Un paziente chiede di consultare l'intera cartella. Alla reception, Lucie F. si accorge che non saprebbe dire dove si trovino, esattamente, tutte queste informazioni: in parte nel software dello studio, in parte nelle e-mail, qualche scansione su una chiavetta USB. La dott.ssa Anne P., dal canto suo, si pone una domanda più semplice e più vertiginosa: abbiamo il diritto di lavorare così?
Protezione dei dati: cosa si aspetta davvero la nLPD
Dal 1° settembre 2023 la Svizzera applica la nLPD — la nuova legge federale sulla protezione dei dati. Non riguarda solo i grandi gruppi: qualsiasi organizzazione che detiene dati personali è interessata, compreso uno studio medico di quartiere. Agli occhi della legge, questo studio è un «titolare del trattamento»: colui che decide perché e come i dati personali vengono trattati. È lui a portarne la responsabilità, non il suo software né il suo fornitore informatico.
Due parole cambiano tutto nel caso di uno studio. Primo, «dati sensibili»: le informazioni sulla salute ne fanno parte, al pari delle opinioni religiose, dell'appartenenza sindacale o dei dati biometrici. La legge li protegge più severamente del vostro elenco fornitori. Secondo, sicurezza «adeguata»: la nLPD non pretende da nessuna parte una protezione perfetta né un caveau digitale degno di una grande banca. Chiede misure proporzionate al rischio — più i dati sono sensibili e numerosi, più il livello atteso sale. Per uno studio, quindi, l'asticella è posta un gradino più in alto che per un negozio di quartiere, ma resta ampiamente alla portata.
In parole povere, come direbbe Camille, la nostra consulente: la nLPD non vi chiede di essere perfetti, vi chiede di essere seri e di poterlo dimostrare. Per le azioni concrete, l'Ufficio federale della cibersicurezza (UFCS, ex NCSC) pubblica raccomandazioni pratiche pensate per le PMI — una buona bussola quando non si sa da dove cominciare.
Concretamente, «trattare i dati» non si limita a registrarli in un software. Significa anche consultarli, stamparli, inviarli, copiarli su una chiavetta, archiviarli o cancellarli. Ciascuno di questi gesti quotidiani rientra nel campo di applicazione della legge. Per questo la sicurezza «adeguata» non è solo una questione di firewall: passa anche da cose molto umane, come sapere chi ha aperto quale cartella. Una reception in cui tutti condividono un unico account non può rispondere a questa domanda — ed è esattamente il tipo di dettaglio che la legge osserva, perché determina la tracciabilità in caso di problema.
E il GDPR, il regolamento europeo di cui tutti parlano? Vi riguarda solo se trattate i dati di persone che si trovano nell'Unione europea — ad esempio pazienti frontalieri residenti in Francia. Per la grande maggioranza delle PMI svizzere è la nLPD ad avere la priorità, ed è da lì che occorre partire. Inutile annegare nel diritto europeo se la vostra clientela è svizzera.
Cosa ricordare
Bastano tre idee per inquadrare il tema.
La prima: la nLPD ragiona in termini di responsabilità, non di certificati. Nessuno verrà a rilasciarvi un timbro «conforme». Ci si aspetta che sappiate spiegare, se un paziente o un'autorità lo chiede, quali dati detenete e come li proteggete. È una postura da mantenere nel tempo, non un esame che si supera una volta per tutte.
La seconda: «adeguato» significa proporzionato. Non dovete cifrare e blindare tutto entro domattina. Dovete anzitutto sapere che cosa, da voi, meriterebbe più attenzione — e sono quasi sempre i dati sulla salute e gli accessi che vi conducono. Un account nominativo per persona, una durata di conservazione decisa anziché subita, un ex collaboratore il cui accesso è stato effettivamente revocato: sono misure modeste, ma sono esattamente ciò che «adeguato» significa per una struttura sanitaria.
La terza: in caso di fuga di dati, la legge prevede una notifica. Se una violazione della sicurezza dei dati rischia di comportare un rischio elevato per le persone interessate, il titolare del trattamento deve avvisare l'IFPDT — l'Incaricato federale della protezione dei dati e della trasparenza, l'autorità svizzera di vigilanza — al più presto. Non è il termine fisso di 72 ore del GDPR, ma lo spirito è identico: non si nasconde un incidente, lo si segnala.
Azioni da mettere in atto questa settimana
1. Mappate i vostri dati sensibili
Prendete un foglio — davvero — ed elencate ciò che detenete: cartelle dei pazienti, risultati delle analisi, fatture con l'assicurazione, dati del personale. Per ogni categoria, annotate dove è conservato, chi vi ha accesso e per quanto tempo lo mantenete. Questo elenco ha un nome nella legge: il registro delle attività di trattamento, ossia la semplice descrizione di ciò che fate dei dati. Le piccole imprese ne sono in linea di principio dispensate, ma non appena si trattano dati sensibili — il caso di uno studio — il registro torna a essere la norma. È anche, per inciso, ciò che vi permetterà di rispondere in dieci minuti a un paziente che chiede la sua cartella, invece di cercare ovunque come Lucie F.
2. Riservate un canale sicuro ai dati sulla salute
L'e-mail ordinaria è una cartolina: leggibile da più persone di quanto si creda e raramente ospitata in Svizzera. Inviare un risultato di analisi per questa via è il gesto più comune e più rischioso di uno studio. La maggior parte dei software di studio offre una messaggeria sicura o un portale del paziente: fatene il canale predefinito per tutto ciò che riguarda la salute. E stabilite una regola semplice per il team: nessun dato sensibile esce via e-mail standard o su una chiavetta USB non cifrata (una chiavetta il cui contenuto non è reso illeggibile senza password).
3. Preparate il riflesso «violazione»
Nessuno ha voglia di pensarci, ed è proprio per questo che va fatto a mente fredda. Redigete mezza pagina: cosa facciamo se un portatile sparisce, se una cartella parte verso il destinatario sbagliato, o se lo studio è colpito da un ransomware (un software che blocca i vostri file fino al pagamento di un riscatto)? Chi viene avvisato all'interno, chi decide e in quali casi contattiamo l'IFPDT? Avere queste risposte per iscritto prima dell'incidente vi fa guadagnare le ore che contano davvero il giorno in cui serve.
A che punto siete davvero?
La buona notizia è che nessuna di queste azioni richiede un grande budget né un informatico interno. La meno buona è che, da soli, è difficile sapere se si fa abbastanza — o se ci si sfianca su un dettaglio lasciando una porta spalancata.
È esattamente qui che serve un'autovalutazione strutturata rispetto alle esigenze della nLPD. Cyber Passport non certifica nulla e non rilascia alcun marchio: vi fa passare in rassegna, domanda dopo domanda, ciò che la legge attende e ciò che avete realmente messo in atto, poi vi mostra nero su bianco dove siete solidi e dove vi affidate ancora alla sola buona volontà. E per trasformare questa fotografia in un piano d'azione sulla protezione dei dati — dal registro ai diritti dei pazienti — il nostro blueprint dedicato illustra il percorso, passo dopo passo.
