Informatica per una clinica:
cosa cambia

Perché il GDPR li colloca in un'altra categoria. L'articolo 9, paragrafo 1, vieta in via generale il trattamento di determinate categorie particolari di dati, tra cui i dati relativi alla salute, salvo nei casi elencati dallo stesso articolo, e l'assistenza sanitaria è uno di questi. L'articolo 4, punto 15, definisce questi dati in modo ampio: qualsiasi dato attinente alla salute fisica o mentale, passata, presente o futura, che riveli informazioni sullo stato di salute di una persona. In pratica ciò comprende molto più della cartella clinica: il motivo di un appuntamento in agenda, un preventivo di trattamento, una radiografia sul desktop o un'email in cui un paziente racconta cosa ha. Tutto questo passa per gli stessi dispositivi di qualsiasi ufficio, ma il livello di protezione richiesto è più alto.

Il GDPR non impone un elenco chiuso di misure, ma misure adeguate al rischio, e tra gli esempi indicati dall'articolo 32, paragrafo 1, figurano la cifratura dei dati personali e la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati in caso di incidente. Con dati sanitari il rischio è elevato per definizione, quindi la cosa ragionevole è che ogni backup che esce dalla sede sia cifrato, che la chiave non viaggi insieme al backup e che qualcuno verifichi di tanto in tanto che sia ripristinabile. Un backup non cifrato su un disco che qualcuno porta a casa trasforma il furto di un'auto in una violazione di dati sanitari. Un backup mai testato potrebbe non servire il giorno in cui occorre.

La legge spagnola 41/2002, sull'autonomia del paziente, stabilisce all'articolo 16.4 che il personale amministrativo e gestionale dei centri sanitari può accedere solo ai dati della cartella clinica legati alle proprie funzioni. Tradotto in termini informatici: l'accettazione ha bisogno dell'agenda, dei recapiti e della fatturazione, non delle note cliniche. Quasi tutti i gestionali clinici consentono profili utente con permessi diversi, ed è frequente trovarli non configurati, con tutti che accedono come amministratore. Configurare correttamente i profili richiede poco lavoro e cambia completamente la risposta alla domanda su chi abbia potuto vedere un determinato dato.

La legge statale spagnola, la legge 41/2002 all'articolo 17.1, fissa un minimo di cinque anni dalla data di dimissione di ciascun episodio assistenziale. In Catalogna vige inoltre la legge 21/2000, il cui articolo 12, nella formulazione introdotta dalla legge 16/2010, impone di conservare per quindici anni dalla dimissione di ciascun episodio determinati documenti, come i moduli di consenso informato, le lettere di dimissione, i referti operatori, quelli degli esami complementari o di anatomia patologica, e consente di distruggere il resto dopo cinque anni. Ci sono sfumature, come la documentazione ritenuta particolarmente rilevante a fini assistenziali, epidemiologici o giudiziari, quindi il calendario concreto della Sua clinica deve stabilirlo il Suo consulente legale. Il nostro compito è far sì che il sistema possa applicarlo.

Nelle aree comuni, come l'ingresso, la sala d'attesa o il corridoio, sì, con il cartello informativo visibile e un'inquadratura proporzionata. Nelle stanze in cui si visita il paziente, come l'ambulatorio o la sala medicazioni, noi non le installiamo: è lo spazio di massima riservatezza dell'intera clinica, e ciò che vi si registrerebbe sono dati sanitari. La legge organica spagnola 3/2018, all'articolo 22.3, impone di cancellare le immagini di videosorveglianza entro un mese al massimo dalla ripresa, salvo che debbano essere conservate per documentare fatti specifici. Se la telecamera inquadra anche il personale, entrano in gioco le regole specifiche sulla ripresa dei dipendenti, che sono rigorose.

Sì. Chi gestisce i Suoi dispositivi o i Suoi server accede, o può accedere, ai dati dei pazienti, e l'articolo 28 del GDPR richiede che questo trattamento sia disciplinato da un contratto o da un altro atto giuridico che ne stabilisca la materia, la durata, la natura e la finalità, il tipo di dati e gli obblighi di ciascuna parte. Inoltre, il titolare deve scegliere solo responsabili che presentino garanzie sufficienti. Vale anche per il fornitore del gestionale in cloud, per quello della posta e per quello che ospita i backup. Se il Suo fornitore informatico non Le ha mai proposto questo contratto, glielo chieda: la sua reazione dice molto.

Nessuna norma cita l'autenticazione a due fattori per nome, ma con dati sanitari è tra le misure che riducono più rischio con meno sforzo. La maggior parte degli accessi illeciti non deriva da un attacco sofisticato, ma da una password riutilizzata, annotata da qualche parte o rubata con un'email falsa. Con un secondo fattore, quella password da sola non basta più per entrare. La priorità è attivarla sulla posta della clinica, sul gestionale clinico se lo consente, su qualsiasi accesso remoto e sugli account di amministrazione. E sempre con account personali: un secondo fattore su un account condiviso protegge poco e non lascia traccia di chi è entrato.