Le cartelle cliniche si trovano all'intersezione di obblighi legali concorrenti. Il Regolamento generale sulla protezione dei dati (GDPR) garantisce ai pazienti diritti significativi sui propri dati personali, incluso il diritto di far correggere informazioni inesatte e, in alcune circostanze, di farle cancellare. Ma la documentazione clinica esiste per ragioni che vanno oltre la gestione dei dati: è alla base della sicurezza del paziente, della responsabilità professionale e della difendibilità legale. Quando un paziente presenta una richiesta di correzione o rimozione di una voce dalla propria cartella clinica, le regole applicabili non sono semplici e le conseguenze di una risposta errata possono essere gravi. Questo articolo illustra cosa richiede la conformità GDPR in ambito sanitario in queste situazioni, quali esenzioni si applicano e cosa devono fare in pratica gli amministratori clinici.

I due diritti GDPR che attivano richieste di correzione e cancellazione

Due articoli del GDPR sono rilevanti quando un paziente contesta il contenuto della propria cartella clinica.

L'articolo 16 prevede il diritto di rettifica. Esso autorizza l'interessato a richiedere che un titolare del trattamento corregga i dati personali inesatti e a far completare i dati incompleti, anche mediante una dichiarazione integrativa. La rettifica può avvenire modificando i dati, mediante cancellazione parziale o totale, o aggiungendo informazioni per completare una cartella incompleta.

L'articolo 17 prevede il diritto alla cancellazione, talvolta chiamato "diritto all'oblio". Esso richiede ai titolari del trattamento di cancellare i dati personali senza indebito ritardo in circostanze specifiche, ad esempio quando i dati non sono più necessari per lo scopo per cui sono stati raccolti, o quando l'interessato revoca il consenso e non si applica nessun'altra base giuridica.

Nessuno dei due diritti è assoluto. In un contesto sanitario, entrambi i diritti sono soggetti a limitazioni significative. Come afferma la Commissione irlandese per la protezione dei dati, questi diritti "si applicano raramente a dati personali quali pareri medici, diagnosi e note di trattamento clinico". Comprendere il perché richiede un esame dettagliato delle esenzioni.

Quando il diritto alla cancellazione del GDPR non si applica alle cartelle cliniche

L'articolo 17 include eccezioni esplicite applicabili all'assistenza sanitaria. Ai sensi dell'articolo 17(3), il diritto alla cancellazione non si applica quando il trattamento è necessario:

• Per l'adempimento di un obbligo legale previsto dal diritto dell'UE o degli Stati membri

• Per motivi di interesse pubblico nel settore della sanità pubblica ai sensi dell'articolo 9(2)(i)

• A fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici

• Per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria

In pratica, l'eccezione più comunemente applicabile in ambito clinico è l'obbligo legale di conservare le cartelle. Le organizzazioni sanitarie negli Stati membri dell'UE sono soggette a periodi minimi di conservazione previsti dalla legge. In Inghilterra, ad esempio, il Codice di pratica per la gestione delle cartelle cliniche del NHS England richiede che le cartelle dei pazienti adulti siano conservate per un minimo di otto anni dopo l'ultima registrazione. Le cartelle dei medici di base devono essere conservate per dieci anni dopo la morte di un paziente, in conformità con le attuali linee guida del NHS, sebbene i periodi di conservazione possano variare in base al tipo di cartella. Obblighi equivalenti esistono in tutti gli Stati membri dell'UE, sebbene i periodi specifici varino a seconda della giurisdizione.

Quando si applica un obbligo di conservazione previsto dalla legge, una richiesta di cancellazione può essere legittimamente rifiutata. L'organizzazione non è tenuta a cancellare la cartella semplicemente perché il paziente l'ha richiesto. L'obbligo è rispondere alla richiesta, spiegare l'esenzione applicabile e informare il paziente del suo diritto di presentare reclamo all'autorità di controllo competente.

Anche il contesto normativo è rilevante: i diritti di cancellazione del GDPR sono soggetti a controllo normativo, con sanzioni per la non conformità che raggiungono fino a 20 milioni di euro o il 4% del fatturato annuo globale ai sensi dell'articolo 83(5). Ciò segnala che i diritti di cancellazione in ambito sanitario sono sotto controllo normativo e che sia i rifiuti ingiustificati che le cancellazioni ingiustificate comportano rischi reali.

Cosa significa rettifica in un contesto clinico

La rettifica ai sensi dell'articolo 16 si applica ai dati che sono fattualmente inesatti. Una data di nascita errata del paziente, un nome scritto in modo errato o un indirizzo registrato per errore sono chiari candidati per la correzione. Si tratta di errori oggettivi e correggerli è sia richiesto che semplice.

La situazione più complessa si verifica quando un paziente contesta un giudizio clinico, come una diagnosi, una valutazione documentata o l'opinione registrata di un clinico sulla sua presentazione o comportamento. Queste voci non sono automaticamente "inesatte" ai sensi del GDPR semplicemente perché il paziente non è d'accordo con esse.

Le linee guida della BMA sull'accesso alle cartelle cliniche sono esplicite su questo punto: "i pazienti possono chiedere la correzione di informazioni che ritengono inesatte, ma il professionista sanitario non è obbligato ad accettare l'opinione del paziente. Deve assicurarsi che le note indichino il punto di vista del paziente". Il giudizio professionale documentato di un clinico riflette la sua valutazione al momento in cui è stata effettuata. Non essere d'accordo con quel giudizio non rende la cartella fattualmente errata nel senso del GDPR.

Quando un paziente ritiene che una cartella sia incompleta piuttosto che inesatta, la Commissione irlandese per la protezione dei dati conferma che il paziente può richiedere che venga aggiunta una dichiarazione integrativa per completare la cartella. Si tratta di un diritto significativo, ma è distinto dal diritto di far rimuovere o sovrascrivere la voce originale.

L'obbligo della traccia di controllo: cosa deve essere registrato quando una voce cambia

Quando una voce di una cartella clinica viene corretta o annotata, la traccia di controllo non è facoltativa. È un requisito fondamentale di conformità sia ai sensi del GDPR che degli standard di documentazione professionale.

Una traccia di controllo adeguata per una modifica di una cartella deve includere:

• La voce originale, che deve rimanere visibile e inalterata

• La data e l'ora di qualsiasi modifica

• L'identità della persona che effettua la modifica

• Il motivo della modifica, chiaramente documentato

Le linee guida della BMA affermano che "le modifiche alle cartelle possono essere effettuate a condizione che le modifiche siano apportate in modo da indicare perché è stata effettuata l'alterazione, in modo che sia chiaro che le cartelle non sono state manomesse". Le linee guida confermano inoltre che "le informazioni possono essere rimosse dalla visualizzazione ma la traccia di controllo manterrà sempre la cartella completa".

Da un punto di vista tecnico, le tracce di controllo devono essere a prova di manomissione per fungere da prova credibile durante indagini normative o procedimenti legali. Ogni voce di registro dovrebbe acquisire l'identità dell'utente, il timestamp e l'azione eseguita. Sovrascrivere o cancellare la voce originale, piuttosto che annotarla, crea sia un rischio di conformità GDPR che un rischio di responsabilità professionale. Se una cartella è stata alterata senza una traccia di controllo visibile, potrebbe essere impossibile dimostrare che la modifica era legittima piuttosto che un tentativo di occultare informazioni.

Come gestire una richiesta di rettifica senza alterare la voce originale

L'approccio clinico standard a una richiesta di rettifica valida è aggiungere un'appendice o un'annotazione datata accanto alla voce originale, piuttosto che modificarla o rimuoverla. Questo metodo soddisfa il principio di esattezza del GDPR preservando l'integrità della cartella originale.

Un'annotazione correttamente costruita dovrebbe includere:

• La data in cui è stata aggiunta l'annotazione

• Il nome e il ruolo della persona che la aggiunge

• Una dichiarazione chiara di cosa viene corretto o aggiunto e perché

• Ove pertinente, una nota che la modifica segue una richiesta del paziente ai sensi dell'articolo 16 del GDPR

Quando il paziente ha contestato un giudizio clinico piuttosto che un errore fattuale, l'annotazione dovrebbe registrare il punto di vista del paziente senza implicare che la voce clinica originale fosse errata. Ad esempio: "Il paziente ha richiesto che venga annotato che contesta la valutazione di cui sopra. Il suo punto di vista è stato registrato in conformità con il suo diritto di aggiungere una dichiarazione integrativa ai sensi dell'articolo 16 del GDPR".

Questo approccio garantisce che la cartella rimanga completa, la voce originale sia preservata per scopi clinici e legali e il diritto del paziente di far documentare la propria prospettiva sia rispettato. Crea anche una chiara traccia documentale per qualsiasi successiva revisione normativa.

Il ruolo del Responsabile della protezione dei dati e del Garante Caldicott

Non tutte le richieste di rettifica o cancellazione devono essere inoltrate a livelli superiori, ma sapere quando coinvolgere ruoli specialistici è importante.

Ai sensi del GDPR, le organizzazioni sanitarie che trattano categorie particolari di dati, che includono tutti i dati sanitari, sono tenute a designare un Responsabile della protezione dei dati (DPO, Data Protection Officer). Il DPO deve essere coinvolto in qualsiasi situazione in cui la risposta a una richiesta dell'interessato sia legalmente incerta, in cui venga emesso un rifiuto o in cui la richiesta comporti una potenziale violazione del principio di esattezza che potrebbe influire sulla sicurezza del paziente.

Negli ambienti del National Health Service (NHS) e dell'assistenza sanitaria del Regno Unito, il Garante Caldicott svolge un ruolo correlato ma distinto: è responsabile della protezione della riservatezza delle informazioni dei pazienti e del supporto alla condivisione appropriata delle informazioni. Quando una richiesta di rettifica o cancellazione solleva questioni sull'appropriatezza clinica della divulgazione o della modifica del contenuto della cartella, il Garante Caldicott dovrebbe essere consultato insieme al DPO.

Per le richieste di routine, come la correzione di un errore fattuale evidente come un indirizzo errato, un responsabile di studio o un amministratore clinico senior può in genere gestire la risposta, a condizione che la modifica segua la corretta procedura di traccia di controllo. Per qualsiasi cosa che coinvolga una voce clinica contestata, un rifiuto di cancellazione o una richiesta che riguardi diagnosi sensibili o informazioni di salvaguardia, l'inoltro al DPO è il passo appropriato.

Rispondere al paziente: tempistiche, formato e cosa dire quando si rifiuta

Il GDPR stabilisce una scadenza ferma per rispondere alle richieste degli interessati. La risposta deve essere fornita entro un mese dal ricevimento della richiesta. Nei casi complessi, questo periodo può essere prorogato di ulteriori due mesi, ma solo se l'interessato viene informato della proroga e dei motivi entro la finestra originale di un mese. Senza tale notifica, la scadenza di un mese rimane ferma.

Il silenzio o il ritardo costituisce di per sé una violazione della conformità. La mancata risposta entro la scadenza è trattata come un rifiuto senza giustificazione e il paziente può presentare reclamo all'autorità di controllo competente.

Quando si rifiuta una richiesta, sia di cancellazione che di rettifica, la risposta deve:

• Essere in un linguaggio semplice e accessibile (non un modello legale standard)

• Identificare chiaramente l'esenzione specifica o la base giuridica per il rifiuto

• Informare il paziente del suo diritto di presentare un reclamo all'autorità di controllo nazionale (ad esempio, l'Information Commissioner's Office (ICO) nel Regno Unito, la Data Protection Commission (DPC) in Irlanda o la Commission Nationale de l'Informatique et des Libertés (CNIL) in Francia)

• Informare il paziente del suo diritto di chiedere un ricorso giurisdizionale

Prima di agire su qualsiasi richiesta, il titolare del trattamento deve confermare che il richiedente sia l'interessato stesso o qualcuno con l'autorità di agire per suo conto. Questa fase di verifica è particolarmente importante in ambito sanitario, dove le cartelle contengono informazioni altamente sensibili.

Come gli obblighi di correzione e cancellazione differiscono tra gli Stati membri dell'UE

Il GDPR stabilisce la base di riferimento, ma consente esplicitamente agli Stati membri di introdurre condizioni aggiuntive per il trattamento dei dati sanitari. L'articolo 9(4) consente agli Stati membri di "mantenere o introdurre ulteriori condizioni, comprese limitazioni, per quanto riguarda il trattamento di dati genetici, dati biometrici o dati relativi alla salute".

Ciò significa che gli amministratori clinici che lavorano in diverse giurisdizioni dell'UE possono incontrare variazioni in:

• Periodi di conservazione: La legge nazionale determina i calendari minimi di conservazione e questi differiscono in modo significativo. Germania, Francia, Irlanda e Paesi Bassi hanno ciascuno i propri quadri normativi che regolano per quanto tempo devono essere conservate diverse categorie di cartelle cliniche.

• Procedure di modifica: Alcuni Stati membri hanno requisiti procedurali specifici su come le modifiche alle cartelle cliniche devono essere documentate o notificate al paziente.

• Estensioni dei diritti dei pazienti: Alcune giurisdizioni hanno esteso i diritti dei pazienti oltre la base di riferimento del GDPR nel contesto delle cartelle cliniche.

Il quadro GDPR descritto in questo articolo si applica in tutta l'UE, ma non sostituisce la consulenza legale locale. Gli amministratori clinici che operano in uno specifico Stato membro dovrebbero verificare le linee guida nazionali applicabili, generalmente emesse dall'autorità nazionale per la protezione dei dati o dal ministero della salute competente, prima di rispondere a richieste che possano coinvolgere la legge locale.

Un quadro decisionale pratico per gli amministratori clinici

Quando arriva una richiesta di un interessato relativa a una cartella clinica, il seguente percorso decisionale fornisce un punto di partenza strutturato. Non sostituisce la consulenza legale nei casi complessi, ma copre la maggior parte degli scenari che un amministratore clinico incontrerà.

Fase 1: Identificare il tipo di richiesta
Il paziente sta richiedendo la correzione di un errore fattuale (articolo 16), il completamento di una cartella incompleta (articolo 16) o la cancellazione della cartella (articolo 17)? Le regole applicabili differiscono.

Fase 2: Verificare l'identità del richiedente
Confermare che la richiesta provenga dall'interessato o da un rappresentante autorizzato prima di intraprendere qualsiasi azione o condividere qualsiasi informazione.

Fase 3: Verificare le esenzioni applicabili
Per le richieste di cancellazione: si applica un obbligo di conservazione previsto dalla legge? I dati sono necessari per scopi di sanità pubblica, rivendicazioni legali o archiviazione? In caso affermativo, la richiesta può essere rifiutata. Per le richieste di rettifica: i dati contestati sono fattualmente inesatti o si tratta di un giudizio clinico con cui il paziente non è d'accordo? Se quest'ultimo, la voce originale non deve essere modificata, ma il punto di vista del paziente dovrebbe essere registrato come dichiarazione integrativa.

Fase 4: Determinare l'azione appropriata

• Errore fattuale: correggere la voce utilizzando una modifica con traccia di controllo

• Cartella incompleta: aggiungere una dichiarazione integrativa datata

• Giudizio clinico contestato: aggiungere un'annotazione che registri il punto di vista del paziente, senza alterare la voce originale

• Richiesta di cancellazione soggetta a un'esenzione di conservazione: preparare una risposta di rifiuto citando la base giuridica applicabile

Fase 5: Documentare la decisione
Registrare quale richiesta è stata ricevuta, quale decisione è stata presa, quale esenzione o base giuridica è stata applicata e chi è stato coinvolto nel prendere la decisione. Questa documentazione è essa stessa parte dell'obbligo di responsabilità GDPR dell'organizzazione.

Fase 6: Rispondere entro la scadenza
Inviare una risposta scritta entro un mese. Se la richiesta viene rifiutata, includere la base giuridica specifica, il diritto del paziente di presentare reclamo all'autorità di controllo e il suo diritto a un ricorso giurisdizionale. Utilizzare un linguaggio semplice.

Fase 7: Inoltrare se contestato o incerto
Se il paziente contesta il rifiuto, se la richiesta coinvolge categorie sensibili di informazioni come la salvaguardia o le cartelle di salute mentale, o se c'è una genuina incertezza legale sull'esenzione applicabile, inoltrare al DPO. Negli ambienti NHS, consultare il Garante Caldicott quando è coinvolta la riservatezza del paziente.

Un'importante limitazione da riconoscere: il quadro sopra riflette la base di riferimento del GDPR e gli standard generali di documentazione clinica. Non tiene conto di ogni variazione nazionale e non affronta la complessità tecnica della cancellazione nei moderni sistemi informatici clinici, in particolare dove le cartelle sono replicate su backup, archivi e responsabili del trattamento di terze parti. L'implementazione della cancellazione verificabile dei dati su set di dati clinici crittografati rimane tecnicamente impegnativa e gli obblighi di cancellazione si estendono ai backup e alle copie archiviate detenute dai responsabili del trattamento. Quando è legalmente richiesta una cancellazione, i team di tecnologia dell'informazione e governance delle informazioni dovranno essere coinvolti per garantire che venga eseguita completamente.

Domande frequenti

▶ I pazienti hanno il diritto di cancellare le proprie cartelle cliniche ai sensi del GDPR?

Non nella maggior parte delle circostanze. L'articolo 17 del Regolamento generale sulla protezione dei dati garantisce un diritto alla cancellazione, ma questo diritto non si applica quando esiste un obbligo legale di conservare le cartelle. Le organizzazioni sanitarie negli Stati membri dell'UE sono soggette a periodi minimi di conservazione previsti dalla legge. In Inghilterra, ad esempio, il NHS England richiede che le cartelle dei pazienti adulti siano conservate per un minimo di otto anni dopo l'ultima registrazione. Quando si applica tale obbligo, una richiesta di cancellazione può essere legittimamente rifiutata, a condizione che l'organizzazione risponda per iscritto, spieghi l'esenzione e informi il paziente del suo diritto di presentare reclamo all'autorità di controllo competente.

▶ Un paziente può richiedere la correzione di una diagnosi clinica con cui non è d'accordo?

Un paziente può richiedere la correzione, ma un clinico non è obbligato a modificare un giudizio professionale documentato semplicemente perché il paziente lo contesta. Il diritto di rettifica ai sensi dell'articolo 16 si applica ai dati fattualmente inesatti, come una data di nascita errata o un nome scritto in modo errato. Una diagnosi o valutazione clinica riflette l'opinione professionale del clinico al momento in cui è stata registrata. Non essere d'accordo con quell'opinione non rende la voce inesatta ai sensi del GDPR. Quando un paziente contesta un giudizio clinico, la risposta appropriata è aggiungere una dichiarazione integrativa che registri il punto di vista del paziente, senza alterare la voce originale.

▶ Cosa deve includere una traccia di controllo quando una cartella clinica viene modificata?

Quando una voce di una cartella clinica viene corretta o annotata, la traccia di controllo deve includere quattro elementi: la voce originale, che deve rimanere visibile e inalterata, la data e l'ora della modifica, l'identità della persona che effettua la modifica e il motivo della modifica. Sovrascrivere o cancellare la voce originale, piuttosto che annotarla, crea sia un rischio di conformità GDPR che un rischio di responsabilità professionale. Se una cartella è stata alterata senza una traccia di controllo visibile, potrebbe essere impossibile dimostrare che la modifica era legittima.

▶ Come dovrebbe un amministratore clinico gestire una richiesta di rettifica senza modificare la voce originale?

L'approccio standard è aggiungere un'appendice o un'annotazione datata accanto alla voce originale. Un'annotazione correttamente costruita dovrebbe includere la data in cui è stata aggiunta, il nome e il ruolo della persona che la aggiunge, una dichiarazione chiara di cosa viene corretto o aggiunto e perché e, ove pertinente, una nota che la modifica segue una richiesta del paziente ai sensi dell'articolo 16 del GDPR. Quando un paziente ha contestato un giudizio clinico piuttosto che un errore fattuale, l'annotazione dovrebbe registrare il punto di vista del paziente senza implicare che la voce originale fosse errata.

▶ Qual è la scadenza per rispondere a una richiesta di correzione o cancellazione di un paziente?

Il GDPR richiede una risposta entro un mese dal ricevimento della richiesta. Nei casi complessi, questo periodo può essere prorogato di ulteriori due mesi, ma solo se il paziente viene informato della proroga e dei motivi entro la finestra originale di un mese. Il silenzio o il ritardo costituisce di per sé una violazione della conformità. La mancata risposta entro la scadenza è trattata come un rifiuto senza giustificazione e il paziente può presentare reclamo all'autorità di controllo competente.

▶ Cosa deve includere una lettera di rifiuto quando si rifiuta una richiesta di cancellazione o rettifica di un paziente?

Una risposta di rifiuto deve essere scritta in un linguaggio semplice e accessibile. Deve identificare chiaramente l'esenzione specifica o la base giuridica per il rifiuto, informare il paziente del suo diritto di presentare un reclamo all'autorità di controllo nazionale (come l'Information Commissioner's Office nel Regno Unito, la Data Protection Commission in Irlanda o la Commission Nationale de l'Informatique et des Libertés in Francia) e informare il paziente del suo diritto di chiedere un ricorso giurisdizionale. Un modello legale standard non è sufficiente. Il paziente deve essere in grado di capire perché la richiesta è stata rifiutata e cosa può fare dopo.

▶ Quando dovrebbe essere coinvolto un Responsabile della protezione dei dati nella gestione di una richiesta di cartella clinica?

Le organizzazioni sanitarie che trattano dati sanitari sono tenute ai sensi del GDPR a designare un Responsabile della protezione dei dati. Il Responsabile della protezione dei dati deve essere coinvolto quando la risposta a una richiesta è legalmente incerta, quando viene emesso un rifiuto o quando la richiesta comporta una potenziale violazione del principio di esattezza che potrebbe influire sulla sicurezza del paziente. Le richieste di routine, come la correzione di un errore fattuale evidente come un indirizzo errato, possono in genere essere gestite da un responsabile di studio o da un amministratore clinico senior, a condizione che la modifica segua la corretta procedura di traccia di controllo. Qualsiasi cosa che coinvolga una voce clinica contestata, un rifiuto di cancellazione o informazioni sensibili come la salvaguardia o le cartelle di salute mentale dovrebbe essere inoltrata al Responsabile della protezione dei dati.

▶ Le regole di correzione e cancellazione del GDPR differiscono tra gli Stati membri dell'UE?

Il GDPR stabilisce la base di riferimento, ma consente esplicitamente agli Stati membri di introdurre condizioni aggiuntive per il trattamento dei dati sanitari ai sensi dell'articolo 9(4). Ciò significa che gli amministratori clinici che lavorano in diverse giurisdizioni dell'UE possono incontrare variazioni nei periodi di conservazione previsti dalla legge, nelle procedure di modifica e nei diritti dei pazienti che vanno oltre la base di riferimento del GDPR. Germania, Francia, Irlanda e Paesi Bassi hanno ciascuno i propri quadri normativi che regolano per quanto tempo devono essere conservate diverse categorie di cartelle cliniche. Gli amministratori clinici che operano in uno specifico Stato membro dovrebbero verificare le linee guida nazionali applicabili, generalmente emesse dall'autorità nazionale per la protezione dei dati o dal ministero della salute competente, prima di rispondere a richieste che possano coinvolgere la legge locale.

▶ Il diritto alla cancellazione del GDPR si estende ai backup e alle copie archiviate delle cartelle cliniche?

Sì. Quando è legalmente richiesta una cancellazione, l'obbligo si estende ai backup e alle copie archiviate detenute dai responsabili del trattamento, non solo alla cartella primaria. L'implementazione della cancellazione verificabile dei dati su set di dati clinici crittografati è tecnicamente impegnativa, in particolare dove le cartelle sono replicate su backup, archivi e responsabili del trattamento di terze parti. Quando è legalmente richiesta una cancellazione, i team di tecnologia dell'informazione e governance delle informazioni dovranno essere coinvolti per garantire che venga eseguita completamente.

▶ Qual è la differenza tra il diritto di rettifica e il diritto di aggiungere una dichiarazione integrativa?

Il diritto di rettifica ai sensi dell'articolo 16 del GDPR copre la correzione di dati fattualmente inesatti e il completamento di dati incompleti. Quando un paziente ritiene che una cartella sia incompleta piuttosto che inesatta, può richiedere che venga aggiunta una dichiarazione integrativa per completare la cartella. Si tratta di un diritto significativo, ma è distinto dal diritto di far rimuovere o sovrascrivere la voce originale. La Commissione irlandese per la protezione dei dati conferma questa distinzione: la dichiarazione integrativa si affianca alla voce originale piuttosto che sostituirla.