Dati sanitari nei moduli: che cosa richiede davvero « dato sensibile »

La maggior parte delle organizzazioni che detengono dati sanitari non aveva alcuna intenzione di farlo. Un modulo di iscrizione a un convegno chiede le esigenze alimentari e riceve « celiachia, e prendo immunosoppressori ». Un modulo per la gita scolastica chiede i farmaci. Una società sportiva fa confermare ai soci di essere idonei alla gara. Un modulo di inserimento HR chiede un contatto di emergenza e « eventuali situazioni che dovremmo conoscere ». Nessuno di questi è uno studio medico, e ognuno tratta ormai dati sulla salute, con tutte le conseguenze del caso.

Questo articolo riguarda il caso non clinico: datori di lavoro, scuole, organizzatori di eventi, associazioni, assicuratori, studi e tutti gli altri che si ritrovano con informazioni mediche perché un campo sembrava innocuo. Se siete uno studio medico, contano di più il caso d'uso sanità e il segreto professionale; se conducete uno studio, partite da la protezione dei dati nella ricerca clinica.

Che cosa conta davvero come dato sanitario

Più ampio di quanto si pensi. Un dato sanitario non è solo una diagnosi: è qualsiasi informazione da cui si possa dedurre lo stato di salute fisica o psichica di una persona — passato, presente o futuro. È questo test deduttivo che coglie il modulo ordinario, perché la maggior parte di quei campi non nomina mai una patologia.

Che cosa fa scattare davvero l'etichetta

« Degno di particolare protezione » non significa vietato, e non implica un avvocato per ogni campo sulle allergie. Significa che cambiano cinque cose precise.

1. Il consenso, dove vi basate su di esso, deve essere esplicito. L'art. 6 cpv. 7 lett. a nLPD richiede un consenso espresso per il trattamento di dati degni di particolare protezione quando il consenso è la giustificazione. Una casella già spuntata, un'accettazione cumulativa o una nota a piè di pagina « inviando questo modulo acconsentite » non bastano. E il consenso non è sempre la base giusta: per un datore di lavoro l'esecuzione del contratto e l'obbligo di legge fanno di norma più lavoro, e il consenso del personale è comunque debole.
2. Una valutazione d'impatto diventa probabile. L'art. 22 nLPD la richiede quando il trattamento comporta un rischio elevato, e il trattamento su larga scala di dati degni di particolare protezione ne è il caso da manuale. Un club di 40 soci non ci arriva; un'indagine sul benessere fra 2000 dipendenti sì.
3. La comunicazione a terzi richiede una giustificazione propria, anche verso colleghi che non ne hanno bisogno. « L'intero comitato è nella casella condivisa » è una decisione di comunicazione, che qualcuno l'abbia presa consapevolmente o no.
4. La sicurezza deve essere proporzionata al rischio (art. 8) — e il rischio ora è per definizione più alto. Controllo degli accessi, crittografia ed elenco corto di lettori non sono più accessori.
5. Il registro dei trattamenti pesa di più. Le piccole imprese possono esserne esentate dall'ordinanza — ma l'esenzione cade in caso di trattamento su larga scala di dati degni di particolare protezione o di profilazione a rischio elevato, come esposto nella checklist di conformità nLPD.

Nel GDPR l'equivalente è l'art. 9, che parte da un divieto e poi elenca eccezioni — consenso esplicito, diritto del lavoro e della sicurezza sociale, interessi vitali e altre. Con rispondenti nell'UE fate entrambe le analisi: l'esito pratico spesso si somiglia, la stesura no.

Le regole che si sovrappongono a seconda di chi siete

Datori di lavoro

L'art. 328b CO consente al datore di lavoro di trattare dati sul lavoratore solo nella misura in cui riguardano l'idoneità al posto di lavoro o sono necessari all'esecuzione del contratto. L'IFPDT afferma esplicitamente che non vi si può derogare a svantaggio del lavoratore nemmeno con il suo consenso — il che elimina la scorciatoia più comune. In pratica: potete di norma registrare che una persona è assente e inabile al lavoro; di norma non potete esigere la diagnosi. I questionari sanitari all'assunzione devono restare entro ciò che la mansione richiede davvero.

Scuole e organizzazioni che lavorano con minori

Due cose si sommano: il dato è sensibile e la persona è un minore. Secondo il diritto civile svizzero i diritti strettamente personali sono esercitati dal minore capace di discernimento, il che significa che gli allievi più grandi hanno voce in capitolo sui propri dati, mentre per i più piccoli decidono di norma i genitori. Le regole cantonali sulla protezione dei dati nelle scuole aggiungono un ulteriore livello, e differiscono. Gli elenchi di allergie e farmaci per un campo sono legittimi e necessari; lo stesso elenco che gira in una chat di genitori non lo è. Il nostro caso d'uso istituti scolastici entra nel dettaglio del flusso.

Professioni regolamentate e loro ausiliari

Dove si applica il segreto professionale dell'art. 321 CP — medici, dentisti, farmacisti, psicologi e i loro ausiliari — è diritto penale che si sovrappone al diritto della protezione dei dati, e raggiunge chiunque possa accedere ai dati nell'ambito dell'attività del professionista. Ciò include un fornitore di software il cui personale può leggere gli invii. È la ragione singola più forte perché uno studio scelga uno strumento in cui il fornitore non possa leggere nulla.

Organizzatori, associazioni e studi

Non si applica alcuna legge speciale — ed è proprio per questo che questo gruppo tratta il maggior numero di dati sanitari con la minor struttura. Una maratona con dichiarazione di idoneità, un campo estivo con elenchi di farmaci, uno studio di tatuaggi con screening delle infezioni trasmissibili per via ematica: tutto trattamento nLPD ordinario di dati degni di particolare protezione, di solito su un foglio di calcolo, di solito conservato per sempre. Vedi il caso d'uso iscrizione a eventi per la versione che funziona.

Progettare il modulo perché chieda di meno

Dove è archiviato e chi può leggerlo

Una volta accettato che il modulo contiene dati degni di particolare protezione, la domanda sul fornitore cambia forma. Ciò che conta non è più « è cifrato » — quasi tutto è cifrato in transito e a riposo — ma « chi può leggere ». Su uno strumento di massa la risposta onesta comprende il personale del fornitore con accesso alla produzione e i suoi subincaricati, perché è il fornitore a detenere le chiavi. Per un sondaggio sul pranzo è irrilevante. Per un elenco di farmaci di bambini è tutta la questione.

Per questa categoria vale la pena pretendere due proprietà: la crittografia end-to-end, così che il fornitore non rientri affatto fra chi potrebbe leggere un invio, e una catena di hosting e subincaricati che sappiate descrivere in una frase. Il ragionamento sulla prima è in crittografia a riposo e end-to-end; la seconda è sviluppata in moduli con server in Svizzera. I caricamenti meritano attenzione a sé, perché un certificato o una fotografia portano molto più di ciò che avevate chiesto — vedi caricamenti di file sicuri.

Le tre domande che vengono poste davvero

« Posso chiedere informazioni sulla salute in un sondaggio? »

Sì, a due condizioni facili da enunciare e spesso dimenticate. Deve essere necessario a una finalità che sapete nominare, e se il sondaggio vuole essere anonimo le risposte sanitarie unite a qualsiasi suddivisione demografica re-identificano le persone più in fretta di quanto vi aspettiate in una popolazione piccola. Le domande su stress, esaurimento, burnout e sonno sono dati sanitari — per questo un'indagine sul benessere è un trattamento di dati degni di particolare protezione, non una rilevazione di clima. L'aritmetica delle soglie è in sondaggi anonimi ai dipendenti.

« Come gestisco le informazioni sanitarie una volta che le ho? »

Accorciate l'elenco dei lettori, accorciate la conservazione e smettete di fare copie. In ordine decrescente di impatto reale: spegnete le notifiche che contengono le risposte, tenetele fuori dalle unità condivise e dalle caselle collettive, assegnate l'accesso per ruolo invece che per fiducia, cancellate secondo un calendario dichiarato e assicuratevi che alle esportazioni si applichi la stessa regola dell'originale. La crittografia conta, ma per la maggior parte delle organizzazioni è il quinto punto di questo elenco.

« È sicuro raccogliere richieste di appuntamento con un modulo web? »

Sì, e di solito è più sicuro delle alternative a cui si ripiega — un'e-mail non cifrata, la trascrizione di una segreteria, un foglietto alla reception. Le condizioni sono che il modulo chieda il minimo necessario, che il contenuto non venga riversato in una casella di posta e che il fornitore non possa leggere se siete vincolati dal segreto professionale. Una richiesta che dice « martedì mattina, paziente già in cura, numero per il richiamo » è un messaggio di pianificazione; una che dice « martedì mattina, dolore toracico da venerdì » è una cartella clinica, e la differenza la fa come formulate il campo.

In conclusione

I dati sanitari non arrivano con l'etichetta. Arrivano da un campo alimentare, da una casella di accessibilità, da un certificato caricato e da una domanda aperta ben intenzionata — e una volta nel vostro sistema alle regole non interessa che siate un club, una scuola o un organizzatore di congressi invece di una clinica. Consenso esplicito dove il consenso è la base, valutazione d'impatto dove la scala è reale, sicurezza proporzionata, elenco corto di lettori e data di cancellazione.

La buona notizia è che il controllo più forte è anche il più economico e non richiede alcuna tecnologia: chiedete l'accorgimento invece della patologia. I dati che non avete mai raccolto non possono uscire, essere richiesti da un'autorità, essere condivisi per errore né essere dimenticati in un foglio di calcolo fra tre anni.