Il GDPR introduce, tra le diverse novità, i principi di “privacy by default” e “privacy by design” con cui devono essere riprogettati i processi aziendali, cambiamento che riguarda nel profondo i sistemi informativi sanitari. Facile a dirsi ma decisamente complicato nel trasformare in realtà.
La normativa impone un censimento dei trattamenti dati che le aziende sanitarie svolgono, trattamenti che sono strumentali ai processi amministrativi, sanitari e clinici. Tali processi, salvo poche eccezioni, legate per lo più ad ambiti dove è richiesta una certificazione, ad esempio l’oncologia, non sono quasi mai documentati e formalizzati.
Nelle aziende sanitarie vi sono migliaia tipologie di processi che spesso, anche perché non formalizzati, variano all’interno delle stesse strutture – ad esempio a livello di reparto o tra diversi presidi ospedalieri della stessa azienda sanitaria. La prima grande difficoltà è dunque definire ed elencare i processi che trattano informazioni sensibili che sono la stragrande maggioranza.
I sistemi informativi che le aziende sanitarie possiedono sono stati progettati, salvo rare eccezioni, in epoca pre-privacy e poi adattati più che altro a livello tecnologico (crittografia, separazione dati anagrafici da quelli sensibili) e funzionale in termini di accessibilità in funzione del ruolo dell’utente.
I sistemi informativi sanitari trattano informazioni e gestiscono processi in modo implicito o esplicito. Un trattamento dati può essere trasversale a più sistemi informativi e, un sistema, può gestire più trattamenti dati. Il consenso che il paziente esprime è relativo al trattamento.
A meno di non accorpare singoli trattamenti in macro-trattamenti, il tradizionale approccio di implementazione del controllo accesso alle funzioni e ai dati dei sistemi informativi sanitari non è più sufficiente. Nella progettazione di un sistema devo tener conto, per rispettare il principio della privacy by design, dei trattamenti che il sistema gestisce e organizzare le form, le funzioni e l’accesso ai dati in modo coerente, così da avere la granularità che mi serve per garantire i diritti del paziente a livello di singolo trattamento, nonché i principi di pertinenza e non eccedenza.
In ambito clinico, ma non solo, ci sono sistemi che vengono adoperati in diversi ambiti e processi assistenziali. I sistemi oggi prevedono la profilazione degli utenti per ruolo, molto più di rado per ambito – processo. A livello ambulatoriale ci sono le visite, le consulenze, i follow-up, i colloqui estemporanei con i pazienti, la gestione delle cronicità che spesso richiedono l’uso di più sistemi informativi che, più che implementare in modo formalizzato l’intero processo, offrono agli utenti delle funzioni generiche per l’accesso o l’introduzione di dati.
Rispettare il principio della privacy by design implica quindi un cambio di paradigma nella progettazione dei sistemi informativi sanitari che devono essere fortemente orientati ai processi. Tutto ciò in un contesto operativo ed organizzativo in cui mancano la cultura e le risorse per modellare e formalizzare i processi sanitari. Il vero ostacolo all’affermazione di un approccio privacy by design non è quindi tecnico, ma sta a monte, nel modo stesso in cui sono organizzate ed operano oggi le aziende sanitarie.
Riuscirà il GDPR a indurre tale cambiamento nelle aziende sanitarie ?