Protezione di base IT: guadagnare fiducia grazie a dati sicuri dei pazienti

I medici sono uno dei gruppi professionali che godono di maggiore fiducia da parte della popolazione.

Gli psicologi dell’Università di Basilea sono riusciti a dimostrare addirittura che questa fiducia influisce positivamente sulla soddisfazione, sul comportamento in materia di salute, sulla qualità della vita e sui disturbi percepiti soggettivamente dalle pazienti e dai pazienti. Nel processo di digitalizzazione, i dati dei pazienti non sono più conservati direttamente nel cassetto del medico di fiducia ma, in formato digitale, nel sistema dello studio medico. Tuttavia, i dati medici personali, altamente sensibili sono un obiettivo lucrativo per i criminali informatici e richiedono, pertanto, particolare protezione.

Vi illustreremo le misure organizzative principali per proteggere adeguatamente questi dati e guadagnare la fiducia dei vostri pazienti nei vostri confronti e nel vostro studio medico anche nell’era digitale.

Con la nuova Legge sulla protezione dei dati, dal 1° settembre 2023 sono entrati in vigore nuovi obblighi di legge che richiedono alcuni adeguamenti o ampliamenti rispetto alle precedenti linee guida e procedure di trattamento dei dati personali. La Direzione – ovvero la titolare o il titolare dello studio medico – rimane il principale Responsabile della sicurezza dei dati, della protezione dei dati e delle tecnologie di informazione e comunicazione (ICT) disponibili. Tuttavia è consigliabile definire chiaramente due ruoli nell’organizzazione dello studio medico, soprattutto alla luce dei nuovi e più severi requisiti di sicurezza: il ruolo del Responsabile della protezione e della sicurezza dei dati (R-PSD) e il ruolo del Responsabile dell’esercizio ICT.

Per evitare conflitti di interesse, la posizione del Responsabile della protezione dei dati non dovrebbe idealmente essere ricoperta dal Responsabile IT o HR poiché, in questo doppio ruolo, dovrebbe verificare essa stessa le proprie decisioni. Questa definizione delle responsabilità fa sì che la protezione e la sicurezza dei dati vengano affrontate dallo studio medico come argomento interno ma anche che sia disponibile un referente per le sfide e i relativi quesiti. Un rispettivo accordo scritto riguardante questa attività viene stipulato con il prescelto Responsabile della protezione dei dati.

Le ragioni per proteggere i dati possono essere diverse. I dati personali vanno, ad esempio, trattati con riservatezza sulla base di requisiti legali. Lo scopo della classificazione dei dati è quello di definire e categorizzare la necessità di protezione dei dati esistenti. Le varie categorie determinano quanto e come determinate informazioni debbano essere protette e gestite. Questo aspetto deve essere preso in considerazione anche nell’archiviazione dei dati.

Nel caso di informazioni SEGRETE e RISERVATE si deve garantire che venga adottato un metodo di smaltimento che renda impossibile, in modo permanente, il relativo recupero. Le presenti informazioni si applicano per analogia anche ai dispositivi che devono essere riparati. Se possibile, i dati devono essere cancellati prima della riparazione. In caso contrario è necessario rimuovere il disco rigido o addirittura distruggere l’intero dispositivo. Per motivi di sicurezza si consiglia di non vendere apparecchiature informatiche non più necessarie e contenenti dati sensibili. 

L’elenco d’inventario IT costituisce la base dell’organizzazione dello studio medico in termini informatici. Questo perché solo i sistemi conosciuti dallo studio medico possono essere protetti. L’elenco d’inventario IT serve come panoramica di tutti i dispositivi: dai computer e supporti di dati ai dispositivi medici e di laboratorio nonché sistemi operativi e diritti di accesso. La definizione delle procedure è altrettanto importante. Responsabilità non assegnate o assenze per ferie o malattia possono comportare rapidamente un quadro incompleto o non aggiornato del panorama informatico.