La base di una verifica trasparente e comprensibile
Basi specialistiche.
Spiegate con chiarezza.
Quali obblighi si applicano ai dati dei pazienti e che cosa significano per la Sua IT, i Suoi contratti e l’attività quotidiana?
Per studi medici, ospedali e altre strutture sanitarie illustriamo il quadro giuridico, gli strumenti della FMH e le indicazioni dell’IFPDT. Scoprirà come da queste basi derivano le dodici domande e la valutazione legale della Sua struttura.
01 · Il quadro giuridico
Protezione dei dati e segreto professionale vanno considerati insieme.
Secondo la legge svizzera sulla protezione dei dati (LPD), i dati concernenti la salute sono dati personali degni di particolare protezione. La verifica va quindi oltre la cartella clinica elettronica: anche valori di laboratorio, immagini o informazioni riportate su una fattura possono rivelare dati sulla salute. Sono determinanti il contenuto, lo scopo e l’utilizzo effettivo dei dati. LPD, art. 5 e 6
Il segreto professionale medico previsto dall’art. 321 del Codice penale tutela inoltre il rapporto di fiducia con i pazienti. Si applica anche agli ausiliari, ad esempio ai fornitori di servizi IT. Il loro coinvolgimento, gli accessi e gli obblighi di riservatezza devono essere chiariti concretamente. Anche all’interno della struttura, la sola funzione professionale non autorizza un accesso indiscriminato alle cartelle. IFPDT: comunicazione di dati dei pazienti
Quali regole si applicano a un ospedale?
Per gli studi medici privati e le cliniche private è generalmente rilevante la LPD federale. Per gli ospedali con un mandato di prestazioni cantonale può invece essere determinante il diritto cantonale della protezione dei dati. La forma giuridica privata, da sola, non risolve la questione: occorre esaminare l’attività, l’ente responsabile e il mandato pubblico. Si aggiungono le disposizioni sanitarie applicabili, ad esempio sulla tenuta delle cartelle. IFPDT: competenza nel settore sanitario
Verifichiamo quindi anzitutto chi è responsabile di ciascun trattamento e quali disposizioni si applicano. La necessità di un consenso e i suoi requisiti dipendono dal trattamento concreto e dal segreto professionale. Un’informativa sulla protezione dei dati svolge una funzione diversa dal consenso.
Nel MedData Check · Domande 1–3 e 6
Sono utili informazioni sulla forma giuridica, sulle sedi e sulle responsabilità e, per gli ospedali, anche sull’ente responsabile e sul mandato di prestazioni. Le categorie di dati descritte indicano quali esigenze di protezione considerare.
02 · La collaborazione con i fornitori
Un contratto deve rispecchiare il servizio effettivo.
La lista di controllo della FMH per i contratti di servizi cloud facilita un esame strutturato: quali prestazioni sono state concordate? Quali allegati ne fanno parte? Come sono disciplinati disponibilità, ripristino e assistenza? Richiama inoltre l’attenzione sul trattamento dei dati, sulle misure di sicurezza e sulla cessazione del contratto. Utilizziamo questa struttura per esaminare congiuntamente il contratto principale e la documentazione complementare. FMH: lista di controllo dei contratti cloud, versione 2020
La lista di controllo risale al periodo precedente all’entrata in vigore della LPD riveduta, il 1° settembre 2023. Offre un orientamento pratico; il suo utilizzo non sostituisce una verifica secondo il diritto vigente. Anche la FMH mette a disposizione i propri strumenti IT sotto forma di raccomandazioni. FMH: inquadramento della protezione IT di base
La responsabilità resta alla struttura
Nel trattamento per conto di terzi, il fornitore tratta dati per la struttura. Ai sensi dell’art. 9 LPD, quest’ultima deve sceglierlo con cura, istruirlo adeguatamente e controllarlo. Può affidargli soltanto trattamenti che essa stessa è autorizzata a effettuare; gli obblighi di segretezza non devono vietare tale affidamento. Il ricorso a subresponsabili richiede un’autorizzazione preventiva. L’IFPDT sottolinea che l’esternalizzazione non trasferisce al fornitore la responsabilità in materia di protezione dei dati. IFPDT: trattamento di dati per conto di terzi
Verifichiamo pertanto se i documenti disciplinano in modo comprensibile l’utilizzo dei dati, le istruzioni, gli ulteriori fornitori coinvolti, le possibilità di controllo e l’assistenza in caso di richieste dei pazienti e incidenti. Rientrano nella verifica anche la restituzione e la cancellazione dei dati al cambio di fornitore. Un documento intitolato «AVV» o «DPA», da solo, non è sufficiente. IFPDT: trattamento dei dati nel cloud
Nel MedData Check · Domande 3–5 e 8
Raccolga i contratti principali, le condizioni generali (CG), gli accordi sul trattamento dei dati per conto di terzi (AVV/DPA), i Service Level Agreement (SLA) e le descrizioni delle misure di sicurezza. È importante stabilire quali versioni e allegati costituiscano effettivamente parte del contratto.
03 · Cloud e dimensione internazionale
L’ubicazione del server è soltanto una parte del quadro.
Per la verifica rileviamo dove i dati vengono conservati e trattati e chi può accedervi. Consideriamo anche backup, subresponsabili e manutenzione a distanza. Un centro dati in Svizzera non risolve quindi la questione degli accessi di assistenza dall’estero. Le indicazioni dell’IFPDT richiedono una valutazione dell’intero servizio cloud. IFPDT: responsabilità nel cloud
In caso di comunicazione all’estero, occorre chiarire se lo Stato destinatario offre un livello adeguato di protezione dei dati secondo l’elenco del Consiglio federale. In caso contrario, si possono prendere in considerazione soprattutto garanzie adeguate. Per le clausole tipo di protezione dei dati occorre inoltre verificare se il diritto estero ne consente il rispetto e se sono necessarie misure di protezione supplementari. Un allegato contrattuale, da solo, non risolve la questione. IFPDT: comunicazione di dati all’estero
La posizione specifica dell’IFPDT sui dati dei pazienti
Quando si utilizzano servizi cloud, l’IFPDT raccomanda, per precauzione, di ottenere il consenso dei pazienti e sconsiglia l’uso di servizi cloud all’estero per i loro dati. Motiva questa posizione con la tutela del segreto professionale medico. Teniamo espressamente conto di tale posizione: una comunicazione all’estero ammessa dal diritto della protezione dei dati non risolve ancora la questione del segreto professionale. IFPDT: dati dei pazienti e cloud
Nel MedData Check · Domande 5–7 e 9
Sono utili informazioni vincolanti sulle ubicazioni dei dati e dei backup, elenchi dei subresponsabili e descrizioni degli accessi di assistenza. «Sconosciuto» indica anzitutto un aspetto da chiarire con il fornitore.
04 · Riservatezza, disponibilità e reazione
La sicurezza richiede responsabilità definite e procedure verificabili.
La protezione IT di base della FMH comprende undici raccomandazioni per studi medici di piccole e medie dimensioni. Collega i compiti organizzativi alle misure tecniche di protezione. Per ospedali e altre strutture sanitarie utilizziamo questi temi come punto di partenza, tenendo conto della rispettiva complessità, dell’organizzazione della sicurezza esistente e dei requisiti specifici della struttura. Le raccomandazioni per gli studi medici non costituiscono uno standard completo per queste strutture. FMH: protezione IT di base D2, settembre 2023
Nel questionario consideriamo account personali, diritti basati sui ruoli, autenticazione a più fattori e accessi esterni. Per i backup ci interessa, oltre alla creazione, anche il buon esito del ripristino: la FMH raccomanda di verificarlo almeno una volta all’anno. Responsabilità scritte e una procedura per gli incidenti devono garantire che i problemi tecnici giungano rapidamente alle persone competenti. FMH: accessi, backup e incidenti
Quali notifiche sono necessarie in caso di incidente?
Ai sensi dell’art. 24 LPD, una violazione della sicurezza dei dati deve essere notificata all’IFPDT quanto prima se comporta verosimilmente un rischio elevato per le persone interessate. Il responsabile del trattamento informa rapidamente il titolare di una violazione. Le persone interessate devono essere informate quando ciò è necessario per la loro protezione o quando lo richiede l’IFPDT. La valutazione richiede quindi un percorso di escalation prestabilito. IFPDT: notifica delle violazioni della sicurezza dei dati
Le strutture soggette all’obbligo di segnalazione per le infrastrutture critiche devono inoltre considerare la segnalazione di determinati ciberattacchi all’Ufficio federale della cibersicurezza (BACS) entro 24 ore dalla scoperta. L’assoggettamento della struttura e le eccezioni applicabili vengono chiariti separatamente. Questo obbligo va distinto dalla notifica prevista dal diritto della protezione dei dati. BACS: obbligo di segnalazione dei ciberattacchi
Nel MedData Check · Domande 2, 9 e 10
Un piano delle autorizzazioni, informazioni sull’autenticazione a più fattori, attestazioni dei backup e dei ripristini e un piano di gestione degli incidenti facilitano la valutazione giuridica. Il Basic-Check non comprende una verifica dell’efficacia tecnica.
05 · La protezione dei dati nell’attività quotidiana
I diritti dei pazienti devono funzionare nella pratica.
Un’organizzazione solida della protezione dei dati assegna i compiti: chi aggiorna le regole interne? Chi forma il personale? Chi risponde alle richieste dei pazienti e coinvolge, se necessario, l’IT o la consulenza legale? Esaminiamo le direttive scritte, gli impegni di riservatezza e le attestazioni di formazione insieme alle procedure descritte. A seconda dei presupposti di legge, è necessario anche un registro delle attività di trattamento. LPD: registro delle attività di trattamento
Per l’informazione ai pazienti verifichiamo gli obblighi di informazione applicabili e le relative eccezioni. Vi rientrano in particolare il titolare del trattamento, gli scopi e i destinatari dei dati e, se del caso, le comunicazioni all’estero. L’IFPDT richiede informazioni comprensibili e accessibili. Un’informativa dovrebbe quindi rispecchiare i servizi effettivamente utilizzati e i flussi di dati reali. IFPDT: obbligo di informare
Accesso ai dati, consegna della cartella, rettifica e cancellazione sono richieste diverse. La struttura necessita di una procedura che consideri l’identità della persona richiedente, le competenze e i termini. In caso di richiesta di cancellazione, occorre valutare anche gli obblighi legali di conservazione; il termine appropriato non può essere fissato indistintamente per tutte le strutture. Anche in presenza di dati esternalizzati, la struttura deve poter garantire i diritti dei pazienti. IFPDT: consultazione, conservazione e cancellazione
Quando occorre una valutazione d’impatto sulla protezione dei dati?
Ai sensi dell’art. 22 LPD, una valutazione d’impatto sulla protezione dei dati (VIPD) è in linea di principio necessaria prima di un trattamento che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali. Possono essere rilevanti trattamenti su larga scala di dati degni di particolare protezione e nuove tecnologie; occorre esaminare anche le eccezioni legali. MedData Check può evidenziare la necessità di ulteriori approfondimenti. Una VIPD completa richiede un ambito di verifica specifico. IFPDT: valutazione d’impatto sulla protezione dei dati
Nel MedData Check · Domande 11 e 12
Sono utili direttive sulla protezione dei dati, materiale formativo, informative ai pazienti e una descrizione della procedura di gestione delle richieste. Sono sufficienti modelli e documenti organizzativi; per la prima verifica non occorrono cartelle dei pazienti.
06 · Il nostro metodo di verifica
Dalle risposte a raccomandazioni motivate.
Le dodici domande principali costituiscono un rilevamento strutturato della situazione. Coprono le quattro aree tematiche e individuano i documenti su cui si fonda la prima verifica giuridica. La seguente classificazione descrive il nostro metodo di lavoro; non è un sistema di valutazione prescritto dalla FMH o dall’IFPDT.
| Domande | Oggetto principale della verifica | Documentazione utile |
|---|---|---|
| A · 1–3 | Struttura, responsabilità e IT esterna | Quadro delle responsabilità, compiti del fornitore IT; per gli ospedali, informazioni sul mandato pubblico |
| B · 4–7 | Sistemi, cloud, categorie di dati e luoghi di trattamento | Panoramica dei sistemi, informazioni sui fornitori, ubicazioni dei dati e subresponsabili |
| C · 8–10 | Contratti, diritti di accesso, backup e incidenti | Contratti e allegati, piano delle autorizzazioni, attestazioni dei ripristini, piano di gestione degli incidenti |
| D · 11–12 | Regole interne, formazione e diritti dei pazienti | Direttive, attestazioni di formazione, informativa ai pazienti e procedura di gestione delle richieste |
Quattro passaggi per ogni constatazione
- Indicare la base. Quale risposta e quale clausola contrattuale o documento sostengono la constatazione?
- Valutare giuridicamente. Quale requisito è interessato e che cosa può essere valutato sulla base del materiale disponibile?
- Evidenziare i punti aperti. Le informazioni mancanti o contraddittorie danno luogo a richieste mirate di chiarimento. «Sconosciuto» non comporta automaticamente una classificazione rossa.
- Raccomandare il passo successivo. Il rapporto indica la misura opportuna e la sua priorità di verifica.
I colori del semaforo indicano priorità qualitative: verde significa che nell’ambito esaminato non è stata riscontrata una maggiore necessità di verifica; giallo indica la necessità di verifica o chiarimento; rosso segnala una maggiore necessità di verifica da trattare prioritariamente. Ogni classificazione è motivata. L’analisi costituisce una prima valutazione legale nell’ambito concordato. Non sostituisce una verifica tecnica della sicurezza, un audit completo di conformità o una VIPD.
Fonti e versioni
Le fonti originali sono collegate nelle rispettive spiegazioni. Utilizziamo la lista di controllo FMH per i contratti cloud nella versione 2020 e la protezione IT di base D2 nella versione di settembre 2023. Nell’ambito del mandato concreto vengono verificate l’attualità e l’applicabilità della legge e delle informazioni delle autorità.