Il trattamento dei dati sanitari attraverso la piattaforma Andiamo 2.0 apre una serie di interrogativi che riguardano la tutela della privacy degli assistiti, la sicurezza informatica del sistema e le responsabilità degli operatori chiamati a utilizzarlo.
Questioni particolarmente delicate proprio perché si parla di dati relativi alla salute, che il Regolamento europeo sulla protezione dei dati colloca tra le categorie particolari di dati personali e sottopone a una tutela rafforzata.
Secondo le criticità segnalate a Il Sottotesto da parte del Sindacato Medici Italiani, (S.M.I.) sulla piattaforma Andiamo 2.0 mancherebbe un quadro sufficientemente chiaro e documentato rispetto alle modalità di trattamento dei dati, alle misure di sicurezza adottate, alla valutazione d’impatto sulla protezione dei dati – la cosiddetta DPIA – e alla regolamentazione dei rapporti tra i diversi soggetti che possono accedere al sistema.
Si tratta, è bene precisarlo, di circostanze che necessitano di essere verificate attraverso la documentazione ufficiale e sulle quali gli enti competenti dovranno fornire chiarimenti.
Il problema degli accessi
La questione più delicata riguarda però le modalità attraverso le quali gli operatori possono accedere alle informazioni.
Secondo quanto segnalato alla nostra redazione, entrando nel sistema con le proprie credenziali sarebbe possibile visualizzare informazioni personali relative anche ad assistiti che non appartengono alla competenza territoriale o clinica della struttura o dell’operatore che effettua l’accesso.
La possibilità riguarderebbe potenzialmente assistiti presenti nel database regionale, oltre a informazioni relative a medici e operatori appartenenti ad altre strutture.
Ma c’è un elemento ancora più grave che dovrà essere verificato: alcuni utenti avrebbero la possibilità non soltanto di consultare informazioni estranee alla propria sfera di competenza, ma anche di intervenire sui dati presenti nel sistema.
Se confermata, una simile configurazione porrebbe interrogativi rilevanti non soltanto sotto il profilo della riservatezza, ma anche dell’integrità e dell’esattezza delle informazioni sanitarie.
Chi può vedere cosa? Con quali autorizzazioni? Esistono profili di accesso differenziati? Ogni consultazione viene registrata? Chi può modificare un dato? E soprattutto: quali meccanismi impediscono a un operatore di consultare la posizione di un cittadino che non ha alcun rapporto con la struttura per la quale lavora?
Sono domande alle quali, quando si gestiscono dati sanitari su vasta scala, occorrono risposte documentate.
Il GDPR e l’obbligo di proteggere i dati sanitari
Il GDPR stabilisce precisi obblighi per chi tratta dati personali.
L’articolo 25 introduce i principi di privacy by design e privacy by default: un sistema deve essere progettato fin dall’origine in modo da garantire che ciascun soggetto possa accedere esclusivamente alle informazioni necessarie rispetto alle proprie funzioni.
L’articolo 32 impone invece l’adozione di misure tecniche e organizzative adeguate al rischio.
Quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, entra inoltre in gioco la valutazione d’impatto sulla protezione dei dati prevista dall’articolo 35 del GDPR.
Ed è proprio su questo punto che occorre fare chiarezza.
Esiste una DPIA relativa ad Andiamo 2.0? Quando è stata effettuata? Chi l’ha predisposta? Quali rischi sono stati individuati? Quali misure sono state adottate per limitarli?
Il nodo della qualificazione della piattaforma
Accanto alla disciplina sulla protezione dei dati esiste poi un secondo livello della vicenda: quello della sicurezza e dell’infrastruttura digitale utilizzata dalla Pubblica Amministrazione.
Occorre quindi chiarire quale sia l’esatto inquadramento di Andiamo 2.0 rispetto alla disciplina applicabile ai servizi digitali e cloud della PA e alle competenze dell’Agenzia per la Cybersicurezza Nazionale.
Non basta, infatti, stabilire che un programma sia tecnicamente funzionante. Quando attraverso una piattaforma vengono trattate informazioni particolarmente delicate, devono essere ricostruiti anche l’infrastruttura utilizzata, il luogo e le modalità di conservazione dei dati, i fornitori coinvolti e le relative responsabilità.
Un altro interrogativo riguarda quindi gli atti amministrativi alla base dell’utilizzo della piattaforma.
Qual è l’atto che disciplina Andiamo 2.0? Quali amministrazioni ne hanno disposto o autorizzato l’utilizzo? Chi è formalmente titolare del trattamento? Chi sono i responsabili e gli eventuali sub-responsabili?
Domande tutt’altro che burocratiche quando in gioco ci sono informazioni sulla salute di migliaia di cittadini.
Medici di Medicina Generale, il rischio delle responsabilità
C’è poi la posizione dei Medici di Medicina Generale.Secondo le criticità sollevate, presentare l’adesione ad Andiamo 2.0 come volontaria potrebbe aprire un ulteriore problema: su chi ricadrebbe la responsabilità derivante dall’utilizzo dello strumento?
I medici già trattano quotidianamente i dati sanitari dei propri pazienti e sono sottoposti agli obblighi previsti dalla normativa.
Ma proprio per questo è essenziale stabilire con estrema precisione quale sia il loro ruolo all’interno del nuovo sistema, quali istruzioni abbiano ricevuto, quali operazioni possano compiere e sotto la responsabilità di quale soggetto. Il confronto con il sistema utilizzato precedentemente per documenti come SVAMA e SVAMDI rende il problema ancora più evidente.
Nella procedura tradizionale, secondo quanto riferito, il medico compilava la documentazione sulla base delle informazioni presenti nel proprio gestionale e la trasmetteva in formato non modificabile al soggetto autorizzato a riceverla. Con Andiamo 2.0 cambierebbe invece la modalità di gestione dell’informazione: il dato entra in una piattaforma condivisa.
Ed è esattamente per questo che diventano fondamentali la segmentazione degli accessi, l’identificazione degli utenti, la tracciabilità delle operazioni e la definizione delle responsabilità.
Una vulnerabilità non equivale automaticamente a un data breach
Occorre anche distinguere due concetti.
L’eventuale possibilità tecnica di accedere illegittimamente a informazioni non equivale automaticamente alla prova che si sia già verificato un data breach.
Ma se venisse accertato che soggetti privi di autorizzazione hanno effettivamente consultato, modificato, divulgato o comunque avuto accesso a dati personali e sanitari che non avrebbero dovuto conoscere, la questione assumerebbe evidentemente una dimensione diversa e dovrebbe essere valutata secondo la disciplina prevista dal GDPR.
Per questo diventa fondamentale anche la presenza dei log di sistema, attraverso i quali dovrebbe essere possibile ricostruire chi ha avuto accesso alle informazioni, quando e quali operazioni ha effettuato.
Gli atti che servono per fare chiarezza
La questione Andiamo 2.0 non può dunque essere risolta attraverso rassicurazioni generiche.
Servono documenti.
Occorre conoscere gli atti che disciplinano l’utilizzo della piattaforma, la valutazione d’impatto sulla protezione dei dati eventualmente effettuata, le misure di sicurezza adottate, la struttura delle autorizzazioni, la disciplina degli accessi, le nomine dei responsabili del trattamento, l’infrastruttura tecnologica utilizzata e le istruzioni impartite ai medici e agli altri operatori.
E occorre soprattutto chiarire se sia effettivamente possibile accedere a dati di assistiti estranei alla propria competenza e se esista la possibilità di modificarli.
Perché la digitalizzazione della sanità può rappresentare uno strumento fondamentale per rendere più efficiente l’assistenza, ma non può trasformarsi in una riduzione delle garanzie poste a tutela del cittadino.
Il punto, dunque, non è stabilire preventivamente che Andiamo 2.0 sia una piattaforma “illecita”.
Il punto è un altro, molto più semplice e allo stesso tempo molto più importante:
quali atti, valutazioni e misure tecniche garantiscono oggi che i dati sanitari trattati attraverso Andiamo 2.0 siano accessibili esclusivamente ai soggetti che hanno titolo per consultarli?
È una domanda alla quale le istituzioni interessate sono chiamate a dare una risposta chiara e documentata.
Il Sottotesto continuerà ad approfondire la vicenda e resta disponibile ad accogliere chiarimenti e documentazione da parte degli enti e dei soggetti coinvolti.