Fascicolo sanitario elettronico e PNRR: le ultime novità e i risvolti in materia di privacy

Beatrice Iommi - Studio legale Piselli & Partners Roma

Pubblicate in Gazzetta Ufficiale lo scorso 11 luglio 2022, con Decreto 20 maggio 2022 sono state adottate le Linee guida per il potenziamento del fascicolo sanitario elettronico (FSE) allo scopo di garantirne la piena diffusione, l’omogeneità e l’accessibilità su tutto il territorio nazionale nelle tempistiche previste dal Piano Nazionale di Ripresa e Resilienza (PNRR). Introdotto dal D.L. n. 179 del 18 ottobre 2012 e regolamentato dal D.P.C.M. n. 178 del 29 settembre 2015, il fascicolo sanitario elettronico è lo spazio virtuale nel quale sono raccolti i dati e le informazioni sanitarie dell’utente. Nello specifico, l’art. 12, co. 1 del D.L 2012 lo definisce come “l’insieme dei dati e documenti digitali di tipo sanitario e socio-sanitario generati da eventi clinici presenti e trascorsi, riguardanti l’assistito, riferiti anche alle prestazioni erogate al di fuori del Servizio sanitario nazionale”. Pilastro della nuova sanità digitale, il FSE si limita pertanto a ricostruire la storia clinica del paziente rendendo disponibili e facilmente accessibili i documenti e le informazioni che possono agevolare il percorso di cura, differentemente dal compito oramai riconosciuto alla cartella clinica che, come chiarito dalla giurisprudenza della Suprema Corte, documenta fino a querela di falso quanto accaduto in un ricovero sanitario (Sent. n. 22694/2015). La disciplina regolatrice del FSE è stata recentemente ridefinita dal D.L. n. 4 del 27 gennaio 2022, convertito in L. 28 marzo 2022, n. 25 che, anche nell’ottica di potenziare il ruolo dell’Agenzia per la Sanità nelle Regioni (AGENAS), ha di fatto reso obbligatorio l’inserimento dei dati da parte degli operatori del SSN entro 5 giorni dall’erogazione delle prestazioni. Nel quadro normativo anzidetto si sono inseriti gli stanziamenti previsti all’interno della Missione 6 del PNRR

Pilastro della nuova pensati per dare decisivo sanità digitale, il FSE impulso e rendere concreta la fruibilità e la circolazione ricostruisce la storia clinica dei dati sanitari digitali nel periodo 2022-2026. del paziente rendendo I fondi del PNRR contridisponibili e facilmente buiranno infatti a fornire soluzione ad una diseguale accessibili i documenti e le adozione del FSE in tutte le Regioni italiane miraninformazioni che possono do alla realizzazione di una agevolare il percorso di cura, rappresentazione quanto più puntuale delle condidifferentemente alla cartella zioni di salute del pazienclinica che documenta quanto te, del proprio contesto sociosanitario e dei propri accaduto in un ricovero piani socioassistenziali. In particolare, l’investimensanitario to 1.3.1. della Missione 6 Componente 2 del PNNR stanzia 1,38 miliardi di euro per il potenziamento del FSE da realizzarsi attraverso il raggiungimento di due target: • Entro il 2025, l’85% dei medici di base dovranno alimentare il fascicolo sanitario elettronico; • Entro il 2026 tutte le Regioni e le Province Autonome dovranno adottare ed utilizzare il FSE e dunque entro 3 mesi dalla pubblicazione delle Linee Guida dovranno presentare i propri piani di adeguamento per aggiornare i propri sistemi e ricevere le risorse finanziarie necessarie per attuarli. Tali obiettivi, come si evince dalle Linee Guida del maggio 2022, presuppongono il preliminare raggiungimento

di target a medio e lungo termine implicanti modifiche qualitative in tema di: 1.Accesso: attuare un FSE omogeneo sul territorio nazionale che rappresenti l’unico punto di accesso ai servizi del Sistema sanitario nazionale; 2.Integrazione: rendere il FSE strumento di agile condivisione di dati clinici tra professionisti e strutture sanitarie pubbliche e private, anche in relazione all’operato delle farmacie nella definizione del giusto piano terapeutico; 3.Personalizzazione: implementare la numerosità di dati clinici contenuti dal FSE per aumentare la capacità di diagnosi e cura personalizzata, sulla scia di quanto già previsto all’interno del Decreto del Ministero della Salute del 18 maggio 2022; 4.Policy: impiegare lo strumento del FSE per orientare le istituzioni sanitarie e per supportarle nella definizione e attuazione di politiche di prevenzione, programmazione sanitaria, oltreché agli enti di ricerca per motivi di ricerca medica e biomedica. In sostanza gli intenti del PNRR volti a rafforzare il FSE ed a superare le sfide strutturali del SSN (tra le quali, solo a titolo esemplificativo, si accenna al preoccupante divario territoriale nell’accesso alle cure) presuppongono il raggiungimento di obiettivi intermedi, e si esplicano attraverso quattro direttrici d’azione che incidono sul nuovo contenuto, sui nuovi servizi, sull’architettura e sulla governance che caratterizzeranno in futuro il fascicolo sanitario. Entro il 2026 si prevede infatti la piena operatività del FSE quale unico ed esclusivo punto di accesso ai servizi di sanità digitale per i cittadini, con modifiche rilevanti che riguardano altresì l’accesso ai servizi di prenotazione e pagamento delle prestazioni mediche, oltre che ai servizi di erogazione di farmaci e di emergenza, sino ai servizi di telemedicina (quali l’erogazione di tele-visite da parte di medici specialisti, di tele-consulto e tele-assistenza). Il percorso di digitalizzazione ed implementazione cui mira il PNRR pone tuttavia una serie di problematiche che ancora non hanno trovato soluzione in relazione alla tutela della privacy degli utenti del SSN che vedono i loro dati immessi in maniera massiccia all’interno del nuovo fascicolo elettronico. Il primo interrogativo da porsi è capire come conciliare la nuova visione del fascicolo sanitario elettronico con l’esigenza di tutelare la privacy del paziente? Sappiamo che il nuovo FSE mira alla creazione di un “ecosistema” (EDS) di dati e documenti sanitari attraverso la duplicazione delle informazioni generate per finalità di cura. Queste confluiranno infatti all’interno di quella che si profila essere la più grande banca dati in materia sanitaria presente nel nostro paese in grado di raccogliere a livello centralizzato informazioni mediche. Il rispetto della normativa europea e della disciplina di settore in materia di privacy tuttavia impongono maggiori garanzie che sembrano esser state in prima battuta trascurate dal nostro legislatore. Le maggiori criticità, già sviscerate dal Garante della privacy con proprio parere negativo datato 22 agosto 2022, delineano un quadro preoccupante che rischia in sostanza di vanificare i diritti costituzionali degli interessati nel bilanciamento con le nuove esigenze di modernizzazione ed implementazione del Sistema Sanitario Nazionale. Nello specifico, si accenna ad alcune delle criticità che emergono nella nuova visione del FSE, che impongono forse una maggiore cautela nel pensare ed attuare la gestione dei dati sensibili se non si vuole pregiudicare l’esercizio dei diritti dell’utenza. Dagli schemi di decreto che sono stati presentati dal Ministero della Salute, le prime problematiche emerse si registrano in relazione alla corretta individuazione degli Enti pubblici coinvolti e delle strutture sanitarie interessate che potranno fruire delle informazioni sanitarie quali titolari del trattamento dei dati. Secondo la normativa di settore, il titolare del trattamento dei dati personali è infatti il soggetto deputato all’individuazione delle finalità e dei metodi di trattamento dei dati personali raccolti, le cui responsabilità sono puntualmente disciplinate all’interno del Codice sulla privacy (D.Lgs. 196/2003). In altre parole, si tratta del soggetto che decide come e perché devono essere trattati i dati e ne definisce pertanto le relative modalità. Nelle nuove proposte legislative i primi interrogativi sorgono proprio perché il legislatore non ha individuato in maniera puntuale e preventiva il perimetro di titolarità di trattamento spettante in materia al Ministero della Salute rispetto a quello da ascrivere agli altri soggetti che a vario titolo alimentano la banca dati, fruiscono dei servizi offerti dallo stesso e hanno la possibilità di consultarlo. Tale carenza ha purtroppo delle indubbie ricadute in termini di responsabilità. La normativa di settore, nello specifico l’art. 82 del Regolamento sulla privacy prevede infatti che l’interessato al trattamento dei dati personali abbia il diritto di ottenere il risarcimento del danno, sia patrimoniale che non, a seguito di una condotta omissiva o attiva che integri una violazione delle regole poste a tutela della disciplina di settore (v. art. 82 GDPR, co. 1. “Chiunque subisca un danno materiale o immateriale causato da una violazione del presente Regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento”). È infatti chiaro che una preliminare individuazione delle figure e degli Enti in questione, dei relativi compiti e del relativo perimetro di responsabilità (in relazione alle varie tipologie di trattamento per le finalità di alimenta-

zione, di diagnosi cura e riabilitazione, di prevenzione, di profilassi internazionale) è in grado di assicurare tutela all’utenza ed in generale ai soggetti fruitori del FSE che in questo modo rischiano di veder compromessi i propri diritti in caso di violazione dei principi dettati dal codice in materia di trattamento dei dati. Ulteriori criticità si pongono poi in relazione proprio al rispetto degli anzidetti principi. L’art. 5 del Regolamento EU sulla privacy impone nella gestione dei dati personali il rispetto di una serie di principi eterogenei che assicurano un trattamento lecito, corretto e trasparente nei confronti dell’interessato. Solo a titolo esemplificativo, il GDPR elenca tra i tanti il principio di proporzionalità del trattamento rispetto all’interesse pubblico perseguito, il principio di trasparenza, di aggiornamento, di minimizzazione ed integrità dei dati. Ai fini del rispetto di tali principi, come anche chiarito dal Garante della privacy nei propri pareri forniti nel corso degli ultimi mesi, si impone certamente una analisi di ciascuna delle operazioni effettuate dai diversi soggetti a vario titolo coinvolti nel trattamento dei dati sensibili. Le nuove proposte legislative presentate appaiono tuttavia sul punto lacunose. Ed infatti, in assenza di una puntuale indicazione dei soggetti responsabili del trattamento e del rispetto dei principi in questione si rischia un errato trattamento dei dati, con ricadute in termini di cattiva utilizzazione del nuovo strumento FSE. Basti sul punto ragionare in relazione ai due principi di aggiornamento e completezza dei dati. Se concepiamo il FSE come mezzo per ricostruire in maniera completa ed esaustiva la storia clinica del paziente appare necessaria la previsione di un obbligo, con le connesse responsabilità per i soggetti coinvolti di provvedere alla consultazione, all’alimentazione ed all’integrazione del FSE in maniera continuativa allo stato attuale carente. L’art. 12, co. 3 del D.L. 179/2012 si limita a chiarire che il FSE deve essere alimentato in maniera “tempestiva e continua”, ma alcun obbligo è previsto per gli operatori di consultare ed implementare il relativo fascicolo con dati mancanti. Un ragionamento di questo tipo tuttavia si impone poiché diversamente verrebbe frustrata la reale portata innovativa del FSE quale strumento idoneo a fornire una diagnosi ed un trattamento terapeutico/farmaceutico personalizzato ed adeguato ad ogni paziente. Le brevi considerazioni sopra svolte dimostrano come il legislatore debba maneggiare con cura la nuova disciplina del FSE. Si rischia infatti di garantire una implementazione tecnologica del fascicolo sanitario a discapito dei diritti fondamentali degli utenti e dei principi generali previsti dalla disciplina comunitaria in materia di riservatezza. Le nuove proposte normative appaiono dal punto di vista della privacy ancora lacunose e presentano profili di contrasto con la normativa di settore. Come auspicato dagli addetti ai lavori è necessaria una maggiore attenzione in relazione ad aspetti non marginali della disciplina, occorre meglio specificare i contenuti e le modalità di alimentazione della banca dati, le modalità per manifestare il proprio consenso nel rispetto delle diverse finalità per i quali vengono trattati i dati, le relative responsabilità etc. Gli schemi di decreto già proposti dal Ministero dalla salute, di concerto con il Ministro delegato per l’innovazione tecnologica e la transizione digitale e con il Ministro dell’economia e delle Finanze, che si inseriscono nel percorso a più fasi ideato per dare attuazione alla Missione 6 del PNRR, sono infatti stati criticati dal Garante della privacy a causa delle criticità riscontrate. Sarebbe pertanto opportuno che i Ministeri coinvolti nei lavori si adoperino per consentire l’attuazione di un nuovo FSE, e di un contestuale nuovo ecosistema di dati sanitari, che in linea con le esigenze di modernità del sistema sanitario, sia in grado di rispondere in maniera fattiva alle richieste delle utenze senza tuttavia importare il sacrificio di diritti di rango costituzionale, come il diritto alla riservatezza.