I medici di base sono dei soggetti sottoposti, come tutti gli altri, e direi anche più di altri, alle normative privacy. Anche loro devono adempiere ad una serie di disposizioni normative, contenute nel regolamento europeo.
Primo fra tutti, il “registro dei trattamenti” (art. 28). Trattando dati sanitari, anche se non hanno collaboratori e/o dipendenti, sono obbligati a redigerlo ed aggiornarlo periodicamente. Il registro deve essere redatto secondo lo standard definito dalle linee guida e deve contenere tutte le informazioni riguardanti i trattamenti di dati effettuati, come ad esempio, le tipologie di dati trattati, le finalità, i destinatari, le protezioni adottate, etc; l’analisi dei rischi/impatti privacy, che va documentata e completata con le misure tecniche ed organizzative da adottare per la mitigazione dei rischi rilevati (art. 24-32); le nomine degli autorizzati al trattamento (personale di segreteria e sostituti), le nomine dei responsabili esterni (commercialista, sistemista informatico, etc. – art.28), le informative corrette (potrebbero essere più di una, se consideriamo i pazienti, i dipendenti, i fornitori, il sito web, etc.), naturalmente i moduli di consenso e l’implementazione di tutte quelle procedure conformi alle normative.
Ricordiamo che la nomina di un Responsabile della Protezione dei Dati (Dpo – art.37) non è previsto per le strutture più piccole e per i singoli professionisti, ma potrebbe essere necessario per strutture sanitarie importanti, come poliambulatori o studi molto grandi e strutturati.
E’ poi importante applicare i principi del GDPR nelle attività quotidiane. E’ un fatto recente, quello di un medico di base sanzionato perché aveva l’abitudine di preparare le impegnative e lasciarle “appese” in sala d’attesa, accessibili da chiunque, in attesa del ritiro da parte del paziente.
Bene, come vedete, è un po’ diverso dal semplice download di un documento dal web!
