La complessità del settore sanitario svizzero e le lacune nei servizi digitali di base: a colloquio con Adrian Lobsiger

Signor Lobsiger, quali sono i suoi compiti in qualità di IFPDT? 

In qualità di incaricato della protezione dei dati supervisiono con il mio team il trattamento dei dati personali da parte di imprese e organizzazioni private, nonché di autorità federali e di imprese parastatali quali FFS, Posta o Swisscom. Sia la Legge federale sulla protezione dei dati in vigore, sia la nuova prevedono che questi soggetti siano consultati per la pianificazione e l’attuazione di progetti digitali. Alla mattina mettiamo a disposizione dei cittadini una linea telefonica gratuita. In qualità di incaricato della trasparenza mi occupo anche di mediazioni, in conformità con la Legge federale sul principio della trasparenza. Se, ad esempio, tra l’Ufficio federale della sanità pubblica e una persona che richiede l’accesso a contratti con i produttori di vaccini vi è disaccordo sul loro rilascio, cerco di raggiungere un accordo tra le parti.

Lei è responsabile per gli organi federali, i privati e le imprese, ma non per le autorità comunali o cantonali. Quali istituzioni del settore sanitario sono di sua competenza?

 La delimitazione delle competenze non è banale, perché non la si può dedurre solo dalla forma organizzativa di un fornitore di prestazioni. Ad esempio, gli ospedali privati possono operare sia nell’ambito di un mandato di prestazioni di diritto pubblico di un Cantone, sia nell’ambito del diritto privato. Quando svolgono un mandato di prestazioni cantonale sono soggetti alla legge cantonale sulla protezione dei dati e alla supervisione dei miei colleghi cantonali. I medici di famiglia, gli studi medici, i terapeuti o le farmacie sono generalmente soggetti alla normativa sulla protezione dei dati e alla supervisione della Confederazione, quindi rientrano nella mia sfera di competenza.

Quali sono le caratteristiche specifiche del settore sanitario in materia di protezione dei dati?

Il nostro sistema sanitario è caratterizzato da una complessa interazione tra autorità federali, Cantoni e Comuni, assicuratori malattia e fornitori di prestazioni con interessi in parte opposti. In questo ambiente esigente e altamente regolamentato è necessario da un lato mantenere la disponibilità in formato digitale dei dati ottenuti, dall’altro rendere accessibile agli attori la massima quantità di dati non personali utilizzabili per fini economici e scientifici. Nel contempo, la protezione della personalità e dei dati richiede che l’accesso degli attori alle informazioni personali sia sempre limitato al minimo necessario per svolgere i loro compiti. Raggiungere questo obiettivo è una sfida.La Svizzera dispone inoltre di reti efficienti e stabili, mentre vi sono gravi lacune nei servizi digitali di base, come l’identità elettronica (eID) approvata dallo Stato. Il settore sanitario paga un prezzo particolarmente elevato per questa digitalizzazione asincrona. Basti pensare all’elaborazione dei dati da parte della Fondazione lemievaccinazioni.ch: la nostra indagine in questo ambito ha dimostrato quanto sarebbe utile se le qualifiche professionali del personale medico potessero essere comprovate e verificate in modo sicuro prima di accedere ai sistemi contenenti dati sanitari. Le fotocopie di certificati di dottorato e di altri diplomi facilmente falsificabili non sono una soluzione al passo coi tempi. Lo stesso vale per le copie di passaporti e carte d’identità, utilizzate ancora oggi nel settore sanitario per ottenere informazioni in materia di protezione dei dati. A volte queste ultime sono ancora fornite non crittografate e senza autenticazione a più fattori, attraverso canali non protetti.

« La Svizzera dispone di reti efficienti, mentre vi sono gravi lacune nei servizi digitali di base, come l’eID approvata dallo Stato. »

Il settore sanitario si confronta con il tema della CIP da molti anni. Quali sono le maggiori sfide da affrontare dal punto di vista tecnico nella protezione dei dati?

La citata complessità del nostro sistema sanitario e le lacune nei servizi digitali di base hanno fatto sì che l’introduzione della CIP non avanzi alla velocità prevista dal legislatore nel 2015. Questo ritardo ha indotto la politica a riflettere sulla necessità di risolvere il requisito del consenso del paziente con il consenso presunto. Ciò richiederebbe una revisione parziale della LCIP. Tuttavia, dal punto di vista della protezione dei dati, una tale situazione sarebbe problematica. L’autodeterminazione dei pazienti nell’ambito delle informazioni è infatti un diritto fondamentale tutelato dalla Costituzione. Se si dovesse procedere a una revisione parziale della LCIP o a modifiche di altre basi giuridiche, coglierò l’occasione per esprimermi in merito agli aspetti che riguardano la protezione dei dati nel quadro delle consultazioni degli uffici ed eventualmente anche delle audizioni delle commissioni incaricate dell’esame preliminare. 

Quindi, secondo lei, le basi della LCIP non dovrebbero essere cambiate?

Non voglio negare che si discuta giustamente su alcuni miglioramenti concettuali. Come semplice archivio di documenti PDF destinati a diventare presto obsoleti, la CIP porta solo vantaggi limitati, pertanto si sta pensando di dinamizzare e in parte centralizzare la conservazione dei dati. Questo è senz’altro sensato. 

« L’autodeterminazione dei pazienti nell’ambito delle informazioni è un diritto fondamentale tutelato dalla Costituzione. »

Quali sono le sfide che la CIP genera a livello tecnico?

Anche in questo caso rimangono alcuni nodi da sciogliere: non è banale garantire la disponibilità della CIP e la sua compatibilità con i sistemi primari decentrati dei fornitori di prestazioni garantendo la necessaria sicurezza tecnica dei dati. La citata digitalizzazione asincrona emerge già in caso di apertura di una cartella del paziente: di regola, oggi per aprirla è necessario presentare un documento d’identità fisico, perché per un processo completamente digitale manca, come detto, un’eID riconosciuta a livello nazionale. Per consentire comunque l’apertura online della cartella del paziente, nel rapporto dell’11 agosto 2021 sulla mozione Wehrli il Consiglio federale raccomanda alle comunità di riferimento di introdurre quanto prima l’identificazione tramite videoconferenza. È evidente che, anche in questo caso, si pongono questioni di diritto in materia di protezione dei dati che la mia autorità dovrà affrontare. 

Lei è anche responsabile della tutela dei diritti dei pazienti. Quali sono gli aspetti fondamentali della normativa in materia di protezione dei dati per questo gruppo di riferimento nell’ambito della CIP?

Il trattamento dei dati delle comunità di riferimento organizzate secondo il diritto privato è soggetto alla LPD e quindi alla supervisione dell’IFPDT. Lo stesso vale per tutti gli altri attori coinvolti nell’ambito della CIP, come i fornitori di infrastrutture, gli organismi di certificazione o i fornitori di prestazioni collegati, sempre che si tratti di privati. Secondo la legislazione vigente, in questo contesto l’IFPDT non può tuttavia trattare singole questioni, ma intervenire solo in presenza di cosiddetti errori di sistema. Pertanto, se ci troviamo in presenza di violazioni sistematiche dei diritti dei pazienti, agiamo secondo il diritto in materia di vigilanza.

« La fiducia svolge un ruolo chiave nell’attribuzione dei diritti di accesso alla CIP. »

Per i fornitori di prestazioni sarebbe vantaggioso ottenere nella CIP il maggior numero possibile di informazioni su un paziente. Tuttavia, i pazienti desiderano decidere personalmente a chi fornire determinate informazioni. Come risolvere questo conflitto di interessi?

Si vedrà come si svilupperanno le prassi. La diffusione della CIP è ancora limitata. Ma la fiducia svolge senza dubbio un ruolo chiave. Se un fornitore di prestazioni si prende il tempo per informare i pazienti, questi tenderanno a concedere più diritti di accesso di quanto farebbero se fossero seduti da soli in un corridoio davanti al modulo. Inoltre, la LCIP prevede la possibilità di un accesso di emergenza. I pazienti possono però escludere anche questa possibilità di accesso – o ampliarla. In ogni caso non credo che se ne farà un uso frequente.

La nuova Legge sulla protezione dei dati (nLPD) entrerà probabilmente in vigore nel 2022. Che cosa cambia per gli studi medici?

La nuova legge richiede che gli studi medici tengano un registro delle loro attività di trattamento. Suggerisco loro di cogliere l’occasione per esaminare i contratti con i fornitori di servizi, ad esempio dei servizi di fatturazione, e di verificarne la compatibilità con la nLPD. Ulteriori indicazioni sono disponibili nella homepage dell’IFPDT. 

E per gli ospedali?

Le istituzioni del settore sanitario, come gli ospedali, dovrebbero tenere in considerazione che la nLPD prevede l’approccio generale del trattamento dei dati personali basato sui rischi. Ciò significa che tali istituzioni devono effettuare valutazioni d’impatto sulla protezione dei dati in presenza di progetti di trasformazione digitali. In questo contesto abbiamo accolto con favore il fatto che molti ospedali dispongano di responsabili della protezione dei dati, fissi o su mandato, che si occupano di tali valutazioni in modo professionale. Questi ultimi sono interlocutori importanti per le autorità di protezione dei dati della Confederazione e dei Cantoni.

Nella seconda parte dell’intervista 

Adrian Lobsiger parla delle conseguenze delle violazioni della protezione dei dati e della conservazione dei dati dei pazienti nel cloud.

La HIN Academy sensibilizza

La HIN Academy di Health Info Net AG (HIN) sensibilizza gli attori del settore sanitario in merito alla protezione dei dati e ai rischi legati alla criminalità informatica. Il nuovo modulo sulla protezione dei dati è dedicato interamente al tema della protezione dei dati. Sono possibili corsi di formazione configurabili individualmente per le istituzioni, così come la partecipazione come singoli individui.

Conoscere la HIN Academy