Il medico deve far firmare il consenso privacy al paziente?

Per la diagnosi e la cura no: il Garante, nel provvedimento n. 55 del 7 marzo 2019, ha chiarito che il medico non deve chiedere il consenso per i trattamenti necessari alla prestazione. Deve però consegnare l'informativa. Il consenso serve per i trattamenti solo indirettamente legati alla cura, come il referto online o le finalità promozionali.

Quando va consegnata l'informativa privacy?

Nel momento in cui si raccolgono i dati, come prevede l'articolo 13 del GDPR: nello studio, di solito alla prima visita. Conviene conservare una firma per presa visione, perché il titolare deve poter dimostrare di averla data.

Il medico libero professionista deve nominare un DPO?

No. Secondo il Garante il professionista sanitario che lavora da solo non tratta dati su larga scala e non è tenuto a nominarlo. Deve però tenere il registro delle attività di trattamento, da mostrare in caso di controllo.

Cosa scrivere nell'informativa sul periodo di conservazione?

Il periodo o il criterio per stabilirlo. Per la cartella dello studio privato nessuna norma fissa un termine: il riferimento più usato è di dieci anni dall'ultima prestazione, il termine di prescrizione ordinaria, salvo contenziosi in corso.

Informativa privacy dello studio medico: contenuti e modello

L'informativa privacy dello studio medico deve dire al paziente chi tratta i suoi dati, per quali finalità e su quale base giuridica, a chi li comunica, per quanto tempo li conserva, quali diritti ha e come proporre reclamo al Garante: sono gli elementi dell'articolo 13 del GDPR. Per la cura il consenso non serve, ma l'informativa sì, e va data quando si raccolgono i dati, cioè di solito alla prima visita. Qui trovi gli elementi uno per uno, i trattamenti per cui il consenso serve ancora e un modello da adattare al tuo studio.

In breve

L'articolo 13 del GDPR elenca cosa scrivere: titolare e contatti, eventuale DPO, finalità e base giuridica, destinatari, trasferimenti fuori dall'Unione europea, periodo di conservazione, diritti, revoca del consenso, reclamo al Garante, obbligo di fornire i dati e decisioni automatizzate.
Per i trattamenti necessari alla cura il medico non deve chiedere il consenso del paziente: lo ha chiarito il Garante nel provvedimento n. 55 del 7 marzo 2019, sulla base dell'articolo 9 del GDPR.
Il consenso resta necessario per i trattamenti solo indirettamente legati alla cura, come la consegna del referto online, le app mediche diverse dalla telemedicina o le finalità promozionali.
Il medico libero professionista non deve nominare un DPO, perché non tratta dati su larga scala, ma deve tenere il registro delle attività di trattamento.
Nell'informativa va scritto anche il periodo di conservazione, o il criterio per stabilirlo: per lo studio privato il riferimento più usato è di dieci anni dall'ultima prestazione.

Il consenso per la cura non serve, l'informativa sì

Con il GDPR è cambiato il punto di partenza. I dati sanitari trattati per la diagnosi e la cura, da un professionista tenuto al segreto professionale, si basano sull'articolo 9 del regolamento, paragrafo 2, lettera h, e paragrafo 3. Nel provvedimento n. 55 del 7 marzo 2019 il Garante ha chiarito che in questi casi il medico non deve più chiedere il consenso del paziente, sia che lavori in libera professione sia in una struttura, purché il trattamento sia davvero necessario alla prestazione richiesta.

L'informativa invece resta obbligatoria. L'articolo 13 del GDPR chiede di fornirla nel momento in cui i dati vengono raccolti, che nello studio coincide con la prima visita. Per i pazienti già in carico il Garante ha precisato che l'informativa data prima del GDPR va aggiornata solo per gli elementi nuovi, come il periodo di conservazione.

Cosa deve contenere: gli elementi dell'articolo 13

L'articolo 13 divide gli elementi in due gruppi, ma nella pratica vanno tutti nello stesso documento. Alcuni nello studio medico sono quasi sempre gli stessi; altri vanno scritti solo se ricorrono, come il DPO o il trasferimento dei dati fuori dall'Unione europea.

Due punti meritano attenzione. Fra i destinatari vanno anche i fornitori che trattano i dati per conto dello studio, come un gestionale in cloud o un servizio di prenotazione online: sono responsabili del trattamento e serve un contratto con loro. E i diritti del paziente vanno elencati tutti, sapendo che la cancellazione incontra il limite degli obblighi di conservazione della documentazione clinica.

Gli elementi dell'informativa (articolo 13 del GDPR) e come si declinano nello studio medico
Elemento	Cosa scrivere nello studio
Titolare e contatti	Nome del medico o della società, indirizzo dello studio, email e telefono
Responsabile della protezione dei dati (DPO)	Solo se nominato: il libero professionista di norma non è tenuto
Finalità e base giuridica	Diagnosi e cura: articolo 9, paragrafo 2, lettera h; adempimenti fiscali: obbligo di legge, articolo 6, paragrafo 1, lettera c
Legittimo interesse	Solo se un trattamento si basa sul legittimo interesse; nello studio è raro
Destinatari	Commercialista, Sistema Tessera Sanitaria, colleghi e laboratori a cui invii il paziente, fornitori che trattano i dati per conto dello studio
Trasferimenti fuori dall'Unione europea	Solo se avvengono, per esempio con servizi che conservano i dati su server extra UE
Periodo di conservazione	Il termine scelto o il criterio, per esempio dieci anni dall'ultima prestazione
Diritti del paziente	Accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, e a chi scrivere per esercitarli
Revoca del consenso	Solo per i trattamenti basati sul consenso: si può revocare in qualsiasi momento
Reclamo	Il diritto di proporre reclamo al Garante per la protezione dei dati personali
Obbligo di fornire i dati	Quali dati sono necessari alla prestazione e cosa succede se il paziente non li fornisce
Decisioni automatizzate	Se non ce ne sono, come di norma nello studio, si scrive che non ce ne sono

Elementi dell'articolo 13, paragrafi 1 e 2, del Regolamento (UE) 2016/679.

Quando il consenso serve ancora

La regola del Garante vale per i trattamenti necessari alla cura. Quelli collegati alla cura solo in modo indiretto hanno bisogno di un'altra base giuridica, di solito il consenso esplicito. Nel provvedimento del 2019 il Garante ne indica alcuni: le app mediche usate per finalità diverse dalla telemedicina o accessibili a persone che non sono professionisti sanitari, le finalità promozionali o commerciali, e la consegna del referto online, per cui il consenso è richiesto dalle regole di settore sulla refertazione.

In pratica conviene separare i due piani. L'informativa descrive tutti i trattamenti; il consenso, quando serve, si raccoglie a parte, per ciascuna finalità, e il paziente deve poterlo negare senza che cambi la cura che riceve.

Come e quando consegnarla

Il GDPR non impone una forma, ma chiede che l'informativa sia chiara e semplice, e il titolare deve poter dimostrare di averla data. Nello studio la soluzione più pratica è un foglio consegnato alla prima visita, con una firma per presa visione conservata nella scheda del paziente, e la stessa informativa affissa in sala d'attesa e pubblicata sul sito, se c'è.

L'informativa va rivista quando cambia qualcosa di sostanziale, per esempio un nuovo fornitore che tratta i dati per conto dello studio o un nuovo servizio, come le prenotazioni online. Il resto degli adempimenti, dal registro dei trattamenti alle violazioni dei dati, è nella guida al GDPR per il medico libero professionista.

Un modello da adattare

Il testo che segue è un punto di partenza per uno studio specialistico in cui lavora un solo medico. Le parti fra parentesi quadre vanno sostituite, e le voci che non riguardano lo studio vanno tolte: un'informativa che descrive trattamenti che non fai è inesatta quanto una che ne dimentica.

Titolare del trattamento. Il titolare è il dott. o la dott.ssa [nome e cognome], [specialità], con studio in [indirizzo], email [indirizzo email], telefono [numero].

Finalità e base giuridica. I dati personali e sanitari sono trattati per la diagnosi, la cura e le prestazioni richieste, sulla base dell'articolo 9, paragrafo 2, lettera h, e paragrafo 3, del Regolamento (UE) 2016/679: per queste finalità non è richiesto il consenso. I dati necessari agli adempimenti fiscali e contabili sono trattati per obbligo di legge, articolo 6, paragrafo 1, lettera c.

Destinatari. I dati possono essere comunicati al commercialista dello studio, al Sistema Tessera Sanitaria per la dichiarazione dei redditi precompilata, salvo opposizione del paziente, ad altri professionisti sanitari e laboratori coinvolti nella cura, e a [eventuali fornitori che trattano i dati per conto dello studio], nominati responsabili del trattamento. I dati non sono diffusi né trasferiti fuori dall'Unione europea.

Conservazione. La documentazione clinica è conservata per [dieci] anni dall'ultima prestazione, salvo contenziosi in corso o diversi obblighi di legge; i documenti fiscali per il tempo previsto dalla normativa fiscale.

Diritti. Il paziente può chiedere in ogni momento l'accesso ai propri dati, la rettifica, la cancellazione nei limiti degli obblighi di conservazione, la limitazione del trattamento, l'opposizione e la portabilità, scrivendo a [indirizzo email]. Ha inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali.

Conferimento dei dati. I dati anagrafici e sanitari sono necessari per eseguire la prestazione: senza di essi la visita non può essere svolta in modo appropriato. Non sono presenti processi decisionali automatizzati.

Se usi un gestionale

Il gestionale entra nell'informativa solo se il fornitore tratta i dati dei pazienti per conto dello studio. Un gestionale in cloud conserva l'archivio sui server del fornitore, che diventa responsabile del trattamento: va indicato fra i destinatari, serve un contratto ai sensi dell'articolo 28 e, se i server sono fuori dall'Unione europea, va descritto anche il trasferimento. La differenza fra i due modelli è spiegata in gestionale medico locale o in cloud.

Con un gestionale che salva i dati sul computer dello studio, come Corioli, il fornitore del software non riceve i dati clinici e non va indicato fra i destinatari. Resta da scrivere il periodo di conservazione, che è una scelta del medico: i criteri per stabilirlo sono nella guida su quanto conservare la cartella clinica nello studio privato.

Domande frequenti

Il medico deve far firmare il consenso privacy al paziente?: Per la diagnosi e la cura no: il Garante, nel provvedimento n. 55 del 7 marzo 2019, ha chiarito che il medico non deve chiedere il consenso per i trattamenti necessari alla prestazione. Deve però consegnare l'informativa. Il consenso serve per i trattamenti solo indirettamente legati alla cura, come il referto online o le finalità promozionali.
Quando va consegnata l'informativa privacy?: Nel momento in cui si raccolgono i dati, come prevede l'articolo 13 del GDPR: nello studio, di solito alla prima visita. Conviene conservare una firma per presa visione, perché il titolare deve poter dimostrare di averla data.
Il medico libero professionista deve nominare un DPO?: No. Secondo il Garante il professionista sanitario che lavora da solo non tratta dati su larga scala e non è tenuto a nominarlo. Deve però tenere il registro delle attività di trattamento, da mostrare in caso di controllo.
Cosa scrivere nell'informativa sul periodo di conservazione?: Il periodo o il criterio per stabilirlo. Per la cartella dello studio privato nessuna norma fissa un termine: il riferimento più usato è di dieci anni dall'ultima prestazione, il termine di prescrizione ordinaria, salvo contenziosi in corso.