Un buco nella Rete di Lombardia Informatica rende accessibile a chiunque i nostri dati personali: persino l’indirizzo di casa e, in alcuni casi, il cellulare. Non servono maneggi da hacker, né è necessario violare in modo illegale sistemi protetti: basta compilare un modulo pubblicato sul sito della Regione Lombardia. Lo si trova tra i servizi offerti dallo sportello unico per le attività produttive. Per velocizzare la comunicazione tra le imprese e la pubblica amministrazione il Pirellone ha creato un «Modello unico per la trasmissione degli atti» (la piattaforma Muta). Il sito diretto è www.muta.servizirl.it. Tra i documenti a disposizione c’è l’autorizzazione unica ambientale (Aua), che permette con un solo certificato di avere tutte le autorizzazioni ambientali del caso (dagli scarichi idrici, agli impianti acustici fino ai rifiuti). Ed è proprio questo il modulo - sinteticamente chiamato Aua - incriminato. Basta digitare un codice fiscale e - come per magia - compaiono nome, cognome, data di nascita e - quel che è più grave - l’indirizzo dell’abitazione di qualunque cittadino. Minori compresi. Spesso c’è anche il cellulare. «Sembra esserci un problema evidente di tutela del trattamento dei dati personali», commenta l’avvocato Riccardo Abeti, esperto in Diritto delle nuove tecnologie.
I nostri dati personali vengono pescati dall’immenso database del sistema informativo socio-sanitario, creato da Lombardia Informatica, la società considerata il gioiello dell’Information & Communication Technology della Regione. Il suo compito principale è immagazzinare le informazioni che riguardano la salute dei cittadini. E c’è da sperare che, in questo caso, la protezione sia migliore. Al momento, in questo senso, non risultano problemi, come avviene invece per l’indirizzo di casa e il cellulare. Chi ha scaricato il modulo Aua prima del 31 ottobre può ottenere i nostri dati personali direttamente. Poi, dopo settimane, a Lombardia Informatica, guidata da Davide Rovera (in quota Lega), devono essersi accorti del buco nella Rete e hanno tentato di correre ai ripari.

Ma al problema è stata messa solo una toppa: fino a ieri sera il sistema informatico era ancora violabile. Con passaggi, però, un po’ più complicati. È stato eliminato l’accesso diretto dal modulo Aua, ma non è stata bloccata la memoria remota del sistema, il «web service». La piattaforma informatica che sta dietro al modulo, insomma, è ancora in funzione. E ancora penetrabile. Così per un esperto informatico recuperare le informazioni resta un gioco da ragazzi. Bisogna collegarsi a http://www.soapclient.com/soaptest.html e incollare nel campo dell’indirizzo la stringa http://sistdir-test.lispa.it/mutaprocedimentitst/services/ws/MutaDocMgrESRAService?wsdl.
C’è chi può obiettare che per avere i nostri dati personali serve il codice fiscale. Ma è noto che il sito www.codicefiscale.com lo calcola in pochi secondi: basta fornirgli nome, cognome e data di nascita, tutte informazioni spesso facilmente reperibili online. «I problemi che nascono sono molteplici - spiega Abeti che, su richiesta del Corriere , ha osservato il tipo di informazioni che l’inserimento del codice fiscale consente di ottenere -. C’è una diffusione di dati che sfugge al controllo del titolare del trattamento che li aveva raccolti per un uso ben definito. Tutti gli indirizzi di casa, anche quelli tenuti riservati per varie ragioni, diventano accessibili senza il consenso dell’interessato. Compresi, aspetto ancora più grave, quelli dei minori. Per non parlare del cellulare (quando disponibile). Tra l’altro, trattandosi dell’accesso ad un web service, esiste il rischio concreto che vengano create copie del database a cui si accede, consentendo a chiunque di conservare e rielaborare quantità massicce di dati. Trattandosi, di fatto, di una vera e propria diffusione, ne consegue la totale mancanza di quella tracciabilità che rientra a pieno titolo tra le misure minime di sicurezza imposte dalla normativa sulla privacy».

Una Regione che si vanta, come la Lombardia, di essere tecnologicamente all’avanguardia e che, proprio per esserlo, ha creato una società apposita, con un fatturato da quasi 200 milioni di euro, può permettersi simili errori?

4 novembre 2015 | 09:51

Aggiornamento del 5-11-2015

Da Il Sole 24 Ore del 4-11-2015

AVORO E PROFESSIONE

Cartelle cliniche elettroniche: ripartire dall'uomo con la scienza

di Antonio Vittorino Gaddi (direttore Centro studi Sit - Società Italiana Telemedicina e sanità elettronica)

Il cammino della scienza si fonda sulla capacità di dimostrare che un modello ritenuto valido e quindi universalmente adottato, possa essere demolito in breve tempo e sostituito da altri migliori, basati su paradigmi diversi e innovativi (Thomas Khun). Questo processo è stato introdotto in sanità dall'emergere della eHealth e della Telemedicina, su cui tutti contano per una gran quantità di finalità: migliorare l'assistenza sanitaria, ridurre sprechi, automatizzare procedure, dematerializzare documenti, controllare le prescrizioni di farmaci.

C'è chi ritiene adeguato parlare di “rivoluzione della eHealth”, che nasce da una istanza etica e logica, prima ancora che tecnologica. A sviluppare questi concetti, e a cercare di calarli nella realtà dei sistemi sanitari, con particolare riferimento alle difficoltà del nostro Paese e alle problematiche della medicina transfrontaliera, ci hanno pensato numerosi esperti italiani ed europei, provenienti da 12 nazioni, intervenuti a Pesaro a un workshop internazionale dedicato a questi temi e organizzato nell'ambito del progetto Adriatic Mobile Health (www.adrihealthmob.eu), finanziato dalla Comunità europea, in collaborazione con la Società italiana di telemedicina e sanità elettronica (Sit).

La regia dell'evento, organizzato dall'Ao “Ospedali riuniti Marche nord” è stata affidata al fisico italiano Giovanni Rinaldi, componente il Comitato di consulenza tecnica della Sit, il quale ha coinvolto gli illustri esperti in una discussione approfondita, priva di esposizioni autoreferenziali su temi tecnici o amministrativi e capace di evidenziare senza timori le criticità, i fatti negativi come quelli positivi, per cercare poi di definire i principi generali su cui i nuovi paradigmi della eHealth si possano appoggiare con sicurezza; il Ministero della Salute italiano, era rappresentato dal Direttore dell'Nsis,Lidia Di Minco.

Un'operazione culturale ambiziosa che tuttavia ha permesso di arrivare alla condivisione di alcuni punti rilevanti. Ad esempio quello, esposto da Mike Martin(Newcastle University), profondo conoscitore del Nhs inglese, che ha ben spiegato “Cosa è necessario fare prima di intraprendere qualsiasi lavoro tecnico” e che, viceversa, non è mai stato fatto. L'idea fondante che emerge dal meeting di Pesaro è di tornare a porre l'essere umano, quando malato, e il suo medico curante al centro del processo di cura. In realtà si tratta di ritornare alla definizione di eHealth già data nel lontano 2003 dai Ministri della Salute dell'Unione europea, e poi dimenticata: «La eHealth riguarda l'uso di moderne tecnologie di informazione e comunicazione in modo da andare incontro alle necessità dei pazienti, del personale sanitario, dei cittadini e de governi». Si tratta di una definizione finalistica, nella quale ogni nuovo paradigma ha senso se origina dalla centralità dei bisogni percepiti e reali dell'uomo e del rapporto medico-paziente.

Questo principio, che viene di solito dato per scontato in quasi tutti i meeting dai tecno-entusiasti e poi nei fatti sistematicamente ignorato, dovrebbe invece tornare ad essere pilastro fondamentale nel progresso della scienza biomedica. Dunque, la vera rivoluzione è partire dall'Uomo e non dalla Tecnologia.

Durante il workshop di Pesaro a questa “affermazione di principio” sono conseguiti però anche fatti e proposte concrete, altamente innovative e in grado potenzialmente di far ripartire la sanità, per mezzo delle innovazioni della eHealth.

Come vanno cambiate le cartelle cliniche
Una di queste proposte è stata quella di cambiare il modo di realizzare le cartelle cliniche elettroniche e, in senso lato, altri strumenti per il cittadino e per il personale sanitario.
È apparso evidente nella discussione l'opinione critica di molti esperti sull'attivazione e l'utilizzo dei sistemi di raccolta delle informazioni sanitarie costruiti senza un'architettura comune ben pensata. Un esempio sotto gli occhi di tutti consiste nel Fascicolo sanitario elettronico italiano, pensato una dozzina d'anni fa ma realizzato oggigiorno e subito messo in discussione dagli stessi che pur se ne fecero promotori a suo tempo. Opinioni simili sono state indirizzate da numerosi esperti anche ad altre iniziative giudicate poco utili come il Minimum Data Set europeo.

Fabrizio Ricci, ricercatore del Cnr di Roma, e Francesco Gabbrielli, vicepresidente Sit, hanno fornito una precisa traccia metodologica su come si possano ridisegnare strutture di eHealth e servizi sanitari digitalizzati su basi scientifiche. Partire dai principi condivisi, adottare il metodo scientifico, studiare la letteratura e i migliori esempi che ci vengono dal mondo, e “solo dopo” proporre modelli di cartelle cliniche elettroniche da applicare alla popolazione. Misurarne comunque gli effetti su piccoli campioni e non sulla popolazione generale. Attualmente invece sembra quasi che applicare sistemi innovativi sia diventato un modo per fare esperimenti sulla gente in libertà, come in certa medicina del passato .

Ma partire davvero dall'Uomo ha altre conseguenze. Ad esempio la raccolta delle informazioni cliniche deve anch'essa essere organizzata a partire dalle esigenze umane prima che dalla tecnologia. Su questo ancora Mike Martin ha proposto un nuovo concetto Socio-Tecnico di Informazione, che preveda una fase negoziale iniziale che precede tutte le altre attività progettuali tecniche.

Dalla Medical Division dell'European Organization for Nuclear Research di Ginevra è giunto forte e chiaro il messaggio di ricorrere ai migliori mezzi informatici oggi disponibili nel campo delle informazioni sulla salute dell'uomo. In particolare Alberto Di Meglio, capo dell'Open Lab del Dipartimento Ict del Cern, ha richiamato l'attenzione su nuovi modelli matematici nella realizzazione dei grandi clinical trials e sulla messa a punto di sistemi di analisi delle immagini cliniche utilizzando la tecnologia machine-learning, nell'analisi dei dati molecolari e l'integrazione di essi con i dati clinici e numerosi altri.

Marco Manca (Maastricht University), ricercatore medico del Cern di Ginevra e corrispondente estero per l'Europa della Sit, ha ridisegnato il rapporto variabile e non sempre univoco, tra dati e informazione vera, alla luce del significato e del valore che essa deve avere per l'uomo.

Secondo Terje Peetso, responsabile dello sviluppo della eHealth Action Plan 2010-2020 della Eu, l'Europa dovrà orientarsi maggiormente verso la qualità e la ricerca. Gli esperti norvegesi hanno illustrato sistemi innovativi di coinvolgimento e di responsabilizzazione nella gestione delle cure di pazienti con malattie oncologiche o croniche, altri esperti di più nazioni intervenute, dall'Albania all'Inghilterra hanno portato esperienze rilevanti di interventi di telemedicina potenzialmente utili per i malati e per i cittadini.

Dall'Inghilterra sono giunte osservazioni e critiche sulle resistenze dei medici rispetto alla eHealth e sull'ipotesi di utilizzare applicazioni avanzate anche in settori ancora poco esplorati dalla stessa scienza, in particolare nel settore della genomica. In altri paesi, Stati Uniti, Germania e Italia in particolare, come ben si legge nella letteratura, i medici sono disponibili a usare tecnologie innovative, ove convalidate e realmente utili, ma pronti anche a difendere il rapporto medico-paziente e a tutelare l'uomo. Senza prestarsi ad appoggiare innovazioni meramente tecnologiche che sottraggano ”tempo clinico” alla cure dei loro pazienti, come ha concluso Giancarmine Russo, segretario generale e fondatore della Sit.
In conclusione, la scienza è pronta. Ora è essenziale coinvolgere al massimo i veri esperti, i medici e i cittadini, evitando accuratamente gli errori e i rischi della telemedicina improvvisata o burocratizzata.

Aggiornamento 15-10-2015

E*trade e Dow Jones sotto attacco hacker: anche i mercati finanziari tremano

di Umberto Rapetto | 14 ottobre 2015

Può darsi non conosciate la società di servizi finanziari E*Trade, ma difficilmente non avrete mai sentito parlare di Dow Jones il cui indice è storicamente uno dei punti di riferimento di Borse e mercati.

In questi giorni i due colossi stanno comunicando a clienti ed interlocutori di essere stati vittima di presumibili “data breach”, ovvero di attacchi informatici che hanno permesso agli aggressori di superare le misure di sicurezza ed accedere ai loro archivi elettronici più riservati.

Così, per l’ennesima volta, sono finiti nelle mani sbagliate informazioni personali che includono anche gli ormai soliti dati relativi alle rispettive carte di credito, gli indirizzi di posta elettronica e – quasi non bastasse – anche quelli urbani di casa e ufficio.

E*Trade si è precipitata ad avvisare i suoi 31mila clienti, inviando una email in cui viene spiegato l’accaduto. Da parte sua Dow Jones (editrice tra l’altro del Wall Street Journal) ha scritto un messaggio in cui si dice che “nonostante fossero state adottate tutte le precauzioni persino in maniera sovrabbondante” qualcuno è riuscito a perforare le protezioni logiche e ad accedere al sistema portandosi via i dati relativi a milioni di attuali e vecchi abbonati, 3500 di questi potrebbero aspettarsi qualche sgradevole sorpresa per la carta di credito. Non ci sarebbe una prova diretta di questa preoccupante situazione, ma semplici elementi che lasciano presumere l’esecuzione di un’incursione telematica di questa natura. Il semplice “potrebbe esser successo” ha fatto scattare l’allarme. D’altronde – a differenza dei topi d’appartamento – i predoni digitali non lasciano tracce evidenti del loro passaggio e, anzi, sperano che la loro visita non venga rilevata, in modo da poter approfittare del varco aperto per tornare anche in tempi successivi.

Recentemente era accaduto qualcosa di simile a Scottrade, altra azienda operante nel contesto della compravendita di titoli azionari, e a farne le spese sono stati oltre quattro milioni e mezzo di risparmiatori che si avvalevano di questa società di brokeraggio.

Se davvero “non c’è prova”, perché questo allarme? Ad innescare qualcosa di più di un semplice sospetto è stata una segnalazione degli investigatori di Fbi, che stavano indagando su casi di furto di identità e che – sulla base delle caratteristiche delle informazioni rinvenute e di una certa loro “unicità” – erano riusciti a ricostruire l’origine dei dati adoperati in modo fraudolento. L’attività investigativa è quella inerente una banda criminale che ha passato “al setaccio” le più grandi organizzazioni mondiali dell’universo economico-finanziario, tra cui JP Morgan Chase (83 milioni di “vittime”) e Fidelity Investments, saccheggiando database di ogni razza.

Se succedesse mai (anche se sono convinto sia già capitato…) dalle nostre parti, quale sarebbe la reazione? Quanti sentirebbero il dovere di allertare le persone i cui dati sono stati scippati e sono destinati ad alimentare attività illecite in loro danno?

Attualmente la normativa italiana impone obblighi in tal senso solo agli operatori delle telecomunicazioni, quasi i “data breach” negli altri settori (quello sanitario ad esempio) non potessero avvenire o non avessero la stessa criticità.

Il furto dei dati non toglie apparentemente nulla a chi è bersaglio della malefatta. Non c’è una sottrazione fisica di alcunché e tutto sembra essere normale anche dopo la più barbara razzia. Solo un buon sistema di “intrusion detection” può rilevare accessi indebiti e operazioni non consentite, ma non sempre si è organizzati per monitorare e prevenire certi fenomeni.

Non basta. La legge 547 del 1993, quella che ha “farcito” il codice penale con le fattispecie di crimine informatico, evidenzia che quei reati si configurano solo quando il target è costituito da sistemi informatici “protetti da misure di sicurezza” così come si legge in un inciso ripetuto in tutti gli articoli in proposito. No sicurezza, no reato…

Ma non è finita. Il decreto legislativo 196/2003 in materia di privacy sanziona chi non adotta idonee cautele a protezione dei dati oggetto di trattamento.

A voler tirare le somme, come si può immaginare che una banca o un’azienda possano raccontare in giro di essere state beffate dai pirati informatici, quando per quella ragione rischiano una condanna per non aver difeso i propri archivi elettronici?

Se ci aggiungiamo il danno all’immagine, che aleggia sempre in modo spettrale, è difficile sperare che un allarme di questo tipo possa mai giungere nella nostra casella email…

@Umberto_Rapetto

Aggiornamento 5-10-2015

Da http://fimmg.bari.it/

Ricetta telematica: niente privacy per i pazienti. Protestano i medici

Scotti: obbligatoria la diagnosi all'atto della prescrizione, pena la non stampa del promemoria

venerdì 02 ottobre 2015

Il problema per ora riguarda Napoli e l'intera regione. Silvestro Scotti: «In Campania si sta violando la privacy dei pazienti. S’intervenga subito per evitare che i diritti dei cittadini vengano calpestati». Si attenta alla privacy dei pazienti in virtù del risparmio. Medici di Famiglia a rischio querela

«Ci arrivano numerose segnalazioni, di una gravissima violazione della privacy in atto da oggi da parte del Sistema Sogei per la trasmissione della ricetta dematerializzata su richiesta della Regione a danno di tutti i pazienti campani. Come presidente dell’Ordine dei Medici di Napoli e portavoce della Federazione regionale degli Ordini della Campania, che ricordiamo è organo ausiliario dello Stato di garanzia per i cittadini rispetto alla professione medica, ho il dovere di denunciare pubblicamente quanto sta accadendo e di chiedere a chi ne ha competenza di porre immediatamente rimedio».

Questo l’allarme lanciato da Silvestro Scotti sull’entrata in vigore da oggi (1 ottobre) del nuovo sistema di controllo economico per il monitoraggio della spesa sanitaria riferita al decreto commissariale numero 56 del 29/05/2015, uno degli ultimi del governo Caldoro.

«In forza di questa direttiva regionale – prosegue il leader dei medici napoletani - tutti i colleghi della medicina di famiglia che vogliano procedere con la cosiddetta “ricetta dematerializzata” sono costretti ad associare alla prescrizione fatta al paziente anche la diagnosi, pena la non stampa del promemoria o l’obbligo di procedere alla prescrizione con la vecchia ricetta rossa. Questo è gravissimo, e lo è ancor più il fatto che la trasmissione di questo dato sensibile avvenga in automatico senza che né il medico né il paziente ne siano a conoscenza e quest’ultimo abbia espresso il proprio consenso. Peraltro la direttiva regionale avrebbe dovuto riguardare solo alcuni pazienti colpiti per la prima volta da specifiche patologie. Chiedo di rendere pubblico il parere del garante della privacy, se esiste, che rende possibile questa procedura e in assenza che chi di dovere intervenga subito per evitare che il diritto alla privacy dei cittadini venga calpestato. Intanto è mio dovere informare, sia i medici che i cittadini, di quanto non appare evidente nella normalità di una prescrizione dal loro medico di famiglia perché nascosto dalle procedure informatiche con forti responsabilità dei medici e rischi per i cittadini».

«Raccogliendo l’allarme che ci arriva dal territorio, denunciamo che da oggi la privacy dei cittadini/pazienti campani è seriamente a rischio. Non si comprende per quale ragione e con quale autorità i gestionali (le software house parte del Sistema Sogei per la trasmissione della ricetta dematerializzata) stanno acquisendo in maniera arbitraria dati sensibili sulle patologie dei nostri assistiti».

La denuncia arriva dai medici Luigi Sparano e Corrado Calamaro della Federazione italiana medici di medicina generale (Fimmg) di Napoli. «Questo va ben oltre quanto indicato nel decreto 56 – dicono-. Nell’accordo integrativo regionale avevamo infatti molto contrattato i termini di queste verifiche, fissando paletti forti a tutela della privacy dei nostri pazienti. L’accordo prevedeva che si inserisse solo un generico codice di appartenenza alla categoria farmacologica, utile per avere una ricognizione sull’uso dei farmaci a brevetto. E’ invece una follia quello che sta avvenendo, ovvero l’acquisizione della diagnosi precisa del paziente».

Per i medici della Fimmg Napoli «Un conto è monitorare il consumo dei farmaci a brevetto in corso, un conto è violare i diritti dei pazienti calpestandone la privacy. Questo sistema mette a rischio anche i medici stessi, che ignari vengono esposti al rischio di azioni legali da parte dei loro assistiti».

Aggiornamento 17-9-2015

http://pepe.blogautore.repubblica.it/2015/09/15/la-sanita-digitale-tra-lobbies-e-affari/

Aggiornamento del 4-9-2015

Presidenza del Consiglio. Regolamento FSE

Aggiornamento 19-7-2015

GAZZETTA UFFICIALE del 17-7-2015 Serie generale n° 164 pag. 14:

GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

PROVVEDIMENTO 4 giugno 2015 .

Linee guida in materia di Dossier sanitario. (Provvedimento n. 331).

Aggiornamento del 6-7-2015

SERVIZIO RELAZIONI ESTERNE E MEDIA

COMUNICATO STAMPA

Dossier sanitario elettronico: PIù TUTELE PER I PAZIENTI

Il Garante Privacy adotta le nuove linee guida: consenso informato, accessi tracciati, immediata comunicazione dei data breach

Varate dal Garante privacy le nuove Linee guida sul dossier sanitario elettronico. Maggiori tutele per i dati dei pazienti, più trasparenza e obbligo per le strutture sanitarie di comunicare immediatamente all’Autorità i cosiddetti data breach (violazioni o incidenti informatici, come attacchi, accessi abusivi, azioni di malware, perdita, furto), che possano avere un impatto significativo sui dati. Il paziente avrà la possibilità di conoscere gli accessi eseguiti sul proprio dossier.

Scopo delle Linee guida è quello di definire un quadro di riferimento unitario per il corretto trattamento dei dati raccolti nei dossier, già istituiti o che si intendono istituire, da parte di strutture sanitarie pubbliche e private.

Il dossier sanitario elettronico è lo strumento costituito presso un’unica struttura sanitaria (un ospedale, un’azienda sanitaria, una casa di cura), che raccoglie informazioni sulla salute di un paziente al fine di documentarne la storia clinica presso quella singola struttura e offrirgli un migliore processo di cura. Si differenzia dal fascicolo sanitario elettronico in cui invece confluisce l’intera storia clinica di una persona generata da più strutture sanitarie.

Il provvedimento del Garante, in corso di pubblicazione nella Gazzetta ufficiale, stabilisce, in particolare, che ai pazienti deve essere consentito di scegliere, in piena libertà, se far costituire o meno il dossier sanitario. In assenza del consenso il medico avrà a disposizione solo le informazioni rese in quel momento dal paziente o in precedenti prestazioni fornite dallo stesso professionista. La mancanza del consenso non deve incidere minimamente sulla possibilità di accedere alle cure richieste. Per poter inserire nel dossier informazioni particolarmente delicate (infezioni Hiv, interventi di interruzione volontaria della gravidanza, dati relativi ad atti di violenza sessuale o pedofilia) sarà necessario un consenso specifico.

Per consentire al paziente di scegliere in maniera libera e consapevole, la struttura dovrà informarlo in modo chiaro, indicando in particolare, chi avrà accesso ai suoi dati e che tipo di operazioni potrà compiere.

La struttura sanitaria inoltre, dovrà garantire al paziente l’esercizio dei diritti riconosciuti dal Codice privacy (accesso ai dati, integrazione, rettifica, etc.) e la conoscenza del reparto, della data e dell’orario in cui è avvenuta la consultazione del suo dossier. Al paziente dovrà essere garantita anche la possibilità di “oscurare” alcuni dati o documenti sanitari che non intende far confluire nel dossier.

Considerata la particolare delicatezza del dossier il Garante ha prescritto l’adozione di elevate misure di sicurezza. I dati sulla salute dovranno essere separati dagli altri dati personali, e dovranno essere individuati criteri per la cifratura dei dati sensibili. L’accesso al dossier sarà consentito solo al personale sanitario coinvolto nella cura. Ogni accesso e ogni operazione effettuata, anche la semplice consultazione, saranno tracciati e registrati automaticamente in appositi file di log che la struttura dovrà conservare per almeno 24 mesi.

Eventuali violazioni di dati o incidenti informatici dovranno essere comunicati all’Autorità, entro quarantotto ore dalla conoscenza del fatto, attraverso un modulo predisposto dal Garante all’indirizzo: databreach.dossier@pec.gpdp.it.

Roma, 6 luglio 2015

Aggiornamento del 20-3-2015

Comunicato stampa Adusbef-Federconsumatori del 20-3-2015

DATI SANITARI: TUTELARE LA PRIVACY. PERCHÉ CHIEDERE AI CITTADINI DI UNIFICARE LA VOLONTÀ SUL TESTAMENTO BIOLOGICO CON LA DELICATA QUESTIONE DEL CONSENSO AL TRATTAMENTO DEI DATI SENSIBILI RIGUARDANTI LA SALUTE?

Abbiamo appreso la notizia della raccolta di firme in Emilia Romagna per chiedere di inserire nella Tessera Sanitaria e nel FSE la “dichiarazione anticipata” di volontà per i trattamenti dei dati sanitari.

La grande mobilitazione prevista per la raccolta delle firme fa riflettere e richiede di procedere con il massimo di prudenza e di coordinamento. In particolare, dal momento che si parla anche di testamento biologico, è necessario evitare modalità di coinvolgimento propagandistico e in particolare ogni forma, più o meno intenzionale, di “induzione del consenso” .

A tale proposito, data la nota vulnerabilità di internet, ci sembra utile definire meglio la proposta e chiediamo di far scegliere se autorizzare, all’interno della Tessera Sanitaria del cittadino, il solo “dossier sanitario” in questi termini: “Aderisco al trattamento dei dati sanitari sensibili solo per ogni singolo percorso di cura. Nego ogni ulteriore utilizzo dei miei dati nominativi in una “rete informatica pubblica o privata".

Ai cittadini, perché sia valido il consenso, dovrebbe essere garantita una informazione capillare con la diffusione di manifesti e depliant, soprattutto una "informazione competente” da parte del personale sanitario presso gli ambulatori di medici di famiglia e di specialisti, presso ASL, farmacie, servizi sanitari decentrati ecc., che spieghi la differenza tra Fascicolo Sanitario Elettronico e Dossier Sanitario (come precisato dal Garante Privacy il 3 agosto 2009) e consegni copia del tipo di consenso prestato.

Federconsumatori e Adusbef sostengono infatti che sia indispensabile distinguere e chiarire i diversi percorsi per garantire il consenso consapevole.

Aggiornamento del 10-3-2015.

I dati sanitari dei cittadini, messi in rete senza autorizzazione, vedranno cadere molte teste nei prossimi anni!

http://trentinocorrierealpi.gelocal.it/trento/cronaca/2014/11/04/news/privacy-all-ospedale-l-azienda-sanitaria-corre-ai-ripari-1.10239348

Aggiornamento del 2-3-2015

Da Quotidiano Sanità.

Privacy e Sanità. Il Garante alle Regioni: “No al silenzio-assenso. Sufficienti le norme già in vigore”

L’Autorità risponde alle Pa di Trento e Bolzano e al Friuli che avevano proposto la misura per facilitare le cure dei pazienti. “Le esigenze prospettate trovano già adeguata risposta nelle forme di semplificazione già previste dal Codice e dai provvedimenti del Garante nel settore sanitario”. LA LETTERA DEL GARANTE

27 FEB - Il Garante della Privacy ‘boccia’ la proposta sul silenzio-assenso avanzata dalle Province autonome di Trento e Bolzano e dalla Regione Friuli Venezia Giulia in ambito di privacy e sanità. In una lettera inviata alle Regioni l’Autorità precisa che “la modifica normativa in favore di una forma di ‘silenzio-assenso’ sarebbe non solo contraria alla normativa europea e nazionale in materia di protezione dei dati personali, ma anche non necessaria rispetto alle esigenze prospettate che, invece, a parere di questa Autorità, trovano adeguata risposta nelle forme di semplificazione già ampiamente previste dal Codice e dai provvedimenti del Garante nel settore sanitario. Tale quadro normativo, infatti, assicura un equo bilanciamento degli interessi in gioco e la piena tutela dei diritti fondamentali della persona sia alla protezione dei dati personali, sia alla salute”.

Il Garante precisa anche come “non risulta all’Autorità che in altri ordinamenti di Paesi UE (e in particolare Austria e Germania) ‘le direttive europee in materia di dati personali in ambito sanitario’ siano state ‘ratificate nel senso di un silenzio assenso’”.

Ma l’Autorità nel bocciare il silenzio assenso specifica che già il Codice “per le attività indispensabili per perseguire una finalità di tutela della salute o dell’incolumità del soggetto, prevede significative semplificazioni degli obblighi relativi al rilascio dell’informativa (che può essere unica per trattamenti correlati) e, soprattutto del consenso”.

In merito proprio al consenso informato l’Autorità ricorda che “in deroga alla forma scritta prevista per i dati sensibili, è ammessa l’espressione orale del consenso (purché sia annotato) e, soprattutto, è possibile prestare un unico consenso a fronte di trattamenti di dati effettuati anche da più soggetti per finalità di tutela della salute o dell’incolumità fisica dell’interessato (artt. 75-81 del Codice)”.
Luciano Fassari

27 febbraio 2015

Aggiornamenti del 29-11-2014

Identità e patologie di un minore sul sito della Asl: stop del Garante Privacy

Il Garante per la privacy ha vietato a una Asl l’ulteriore diffusione sul sito web istituzionale dei dati personali di un minore dai quali era possibile risalire alla sua identità e alle sue patologie.

L’Azienda sanitaria aveva pubblicato in internet le delibere relative alla liquidazione di fatture per l’inserimento di un minore in una comunità terapeutica riabilitativa, contenenti la descrizione dei disturbi di cui soffriva il ragazzo associati alle iniziali del suo nome e del cognome.

Nelle fatture allegate alle delibere, relative alla retta della Comunità, erano però pubblicati in chiaro e per esteso i dati anagrafici del giovane (nome, cognome, data e luogo di nascita) rendendo così identificabile il minore e causando una diffusione di dati sul suo stato di salute vietata dalle norme in materia di protezione dei dati personali. Tutte le informazioni, peraltro, erano immediatamente reperibili in rete tramite l’inserimento delle generalità del minore nei più diffusi motori di ricerca.

Ritenendo illecito il trattamento, l’Autorità ha quindi vietato alla Asl l’ulteriore diffusione in internet dei dati personali del ragazzo contenuti nelle fatture e nelle delibere.

In ottemperanza al provvedimento del Garante l’Azienda sanitaria, oltre ad anonimizzare i dati, dovrà attivarsi presso i responsabili dei principali motori di ricerca per sollecitare la rimozione della copia delle predette deliberazioni e delle fatture dagli indici e dalla cache dei motori di ricerca.

L’Asl dovrà, inoltre, per il futuro, apportare opportuni accorgimenti al fine di rendere effettivamente anonimi i dati pubblicati, oscurando i dati identificativi e tutte le altre informazioni utili ad identificare l’interessato. Le Linee guida del Garante in materia di trasparenza e pubblicità, infatti, non ritengono sufficiente, per anonimizzare i dati personali contenuti negli atti e

documenti pubblicati online, la prassi di sostituire il nome e il cognome dell’interessato con le sole iniziali.

L’Autorità ha ritenuto infine di valutare con separato provvedimento gli estremi per contestare alla Asl la violazione amministrativa prevista dal Codice privacy.

Dossier sanitario elettronico e privacy dei pazienti

Il Garante chiede al S. Orsola Malpighi di migliorare le modalità di raccolta e di consultazione dei dati sanitari

Il Garante privacy nell’ambito delle attività di controllo sui dossier sanitari elettronici ha prescritto all’Azienda ospedaliero universitaria S. Orsola Malpighi di Bologna una serie di misure per mettersi in regola con le norme sulla protezione di dati sanitari. L’Azienda dovrà adottarle al più presto, e comunque non oltre il 31 marzo 2015. Dall’ispezione svolta dal Garante, a seguito delle segnalazioni di alcuni pazienti, sono emerse infatti gravi violazioni da parte dell’Azienda ospedaliera. I dossier sanitari (le raccolte in formato digitale dei dati dei pazienti in cura presso il presidio), oltre un milione, erano stati costituiti senza il consenso informato del paziente. Ed erano inoltre liberamente consultabili da più di mille operatori sanitari tramite il sistema informatico di archiviazione e refertazione delle prestazioni sanitarie: bastava inserire anche solo porzioni di nome e cognome, date di nascita, o Cap di residenza per accedervi. Procedure del tutto in contrasto sia con il Codice privacy sia con le Linee guida del Garante che fin dal 2009 stabiliscono regole chiare in materia di dossier sanitario: al paziente deve essere consentito di scegliere in piena libertà se far costituire o meno un dossier sanitario con tutte o solo con alcune delle informazioni sanitarie che riguardano lo stesso; deve poter manifestare un consenso autonomo e specifico, distinto da quello che presta a fini di cura; gli deve essere inoltre garantita la possibilità di "oscurare" la visibilità di alcuni eventi clinici.

Il paziente, inoltre, deve essere adeguatamente informato: con un linguaggio comprensibile e dettagliato, l'informativa deve indicare chi ha accesso ai suoi dati e che tipo di operazioni può compiere.

Il Garante ha dunque prescritto all’Azienda sanitaria che, fin quando il paziente non avrà espresso il consenso alla costituzione del dossier, i dati relativi alle prestazioni sanitarie erogate dall’Azienda siano resi disponibili solo al medico e al reparto che lo ha in cura. L’Azienda, inoltre, dovrà acquisire consensi ad hoc del paziente sia per far confluire nel dossier sanitario le informazioni relative a eventi clinici pregressi, sia per inserire quelle relative alle prestazioni erogate a seguito di atti di violenza o di pedofilia, sieropositività, uso di sostanze stupefacenti, interruzione di gravidanza. L’Azienda, infine, dovrà garantire al paziente la possibilità di oscurare eventi clinici, presenti nel dossier, che desidera non siano immediatamente visibili.

Il provvedimento del Garante è stato inviato alla Regione Emilia Romagna affinché lo renda noto alle altre aziende del servizio sanitario regionale.

Aggiornamenti del 24-11-2014

1) Comunicato Stampa 24/11/2014 Adusbef- Federconsumatori

SANITÀ DIGITALE E INTRODUZIONE DEL FASCICOLO SANITARIO ELETTRONICO. MEGLIO USARE IL CHIP DELLA TESSERA SANITARIA DI CUI OGNI CITTADINO è IN POSSESSO.

Mancano ancora le misure di sicurezza necessarie per garantire la segretezza e la inviolabilità dei dati informatici. Deve essere garantito il consenso consapevole al trattamento dei propri dati. Prima che sia troppo tardi bisogna essere certi che i dati sanitari non siano utilizzati per finalità diverse da quelle per cui si è dato il consenso. Prestare attenzione ad ipotesi nuove che potrebbero ridurre costi e rischi.

Il Garante per la protezione dei dati personali ha di recente ribadito che la protezione dei dati è il primo diritto della società digitale. Infatti la tutela delle informazioni che rivelano lo stato di salute del cittadino impone il rispetto di regole di riservatezza e di misure di sicurezza e protezione dei dati.

Nonostante queste precise indicazioni sulla doverosa tutela dei dati sanitari si moltiplicano ritardi e incertezze sulla gestione e la conservazione dei documenti e dei dati informatici.

Adusbef e Federconsumatori pongono alle istituzioni ed alle entità ed autorità coinvolte nel processo le seguenti questioni:

1) Che cosa si sta facendo per informare compiutamente i cittadini degli ambiti, delle possibilità di loro intervento nell’inserimento dei dati e dei pericoli insiti nella struttura e nella tecnologia che si stanno adottando per il Fascicolo sanitario elettronico. Troppo poco si sa delle iniziative per informare i cittadini che devono poter dare o negare il consenso al trattamento dei propri dati sanitari.

2) In che modo si ritiene di dover appurare e certificare che il sistema operativo adottato sia monitorato da una entità terza circa l’architettura dei software, l’adeguatezza degli apparati a disposizione delle ASL, degli ospedali e dei medici di famiglia, i presidi di garanzia adottati per la sicurezza ed il rispetto della privacy. Poco o nulla si sa circa le regole e le misure di sicurezza che si intende adottare mentre si moltiplicano dubbi e allarmi sulla gestione e la conservazione dei documenti e dei dati informatici. Adusbef e Federconsumatori ribadiscono che ogni cittadino ha il diritto di sapere quale è il grado di sicurezza delle reti regionali , quali i livelli di pervasività ed i rischi di invasività dei sistemi regionali, quali i programmi di sicurezza delle reti e dei dati informatici che dovrebbero essere verificati da soggetti terzi.

3) Quali iniziative intendono proporre l’Ordine dei medici (organo ausiliario dello Stato) e le associazioni di categoria per garantire il rispetto dell’articolo 11 del Codice di deontologia medica (2014):

Art. 11. - Riservatezza dei dati

[Omissis….] ll medico non collabora alla costituzione, alla gestione o all'utilizzo di banche di dati relativi a persone assistite in assenza di garanzie sulla preliminare acquisizione del loro consenso informato e sulla tutela della riservatezza e della sicurezza dei dati stessi.

Adusbef e Federconsumatori notano, inoltre, con interesse che emergono proposte nuove in alternativa all’inserimento dei dati sanitari in rete. L’idea di memorizzare i dati clinici nel chip della tessera sanitaria personale, in tasca ad ogni cittadino, è da prendere in considerazione per diversi motivi: consente ad ogni cittadino di conoscere i dati che vengono inseriti; dà luogo non alla costituzione di big data, ma alla individualizzazione dei dati, può prevedere un programma dedicato per impedire la copiatura e la trascrizione dei dati. Adottando tale soluzione, si risolverebbero molti problemi: di sicurezza (dati non in rete); di riservatezza (decide il paziente che cosa far memorizzare dal medico); di economicità (col FSE spenderemo qualche miliardo di euro, con "promessa" di risparmi futuri). 24/11/2014

2) Database eGov: prepariamoci ai mega furti di dati personali dei cittadini (19-11-2014). di Raoul Chiesa, Security Brokers. . SICUREZZA

Nei bandi di gara della PA troviamo da alcuni anni la voce “spese di sicurezza”, riferita agli incidenti sul lavoro (dalla legge 626 in poi), ma in nessun caso sono previste e messe a “budget” le spese per la sicurezza delle informazioni. Risultato: il disastro della privacy a venire

Aggiornamento del 19-11-2014

Lidu 1948: Big-data in Sanità: chiediamo trasparenza e semplificazione (18-11-2014)

E se usassimo la tessera sanitaria per memorizzare la nostra vita clinica?

Aggiornamento dell’11-11-2014

Dati sanitari in difesa. Di Umberto Rapetto 9-11-2014

Non esiste una ricetta unica e infallibile. Ma la missione non è impossibile: i dati sanitari possono essere protetti con iniziativa adeguate. Ecco come - See more at: http://nova.ilsole24ore.com/esperienze/dati-sanitari-in-difesa#sthash.ImG5PERV.dpuf

Aggiornamento del 4-11-2014

Fragilità sanitaria. Di Umberto Rapetto. 2-11-2014

La crescente digitalizzazione dei dati sanitari personali espone a rischi di fragilità. In termini di segretezza, ma anche di integrità dei dati stessi. I casi non mancano - See more at: http://nova.ilsole24ore.com/esperienze/fragilita-sanitaria#sthash.9R6tdP9F.dpuf

Aggiornamento del 25-10-2014

Francesco Del Zotti: Il FSE tra dubbi e Certezze - LE ESPERIENZE extra –EUROPEE. Scritto derivato dalla presentazione al Convegno dell'ODM di Piacenza del 27-9-2014.

Aggiornamento del 21-10-2014

Aggiornamenti dell’11-10-2014

1) Sanità digitale, la Lidu 1948 chiede indagine della Corte dei conti 08/10/2014 00:12:03 Da federfarma.it.

E’ opinione comune che dalla digitalizzazione della Sanità arriveranno risparmi consistenti per le casse pubbliche. Ma c’è anche qualche voce fuori dal coro: come quelle di Aldo Barbona ed Eugenio Sinesio, rispettivamente presidente e rappresentante nazionale della Lega italiana dei diritti dell'uomo, che ieri hanno chiesto sezione centrale di controllo della Corte dei conti di deliberare un piano di verifiche sulla spesa per la sanità digitale. Secondo la Lidu, infatti, è necessaria maggiore trasparenza sui costi della cosiddetta e-Health perché benefici effettivi e rischi potenziali – per esempio sulla privacy – non varrebbero la proverbiale candela.

Barbona e Sinesio portano alcuni elementi a sostegno dei loro dubbi: per esempio il flop del francese Dmp (Dossier medicale personnel, equivalente del nostro Fascicolo sanitario elettronico), ridimensionato dalle autorità transalpine dopo una spesa di circa 500 milioni in 10 anni e risultati irrisori (verrà utilizzato soltanto per i soggetti fragili e le cronicità). «Dai dati disponibili sui costi della digitalizzazione della sanità in Italia» continuano i due «emerge che la spesa media per l’e-Health si aggira sui 21 euro pro capite». Per contro, non ci sono evidenze di risparmio nemmeno nelle Regioni virtuose: «Il presidente della Regione Veneto Luca Zaia» dicono Barbona e Sinesio «ha recentemente affermato di avere ottenuto risparmi per 28 milioni sulla spesa farmaceutica grazie alla ricetta digitale», ma i dati si riferivano al primo semestre 2014, quando la ricetta dematerializzata non era ancora in uso. Il Veneto, dunque, deve quei risparmi a un «trend operativo» che le Regioni meno virtuose devono ancora avviare. «E nel frattempo si dovranno affrontare nuovi costi per l'informatizzazione di ricette e fascicolo sanitario».

2) Ricetta digitale in Puglia. Da federfarma.it

Aggiornamento del 7-10-2014

Comunicato stampa di Lidu 1948 del 7-10-2014:

“Chiediamo la valutazione della Corte dei conti sulla informatizzazione in Sanità”

Aggiornamenti del 3-10-2014

Sito fnomceo.it. Sintesi del convegno sul FSE tenutosi a Piacenza il 27-9-2014

- http://www.fnomceo.it/fnomceo/showArticolo.2puntOT?id=121035

- Corte dei Conti. Linee guida per danno erariale.

- Brevi note in tema di illecito erariale. da diritto.it Pubblicato in saggi 07/12/2006 di Giuseppe Crucitta - Rosa Francaviglia

Aggiornamento del 2-10-2014

Ecco la Sogei

SOGEI: Società Generale d'Informatica SpA - è la società di Information Technology 100% del Ministero dell'Economia e delle Finanze preposta al settore IT del Ministero medesimo. Attiva da oltre 35 anni, ha progettato e realizzato il Sistema informativo della fiscalità del quale segue costantemente la conduzione e l'evoluzione, operando sulla base del modello organizzativo dell'in house providing".

Da luglio 2013, a seguito dell'incorporazione del ramo IT Economia di Consip (prevista dalla L. 135/2012), è partner tecnologico unico del MEF e sviluppa sistemi, applicazioni e servizi per tutte le esigenze di automazione e informatizzazione dei processi operativi e gestionali del Ministero, della Corte dei conti, delle Agenzie fiscali e di altre pubbliche amministrazioni.

Dal Bilancio SOGEI 2013

3.9.1.1 Raccolta ricette farmaceutiche e specialistiche In relazione alla raccolta delle ricette di prescrizioni farmaceutiche e

specialistiche:

 è proseguita la raccolta telematica delle ricette per tutte le Regioni: sono state raccolte ed elaborate nell’anno oltre 800 milioni di ricette;

 si è consolidato il collegamento in rete con oltre il 70% dei medici di medicina generale e dei pediatri in tutte le Regioni/Province Autonome per la trasmissione dei dati delle prescrizioni;

 sono stati avviati in 15 Regioni i piani di diffusione previsti dal D.M. 2 novembre 2011, per la progressiva introduzione della ricetta elettronica in sostituzione di quella cartacea. Il completamento della diffusione sul territorio nazionale è previsto entro il 2015;

 sono stati ulteriormente implementati i sistemi di analisi dei dati, con l’introduzione di specifici indicatori volti alla verifica dell’appropriatezza delle prescrizioni, a quella del budget di distretto, della farmacovigilanza e sorveglianza epidemiologica;

 in base a quanto previsto dal D.L. n. 78/2010, e al fine di mettere a disposizione delle Regioni strumenti di programmazione e controllo sempre più sofisticati, sono state predisposte le tabelle di raffronto tra la spesa farmaceutica territoriale delle singole Regioni per gli anni 2010, 2011 e 2012, con la definizione di nuove soglie di appropriatezza prescrittiva basate sul comportamento prescrittivo registrato nelle Regioni, con il miglior risultato in riferimento alla percentuale di medicinali a base di principi attivi non coperti da brevetto, ovvero a prezzo minore, rispetto al totale dei medicinali appartenenti alla medesima categoria terapeutica equivalente;

 sono state estese soluzioni di tipo cooperativo mirate all’integrazione del Sistema Centrale di Monitoraggio della Spesa Sanitaria con quelli regionali, per la gestione delle banche dati di riferimento (strutture accreditate, soggetti prescrittori, prontuari e nomenclatore, stranieri temporaneamente presenti, soggetti esenti, assegnazione dei ricettari ai soggetti prescrittori).

Aggiornamento del 29-9-2014

Sulla sicurezza dei dati sanitari

http://www.fimmgroma.org/news/news/italia/6677-privacy-dati-sanitari-a-rischio-il-17-dei-siti-italiani-fuori-norma-nel-mirino-referti-on-line-e-consulenze

Sulle autorità europee garanti della privacy: spesso condizionano la realizzazione del Fascicolo sanitario elettronico:

Comunicato stampa n. 155 Data comunicato: 26 settembre 2014

Save the date: a roma la conferenza sulla sanita' elettronica, Apre i lavori il Ministro della Salute Beatrice Lorenzin

Nell’ambito degli eventi del Semestre di Presidenza italiana del Consiglio dell'Unione Europea si terrà a Roma il 7 e 8 ottobre 2014, presso l'Hotel Parco dei Principi (Via G. Frescobaldi, 5), la Conferenza sulla Sanità elettronica organizzata dal Ministero della salute (Direzione generale della digitalizzazione, del sistema informativo sanitario e della statistica).

La sanità elettronica rappresenta oggi una leva strategica in grado di innovare modelli, processi e percorsi assistenziali generando, al contempo, fondamentali stimoli allo sviluppo economico e imprenditoriale a livello nazionale ed europeo.

L’Italia ha adottato, nel settore della sanità elettronica, provvedimenti specifici che la pongono all’avanguardia in Europa e sui quali intende avviare un costruttivo dibattito. In questo contesto, la suddetta Conferenza sarà l’occasione per condividere le strategie e le iniziative nel settore della sanità elettronica, attraverso un confronto tra le esperienze dei diversi Stati Membri inerenti le seguenti tematiche: fascicolo sanitario elettronico, telemedicina, prescrizione elettronica di medicinali e formazione in sanità elettronica degli operatori sanitari.

La Conferenza avrà inizio martedì 7 ottobre alle ore 15:00, con una sessione di apertura che sarà tenuta dal Ministro della salute, on. Beatrice Lorenzin. Prevista la presenza di Ministri della salute di Stati Membri.

Nelle successive sessioni la discussione verterà sul Fascicolo Sanitario Elettronico, con particolare riferimento al relativo percorso di adozione nei diversi Paesi e agli aspetti normativi, tecnici e di privacy che spesso ne condizionano la piena realizzazione.

Nella giornata di mercoledì 8 ottobre, si affronterà il tema della telemedicina, con l’illustrazione delle linee di indirizzo nazionali adottate in Italia per un confronto con gli altri Paesi. Particolare attenzione verrà rivolta agli aspetti etici, legali e di sicurezza e alla trasferibilità delle best practices di telemedicina oltre i confini nazionali e regionali. Nell’ambito delle sessioni di lavoro pianificate in questa giornata è anche prevista la partecipazione di un rappresentante della DG SANCO e di un rappresentante della DG CONNECT della Commissione europea.

Giornalisti e foto cineoperatori potranno accreditarsi presso l’Ufficio stampa del Ministero della salute:

Tel.: 06/59945289 – 5397

Mail: ufficiostampa.eventi@gmail.com

ufficiostampa@sanita.it

Aggiornamento del 24-9-2014

ICT e Sanità, esperienze e dibattito a Piacenza (da www.fnomceo.it )

Pisa. Le farmacie in cui si attivano le carte sanitarie

Aggiornamento del 22-9-2014

Ancora sulla sicurezza informatica:

http://www.lineaedp.it/news/13219/gli-anelli-deboli-della-sicurezza-informatica/

Aggiornamenti del 10-9-2014

1) COMUNICATO STAMPA

APP MEDICHE: GARANTE PRIVACY, SERVE PIU’ TRASPARENZA NELL’USO DEI DATI

Una su due non fornisce agli utenti un’informativa prima del download o chiede dati eccessivi rispetto alle funzionalità offerte

Serve più trasparenza nell’uso dei dati degli utenti che scaricano app mediche in Italia.

I risultati dell'indagine, avviata a maggio dal Garante Privacy per verificare il rispetto della normativa italiana sulla protezione dati da parte di applicazioni che utilizzano dati sanitari, mostrano come anche nel nostro Paese gli utenti non siano adeguatamente tutelati e troppe volte non siano messi in grado di esprimere un consenso libero e informato. Quello delle app mediche è un settore in crescente sviluppo che presenta profili molto delicati per la privacy delle persone. L'azione del Garante si inserisce nell'ambito del "Privacy Sweep 2014", l’ “indagine a tappeto” promossa dal Global Privacy Enforcement Network (GPEN), la rete internazionale nata per rafforzare la cooperazione tra le Autorità della privacy di tutto il mondo e di cui il Garante italiano fa parte. La scelta tutta italiana di analizzare app del settore medico o di wellness è in linea con le preoccupazioni manifestate dall’Europa su questo tema. La Commissione Europea ha di recente avviato una consultazione sulla Mobile Health e ha pubblicato il Libro Verde sulle applicazioni sanitarie mobili (Green Paper on Mobile Health).

Una su due delle applicazioni mediche italiane e straniere analizzate dagli “sweepers” dell'Authority italiana, scelte a campione tra le più scaricate disponibili sulle varie piattaforme (Android, iOs, Windows, etc.), non fornisce agli utenti un’informativa sull’uso dei dati preventiva all’installazione, oppure dà informazioni generiche, o chiede dati eccessivi rispetto alle funzionalità offerte. In molti casi l’informativa privacy non viene adattata alle ridotte dimensioni del monitor, risultando così poco leggibile, o viene collocata in sezioni riguardanti, ad esempio, le caratteristiche tecniche dello smarphone o del tablet.

A seguito dell’esito dell’indagine, il Garante sta valutando le azioni da intraprendere, anche al fine di possibili interventi prescrittivi o sanzionatori.

A livello internazionale, l’iniziativa ha fatto crescere le preoccupazioni sulle app, che offrono funzionalità che vanno dai giochi al meteo, dalle news ai servizi bancari. I risultati dell’indagine hanno mostrato come vi sia una scarsa attenzione alla tutela degli utenti e la necessità che questi software, che raccolgono un’ingente mole di informazioni personali, rendano più trasparente e chiaro l’uso delle stesse. Su un totale di oltre 1200 applicazioni esaminate, appena il 15% risulta dotato di un’informativa privacy realmente chiara. Nel 59% dei casi è stato difficile per le Autorità di protezione dati reperire un’informativa privacy prima dell’installazione.

Roma, 10 settembre 2014

2) http://www.dirittiglobali.it/2014/09/google-investe-in-farmaci-sanita-avra-vantaggi-dai-dati-degli-utenti/

Aggiornamenti dell’8-9-2014

http://rivistaqq.org/wp/wp-content/uploads/QQ-37-1-2014.pdf (pag. 15)

http://www.corrierecomunicazioni.it/it-world/29551_reicherts-nel-2020-i-dati-personali-varranno-mille-miliardi.htm

Aggiornamenti del 1°-9-2014

http://www.tgcom24.mediaset.it/cronaca/veneto/2014/notizia/veneto-addio-alla-ricetta-rossa-prescrizioni-mediche-saranno-online_2065517.shtml

Aggiornamenti del 31-8-2014

Questo link viene evidenzia come solo 6 regioni abbiano presentato il piano di progetto per il FSE:
http://www.ilfarmacistaonline.it/governo-e-parlamento/articolo.php?articolo_id=23067

Il link informa del flop fatto dal FSE a Reggio Emilia:
http://gazzettadireggio.gelocal.it/cronaca/2014/08/28/news/reggio-aperte-solo-5-mila-cartelle-online-1.9835446

Qui, il GRANDE FLOP del FSE in Francia:
http://urlin.it/12c427

http://informidel.blogspot.it/2013/12/martinedahan-vous-envoye-un-message_11.html

http://www.unof.org/+DMP-une-gabegie-d-un-demi-milliard+.html

Riportiamo la presa di posizione del Presidente dell'Ordine dei medici di Verona sulla ricetta "dematerializzata" ed in FSE (visti anche dal punto di vista del nuovo codice deontologico):
http://www.cureprimarie-ulss21.it/page.asp?id=5785&title=critiche-dall#96;o.-dei-medici-di-verona-sulla-gestione-della-ricetta-dematerializzata-e-sul-fascicolo-sanitario-elettronico

Aggiornamento del 25-7-2014

25-7-2014 Manuale di diritto europeo in materia di protezione dei dati

Aggiornamenti del 21-7-2014

http://www.repubblica.it/tecnologia/2014/07/17/news/tlc_privacy_a_rischio-91772227/
http://ricerca.repubblica.it/repubblica/archivio/repubblica/2014/07/18/telefonate-a-rischio-il-governo-spieghi2216.html
http://www.repubblica.it/tecnologia/2014/07/18/news/privacy_digitale_diritto_uomo-91842843/

Il FSE "Aggrega nostri dati sanitari dal 2008". A nostra insaputa.

Da ForlìToday del 14-7-2014.

[…]

Il Fascicolo sanitario elettronico (FSE) è una raccolta di dati e informazioni sanitarie che costituiscono la storia clinica e di salute di una persona . La consultazione avviene in forma protetta e riservata attraverso l' utilizzo di credenziali personali. In un prossimo futuro supporterà anche le funzioni di accesso ai professionisti del Servizio sanitario regionale che tu avrai autorizzato. L' accesso sarà tracciato e reso visibile sul Fascicolo. In Emilia-Romagna la realizzazione del Fascicolo sanitario elettronico segue l' evolversi della rete Sole e l' inserimento in rete dei documenti sanitari, risultanti dalle prestazioni e servizi erogati dal Servizio sanitario regionale. Il Fascicolo sanitario elettronico recupera i documenti sanitari a partire dal 1 gennaio 2008.[…]

Aggiornamento del 26-6-2014: Fascicolo sanitario elettronico: siate attenti, informati e consapevoli!

Garante Privacy. Via libera al primo decreto attuativo. Serve il consenso del paziente, gli accessi al fascicolo saranno tracciati.

Primi passi concreti per la realizzazione del fascicolo sanitario elettronico, l'insieme dei dati e dei documenti digitali che rappresentano la storia clinica e sanitaria di una persona. Il Garante per la privacy ha espresso parere favorevole [doc. web n. 3230826] su uno schema di decreto del Presidente del Consiglio dei ministri - il primo di una serie di decreti attuativi previsti dalla norma di legge - che consentirà a Regioni e Province autonome di dare il via al Fse. Già nel 2009 l'Autorità era intervenuta in tale materia con un provvedimento generale, svolgendo un ruolo di "supplenza" in attesa di una normativa adeguata. Lo schema odierno individua i primi contenuti da attivare a livello nazionale: i dati e i documenti da inserire nel fascicolo elettronico; le responsabilità e i compiti dei soggetti coinvolti; le garanzie e le misure di sicurezza da adottare nel trattamento dei dati personali; le modalità e i livelli diversificati di accesso al fascicolo; i criteri di interoperabilità, nonché i contenuti informativi e le codifiche del profilo sanitario sintetico e del referto di laboratorio.

Lo schema di decreto è stato elaborato nell'ambito di un tavolo di lavoro istituito presso il Ministero della salute cui ha partecipato anche l'Ufficio del Garante fin dalla sua costituzione nel gennaio 2013. Il testo che ha avuto l'ok del Garante prevede, in particolare, che il paziente sia informato chiaramente e possa decidere con maggiore consapevolezza se dare il consenso all'alimentazione del Fse (in mancanza del quale il fascicolo rimarrà vuoto e quindi non accessibile, né per finalità di cura, né per finalità di ricerca o di programmazione sanitaria e monitoraggio), e in caso positivo, decidere se dare anche il consenso per finalità di cura (in mancanza del quale il fascicolo potrà essere utilizzato solo per finalità di monitoraggio, programmazione e ricerca, con le dovute garanzie di anonimato).

Il paziente potrà decidere, inoltre, con un consenso ad hoc, se far inserire nel Fse alcune informazioni di particolare delicatezza (sieropositività, interruzione volontaria di gravidanza, violenza sessuale, pedofilia, uso di sostanze stupefacenti, parto in anonimato). Giova comunque ricordare che la mancata adesione al Fse non preclude la possibilità di aderire alle prestazioni del servizio sanitario nazionale.

Gli accessi al Fse da parte degli operatori del Ssn dovranno essere tracciabili e la consultazione del Fse dovrà essere limitata al personale sanitario che abbia in cura effettivamente il paziente, e solo per il tempo necessario. Per scongiurare il rischio di accessi abusivi, lo schema è stato integrato prevedendo l'obbligo per il titolare del trattamento di avvisare immediatamente il Garante nel caso in cui i dati trattati nell'ambito del Fse subiscano violazioni (c.d. "data breach": derivanti da attacchi informatici, incendi o altre calamità).

Aggiornamento del 26-6-2014:

-http://www.diritto24.ilsole24ore.com/art/guidaAlDiritto/dirittoCivile/2014-06-26/primo-garante-decreto-fascicolo-151834.php
-http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3230826

Garante Privacy. In evidenza il Punto C del paragrafo 3:

[…]

c) particolare attenzione è stata riservata alla disciplina del consenso all'utilizzo delle informazioni. Innanzitutto, sulla base dei rilievi formulati dall'Ufficio alcune informazioni di particolare delicatezza sono ora inseribili nel FSE solo con uno specifico consenso dell'interessato (sieropositività, interruzione volontaria di gravidanza, violenza sessuale, pedofilia, uso di sostanze stupefacenti, parto in anonimato, attività dei consultori) (art. 6). Sono state, poi, meglio esplicitate le diverse fattispecie di consenso previste

dall'articolo 12 del decreto-legge n. 179/2012 per l'utilizzo dei dati e le conseguenze di un loro mancato conferimento, distinguendo fra consenso all'alimentazione del FSE (in mancanza del quale il FSE rimane vuoto e, quindi, non accessibile né per finalità di cura, né per finalità di ricerca e di governo) e consenso alla consultazione del FSE per finalità di cura, da esprimere successivamente al consenso all'alimentazione; in mancanza di tale consenso il FSE (alimentato sulla base del primo consenso) potrà essere utilizzato solo per fini di governo e ricerca nel rispetto dei limiti stabiliti dal quadro normativo vigente (cfr. art. 12, commi 3-bis e 5, d.l. 179/2012 e artt. 7 e 8 schema);

Aggiornamento del 22-6-2014:

- http://espresso.repubblica.it/inchieste/2014/06/19/news/wikileaks-ecco-l-accordo-segreto-per-il-liberismo-selvaggio-1.170088

Aggiornamento del 26-5-2014. I pericoli del FSE visto dagli Inglesi.

IL CASO LA PROTEZIONE DEI DATI SENSIBILI

Lombardia Informatica, buco nella Rete: a rischio la privacy

Indirizzi e cellulari, informazioni disponibili online. La Regione prova a chiudere la falla

di Simona Ravizza