendono anche i dati genetici, che riguardano i caratteri ereditari di un individuo e le fotografie scattate durante un intervento chirurgico.
In sanità, la privacy entra in gioco in diverse situazioni. Oltre al trattamento dei dati personali, infatti, è importante che vengano garantiti:

• la riservatezza durante i colloqui
• la distanza di cortesia
• che le notizie al pronto soccorso o nei reparti (sulla presenza o meno di una persona) vengano date solamente a persone legittimate (es. famigliari e conoscenti) previo accordo con l’interessato
• il rispetto durante le chiamate in sala d’attesa: di norma non si dovrebbero chiamare le persone per nome, ma attraverso un numero ad esempio.

Queste sono situazioni in cui vi è un alto rischio di violare la privacy e l’operatore sanitario può essere per questo punito.

Soggetti coinvolti

Il codice della privacy identifica una serie di soggetti che hanno compiti e responsabilità definiti per legge e che intervengono nel processo di tutela dei dati personali:

• titolare: la persona fisica, giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni sulla modalità del trattamento di dati personali;
• responsabile: la persona fisica, giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali;
• incaricato: le persone fisiche autorizzate dal titolare o dal responsabile a compiere operazioni di trattamento dei dati;
• interessato: la persona fisica cui si riferiscono i dati personali;
• Garante: è l’autorità che tutela i cittadini in relazione all'uso da parte di soggetti pubblici e privati dei dati che li riguardano. Ha il compito di proteggere i dati personali e di svolgere controlli sulla correttezza dell’uso dei dati.

Trattamento dei dati

Per trattamento dei dati si intende qualsiasi operazione svolta con un elaboratore elettronico o meno, che riguarda operazioni di raccolta dati, registrazione, conservazione, elaborazione, diffusione, selezione.
I dati personali sono tutti quelli anagrafici ed economici, le immagini, i suoni e i codici identificativi riconducibili ad una persona. L’articolo 13 del codice della privacy stabilisce che, prima di procedere alla raccolta dati è necessario informare l’interessato dell’utilizzo dei suoi dati con finalità sanitarie. La raccolta dati è caratterizzata dalle seguenti fasi:

1. Raccolta: deve avvenire nel modo più corretto possibile, verificando correttezza e completezza
2. Registrazione (su cartelle cliniche, data base ecc …)
3. Conservazione: i dati devono essere conservati in luoghi con accesso controllato
4. Utilizzo: essi devono essere utilizzati solamente da chi è indicato al trattamento
5. Comunicazione: i dati possono essere comunicati solamente a soggetti determinati e solo previsto da una legge che lo autorizzi, nel rispetto del trattamento dei dati personali
6. Diffusione

L’interessato è la figura al centro delle misure di tutela previste dal codice della privacy; egli ha il diritto di ottenere informazioni come:

• la conferma dell’esistenza o meno di dati personali che lo riguardano (anche se non ancora registrati) e la loro comunicazione;
• l’indicazione dell’origine dei dati personali, delle finalità e modalità del trattamento, della logica applicata in caso di trattamento effettuato con l’ausilio di strumenti elettronici, degli estremi identificativi del titolare e dei responsabili, dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati;
• l’aggiornamento, la rettifica ed eventualmente l’integrazione dei dati;
• la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;
• l’attestazione delle eventuali operazioni di aggiornamento, cancellazione e trasformazione in forma anonima.

La carta dei diritti fondamentali dell’Ue sancisce, all’art. 8, la protezione dei dati di carattere personale e nello specifico:

• Ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano.
• Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge.
• Ogni individuo ha il diritto di accedere ai dati raccolti che lo riguardano e di ottenerne la rettifica.
• Il rispetto di tali regole è soggetto al controllo di un’autorità indipendente.

Per quanto riguarda la comunicazione di dati sanitari (es. referti) a soggetti terzi, quali il medico curante o un familiare dell’interessato indicati da quest’ultimo, l’organismo sanitario deve specificare l’eventualità di tale comunicazione nell’informativa e deve acquisire uno specifico consenso dell’interessato al riguardo.

Informativa sulla privacy

Al momento della richiesta di trattamento dei dati personali, deve essere consegnata al paziente/utente l’informativa sulla privacy. Essa deve contenere:

• Le finalità e le modalità del trattamento con cui sono destinati i dati
• La natura del conferimento dei dati
• Le conseguenze di un eventuale rifiuto a rispondere
• I soggetti ai quali possono essere comunicati i dati
• Gli estremi indicativi del titolare dei dati

In ambito sanitario, il codice della privacy si rivolge a:

• coloro che esercitano una professione sanitaria
• gli organismi sanitari

Nella prima categoria sono compresi il medico – chirurgo e coloro che esercitano un’attività medica in cui è richiesto un titolo di studio. Sono esclusi: infermieri, ostetriche, fisioterapisti ecc … e tutti coloro che esercitano medicina alternativa per cui non è necessario un titolo di studio abilitante.
Nella seconda categoria sono comprese le Asl, gli enti di ricerca, i servizi di prevenzione e sicurezza sul lavoro.
I dati devono essere:

• trattati in modo lecito e corretto
• raccolti e registrati per scopi determinati, espliciti e legittimi
• esatti e aggiornati
• pertinenti, completi e non eccedenti rispetto agli scopi per i quali sono stati raccolti e usati
• conservati in una forma che consenta l’identificazione dell’interessato, per un periodo di tempo non superiore a quello necessario agli scopi per cui sono stati raccolti.

Coloro che esercitano una professione sanitaria trattano i dati personali con il consenso dell’interessato. A esprimere il consenso può essere:

• l’interessato stesso
• il legale rappresentante o prossimo congiunto o un familiare nel caso in cui la persona si trovi in stato di impossibilità fisica o incapacità di intendere e di volere.

Il consenso deve essere ottenuto prima del trattamento dei dati, tranne nel caso in cui:

• vi sia impossibilità fisica, incapacità di agire o di intendere e di volere
• se sussiste un grave rischio per la salute
• se vi è un’urgenza medica

In questi casi, il consenso può essere ottenuto in un secondo momento.

Regolamento europeo in materia di protezione dei dati personali

Il 24 maggio 2016 è entrato in vigore il nuovo regolamento europeo in materia di protezione dei dati personali. Il documento riprende e in parte ridefinisce alcuni elementi già presenti del codice della privacy.

Consenso

Per tutti i dati sensibili, il consenso deve essere esplicito. Non deve essere necessariamente documentato per iscritto, anche se questa forma ne sancisce l’inequivocabilità. Il titolare, nel caso di consenso orale, deve essere in grado di dimostrare che l’interessato abbia prestato il consenso ad uno specifico trattamento. Il consenso dei minori è valido a partire dai 16 anni, mentre prima è necessario il consenso dei genitori o di chi ne fa le veci.
Il consenso è:

• libero
• specifico
• informato
• inequivocabile

Non è ammesso un consenso tacito o presunto. Deve essere manifesto.
L’informativa sul trattamento dei dati deve essere:

• concisa
• trasparente
• intelligibile e facilmente accessibile
• con un linguaggio chiaro e semplice

L’informativa deve essere data in linea di principio, per iscritto e preferibilmente in formato elettronico.

Diritto di accesso

Ognuno deve avere diritto di accesso ai propri dati e quindi si ha diritto a ricevere una copia dei dati personali oggetto di trattamento. Non è obbligatorio che vengano inserite le modalità di trattamento, ma è fondamentale che sia indicato il periodo di conservazione previsto.

Diritto di cancellazione (diritto all’oblio)

È il diritto di poter richiedere la cancellazione dei propri dati personali.

Sanzioni previste per la violazione della privacy

La violazione della privacy, attraverso un trattamento illecito dei dati personali, è punita dal codice penale. È punita anche l’omessa adozione di misure di sicurezza, nonché l'omessa osservanza dei provvedimenti del garante e la falsità nelle dichiarazioni al Garante.
Il codice civile prevede invece sanzioni qualora si abbiano danni materiali e morali conseguenti ad uno scorretto utilizzo di dati personali, nei casi di omessa o incompleta notifica del trattamento al Garante, di inosservanza delle richieste del Garante o per l'omessa informativa ai soggetti interessati.

L’infermiere e il rispetto della privacy

L’infermiere, così come tutti gli operatori sanitari, se a conoscenza di notizie riservate riguardanti una persona, ha l’obbligo di non rivelarle, poiché va incontro non solo ad una violazione di norme giuridiche, ma anche ad una rottura del rapporto di fiducia infermiere – paziente.
Dando uno sguardo alla legislazione, troviamo l’art. 622 del codice penale che cita: Chiunque, avendo notizia, per ragione del proprio stato o ufficio, o della propria professione od arte, di un segreto, lo rivela, senza giusta causa ovvero lo impegna a proprio od altrui profitto, è punito, se dal fatto può derivare nocumento, con la reclusione fino ad un anno o con la multa da euro 30 a euro 516. Il delitto è punibile a querela della persona offesa.
Citiamo poi la norma sulla privacy, legge 675/96 che definisce i dati sensibili come i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, le adesioni ai partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico e sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale possono essere oggetto di trattamento solo con il consenso scritto dell’interessato e previa autorizzazione del Garante.
Il codice deontologico dell’infermiere, infine, all’art. 26 cita: L'infermiere assicura e tutela la riservatezza nel trattamento dei dati relativi all’assistito. Nella raccolta, nella gestione e nel passaggio di dati, si limita a ciò che è attinente all’assistenza. Mentre all’art. 28: L'infermiere rispetta il segreto professionale non solo per obbligo giuridico, ma per intima convinzione e come espressione concreta del rapporto di fiducia con l'assistito.