Gli obblighi previsti dal Regolamento generale sulla protezione dei dati (GDPR) riguardano chiunque gestisca dati dei pazienti, non solo i team di governance delle informazioni o i dipartimenti legali. Per i medici che operano nell’assistenza primaria, specialistica e nella libera professione, attività di routine come la stesura di note mediche, l’invio di referti o l’utilizzo di un assistente medico basato su intelligenza artificiale comportano responsabilità legali specifiche. Comprendere tali responsabilità in termini pratici è fondamentale, soprattutto man mano che strumenti di salute digitale, consulti remoti e flussi di dati transfrontalieri diventano elementi standard dell’attività clinica.

Perché i dati sanitari ricevono una protezione speciale ai sensi del GDPR

Ai sensi dell’articolo 9 del GDPR, i dati sanitari sono classificati come una "categoria speciale" di dati personali. Questa classificazione riflette la particolare sensibilità delle informazioni mediche e il potenziale rischio di danni gravi, tra cui discriminazione, stigma o svantaggio economico, in caso di divulgazione non autorizzata.

In pratica, ciò significa che il trattamento dei dati sanitari richiede non solo una base giuridica ai sensi dell’articolo 6, che si applica a tutti i dati personali, ma anche una condizione aggiuntiva e separata ai sensi dell’articolo 9(2). Per i medici, le condizioni più rilevanti sono il trattamento medico e la salute pubblica. L’obbligo di soddisfare entrambi i livelli contemporaneamente rappresenta un requisito fondamentale di conformità che si applica a ogni incontro clinico.

Il Garante europeo della protezione dei dati ha costantemente sottolineato che lo status di categoria speciale impone alle organizzazioni anche l’implementazione dei principi di privacy by design e di solide garanzie. Questo vale non solo per prevenire un uso improprio attivo, ma anche per evitare la profilazione discriminatoria e proteggere i dati durante tutto il loro ciclo di vita, anche in processi innovativi come le sperimentazioni cliniche e le applicazioni di salute mobile.

Un’analisi comparativa sottoposta a revisione paritaria pubblicata nel 2025 ha confermato che il GDPR impone misure di responsabilità complete per i dati medici. Le informazioni sanitarie sono soggette a garanzie etiche e professionali aggiuntive rispetto a quelle previste per i dati personali standard, secondo quadri normativi comparabili come l’HIPAA (Health Insurance Portability and Accountability Act).

Le basi giuridiche effettivamente utilizzate dai medici

La maggior parte del trattamento dei dati clinici in contesti di assistenza diretta si basa su una delle seguenti basi giuridiche principali:

• Articolo 9(2)(h) GDPR: trattamento necessario per finalità di medicina preventiva o del lavoro, diagnosi medica, erogazione di assistenza sanitaria o sociale, o gestione di sistemi di assistenza sanitaria o sociale. Questa è la base principale per la documentazione clinica di routine, i referti e le discussioni dei team multidisciplinari.

• Articolo 6(1)(c): trattamento necessario per adempiere un obbligo legale, ad esempio la segnalazione obbligatoria di malattie soggette a notifica.

• Articolo 6(1)(e): trattamento necessario per l’esecuzione di un compito di interesse pubblico, che si applica principalmente al Servizio Sanitario Nazionale e alle organizzazioni sanitarie finanziate con fondi pubblici.

Come sottolinea la guida alla conformità di heyData per gli studi medici, il consenso esplicito non è sempre richiesto. La necessità medica e l’obbligo legale sono alternative valide e appropriate nella maggior parte degli scenari di assistenza diretta. I medici non devono ottenere un modulo di consenso GDPR separato da un paziente prima di redigere una nota clinica o inviare una lettera di dimissione a un altro medico curante.

Il consenso del paziente in contesti clinici: quando è necessario e quando non lo è

Uno dei malintesi più diffusi in ambito clinico è che il GDPR richieda il consenso esplicito del paziente per qualsiasi trattamento dei dati. Nell’assistenza diretta non è così. La guida alla conformità sanitaria di Drata chiarisce che il consenso è solo una delle diverse basi giuridiche valide e, in molti contesti clinici, non è la più appropriata.

Il consenso ai sensi del GDPR deve essere libero, specifico, informato e inequivocabile. In una relazione clinica, dove esiste uno squilibrio di potere intrinseco tra paziente e medico, basarsi sul consenso come principale base giuridica per il trattamento di dati di routine può essere problematico. I pazienti potrebbero sentirsi impossibilitati a rifiutare senza temere ripercussioni sulle cure.

Il consenso è la base giuridica appropriata quando:

• Si trattano dati per scopi di ricerca non coperti da un quadro etico separato

• Si utilizzano dati dei pazienti per finalità di marketing o comunicazioni commerciali

• Si condividono dati identificabili con terzi al di fuori del team di assistenza diretta per scopi non correlati al trattamento

• Si implementano strumenti di salute digitale opzionali che trattano dati personali oltre quanto clinicamente necessario

Per la documentazione clinica di routine, i referti, le lettere di dimissione e la comunicazione multidisciplinare, l’articolo 9(2)(h) fornisce la base giuridica senza richiedere un consenso separato, a condizione che il trattamento sia necessario e proporzionato allo scopo clinico.

Cosa costituisce una violazione del GDPR in un contesto clinico

Una violazione dei dati personali è definita dal GDPR come qualsiasi distruzione accidentale o illecita, perdita, alterazione, divulgazione non autorizzata o accesso a dati personali. In ambito sanitario, le violazioni spesso non derivano da attacchi informatici esterni, ma nascono dai flussi di lavoro clinici quotidiani.

Esempi comuni riconoscibili nella pratica clinica includono:

• Lettere ai pazienti inviate all’indirizzo sbagliato: inviare una lettera contenente informazioni cliniche all’indirizzo errato o allegare la cartella di un altro paziente a un’email

• Accesso non protetto al sistema di cartelle cliniche: lasciare una postazione di lavoro clinica connessa e incustodita in un ambiente condiviso

• Divulgazioni verbali in spazi pubblici: discutere informazioni identificabili dei pazienti in corridoi, sale d’attesa o al telefono dove altri possono ascoltare

• Condivisione di cartelle senza autorizzazione: inoltrare dati dei pazienti a terzi, incluso un familiare, senza una base giuridica documentata

• Uso di strumenti di comunicazione non conformi: piattaforme consumer come Zoom o WhatsApp non sono adatte per trasmettere informazioni cliniche identificabili, poiché non soddisfano i requisiti di sicurezza e di accordo sul trattamento dei dati previsti dal GDPR

Ai sensi del GDPR, le violazioni che potrebbero comportare un rischio per le persone devono essere segnalate all’autorità di controllo competente entro 72 ore dal momento in cui l’organizzazione ne viene a conoscenza. Le violazioni che comportano un rischio elevato per le persone devono anche essere comunicate direttamente agli interessati. La guida sanitaria di GDPR Register sottolinea che questo termine di 72 ore decorre da quando l’organizzazione, non necessariamente il singolo medico, ne viene a conoscenza per la prima volta, rendendo essenziale una segnalazione interna tempestiva.

Condivisione dei dati dei pazienti: referti, lettere di dimissione e terze parti

La condivisione dei dati dei pazienti all’interno di un team di assistenza diretta, inclusi medici di base, specialisti, infermieri e altri professionisti sanitari coinvolti nel trattamento di un paziente, è generalmente lecita ai sensi dell’articolo 9(2)(h), a condizione che la condivisione sia necessaria e proporzionata allo scopo clinico. Il principio operativo è quello della “necessità di sapere”: solo le informazioni rilevanti per il ruolo del medico ricevente nell’assistenza del paziente dovrebbero essere condivise.

In pratica, ciò significa:

• Una lettera di referto dovrebbe contenere le informazioni cliniche di cui lo specialista ricevente ha bisogno, non l’intera storia medica del paziente

• Una lettera di dimissione dovrebbe essere inviata al medico di base e ai membri rilevanti del team di assistenza, non distribuita più ampiamente senza giustificazione clinica

• La condivisione di cartelle con il datore di lavoro, l’assicuratore o l’avvocato di un paziente richiede il consenso esplicito del paziente o una base giuridica separata

Quando si condividono dati con sistemi di terze parti, inclusi sistemi di cartelle cliniche, laboratori diagnostici o servizi di telemedicina, deve essere in vigore un Accordo sul trattamento dei dati (DPA) prima che qualsiasi dato venga trasferito. Questo è un requisito contrattuale previsto dall’articolo 28 del GDPR. L’assenza di un Accordo sul trattamento dei dati costituisce una violazione della conformità, indipendentemente dal fatto che si verifichi o meno una violazione dei dati.

La notifica al paziente generalmente non è richiesta per la condivisione all’interno del team di assistenza diretta, a condizione che l’informativa sulla privacy dell’organizzazione, fornita ai pazienti al momento della registrazione o del primo contatto, descriva accuratamente come vengono utilizzati i loro dati per scopi di trattamento.

GDPR e strumenti di intelligenza artificiale clinica: cosa dovrebbero chiedere i medici prima di utilizzarli

L’implementazione di assistenti medici basati su intelligenza artificiale, tecnologia vocale ambientale (AVT) e altri software clinici di terze parti introduce obblighi GDPR specifici che medici e organizzazioni devono affrontare prima dell’adozione, non dopo.

Qualsiasi strumento che tratta dati dei pazienti per conto di un’organizzazione sanitaria è un responsabile del trattamento ai sensi del GDPR. Ciò significa che l’organizzazione sanitaria, in qualità di titolare del trattamento, deve garantire che:

• Sia in vigore un Accordo sul trattamento dei dati con il fornitore

• Il fornitore tratti i dati solo su istruzioni documentate del titolare

• Siano adottate misure di sicurezza tecniche e organizzative adeguate, tra cui crittografia, controlli di accesso e registrazione degli audit

• La residenza dei dati sia chiaramente definita, aspetto particolarmente rilevante per le organizzazioni con sede nell’UE, dove il trattamento dei dati dei pazienti da parte di un fornitore con server al di fuori dello Spazio Economico Europeo (SEE) può richiedere garanzie di trasferimento aggiuntive

Una revisione sottoposta a revisione paritaria sui dispositivi sanitari basati su intelligenza artificiale ha rilevato che i quadri di governance per l’IA clinica devono affrontare la minimizzazione dei dati, la limitazione delle finalità e i meccanismi di responsabilità come requisiti fondamentali.

La ricerca sull’implementazione di intelligenza artificiale che preserva la privacy in contesti clinici ha dimostrato che sistemi di intelligenza artificiale locali e offline possono rispettare rigorosi requisiti di protezione dei dati mantenendo l’utilità clinica, un approccio che può ridurre i rischi di trasferimento transfrontaliero associati all’elaborazione basata su cloud, a seconda dell’architettura specifica e del modello di implementazione dello strumento in questione.

Prima di adottare qualsiasi strumento clinico di intelligenza artificiale, medici e organizzazioni dovrebbero chiedere:

• Dove vengono trattati e archiviati i dati dei pazienti? È all’interno del SEE o il trattamento comporta trasferimenti verso Paesi terzi?

• Il fornitore possiede la certificazione ISO 27001 o uno standard di sicurezza riconosciuto equivalente? ISO 27001 è uno standard riconosciuto a livello internazionale per la gestione della sicurezza delle informazioni.

• È stata completata una valutazione d’impatto sulla protezione dei dati (DPIA)? Il GDPR richiede una DPIA, una valutazione strutturata dei rischi per la privacy, per qualsiasi trattamento che possa comportare un rischio elevato, incluso il trattamento su larga scala di dati sanitari da parte di sistemi di intelligenza artificiale.

• Qual è la politica di conservazione ed eliminazione dei dati del fornitore? I dati possono essere eliminati su richiesta e questo è documentato?

• Lo strumento è registrato come dispositivo medico dove applicabile ai sensi del Regolamento sui dispositivi medici dell’UE (MDR)?

La guida di Drata sottolinea che una DPIA dovrebbe essere considerata un documento dinamico, da rivedere e aggiornare ogni volta che l’attività di trattamento cambia in modo significativo, e non solo al momento dell’approvvigionamento.

Molti ambienti clinici operano sotto pressioni di tempo e risorse che rendono difficile una due diligence accurata sui fornitori. In questi casi, le organizzazioni potrebbero dover adottare un approccio basato sul rischio, applicando controlli più rigorosi agli strumenti che trattano i dati più sensibili su scala maggiore.

Diritti dei pazienti che i medici potrebbero incontrare

I pazienti hanno un insieme definito di diritti ai sensi del GDPR che le organizzazioni sanitarie sono legalmente tenute a garantire. I diritti più frequentemente riscontrati nella pratica clinica sono:

Diritto di accesso (Richiesta di accesso dell’interessato): I pazienti hanno diritto a ricevere una copia dei propri dati personali, incluse le cartelle cliniche, entro un mese dalla richiesta. Questo termine può essere esteso di ulteriori due mesi per richieste complesse o numerose, con notifica al paziente. I medici devono sapere che le richieste di accesso devono essere soddisfatte anche quando le informazioni sono clinicamente sensibili, sebbene i dati di terzi, come dettagli su un altro paziente, debbano essere oscurati.

Diritto di rettifica: I pazienti possono richiedere la correzione di dati personali inesatti. In ambito clinico, ciò può significare correggere un errore fattuale in una cartella, ma non dà diritto al paziente di modificare l’opinione professionale o il giudizio clinico del medico.

Diritto alla cancellazione ("diritto all’oblio"): Questo diritto è fortemente limitato in ambito sanitario. La guida settoriale di GDPR Register conferma che il diritto alla cancellazione non si applica quando il trattamento è necessario per l’erogazione di assistenza sanitaria o quando la conservazione è richiesta dalla legge, come avviene quasi sempre per le cartelle cliniche. I pazienti non possono richiedere la cancellazione delle proprie cartelle cliniche durante il periodo di conservazione previsto.

Diritto alla portabilità dei dati: I pazienti hanno diritto a ricevere i propri dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico. Questo è rilevante nei contesti di salute digitale e lo sarà sempre di più man mano che portali e app rivolti ai pazienti diventeranno più diffusi.

Minimizzazione dei dati nella documentazione clinica

Il principio di minimizzazione dei dati, stabilito dall’articolo 5(1)(c) del GDPR, richiede che i dati personali siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per cui vengono trattati. Per i medici, ciò ha implicazioni dirette su come vengono redatte e strutturate le note mediche.

In pratica, la minimizzazione dei dati significa:

• Registrare solo le informazioni cliniche necessarie per garantire un’assistenza sicura e continua, evitando dettagli biografici o sociali non clinicamente rilevanti

• Evitare di includere abitualmente informazioni di terzi, come dettagli sui familiari, a meno che non siano direttamente rilevanti per il quadro clinico

• Utilizzare modelli strutturati che richiedano solo i campi necessari, invece di voci di testo libero che potrebbero raccogliere informazioni personali non pertinenti

• Rivedere quali dati vengono precompilati o acquisiti automaticamente dai sistemi di cartelle cliniche e assicurarsi che rispondano a una reale necessità clinica

La guida sanitaria 2025 di DPO Consulting identifica la minimizzazione dei dati e la limitazione delle finalità come due dei principi più spesso trascurati in ambito clinico, soprattutto nelle organizzazioni che passano da cartelle cartacee a digitali, dove la facilità di acquisire dati aggiuntivi può superare la reale giustificazione clinica.

Periodi di conservazione per le cartelle cliniche in Europa

Il GDPR non stabilisce periodi di conservazione specifici per le cartelle cliniche. Questi sono determinati dalla normativa sanitaria nazionale, che prevale in questo ambito. Il GDPR richiede che i dati non siano conservati più a lungo del necessario per lo scopo per cui sono stati raccolti e che i periodi di conservazione siano documentati nel Registro delle attività di trattamento (RoPA) dell’organizzazione.

Esempi di requisiti nazionali di conservazione:

• Inghilterra (NHS): Le cartelle dei pazienti adulti devono essere conservate per almeno otto anni dopo l’ultima registrazione. Le cartelle relative ai minori devono essere conservate fino al 25° compleanno del paziente o otto anni dopo la morte, a seconda di quale evento sia successivo.

• Germania: Le cartelle cliniche sono soggette a obblighi di conservazione ai sensi del §630f BGB, dieci anni per le cartelle cliniche, oltre a regole settoriali aggiuntive. L’analisi 2026 di Kiteworks segnala che la Germania prevede anche responsabilità penale ai sensi del §203 StGB per la divulgazione illecita di dati dei pazienti da parte di professionisti sanitari.

• Francia: Le cartelle sono conservate ai sensi del Code de la Santé Publique, con un minimo generale di venti anni dall’ultimo episodio di cura.

• Paesi Bassi: Il WGBO (Wet op de geneeskundige behandelingsovereenkomst) richiede la conservazione per almeno venti anni dalla data di registrazione.

La conseguenza pratica per i medici è che il diritto alla cancellazione, anche quando validamente esercitato da un paziente, non può prevalere sugli obblighi di conservazione previsti dalla legge. Un paziente che richiede la cancellazione delle proprie cartelle cliniche durante il periodo di conservazione applicabile può ricevere un rifiuto legittimo, purché il rifiuto sia comunicato chiaramente e nei tempi previsti.

La ricerca di Kiteworks ha documentato azioni correttive da parte delle autorità sanitarie nazionali in tutta Europa negli ultimi anni, derivanti da carenze di conformità che il solo GDPR non affronta, a conferma che la normativa nazionale deve essere compresa insieme al Regolamento stesso.

Chi è responsabile: titolare del trattamento vs. responsabile del trattamento in ambito sanitario

Comprendere la distinzione tra titolare del trattamento e responsabile del trattamento è essenziale per la responsabilità e per prendere decisioni informate sulla selezione dei fornitori e sull’adozione di strumenti clinici.

Titolare del trattamento: L’entità che determina le finalità e i mezzi del trattamento dei dati personali. In ambito sanitario, questo è tipicamente il trust NHS, lo studio medico, l’ospedale o la clinica privata, non il singolo medico. Il titolare ha la responsabilità legale primaria per la conformità al GDPR.

Responsabile del trattamento: Qualsiasi entità che tratta dati personali per conto del titolare. Ciò include fornitori di sistemi di cartelle cliniche, laboratori diagnostici, fornitori di archiviazione cloud, fornitori di strumenti di intelligenza artificiale e piattaforme di telemedicina. I responsabili devono agire solo su istruzioni documentate del titolare e sono soggetti a obblighi contrattuali vincolanti ai sensi dell’articolo 28 del GDPR.

La distinzione è importante per diversi motivi pratici:

• Responsabilità: Se un responsabile subisce una violazione, il titolare può comunque essere ritenuto responsabile se non ha condotto un’adeguata due diligence o non ha garantito che fossero in atto garanzie contrattuali adeguate.

• Selezione del fornitore: Scegliere un responsabile che possieda la certificazione ISO 27001, abbia una chiara politica di residenza dei dati e possa dimostrare la conformità agli obblighi previsti dal GDPR è una responsabilità del titolare.

• Sub-responsabili: I responsabili possono coinvolgere sub-responsabili, ad esempio un fornitore di infrastrutture cloud utilizzato da un fornitore di intelligenza artificiale, ma solo con l’autorizzazione del titolare, e il responsabile rimane responsabile della conformità del sub-responsabile.

La checklist 2026 di Accountable HQ raccomanda che le organizzazioni mantengano un registro aggiornato dei fornitori e conducano revisioni periodiche di tutti gli Accordi sul trattamento dei dati attivi, incluse le procedure di offboarding dei fornitori per garantire che i dati vengano eliminati o restituiti alla scadenza del contratto.

Passi pratici che i medici possono intraprendere per rimanere conformi quotidianamente

La conformità al GDPR nella pratica clinica non richiede competenze legali, ma abitudini coerenti e consapevolezza dei punti di rischio. I seguenti passaggi riflettono gli obblighi più direttamente rilevanti per i singoli medici.

Accesso sicuro e autenticazione

• Disconnettersi sempre o bloccare le postazioni di lavoro cliniche quando ci si allontana, anche per brevi periodi

• Non condividere mai le credenziali di accesso con i colleghi, anche in situazioni di forte pressione

• Utilizzare solo dispositivi e reti approvati dall’organizzazione per accedere alle cartelle dei pazienti

Condivisione dei dati e comunicazione

• Condividere solo le informazioni minime necessarie quando si inviano referti, si escalano casi o si comunica con i colleghi

• Non utilizzare account email personali, app di messaggistica consumer o piattaforme non approvate per trasmettere dati dei pazienti

• Verificare il destinatario prima di inviare qualsiasi comunicazione relativa a un paziente, poiché la corrispondenza inviata all’indirizzo sbagliato è una delle violazioni più comuni in ambito sanitario

Gestione delle richieste di diritti dei pazienti

• Essere consapevoli che i pazienti possono presentare richieste di accesso dell’interessato sia verbalmente che per iscritto, e registrare ed escalare queste richieste tempestivamente al referente per la governance delle informazioni

• Non ignorare o ritardare le richieste di accesso. Il termine di risposta di un mese decorre immediatamente

• Comprendere che le richieste di cancellazione possono generalmente essere rifiutate per le cartelle cliniche durante il periodo di conservazione previsto dalla legge, ma devono ricevere una risposta formale

Valutazione di nuovi strumenti clinici

• Prima di adottare qualsiasi software di terze parti che tratta dati dei pazienti, verificare che sia in vigore un Accordo sul trattamento dei dati e che sia stata completata una DPIA

• Chiedere direttamente ai fornitori informazioni sulla residenza dei dati, sui sub-responsabili e sulle certificazioni di sicurezza

• Rivolgersi al proprio referente per la governance delle informazioni o per la protezione dei dati se non si è in grado di rispondere chiaramente a queste domande

Documentazione e formazione

• Familiarizzare con l’informativa sulla privacy e la politica di conservazione dei dati della propria organizzazione, poiché queste definiscono i limiti del trattamento lecito nel proprio contesto

• Partecipare alla formazione sulla protezione dei dati, inclusi esercizi pratici basati su scenari che coprano l’identificazione e la gestione delle violazioni

• Se non si è certi che una specifica attività di condivisione o trattamento dei dati sia lecita, chiedere indicazioni al Responsabile della protezione dei dati della propria organizzazione prima di procedere

Il panorama normativo per i dati sanitari continua a evolversi, con il quadro dello Spazio europeo dei dati sanitari che introduce nuovi strumenti per la condivisione e la governance dei dati, destinati a interagire con gli obblighi GDPR esistenti in modi che le autorità di regolamentazione nazionali e i tribunali stanno ancora interpretando. Rimanere aggiornati sugli sviluppi sia a livello UE che nazionale è sempre più parte integrante della pratica clinica responsabile, non un compito che può essere delegato interamente ai team di conformità.

Domande frequenti

Perché i dati sanitari ricevono una protezione più forte ai sensi del GDPR rispetto ad altri dati personali

Ai sensi dell’articolo 9 del Regolamento generale sulla protezione dei dati, i dati sanitari sono classificati come una "categoria speciale" di dati personali. Ciò riflette la particolare sensibilità delle informazioni mediche e il potenziale rischio di danni gravi, tra cui discriminazione, stigma o svantaggio economico, in caso di divulgazione non autorizzata. Il trattamento dei dati sanitari richiede il soddisfacimento di una base giuridica ai sensi dell’articolo 6 e di una condizione aggiuntiva separata ai sensi dell’articolo 9(2). I dati personali standard, come nome o indirizzo, richiedono solo la base dell’articolo 6.

I medici hanno bisogno del consenso del paziente prima di scrivere note mediche o inviare un referto

No. Per la documentazione clinica di routine, i referti, le lettere di dimissione e la comunicazione multidisciplinare, l’articolo 9(2)(h) del GDPR fornisce una base giuridica senza richiedere un consenso separato del paziente. Il consenso ai sensi del GDPR deve essere libero, specifico, informato e inequivocabile. In una relazione clinica, dove esiste uno squilibrio di potere intrinseco, basarsi sul consenso come base primaria per il trattamento di dati di routine può essere problematico. Il consenso è più appropriato per la ricerca, il marketing o la condivisione di dati con terzi al di fuori del team di assistenza diretta per scopi non correlati al trattamento.

Cosa costituisce una violazione del GDPR in un contesto clinico

Una violazione dei dati personali comprende qualsiasi distruzione accidentale o illecita, perdita, alterazione, divulgazione non autorizzata o accesso a dati personali. In ambito sanitario, esempi comuni includono l’invio di una lettera a un indirizzo errato, lasciare una postazione di lavoro clinica connessa e incustodita, discutere informazioni identificabili dei pazienti in corridoio o in sala d’attesa e utilizzare piattaforme consumer come Zoom o WhatsApp per trasmettere informazioni cliniche. Le violazioni che potrebbero comportare un rischio per le persone devono essere segnalate all’autorità di controllo competente entro 72 ore dal momento in cui l’organizzazione ne viene a conoscenza.

Quali obblighi GDPR si applicano quando si condividono dati dei pazienti con altri medici

La condivisione dei dati dei pazienti all’interno di un team di assistenza diretta è generalmente lecita ai sensi dell’articolo 9(2)(h), a condizione che la condivisione sia necessaria e proporzionata allo scopo clinico. Il principio operativo è quello della “necessità di sapere”: solo le informazioni rilevanti per il ruolo del medico ricevente dovrebbero essere condivise. Una lettera di referto dovrebbe contenere ciò di cui lo specialista ricevente ha bisogno, non l’intera storia medica del paziente. La condivisione di cartelle con il datore di lavoro, l’assicuratore o l’avvocato di un paziente richiede il consenso esplicito del paziente o una base giuridica separata.

Quali controlli GDPR dovrebbero effettuare i medici prima di adottare un assistente medico basato su intelligenza artificiale

Qualsiasi strumento che tratta dati dei pazienti per conto di un’organizzazione sanitaria è un responsabile del trattamento ai sensi del GDPR. Prima dell’adozione, medici e organizzazioni dovrebbero verificare che sia in vigore un Accordo sul trattamento dei dati con il fornitore, che i dati dei pazienti vengano trattati solo su istruzioni documentate e che siano adottate misure di sicurezza adeguate, tra cui crittografia e controlli di accesso. È inoltre importante stabilire dove vengono trattati e archiviati i dati dei pazienti, se il fornitore possiede la certificazione ISO 27001, se è stata completata una valutazione d’impatto sulla protezione dei dati e se lo strumento è registrato come dispositivo medico dove applicabile ai sensi del Regolamento sui dispositivi medici dell’UE.

Un paziente può richiedere la cancellazione delle proprie cartelle cliniche ai sensi del GDPR

Il diritto alla cancellazione è fortemente limitato in ambito sanitario. Non si applica quando il trattamento è necessario per l’erogazione di assistenza sanitaria o quando la conservazione è richiesta dalla legge. Per le cartelle cliniche, gli obblighi di conservazione previsti dalla normativa si applicano quasi sempre. Un paziente che richiede la cancellazione durante il periodo di conservazione applicabile può ricevere un rifiuto legittimo, purché il rifiuto sia comunicato chiaramente e nei tempi previsti. I periodi di conservazione variano da paese a paese: in Inghilterra è richiesto un minimo di otto anni dopo l’ultima registrazione per le cartelle degli adulti, in Francia venti anni dall’ultimo episodio di cura e nei Paesi Bassi venti anni dalla data di registrazione.

Qual è la differenza tra titolare del trattamento e responsabile del trattamento in ambito sanitario

Il titolare del trattamento determina le finalità e i mezzi del trattamento dei dati personali. In ambito sanitario, questo è tipicamente il trust NHS, lo studio medico, l’ospedale o la clinica privata. Il responsabile del trattamento gestisce dati personali per conto del titolare. Ciò include fornitori di sistemi di cartelle cliniche, laboratori diagnostici, fornitori di strumenti di intelligenza artificiale e piattaforme di telemedicina. Il titolare ha la responsabilità legale primaria per la conformità al GDPR. Se un responsabile subisce una violazione, il titolare può comunque essere ritenuto responsabile se non ha condotto un’adeguata due diligence o non ha garantito che fossero in atto garanzie contrattuali adeguate.

Cosa significa minimizzazione dei dati per come i medici scrivono le note mediche

L’articolo 5(1)(c) del GDPR richiede che i dati personali siano adeguati, pertinenti e limitati a quanto necessario per le finalità per cui vengono trattati. Per i medici, ciò significa registrare solo le informazioni necessarie per garantire un’assistenza sicura e continua, evitando dettagli biografici o sociali non clinicamente rilevanti. Significa anche evitare di includere abitualmente informazioni di terzi, come dettagli sui familiari, a meno che non siano direttamente rilevanti per il quadro clinico. L’utilizzo di modelli strutturati che richiedano solo i campi necessari può aiutare a evitare di raccogliere informazioni personali non pertinenti.

Quali diritti dei pazienti ai sensi del GDPR è più probabile che i medici incontrino

I diritti più frequentemente riscontrati nella pratica clinica sono il diritto di accesso, il diritto di rettifica, il diritto alla cancellazione e il diritto alla portabilità dei dati. I pazienti che presentano una richiesta di accesso dell’interessato hanno diritto a ricevere una copia dei propri dati personali, incluse le cartelle cliniche, entro un mese. Il diritto di rettifica consente ai pazienti di richiedere la correzione di inesattezze fattuali, ma non dà diritto a modificare l’opinione professionale del medico. Il diritto alla cancellazione è fortemente limitato in ambito sanitario, dove si applicano obblighi di conservazione previsti dalla legge.

Quali passi pratici possono intraprendere i singoli medici per rimanere conformi al GDPR quotidianamente

Abitudini coerenti riducono la maggior parte dei rischi di non conformità quotidiana. Disconnettersi sempre o bloccare le postazioni di lavoro cliniche quando ci si allontana, anche per brevi periodi. Non condividere mai le credenziali di accesso con i colleghi. Condividere solo le informazioni minime necessarie quando si inviano referti o si comunica con i colleghi. Non utilizzare account email personali o app di messaggistica consumer per trasmettere dati dei pazienti. Verificare il destinatario prima di inviare qualsiasi comunicazione relativa a un paziente. Registrare ed escalare tempestivamente le richieste di accesso dell’interessato, poiché il termine di risposta di un mese decorre immediatamente. Prima di adottare qualsiasi software di terze parti che tratta dati dei pazienti, verificare che sia in vigore un Accordo sul trattamento dei dati e che sia stata completata una valutazione d’impatto sulla protezione dei dati.