| Garante per la protezione dei dati personali Trattamento dei dati personaliattraverso un sistema "Rfid" di monitoraggio a distanza di pazientiportatori di defibrillatori cardiaci impiantabili attivi. Veriifica preliminarerichiesta da Azienda Ospedaliera Spedali Civili di Brescia e Sorin CRM Sas PROVVEDIMENTO DEL 29 NOVEMBRE 2012 Registro dei provvedimenti n. 370 del 29 novembre 2012 IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI Nellariunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssaAugusta Iannini, vicepresidente, del dott.ssa Giovanna Bianchi Clerici, dellaprof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretariogenerale Vistoil Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196), di seguito Codice; Vistoil d.lg. 14 febbraio 1992 n. 507, recante attuazione della direttiva 90/385/CEEconcernente il ravvicinamento delle legislazioni degli Stati membri relative aidispositivi medici impiantabili attivi; Vistala nota con la quale l'Azienda Ospedaliera Spedali Civili di Brescia e SorinCRM Sas hanno richiesto la verifica preliminare del Garante, ai sensi dell'art.17 del Codice, in relazione al trattamento dei dati personali che intendonoeffettuare attraverso un sistema "Rfid" di monitoraggio a distanza dipazienti portatori di defibrillatori cardiaci impiantabili attivi (nota 29marzo 2011 integrata a più riprese e da ultimo in data 9 marzo 2012); Vistoil provvedimento generale del Vistala documentazione in atti; Vistele osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000; Relatorela dott.ssa Giovanna Bianchi Clerici; PREMESSA L'AziendaOspedaliera Spedali Civili di Brescia e la Sorin CRM Sas hanno richiesto laverifica preliminare del Garante, ai sensi dell'art. 17 del Codice, inrelazione al trattamento di dati che intendono effettuare attraverso un sistemaRfid di monitoraggio remoto che consente agli operatori sanitari di controllarea distanza i pazienti portatori di defibrillatori cardiaci impiantabili attivi. Conriferimento alle finalità che si intendono perseguire tramite il predettosistema chiamato "Remote Monitoring System" (di seguito RMS), è statorappresentato che il sistema è stato sviluppato dalla società Sorin CRM Sas,che produce e commercializza tecnologie mediche per la cardiochirurgia e per lacura di patologie cardiovascolari, per permettere agli operatori sanitari dieffettuare il controllo a distanza dei dati clinici registrati dal dispositivocardiaco impiantato nel paziente, per monitorare eventuali anomalie edeffettuare la defibrillazione, ove necessaria, senza bisogno che il paziente sisottoponga a visite ospedaliere. Alriguardo, è stato precisato che il sistema di monitoraggio remoto non èdestinato a funzionare come un sistema di risposta di emergenza in quanto ilsuo scopo principale è quello di elaborare e rendere accessibili agli operatorisanitari i dati memorizzati dal defibrillatore, ogni volta lo considerino necessario,senza bisogno che il paziente venga sottoposto a visita. Perquanto concerne le modalità di funzionamento del sistema è stato illustrato chei dati registrati dal dispositivo impiantato sono inviati in modalità wireless-tramite tecnologia Rfid- a un monitor installato a casa del paziente in dateed ad ore predeterminate dai medici preposti al controllo medicodell'interessato. I dati così ricevuti sono quindi trasferiti, attraverso lineatelefonica o GPRS, dal monitor ad un server centrale dove vengono memorizzatied elaborati per generare dei report (in formato PDF) consultabili eanalizzabili, attraverso un'interfaccia web, dai medesimi medici senza che ilpaziente debba recarsi presso la struttura sanitaria per la visita dicontrollo. Nellarappresentazione delle modalità di funzionamento del sistema è statoevidenziato che esso è composto dai seguenti elementi: unmonitor (HM) situato a casa del paziente e costituito da un box elettronico ilquale, tramite una connessione in radio frequenza, consente collegarsi aldispositivo impiantato e trasferire automaticamente i dati grezzi memorizzatidall'impianto cardiaco al server centrale utilizzando la rete telefonicapubblica fissa o mobile; ilback office (BO), costituito da un server centrale il quale, attraverso unapplicativo con un'interfaccia web resa disponibile dal sistema, consente aimedici di consultare ed esaminare i report contenenti i dati memorizzatidall'impianto cardiaco e di programmare "visite di controllo adistanza" ad intervalli prestabiliti, nonché di pianificare "visitedi controllo su richiesta" del paziente; ilback office analyzer (BA), costituito da diverse applicazioni software cheelaborano i dati grezzi ottenuti dall'impianto cardiaco generando i predettireport, consultabili attraverso l''interfaccia web, ovvero memorizzabili daimedici sui loro personal computer. Èstato precisato, altresì, che per il corretto funzionamento del sistema dimonitoraggio a distanza sono stati predisposti dei servizi di assistenzatecnica su tre livelli: il servizio di primo livello è volto a fornireassistenza per via telefonica ai pazienti e agli operatori sanitari cheutilizzano il sistema, il secondo e il terzo livello intervengono qualoral'assistenza di primo livello non sia in grado di risolvere telefonicamente iproblemi prospettati e si renda necessario un intervento sui sistemi, nonchéper assicurare la manutenzione della rete e della infrastruttura tecnica delsistema. OSSERVA LaRadio Frequency Identification (Rfid) è un sistema che usa ondeelettromagnetiche per l'identificazione automatica di cose o persone. Ilsistema si compone generalmente di un Tag (cioè di un'etichetta costituita dauna memoria elettronica leggibile e talvolta scrivibile, nonché da antenne) edi un lettore. I Tag Rfid possono contenere un codice identificativo o ancheulteriori informazioni. I lettori Rfid sono utilizzati per leggere leinformazioni contenute nei Tag. Molteplicisono le soluzioni e le applicazioni basate sulla tecnologia Rfid utilizzabilinel settore sanitario, si pensi ai sistemi ideati per gli ospedali cheimpiegano i tag Rfid per tracciare le sacche di sangue o gli strumentiutilizzati nelle sale operatorie oppure ai sistemi che sono in grado diricordare al paziente l'assunzione di farmaci o di pasti particolari, nonché diraccogliere dati clinici al fine di consentire il controllo a distanza dialcune funzioni vitali, ovvero la gestione di terapie e la somministrazione dimedicinali con maggiore precisione e sicurezza. Alcune di queste applicazioniperaltro combinano l'utilizzo della tecnologia Rfid con le tecniche di impiantodi microchip sottocutaneo su individui. Conspecifico riferimento all'utilizzo di sistemi Rfid destinati all'impiantosottocutaneo, nel provvedimento generale del 9 marzo 2005, il Garante haprecisato che l'inserimento di microprocessori sottopelle, per l'evidentedelicatezza delle implicazioni che ne derivano sui diritti delle persone, rendenecessaria la predisposizione di particolari cautele (Provv. cit. del Inconsiderazione dei potenziali rischi derivanti dall'utilizzo di questi sistemi,sia per la salute dei soggetti che si sottopongono all'impianto, sia per lasicurezza dei dati personali trattati, l'impiego di microchip sottocutaneo puòessere ammesso solo in casi eccezionali, per comprovate e giustificate esigenzea tutela della salute delle persone, in stretta aderenza al principio diproporzionalità (art. 11 del Codice) e nel rigoroso rispetto della dignitàdell'interessato (art. 2, comma 1 del Codice), fatte salve le altre previsionidella normativa sulla protezione dei dati e le prescrizioni del provvedimentosopra citato (v. Provv. cit. del 9 marzo 2005). L'AziendaOspedaliera Spedali Civili di Brescia e la Sorin CRM Sas hanno rappresentato aquesta Autorità di voler attivare un sistema Rfid di monitoraggio remoto perconsentire agli operatori sanitari di controllare a distanza i pazientiportatori di defibrillatori cardiaci impiantabili attivi. Essi hanno, inparticolare, richiesto la verifica preliminare di questa Autorità, ai sensidell'art. 17 del Codice, in relazione al trattamento di dati personali esensibili che intendono effettuare attraverso il predetto sistema. Inoltre,nel corso dell'istruttoria dell'istanza, è stata prodotta documentazionerelativa alle valutazioni di impatto sulla "privacy" dei pazientieffettuate dall'Azienda Ospedaliera e dalla Sorin CRM Sas, su richiestadell'Ufficio del Garante, in ordine all'impiego della tecnologia Rfid, conparticolare riferimento alla "descrizione della caratterizzazione dellaapplicazione Rfid", alla rappresentazione degli "obiettivi" edei "rischi per la vita privata" connessi all'utilizzo di dettaapplicazione, nonché all'elencazione "dei (relativi) controlli e dellemisure attenuanti". Inproposito, occorre dapprima precisare che il trattamento di dati personalioggetto dell'istanza proposta non rientra tra quelli da sottoporre allaverifica preliminare del Garante, non rinvenendosi -allo stato e sulla basedegli elementi forniti- una delle caratteristiche essenziali -di seguitoevidenziata- in presenza della quale occorre richiedere tale verificapreliminare ai sensi dell'art. 17 del Codice. Invia generale il Codice prevede infatti che debba essere effettuata una verificapreliminare del Garante, anche a seguito di un interpello del titolare, conriferimento al trattamento dei dati personali -diversi da quelli sensibili egiudiziari- che presenta rischi specifici per i diritti e le libertàfondamentali, nonché per la dignità dell'interessato, in relazione alla naturadei dati o alle modalità del trattamento o agli effetti che può determinare, alfine di consentire all'Autorità di prescrivere, ove necessario, ulteriorimisure ed accorgimenti a garanzia dell'interessato (art. 17). Percompletezza, si evidenzia, inoltre che, con specifico riferimento all'utilizzodi sistemi Rfid destinati all'impianto sottocutaneo, nel citato provvedimentogenerale del 9 marzo 2005, il Garante si è riservato di prescrivere ai titolaridel trattamento di sottoporre alla verifica preliminare dell'Autorità talisistemi i quali, in quanto tali, presentano rischi specifici per i diritti, lelibertà fondamentali e la dignità degli interessati. Intale quadro, con riferimento all'ipotesi generale di cui all'art. 17 delCodice, si rileva che il trattamento di dati personali che l'AziendaOspedaliera Spedali Civili di Brescia e la Sorin CRM Sas intendono effettuaretramite il sistema Rfid descritto in premessa non deve essere sottoposto allaverifica preliminare del Garante, in quanto il trattamento dei dati personalisensibili (segnatamente, le informazioni cliniche registrate dall'impiantocardiaco e trasmessi mediante la tecnologia Rfid nel sistema RMS) è effettuatodalla struttura sanitaria per monitorare a distanza il paziente"impiantato". Tali informazioni facendo riferimento, tra l'altro, aparametri programmati, misurazioni ed episodi relativi allo scompenso cardiacosofferto dal paziente e alle terapie erogate dal dispositivo, sono idonee arivelare lo stato di salute dell'interessato (si pensi, ad esempio, adeventuali aritmie cardiache). Comeprecisato dall'Autorità nel citato provvedimento generale del 9 marzo 2005, ovele informazioni memorizzate nell'etichetta siano "sensibili" (art. 4,comma 1, lett. d) del Codice), i relativi trattamenti devono essere effettuatinell'osservanza dei presupposti e dei limiti stabiliti dal Codice per itrattamenti in ambito sanitario (artt. 22 e 2; Parte II, Titolo V del Codice),nonché, ove prescritto, preventivamente autorizzati dal Garante (artt. 26 e76). Nonpuò tuttavia non rilevarsi che, come già sottolineato, i sistemi che utilizzanodispositivi Rfid destinati all'impianto sottocutaneo, sollevano, in quantotali, questioni estremamente delicate. Tali sistemi, infatti, ancor più ovecomportino il trattamento anche di dati sanitari, sono suscettibili di recaregravi pregiudizi agli interessati sia sotto il profilo della salute, sia sottoil profilo della sfera privata e della protezione dei dati dei soggetti che sisottopongono all'impianto, specie in relazione alla sicurezza e alladelicatezza delle informazioni trattate. Per tali ragioni, specifica e rigorosaattenzione deve essere prestata alla tutela dei diritti e delle libertàfondamentali, nonché della dignità dell'interessato, sia nella fase dellarealizzazione, che nella fase dell'utilizzo di tali sistemi. Ciòpremesso, ai sensi dell'art. 154, comma 1, lett. c) del Codice, il Garanteritiene opportuno prescrivere all'Azienda Ospedaliera Spedali Civili di Bresciae alla Sorin CRM Sas, le misure necessarie e opportune di seguito indicate, alfine di rendere il trattamento conforme alle disposizioni vigenti. 3. I dati trattati nel sistema RMS e i soggetticoinvolti nella gestione del sistema RMS Sullabase di quanto risulta dalla documentazione in atti, le tipologie di datitrattati attraverso il sistema RMS comprendono: € dati identificativi del paziente (nominativo, indirizzo, numerodi telefono, numero seriale del dispositivo, numero seriale del monitor) iquali sono registrati nel sistema, attraverso l'applicativo web, dai medicidell'Azienda Ospedaliera che hanno in cura il paziente cui è impiantato ildispositivo e sono modificabili soltanto da questi ultimi; € dati clinici registrati dal defibrillatore i quali sonotrasmessi al monitor tramite tecnologia Rfid e da questo al server del sistemaRMS mediante la linea telefonica, quindi elaborati sotto forma di report dalleapplicazioni rese disponibili dal sistema e consultabili in sola lettura daipredetti operatori sanitari sempre mediante l'interfaccia web; € dati di carattere tecnico relativi al funzionamento del sistema(es., stato della batteria del dispositivo, livelli di assorbimento di potenza)generati automaticamente dal Tag Rfid e dal monitor, i quali sono accessibilial fornitore e agli altri operatori cui sono affidati in outsourcing compiti dimanutenzione e di sicurezza del sistema. Comerisulta in atti, l'Azienda Ospedaliera stipulerà con la Sorin CRM Sas uncontratto per la fornitura del servizio RMS sulla base di un modello standardpredisposto dalla società per essere sottoposto alla stipula delle strutturesanitarie che decidessero di avvalersi della fornitura del medesimo servizio. Secondoil contratto standard, le attività poste in essere dalla società fornitrice delservizio consistono in: € € € € Inoltre,sulla base degli atti, la società fornitrice ha la facoltà di affidare asoggetti esterni "provvisti della necessaria competenza ed esperienzatecnica" (c.d. subappaltatori) alcune delle attività di manutenzione e disicurezza del sistema informandone preventivamente l'Azienda e impegnandosi agarantire i servizi forniti da questi ultimi i quali potranno avere accesso aidati del paziente soltanto per scopi operativi funzionali al servizio fornito. Nellospecifico, al fine di assicurare il servizio RMS la Sorin CRM Sas si avvaledella collaborazione dei predetti soggetti esterni per effettuare: € la trasmissione dei dati dall'abitazione del paziente al serverdel sistema RMS tramite la rete telefonica; € l'assistenza telefonica ai pazienti ed agli operatori sanitari; € il mantenimento e l'aggiornamento degli apparecchi di raccolta etrattamento dei dati dei pazienti; € la crittografia e le altre misure di protezione dei dati durantetale trasmissione (es. attraverso firewalls) e l'accesso ai dati raccolti; € il monitoraggio della performance e della qualità del servizio. Iltrattamento di dati personali effettuato attraverso il sistema RMS risultaperseguire finalità di prevenzione, diagnosi e cura dell'interessato in quanto èpreposto a monitorare eventuali aritmie cardiache del paziente e ad effettuarela defibrillazione ove necessaria. In conformità alle previsioni del Codiceesso può essere pertanto effettuato esclusivamente da parte di soggettioperanti in ambito sanitario e con il consenso dell'interessato, previa idonea informativasul trattamento dei dati, anche in assenza dell'autorizzazione del Garante(artt. 13 e 76 del Codice). Allaluce del principio di finalità, il trattamento di tali informazioni è pertantoconsentito soltanto nei limiti del rapporto di cura che lega la strutturasanitaria al paziente. Questa relazione di fiducia esclude tutti i terzi, ancheeventuali altri operatori sanitari, in relazione ai quali il paziente non abbiaespressamente acconsentito alla comunicazione dei suoi dati (v. infra par. 8). Sullabase delle dichiarazioni in atti, l'Azienda Ospedaliera provvederà altresì anotificare preventivamente a questa Autorità il trattamento effettuato tramiteil sistema RMS, in quanto esso rientra tra quelli soggetti all'obbligo dinotificazione. E' regola generale, infatti, che i trattamenti di dati idonei arivelare lo stato di salute trattati a fini di prestazione di servizi sanitariper via telematica relativi a banche di dati devono essere notificatipreventivamente al Garante (art. 37, comma 1, lett. b) del Codice). Inoltre iltrattamento in esame non rientra nelle ipotesi esonerate all'obbligo dinotificazione individuate dall'Autorità con Provv. del 31 marzo 2004. Alriguardo si osserva che la mancata o incompleta notificazione ai sensi degliartt. 37 e 38 del Codice è punita con la sanzione amministrativa previstadall'art. 163. Inrelazione ai ruoli svolti dai soggetti coinvolti nel trattamento dei dati,secondo quanto dichiarato in atti, il sistema RMS verrà utilizzato dall'AziendaOspedaliera Spedali Civili di Brescia quale "titolare del trattamento"e la Sorin CRM Sas opererà in qualità di "responsabile". È statoevidenziato, inoltre, che la società fornitrice intende proporre l'utilizzo delsistema di monitoraggio remoto anche ad altre strutture ed operatori sanitariitaliani i quali opereranno come "titolari del trattamento", mentrela società assumerà il ruolo di "responsabile". Dall'esamedegli elementi in atti riguardanti i compiti svolti dai predetti soggetti,emerge che la Sorin CRM Sas non effettua alcuna attività di raccolta diretta deidati dei pazienti e che essa non ha accesso ai locali dell'Azienda Ospedaliera(non potendo quindi interloquire con le persone), ma è richiesta di trattare idati personali necessari a fini di manutenzione e di sicurezza del sistema perconto della struttura sanitaria. Sono invece gli operatori sanitaridell'Azienda Ospedaliera a raccogliere i dati identificativi dei pazientiimpiantati direttamente da questi ultimi e a crearne il relativo"profilo" nel sistema inserendo tali dati attraverso l'applicazioneweb. Lecondizioni del servizio e le relative modalità di trattamento dei dati sonotuttavia predeterminate dal fornitore essendo fissate nel contratto standardelaborato da questi per essere sottoposto alla stipula delle strutturesanitarie. Ciononostante, tale elemento non basta in se per concludere che lasocietà fornitrice del servizio RMS possa essere considerata titolare deltrattamento dei dati, nella misura in cui l'Azienda Ospedaliera accettiliberamente le clausole contrattuali e ha, di conseguenza, piena responsabilitàal riguardo (1). Inoltre, dagli elementiin atti, risulta che la società fornitrice non può utilizzare i dati deipazienti per fini diversi dall'adempimento degli obblighi assunti con ilcontratto nei confronti dell'Azienda Ospedaliera; quest'ultima, infatti, inqualità di "titolare del trattamento", può essa soltanto determinareinsieme alle relative modalità (art. 28). Risultain atti, poi, che la Sorin CRM Sas non è autorizzata a mettere a disposizione idati trattati a soggetti diversi dalla struttura sanitaria presso la quale è incura l'interessato. Essa gestisce, invece, le credenziali di autenticazione e iprofili di autorizzazione con riferimento ai soggetti abilitati all'accesso alsistema RMS. Infine,qualora i pazienti non si avvalgano più, per qualsiasi ragione, del servizioRMS collegato con il dispositivo impiantato (decesso, cambio dellastrumentazione, cessazione degli effetti del contratto con il fornitore),l'Azienda Ospedaliera è tenuta a rimuovere in modo permanente dal sistema idati corrispondenti ai menzionati pazienti e ad informarne il fornitore, unavolta completata tale operazione, cosicché questi possa definitivamentecancellare i menzionati dati dai propri server e da ogni backup. Intale quadro, pertanto, ai sensi degli artt. 4, comma 1, lett. f) e 28 delCodice, l'Azienda Ospedaliera si configura come "titolare deltrattamento" dei dati personali dei pazienti trattati attraverso ilsistema di monitoraggio a distanza. Inoltre, come è già stato rilevato, ai finidella liceità del trattamento, è necessario che i pazienti acconsentanoesplicitamente, e previa idonea informativa, al trattamento dei loro datieffettuato dall'Azienda Ospedaliera attraverso l'utilizzo del servizio RMS(art. 76 del Codice). LaSorin CRM Sas si configura invece come "responsabile del trattamento"dei dati finalizzato alla fornitura del servizio di monitoraggio a distanza(artt. 4 comma 1, lett. g) e 29 del Codice). In tale qualità, la societàfornitrice risulta essere stata formalmente designata dall'Azienda Ospedaliera,ai sensi dell'art. 29 del Codice, impegnandosi ad agire solo sulla base delleistruzioni fornite dalla struttura sanitaria e a trattare i dati personali soloentro i limiti e per gli scopi espressamente autorizzati dalla strutturasanitaria. Comedetto, la Sorin CRM Sas ha dichiarato di avvalersi di diversi operatori esterni(c.d. subappaltatori), provvisti della necessaria competenza ed esperienzatecnica, ai quali intende delegare alcune delle attività di manutenzione e disicurezza del sistema informandone preventivamente l'Azienda al fine diconsentirle di designare tali soggetti quali "responsabili deltrattamento" dei dati personali. Secondo quanto dichiarato, tali operatoriesterni, i cui servizi la società si impegna a garantire, in particolare per ciòche concerne "la loro conformità ai loro impegni relativi alle performanceed alla qualità del servizio", possono avere accesso ai dati del pazientesoltanto per scopi operativi funzionali al servizio fornito. Inproposito, occorre richiamare le disposizioni del Codice in base alle qualitali soggetti, una volta designati "responsabili del trattamento", inconformità all'art. 29, devono attenersi alle istruzioni impartite dall'AziendaOspedaliera, la quale è tenuta a vigilare sulla puntuale osservanza delleistruzioni impartite. Pertanto,avuto riguardo alla delicatezza del trattamento dei dati effettuato mediante unimpianto sottocutaneo di microchip, al fine di assicurare che gli obblighi e leresponsabilità derivanti dalla disciplina sulla protezione dei dati sianochiaramente attribuiti ai diversi soggetti che intervengono nel trattamento,occorre che la società fornitrice si impegni ad informare l'Azienda Ospedalierache intende avvalersi di terzi per l'esecuzione di alcune delle attivitàeffettuate per conto dell'Azienda e a sottoporre tale circostanza al previoaccordo di quest'ultima; a seguito dell'accordo dell'Azienda, la societàfornitrice poi deve stipulare con i suoi "subappaltatori" un accordoscritto che imponga a questi ultimi il rispetto degli stessi obblighi cui lasocietà stessa è vincolata in virtù della designazione a "responsabile deltrattamento" effettuata dall'Azienda Ospedaliera; la società fornitriceinfine deve inviare all'Azienda copia dei contratti conclusi con i proprisubappaltatori, impegnandosi, a sua volta, a tenere un elenco aggiornato ditali contratti.(2) Inparticolare, al fine di consentire all'Azienda Ospedaliera di esercitare uneffettivo controllo sui dati personali trattati per suo conto dai predetti"responsabili del trattamento", in caso di esternalizzazione a terzidi alcune delle attività di manutenzione e sicurezza del sistema RMS, ènecessario che l'Azienda sia a conoscenza delle principali modalità diesecuzione dei servizi resi da tali operatori esterni, quali le specifichefunzioni cui sono addetti e le tipologie di dati cui hanno accesso, nonché leprocedure adottate per garantire la sicurezza dei dati trattati. Ilmodello di informativa e di consenso prodotto in atti risulta essere statopredisposto da Sorin CRM Sas ed allegato al contratto standard elaborato dallasocietà. Ilmodello di informativa esaminato precisa gli estremi indentificativi dellasocietà che fornisce il servizio RMS alla struttura sanitaria. Tuttavia essonon contiene una espressa indicazione circa il ruolo di"responsabile" svolto nel trattamento dei dati dalla Sorin CRM Sas, nédagli altri soggetti subappaltatori di cui la società si avvale per il fornireil servizio RMS. Nel descrivere le categorie di soggetti che possono avereaccesso ai dati dei pazienti, l'informativa si limita poi a menzionare"ogni altro subappaltatore per garantire il corretto funzionamento delservizio" senza indicarne gli estremi identificativi, evidenziandocomunque che "una lista completa dei soggetti (che possono avere accessoai dati dei pazienti) sarà a Š disposizione (del paziente) presso la strutturasanitaria", senza però precisare le modalità attraverso le quali gliinteressati possono conoscere in modo agevole tale elenco aggiornatocontenente i dati identificativi dei "responsabili del trattamento"(cfr. art. 13 del Codice). Tenutoconto che secondo quanto risulta in atti, l'identità dei soggetti che possonoavere accesso ai dati dei pazienti in qualità di "responsabili deltrattamento" è suscettibile di mutare nel tempo, poiché come detto, ilfornitore può affidare a terzi alcune attività necessarie per l'adempimento delcontratto con l'Azienda Ospedaliera (soggetti, che saranno ritualmentedesignati dall'Azienda stessa "responsabili" ai sensi dell'art. 29del Codice), è necessario che l'informativa fornisca agli interessati preciseindicazioni circa le modalità attraverso le quali essi possono conoscere inmodo agevole l'elenco aggiornato di tali soggetti. Ciò, a prescindere dallacircostanza che nel modello di informativa sia prevista l'indicazione di unmedico designato dalla struttura sanitaria quale responsabile per il riscontroall'interessato in caso di esercizio del diritto di accesso e degli altridiritti previsti dal Codice (artt. 9 e 13, comma 1, lett. f) del Codice) Ènecessario altresì modificare l'indicazione relativa al tempo di attesa("fino a due (2) mesi") per la richiesta di accesso relativa ai daticlinici dell'interessato risalenti a più di cinque anni; ciò al fine di renderetale indicazione conforme al disposto del Codice che prevede un termine massimodi trenta giorni dal ricevimento della richiesta quando le operazioninecessarie per l'integrale riscontro all'interessato sono di particolarecomplessità (art. 146, comma 3). Chiara evidenza deve infine essere datanel modello di informativa anche alle modalità a disposizione del paziente perinterrompere il trasferimento al Sistema RMS dei dati registrati daldefibrillatore, nonché per disattivare il funzionamento del sistema di Rfidconnesso al suo impianto. Inrelazione alle categorie di soggetti cui i dati personali dei pazienti possonoessere comunicati da parte della struttura sanitaria, si rileva che nelcontratto standard predisposto dalla società, per essere sottoposto allastipula delle strutture sanitarie che si avvalgono della fornitura del servizioRMS e nel modello di informativa allegato viene precisato che, oltre ai medici"responsabili per le Š cure mediche relative all'impianto",possono, tra gli altri, avere accesso a questi dati "qualsiasi altroprofessionista del settore sanitario coinvolto nel garantire la continuitàdelle cure o nel determinare la miglior linea d'azione possibile", a menoche non sia indicato altrimenti dal paziente. Alriguardo va osservato che in presenza di un trattamento di dati personali, ilnecessario consenso deve avere i requisiti previsti dal Codice (art. 23). Inparticolare, esso deve essere specifico ed espresso, non rilevando a tal fineil semplice comportamento concludente dell'interessato (art. 23, commi 1 e 3).Pertanto, la soluzione del silenzio-assenso (opt-out) per l'eventualeconsultazione dei dati sanitari dell'interessato da parte di medici nonappartenenti alla struttura sanitaria presso la quale è in cura l'interessato,quali autonomi titolari del trattamento, non soddisfa i requisiti delladisciplina sulla protezione dei dati (artt. 23 e 76, comma 1, lett. a) delCodice; v. anche art. art. 8 par. 2, lettera a) dir. 95/46/CE), ancorché sitratti di medici coinvolti nella cura dell'interessato (es. il medico dimedicina generale, il cardiologo specialista). Ènecessario, quindi, che l'eventuale messa a disposizione di dati clinicidell'interessato, registrati dal servizio RMS, a favore di altri operatorisanitari che abbiano in cura l'interessato, quali titolari autonomi deltrattamento, sia reso possibile soltanto a condizione che l'interessato stessovi abbia acconsentito espressamente e specificamente (ad esempio, sulla basedell'autorizzazione fornita di volta in volta dall'interessato attraverso la consegnadi una smart card mediante la quale sia reso possibile a singoli operatorisanitari, quali autonomi titolari, accedere al servizio RMS). Ilcontratto standard relativo al servizio RMS predisposto da Sorin CRM Sas e ilmodello di informativa e di consenso ad esso allegato vanno pertanto modificatiin conformità a quanto sopra indicato. Inottemperanza alle prescrizioni e alle garanzie individuate dall'Autorità nelcitato provvedimento del 9 marzo 2005 sulle etichette intelligenti, i sistemidi Rfid devono essere configurati in modo tale da evitare l'utilizzo di datipersonali oppure, a seconda dei casi, l'identificabilità degli interessati,quando non siano strettamente necessarie in relazione alla finalità perseguita(art. 3 del Codice). Conspecifico riferimento al sistema in esame, il trattamento di dati personali,anche sensibili, effettuato attraverso il sistema RMS, poiché persegueesclusivamente finalità di prevenzione, diagnosi e cura dell'interessato, deveessere posto in essere in modo da limitare l'accesso dei diversi soggettiautorizzati alle sole informazioni indispensabili in funzione dei relativiruoli e delle esigenze di accesso e trattamento (art. 3, 11 e 22 del Codice).In particolare, l'accesso ai dati sanitari dell'interessato deve esserelimitato ai soli operatori sanitari dell'Azienda Ospedaliera che hanno in curail paziente e allo stesso interessato. La Sorin CRM Sas, invece, potrà trattareesclusivamente dati di carattere tecnico necessari ai fini della manutenzione edella sicurezza del sistema. Infine, gli operatori esterni responsabilidell'assistenza tecnica in favore dei medici e/o dei pazienti potranno avereaccesso ai dati identificativi dei pazienti ai soli fini di evadere lerichieste di assistenza tecnica avanzate dagli utenti. Alriguardo, dall'esame degli elementi in atti, non risultano tuttavia poste inessere adeguate misure tecnico-organizzative volte ad garantire che la societàfornitrice del servizio e gli operatori esterni di cui questo si avvale nonpossano aver accesso ai dati clinici degli interessati. Peraltro, non puòescludersi che tale eventualità possa verificarsi anche per finalitàoperativo-gestionali quali la manutenzione e l'esercizio dei dispositivi pressol'abitazione del paziente o dei data-base memorizzati sul server centralizzato,specie in considerazione della circostanza che le chiavi di cifratura volte aproteggere i dati dei pazienti memorizzati nel server centralizzato sonogenerate e custodite dal fornitore e/o dagli operatori esterni che collaboranocon quest'ultimo per la prestazione del servizio. Inoltre, come è stato giàevidenziato, i c.d. subappaltatori del fornitore cui è affidata la gestione delservizio di assistenza tecnica devono poter accedere ai dati identificativi deipazienti, ivi incluso il numero seriale del defibrillatore e del monitorsituato a casa del paziente, nonché ad altre informazioni di carattere tecnicorelative al funzionamento del sistema necessarie di assicurare ai medici e aglistessi pazienti il predetto supporto. Inapplicazione dei principi di necessità, proporzionalità e indispensabilità neltrattamento dei dati (art. 3, 11 e 22 del Codice), si ritiene pertanto di doverprescrivere l'adozione dei seguenti accorgimenti tecnico-organizzativi: € € € Infine,per evitare che i dati ai quali i soggetti autorizzati hanno accesso possanoessere utilizzati al di fuori del contesto clinico e/o operativo per usi nonconsentiti o non conformi alle finalità della raccolta, si individua comemisura necessaria l'adozione di procedure informatiche volte a evitare la copiamassiva (download) di dati dal server centrale predisponendo opportuni alert inpresenza di anomalie. In tal quadro si ravvisa altresì la necessità di adottaremeccanismi di controllo degli accessi che impediscano il verificarsi di accessimultipli ai dati personali dei pazienti riferibili alla medesima utenza. Dall'esamedegli atti risulta che il paziente stesso può avere accesso ai dati registratidal defibrillatore impiantatogli attraverso il monitor situato nella suaabitazione. In proposito va rilevato che l'accesso dell'interessato deve essereconsentito nel rispetto delle cautele previste dall'art. 84 del Codice secondocui gli esercenti le professioni sanitarie e gli organismi sanitari possonocomunicare all'interessato informazioni inerenti al suo stato di salute per iltramite di un medico -individuato dallo stesso interessato o dal titolare- o diun esercente le professioni sanitarie, che nello svolgimento dei propri compitiintrattiene rapporti diretti con il paziente.(5) Secondoquanto risulta dagli elementi in atti, con l'autorizzazione del medico ilpaziente può avviare o interrompere il trasferimento dei dati registratidall'impianto tramite un bottone di cui è dotato il monitor collocato nellapropria abitazione ogni volta che lo ritenga necessario (ad esempio, in caso dimalore) in modo da inviarli direttamente ai medici della struttura sanitariapresso la quale è in cura. Alriguardo, occorre rilevare che all'interessato deve essere riconosciuta lapossibilità di ottenere in modo agevole la disattivazione del sistema RMS e,quindi, del funzionamento dall'etichetta Rfid contenuta nel dispositivoimpiantato (v. Provv. 9 marzo 2005, cit.) Infine,al fine di consentire all'interessato il controllo dei propri dati personalitrattati da remoto mediante il dispositivo che gli è stato impiantato, occorreprevedere idonei accorgimenti per tenere traccia degli utenti abilitati chehanno avuto accesso al servizio RMS (ivi incluse ora e data dell'accesso), delcontenuto dei dati consultati e delle altre operazioni eventualmenteeffettuate. Tali informazioni devono essere fornite al paziente su suarichiesta. Secondoquanto dichiarato in atti e indicato nel modello di informativa predisposto, idati dei pazienti trattati dal fornitore e/o dai suoi subappaltatori sarannoconservati in archivi situati all'interno del territorio dell'Unione europea. Semprein base a quanto dichiarato, i dati clinici di ciascun paziente sono conservatinel sistema RMS per un periodo di tempo non superiore a quello necessario agarantire l'adempimento degli obblighi di cura nei confronti del paziente e ilcorretto funzionamento del servizio di monitoraggio a distanza ad essocollegato (art. 11, comma 1, lett. e) del Codice). Tale periodo viene definitoper ogni paziente dalla struttura sanitaria nell'ambito del limite massimoindicato dal fornitore. A tal fine la struttura sanitaria verificherà, anchemediante controlli periodici, che i dati conservati siano strettamentepertinenti, non eccedenti e indispensabili in relazione alle finalità di curaperseguite . Comerisulta in atti e in conformità a quanto previsto dall'articolo 16 del Codice,in tutti i casi in cui i pazienti non utilizzino più il servizio RMS collegatocon il dispositivo, il fornitore è tenuto a cancellare i dati che li riguardanodal server e da ogni altro archivio in suo possesso, nonché dal sistema dibackup, salvo che il mantenimento dei dati per un periodo ulteriore sianecessario per l'esercizio di un diritto in un procedimento giudiziario o perottemperare a specifici obblighi di legge. Nessundato è conservato, invece, nel monitor fornito al paziente per trasmettere idati ricevuti dal defibrillatore, in quanto, in base alle dichiarazioni inatti, esso funziona come mero apparecchio trasmittente. Sullabase delle dichiarazioni in atti, è previsto che i dati clinici dei pazientisiano cancellati entro cinque anni dalla loro raccolta, salvo che questi nonsiano indispensabili per l'esercizio di un diritto in sede giudiziaria o perottemperare ad uno specifico obbligo di legge. Perciò che concerne il profilo della sicurezza dei dati trattati, dagli elementiin atti risulta che sono state adottate misure organizzative e predispostispecifici accorgimenti tecnici al fine di ridurre i rischi connessi al trattamentodei dati dei pazienti nell'ambito del sistema RMS. Si fa riferimento inparticolare a: € € € € € € € € € Conspecifico riferimento al sistema di autenticazione e di autorizzazione adottatonei confronti degli operatori sanitari dell'Azienda Ospedaliera è statorappresentato che il fornitore, per ogni struttura sanitaria, configura nelsistema RMS un'utenza dotata del profilo di autorizzazione di amministratorelocale ("clinic account manager") che consente, in capo a un'unicafigura a ciò preposta dalla struttura sanitaria, di gestire le richieste diabilitazione e autorizzazione dei medici e degli altri operatori sanitari dellastruttura con la possibilità di creare e gestire direttamente le utenze perl'accesso al sistema RMS. Al riguardo, va rilevato che per quantoconcerne le credenziali di autenticazione è necessario che la componenteriservata della credenziale (password) degli utenti del sistema RMS, operatorisanitari e non, sia composta da almeno otto caratteri in linea con quantoprevisto dalla regola n. 5 del Disciplinare tecnico di cui all'Allegato B) alCodice. Insecondo luogo, al fine di incrementare il livello di sicurezza delle misureposte in essere per ridurre i rischi di accesso non autorizzato o ditrattamento non consentito o non conforme alle finalità della raccolta, inconsiderazione della delicatezza dei dati resi consultabili agli operatorisanitari presso l'Azienda Ospedaliera per il monitoraggio clinico dei pazientiimpiantati e dei connessi rischi per la loro salute, è necessario che presso lastruttura sanitaria il "clinic account manager", il quale è il soggettopiù idoneo a controllare l'attività quotidiana degli utenti abilitati adaccedere al sistema, sia dotato di strumenti di gestione delle utenze cheprevedano la possibilità di effettuare anche monitoraggi statistici degliaccessi con l'attivazione di sistemi di alert utili all'individuazione dianomalie sia con riferimento al funzionamento del sistema, sia con riferimentoall'accesso ai dati da parte delle utenze abilitate. Interzo luogo, per consentire a ciascun operatore sanitario di controllare l'utilizzodel proprio account, è poi necessario che sia possibile visualizzare, nellaprima schermata successiva al collegamento al sistema RMS tramitel'applicazione web, le informazioni relative all'ultima sessione effettuata conle stesse credenziali (almeno con l'indicazione di data, ora e indirizzo direte da cui è stata effettuata la precedente connessione). Per accrescere laconsapevolezza del controllo, le stesse informazioni vanno riportate ancherelativamente alla sessione corrente. Infine,il personale autorizzato presso la struttura sanitaria ad accedere al sistemaRMS e, in generale, il personale a vario titolo coinvolto nella manutenzione enella sicurezza del servizio deve essere adeguatamente edotto in ordine allefunzionalità delle applicazioni rese disponibili dal sistema e alle correttemodalità di utilizzo, in relazione agli aspetti concernenti il trattamento deidati personali. TUTTO CIO' PREMESSO IL GARANTE aisensi dell'art. 154, comma 1, lett. c) del Codice, prescrive all'Azienda OspedalieraSpedali Civili di Brescia e alla Sorin CRM Sas, in relazione al trattamento deidati personali che intendono effettuare attraverso un sistema "Rfid"denominato "Remote Monitoring System", per il monitoraggio a distanzadi pazienti portatori di defibrillatori cardiaci impiantabili attivi, le misurenecessarie e opportune indicate nei punti 6, 7, 8, 9, 10 e 12 delpresente provvedimento, al fine di rendere il predetto trattamento conformealle disposizioni vigenti in materia di protezione dei dati personali. Disponeche il presente provvedimento sia pubblicato sul sito dell'Autoritàwww.garanteprivacy.it avuto riguardo alla rilevanza generale delle indicazioniin esso contenute che possono ritenersi utili per i titolari di analoghitrattamenti di dati personali effettuati in ambito sanitario. Roma, 29 novembre 2012
NOTE 1)Cfr. Gruppo Art. 29, 2)V. le garanzie previste nella Decisione della Commissione europea n. 2010/87/UEdel 5 febbraio 2010 (specie clausole n. 5 e n. 11),con riferimento alle diverseipotesi di trasferimenti di dati personali posti in essere da un responsabiledel trattamento (soggetto importatore), stabilito in un paese terzo che nonassicura un livello di protezione adeguato, ad un altro responsabile deltrattamento, stabilito in un paese terzo che non assicura un livello diprotezione adeguato (c.d. subincaricato), sulla base di un apposito accordo(c.d. "subcontratto") stipulato tra i predetti soggetti. V. anchel'Autorizzazione del Garante del |