Segreto professionale e crittografia delle e-mail

La situazione di rischio generale legata all’utilizzo delle e-mail è ormai ampiamente nota. La consapevolezza di tali rischi fa già parte delle competenze specialistiche di base delle professioniste e dei professionisti della salute[1] che trattano dati personali e, in particolare, dati personali degni di particolare protezione[2] e che trasmettono tali informazioni via e-mail a terzi (pazienti, altri professionisti della salute, ospedali, farmacie, autorità ecc.) tramite posta elettronica (servizio e-mail).

La posta elettronica non crittografata è correlata a rischi significativi, poiché non garantisce alcun tipo di riservatezza. Le informazioni del mittente e del destinatario, così come il contenuto del messaggio, vengono trasferite attraverso la rete come testo in chiaro. In questo processo, le e-mail vengono inviate da un server all’altro e possono essere salvate in più copie. Su ognuno di questi server, il messaggio può essere letto da un amministratore o un hacker. Un rischio noto è anche la minaccia di intercettazione del traffico di posta elettronica da parte di terzi non autorizzati (spionaggio, criminalità informatica ecc.). Gli organismi statali stessi monitorano, nel rispetto di rigide limitazioni, anche il traffico di e-mail per finalità di perseguimento penale.

Una gestione inadeguata dei messaggi e-mail contenenti dati personali, dati personali degni di particolare protezione o addirittura informazioni aziendali e dati riservati del datore di lavoro (di seguito denominati collettivamente «dati riservati») può causare

• la divulgazione di segreti aziendali e commerciali, come ad esempio progetti, idee, opere intellettuali, dati di produzione ecc. Se questo avviene, le conseguenze finanziarie e il danno d’immagine per l’azienda sarebbero tali da minacciarne l’esistenza stessa e la sopravvivenza;
• la violazione degli obblighi di segretezza e dei diritti della personalità che, a sua volta, può portare
  • a livello di diritto privato a conseguenze in materia di diritto del lavoro nonché a richieste di risarcimento danni e pagamenti di riparazione morale,
  • sul piano del diritto penale a multe o pene detentive e
  • sul piano della responsabilità professionale a pesanti misure disciplinari 
  • a misure supplementari relative al diritto della vigilanza.

Rientra nella responsabilità giuridica della Direzione e del Consiglio di amministrazione (Consiglio di fondazione o Consiglio ospedaliero) di un’azienda (ospedale, studio medico, farmacia ecc.) conoscere i requisiti relativi alla sicurezza informatica e definire le necessarie misure tecniche e organizzative nonché verificarne periodicamente l’attuazione. Questi organismi aziendali sono responsabili di organizzare e controllare la sicurezza delle informazioni.

L’obbligo di diligenza sancito nel diritto del lavoro (disciplinato nell’art. 321a par. 1-2 del Codice delle obbligazioni svizzero, CO) obbliga le collaboratrici e i collaboratori a eseguire il lavoro a essi assegnato in modo coscienzioso, a salvaguardare gli interessi dei datori di lavoro nonché ad adoperare secondo le regole e a preservare le macchine, i materiali e i dispositivi di lavoro. Le collaboratrici e i collaboratori sono quindi tenuti, anche in assenza di istruzioni da parte dei datori di lavoro riguardo alle comunicazioni contenenti dati di pazienti ad essi affidati, a eseguire con diligenza il lavoro loro assegnato e salvaguardare con fedeltà gli interessi legittimi dei datori di lavoro. A questo scopo è senza dubbio importante anche l’attenzione nell’utilizzo delle e-mail.

Dobbiamo quindi tenere conto della catena di tutte le parti coinvolte nel trattamento dei dati personali e dei dati personali degni di particolare protezione. Ogni persona è e rimane responsabile del proprio ambito di attività e, di conseguenza, anche dell’utilizzo, dell’impiego e dell’inoltro delle e-mail.

Nello svolgimento del proprio lavoro quotidiano (e quindi anche nell’utilizzo di e-mail), nessuno di noi vuole chiedersi, ogni volta, se le proprie azioni violino i diritti delle persone interessate. Pertanto, l’approccio giusto è di tipo pragmatico. Nello specifico si basa sull’uso generalizzato della tecnologia di crittografia come impostazione predefinita per tutti gli utenti di posta elettronica. In questo modo, la collaboratrice o il collaboratore non deve più decidere, caso per caso, se utilizzare o meno la crittografia.

Questo avviene attraverso servizi facili da utilizzare, come quelli offerti da HIN. HIN esegue la crittografia delle e-mail indirizzate sia ai membri HIN sia a persone che non sono membri HIN (pazienti, partner sul territorio nazionale e all’estero), in modo tale che non possano essere visualizzate né modificate da terzi. Grazie alle e-mail crittografate, i membri HIN garantiscono la protezione dei dati e il segreto professionale, come pure tutti gli obblighi di segretezza. L’utilizzo di HIN Mail in qualità di professioniste e professionisti della salute richiede un’adesione a HIN. Le vostre pazienti, i vostri pazienti o la vostra clientela possono tuttavia beneficiare direttamente del servizio di crittografia senza obbligo di adesione a HIN e senza alcun onere aggiuntivo (finanziario o tecnico).

L’invio di e-mail non crittografate contenenti dati personali o dati riservati può rappresentare una violazione dell’obbligo di trattamento confidenziale delle informazioni personali o delle informazioni soggette a segreto commerciale. Quest’obbligo deriva dagli accordi contrattuali (ad es. contratto di assunzione) e dalle prescrizioni di legge (ad es. normativa in materia di protezione dei dati).

a) Accordi contrattuali

Nel caso di relazioni d’affari fondate su un particolare rapporto di fiducia (come nel caso di professionisti della salute, farmacisti, avvocati, fiduciari ecc.), l’obbligo di segretezza deve essere rispettato tacitamente, ovvero senza alcun accordo scritto o verbale. Ai sensi dell’art. 398 CO, la consulente o il consulente che opera nell’ambito di un mandato ha una serie di obblighi di fedeltà nei confronti del mandante (paziente o cliente). Tra questi figurano in particolare gli obblighi di discrezione e segretezza. Nell’ambito del mandato, l’inosservanza negligente della riservatezza rappresenta già di per sé una violazione contrattuale. La violazione di obblighi di segretezza contrattuali ha diverse conseguenze giuridiche a seconda della formulazione del contratto. Le principali comprendono obblighi di risarcimento danni, il pagamento di penali e la risoluzione del rapporto contrattuale.

b) Obblighi di legge

La tutela della sfera privata e della riservatezza è disciplinata dall’art. 13 della Costituzione federale. Esso stabilisce che ognuno ha diritto al rispetto della sua vita privata e familiare, della sua abitazione, della sua corrispondenza epistolare nonché delle sue relazioni via posta e telecomunicazioni, nonché il diritto d’essere protetto da un impiego abusivo dei suoi dati personali.

Questo diritto di protezione viene concretizzato in diverse norme a livello legislativo.

• Secondo l’art. 28 e ss. del CC, chi è illecitamente leso nella sua personalità può, a sua tutela, chiedere l’intervento del giudice contro chiunque partecipi all’offesa. Le e-mail personali non crittografate non garantiscono la protezione della personalità sancita a livello costituzionale.
• Inoltre, l’obbligo di fedeltà nell’ambito del mandato e del rapporto di lavoro definito nel Codice delle obbligazioni (CO) può comportare l’obbligo al segreto.
• Nel caso di soggetti tenuti al segreto professionale, quali medici, altre professioniste e altri professionisti della salute operanti in qualsiasi ambito, avvocati, farmacisti ecc., il rapporto di fiducia riveste un ruolo fondamentale nella relazione d’affari. Per questo motivo, tali soggetti sono obbligati per legge alla segretezza, pena la comminazione di sanzioni penali.
  • Il Codice penale svizzero (CP) contiene una nutrita serie di disposizioni relative alla riservatezza che promuovono misure volte a garantire la riservatezza delle informazioni:
    • il segreto d’ufficio (art. 320 CP),
    • il già menzionato segreto professionale (art. 321 e art. 321bis CP),
    • il segreto di fabbrica e il segreto commerciale (art. 162 e art. 273 CP) nonché
    • l’obbligo di protezione dei segreti politici e militari (art. 267, art. 272 e art. 274 CP).
  • Nella nuova Legge federale sulla protezione dei dati – in vigore dal 1° settembre 2023 – così come in quelle cantonali, la violazione dell’obbligo del segreto (art. 62 LPD) è oggetto di una regolamentazione specifica e di sanzioni aggiuntive. Gli articoli 61 e seguenti della LPD (legge federale) prevedon in caso di violazione intenzionale degli obblighi di diligenza nonché in caso di violazione intenzionale dell’obbligo del segreto multe elevate, fino a CHF 250 000. A tal proposito, va tenuto presente che è sufficiente un dolo eventuale[1]. Ad oggi coloro che, in ambito medico, accettano che i dati personali o i dati personali degni di particolare protezione trattati personalmente o dai propri dipendenti vengano trasmessi a terzi senza crittografia tramite servizi di posta elettronica, agiscono con dolo eventuale.
  • Inoltre si applicano disposizioni speciali in materia di sicurezza informatica e riservatezza, in particolare negli studi medici, negli ospedali o nelle farmacie. Le disposizioni relative a tali aspetti sono contenute nella normativa sulla protezione dei dati.
    • Art. 8 cpv. 1 e 2 LPD: il titolare e il responsabile del trattamento garantiscono, mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio, al fine di evitare violazioni della sicurezza dei dati. Ciò riguarda direttamente i requisiti di sicurezza informatica nel settore sanitario.
    • Art. 30 cpv. 2 LPD: qui viene stabilito che vi è lesione della personalità in particolare se sono trattati dati personali in violazione dei principi di sicurezza dei dati o se sono comunicati a terzi dati personali degni di particolare protezione (come dati sanitari).
    • Art. 2 cpv. 1 OPDa: l’ordinanza concretizza gli obiettivi dei provvedimenti tecnici e organizzativi. Questi devono garantire che i dati, conformemente alla loro necessità di protezione, vengano trattati in modo da assicurarne la confidenzialità (siano accessibili solo alle persone autorizzate), la disponibilità, l’integrità (non siano modificati indebitamente) e la tracciabilità.
    • Art. 3 cpv. 1 OPDa: questa disposizione precisa i provvedimenti volti a garantire la confidenzialità. Vengono prescritti controlli specifici: il controllo dell’accesso ai dati (solo i dati necessari per le persone autorizzate), il controllo dell’accesso ai locali e agli impianti e il controllo degli utenti (prevenzione dell’uso non autorizzato dei sistemi informatici).
    • Legge sanitaria: ai sensi dell’art. 16 cpv. 1, le persone operanti nel settore sanitario e il relativo personale ausiliario sono tenuti a mantenere il segreto su ciò di cui vengono a conoscenza nell’ambito della loro attività (segreto professionale). L’art. 16 cpv. 2 disciplina le eccezioni (ad es. il consenso del paziente), mentre l’art. 17 definisce specifici obblighi e diritti di segnalazione (ad es. in caso di grave pericolo per la popolazione) che possono comportare la violazione del segreto professionale.[2]
    • Legge sulla tutela e la promozione della salute: l’art. 47 impone alle professioniste e ai professionisti della salute e al personale delle istituzioni operanti in campo sanitario l’obbligo di mantenere il segreto professionale in merito ai fatti loro affidati nell’ambito del loro ruolo professionale. L’art. 47 cpv. 2 e 3 disciplina le eccezioni all’obbligo del segreto professionale, compresa la presunzione di consenso per la comunicazione di informazioni mediche necessarie alle professioniste e ai professionisti della salute coinvolti.[3]
    • Legge sull’informazione del pubblico, sulla protezione dei dati e sulla gestione degli archivi: le disposizioni prevedono, all’art. 17, che i dati personali debbano essere protetti mediante opportune misure tecniche e organizzative la cui adeguatezza è determinata in base allo stato dell’arte e al rischio di lesione della personalità. L’art. 14 cpv. 2 limita il trattamento dei dati personali degni di particolare protezione a casi aventi basi giuridiche, all’adempimento di compiti chiaramente circoscritti o al consenso esplicito. L’art. 19 richiede inoltre l’applicazione del principio di minimizzazione dei dati nonché il ricorso all’anonimizzazione e alla pseudonimizzazione.[4]
    • Ordinanza relativa alla legge sull’informazione del pubblico, sulla protezione dei dati e sulla gestione degli archivi: l’art. 4 specifica i provvedimenti tecnici in caso di trattamento elettronico, tra cui il controllo degli accessi ai locali e agli impianti, il controllo dei supporti di dati, il controllo del trasporto, il controllo della comunicazione, il controllo della memorizzazione, il controllo degli utenti, il controllo degli accessi ai dati nonché il controllo dell’immissione dei dati e il ripristino degli stessi. L’art. 7 definisce i dati personali degni di particolare protezione (compresi i dati sanitari e genetici) mentre l’art. 6c definisce le violazioni della sicurezza dei dati come violazioni che comportano un accesso non autorizzato.[5]
• Misure amministrative cantonali delle autorità sanitarie, quali la revoca temporanea o permanente dell’autorizzazione di esercizio (si veda a tal proposito il caso di Ginevra riportato in Gerichte A/2899/2015 / ATA 967/2016 – Cantone di Ginevra)

I requisiti giuridici a cui sono soggetti le professioniste e i professionisti della salute derivano dall’interazione tra le norme generali in materia di protezione dei dati, gli obblighi di segretezza previsti dal diritto professionale e specifiche disposizioni tecniche.

Se la persona opera in qualità di professionista della salute ai sensi dell’art. 2 cpv. 1 LCIP: si applica un obbligo cumulativo derivante dalla Legge sulla protezione dei dati (LPD), dal segreto professionale (a livello cantonale/federale) e – ove applicabili – da leggi sanitarie cantonali specifiche.

Se il trattamento dei dati avviene per via elettronica: è obbligatorio implementare misure tecniche e organizzative (MTO) che vadano oltre i generali obblighi di diligenza e comprendano controlli specifici (accesso ai dati, accesso ai locali e agli impianti, controllo degli utenti).

I messaggi e-mail non crittografati non soddisfano i requisiti di riservatezza. L’invio di e-mail non crittografate non è compatibile con il rapporto di fiducia e gli obblighi di segretezza che il soggetto tenuto al segreto professionale deve di volta in volta assicurare. L’invio di e-mail non crittografate contenenti informazioni personali può inoltre violare i diritti della personalità delle persone e delle imprese interessate. La legge richiede l’adozione di misure tecniche e organizzative adeguate a garantire la sicurezza dei dati.

Grazie ai processi di crittografia oggi disponibili, i partecipanti alla comunicazione possono crittografare le loro comunicazioni in modo semplice e affidabile, impedendo la visualizzazione del contenuto delle e-mail durante il trasferimento al destinatario.

La crittografia dei messaggi e-mail sensibili garantisce la riservatezza e l’integrità delle informazioni trasmesse. Per le persone tenute al segreto professionale, così come per tutti coloro che inviano e-mail contenenti informazioni sensibili, è indispensabile l’utilizzo di soluzioni di crittografia adeguate. In caso contrario, essi si espongono al rischio di richieste di risarcimento danni, multe, pene detentive, sanzioni disciplinari e perdita di reputazione.

Per le professioniste e i professionisti della salute, l’invio di messaggi conformi alla legge è molto semplice: anziché dover provvedere autonomamente a garantire la conformità, il servizio HIN Mail offre una soluzione integrata per tutti i requisiti.