Gran parte degli italiani prende dei farmaci periodici: pressione, attacchi di panico, diabete, allergie, coagulazione, e tanto altro ancora; molti di questi farmaci sono soggetti a prescrizione medica; perciò, i pazienti costantemente si relazionano con il proprio medico di medicina generale per il rilascio della prescrizione da consegnare in farmacia per l'acquisto del farmaco.
Molti medici, in caso di pazienti che richiedono periodicamente la ricetta sempre per lo stesso farmaco, si affidano ai metodi più disparati per evitare di creare code in studio e far perdere tempo ai pazienti per una semplice ricetta. Di solito l'incombente della consegna della ricetta “periodica” è affidato al/alla segretario/a di studio che cura la consegna del cartaceo oppure l'invio in farmacia o su WhatsApp. Alcuni medici, però, adottano delle soluzioni fantasiose, ma non sempre rispettose delle norme giuridiche.
È il caso di un medico di medicina generale che sul muro esterno del suo studio, a lato della porta d'ingresso (sita in pubblica piazza liberamente accessibile al pubblico), ha affisso una cassetta delle poste e un contenitore di metallo, entrambi privi di nominativo; sul contenitore, in particolare, veniva riportata l'indicazione “solo ricette mediche”, mentre nella serratura del contenitore era inserita una chiave.
All'interno del contenitore, accessibile a chiunque, venivano conservate le prescrizioni mediche dedicate ai pazienti, sia la classica ricetta elettronica-promemoria per l'assistito (la bianca) che la “ricetta rosa” tratta dal ricettario del SSN. Le ricette erano compilate con i nomi dei pazienti e firmate dal medico ove necessario (la ricetta rosa), ed erano alla mercé di chiunque, tanto più che lo studio medico si trova all'interno di uno stabile molto frequentato, dove sono attivi sia una sede AVIS che un centro prelievi ASL.
Il medico di medicina generale aveva iniziato ad adottare questo sistema “fantasioso” in epoca Covid, per poi decidere di mantenerlo, senza curarsi del rispetto della normativa vigente in materia di privacy dei pazienti.
La normativa violata
Il medico di medicina generale si è reso colpevole della violazione di alcune norme previste dal GDPR (il Regolamento Europeo per la tutela dei Dati Personali) e nello specifico:
- l'art. 5, recante i principi applicabili al trattamento dei dati personali,
- l'art. 9, avente ad oggetto il trattamento di categorie particolari di dati personali, come quelli sanitari,
- l'art. 32, riguardante la sicurezza del trattamento dei dati personali
- l'art. 2 septies comma 8 del Codice Privacy, contenente il divieto di diffusione dei dati relativi alla salute.
In virtù della normativa citata, i dati personali devono essere trattati nel rispetto dei seguenti principi:
- Liceità, correttezza e trasparenza - i dati devono essere trattati in modo legale, corretto e trasparente nei confronti del paziente;
- limitazione della finalità - i dati devono essere raccolti solo per scopi specifici, legittimi e successivamente trattati in modo coerente con tali scopi;
- minimizzazione dei dati - i dati raccolti devono essere adeguati, pertinenti e limitati a quanto necessario rispetto agli scopi del trattamento;
- esattezza - dati devono essere accurati e aggiornati o modificati quando necessario, al verificarsi un loro cambiamento;
- limitazione della conservazione - i dati devono essere conservati solo per un periodo limitato, non oltre quanto necessario per gli scopi del trattamento;
- integrità e riservatezza - deve essere garantita la sicurezza dei dati con misure tecniche e organizzative adeguate a prevenire accessi non autorizzati o perdite;
- responsabilizzazione - il titolare del trattamento deve essere in grado di dimostrare la conformità ai suddetti principi.
In linea di massima, il trattamento dei dati sanitari è vietato, salvo alcune eccezioni tipizzate, vale a dire quando:
- l'interessato ha prestato il proprio consenso esplicito al trattamento dei dati sanitari per una o più finalità specifiche,
- il trattamento dei dati sanitari è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o del paziente in materia di diritto del lavoro e della sicurezza sociale e protezione sociale,
- il trattamento dei dati sanitari è necessario per tutelare un interesse vitale del paziente o di altra persona fisica qualora il paziente si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso,
- il trattamento è effettuato da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi solo e unicamente i membri, gli ex membri o le persone che hanno regolari contratti con la fondazione/associazione,
- il trattamento riguardi dati personali resi manifestamente pubblici dall'interessato,
- il trattamento è necessario per accertare, esercitare o difendere un diritto in giudizio.
Nel caso in cui il trattamento dei dati sanitari non sia strettamente necessario per finalità di cura e alla base del trattamento vi sia il consenso dell'interessato, è richiesto che il consenso sia prestato attraverso un atto positivo con il quale manifesti una volontà libera, specifica, informata e inequivocabile relativamente al trattamento dei dati personali che lo riguardano.
In materia di ricetta medica, il Garante ha più volte precisato che le ricette mediche possono essere lasciate presso le farmacie e gli studi medici per il ritiro da parte dei pazienti, purché siano messe in busta chiusa, precisando che lasciare ricette e certificati alla portata di chiunque o perfino incustodite, in vaschette poste sui banconi delle farmacie o sulle scrivanie degli studi medici, viola la privacy dei pazienti. La busta chiusa è indispensabile per evitare che i dati sanitari vengano conosciuti da terzi, specialmente nel caso in cui il ritiro dei documenti non sia operato dal paziente ma – come spesso accade – da un suo delegato (pensiamo al familiare o alla badante).
La decisione del Garante
L'indubbia soluzione fantasiosa adottata dal medico di medicina generale per mettere a disposizione dei propri pazienti le ricette, avendo violato la normativa in materia di tutela dei dati personali e – soprattutto – sanitari, ha avuto un costo molto alto in termini economici. Il Garante della Privacy, infatti, ha emesso nei suoi confronti una ordinanza ingiunzione dell'importo di ben ventimila euro, disponendo inoltre la pubblicazione del provvedimento ingiuntivo sul sito web del Garante, con conseguenti ulteriori ricadute reputazionali sul medico.
Per evitare di incorrere in violazioni del genere è bene affidarsi a professionisti del settore, come quelli offerti da Consulcesi, che possono fornire il giusto supporto ai sanitari per trattare i dati personali dei propri pazienti in conformità alla normativa privacy: meglio una consulenza oggi che una ingiunzione domani.