Guida · Cliniche
Il consenso alla cura non è il consenso ai dati
Una firma su un modulo di consenso all'atto medico non equivale al consenso al trattamento dei dati personali, anche se molti studi raccolgono entrambi su un unico foglio. Il GDPR tratta i dati sanitari come categoria particolare, con regole proprie. Questa guida separa chiaramente i due consensi e mostra quando ciascuno è davvero la base giuridica corretta.
- Il GDPR tratta i dati sanitari come categoria particolare, articolo 9
- La cura in sé non richiede di norma un consenso separato al trattamento
- Per finalità diverse dalla cura serve un consenso distinto ed esplicito
Perché il GDPR tratta i dati sanitari in modo diverso dagli altri dati personali?
L'articolo 9, paragrafo 1, del GDPR parte da un divieto generale di trattare categorie particolari di dati, tra cui i dati relativi alla salute, proprio perché queste informazioni comportano un rischio più alto se usate in modo scorretto o divulgate: possono incidere sul lavoro, sulle assicurazioni, sulle relazioni personali di una persona in modi che un indirizzo o un numero di telefono non possono. Il trattamento è consentito solo quando ricorre una delle condizioni specifiche elencate all'articolo 9, paragrafo 2. Per uno studio medico, le due condizioni più rilevanti nella pratica quotidiana sono l'eccezione per la cura diretta e il consenso esplicito, e capire su quale delle due ci si sta basando è proprio il punto di questa guida.
Cosa copre esattamente il consenso all'atto medico?
Il consenso all'atto medico è un concetto clinico, e in molti ordinamenti anche un istituto giuridico distinto: il paziente accetta uno specifico intervento, esame o percorso di cura, dopo essere stato informato su cosa comporta, sui rischi e sulle alternative disponibili. Risponde alla domanda possiamo curarla in questo modo, non alla domanda possiamo usare i suoi dati in questo modo. Un paziente può validamente acconsentire a una procedura senza avere alcuna idea chiara di cosa succeda poi ai dati raccolti durante quella procedura, ed è esattamente questo lo spazio che il consenso al trattamento dei dati è pensato per colmare.
Cosa copre esattamente il consenso al trattamento dei dati, e in cosa differisce?
Il consenso al trattamento, quando è effettivamente la base giuridica scelta, riguarda come lo studio gestisce i dati personali e sanitari del paziente: cosa viene registrato, chi può vederlo, per quanto tempo viene conservato, ed eventuali trasferimenti verso altri sistemi o soggetti terzi. Risponde a una domanda sui dati, non a una domanda clinica. Per l'attività principale di fornire assistenza sanitaria, come spiegato più avanti, il GDPR non richiede questo consenso come base giuridica: la domanda sul consenso diventa centrale soprattutto per tutto ciò che lo studio vuole fare con i dati al di là della cura diretta.
Quando può uno studio medico trattare dati sanitari senza chiedere consenso?
L'articolo 9, paragrafo 2, lettera h), del GDPR consente il trattamento dei dati sanitari senza il consenso del paziente quando è necessario per la fornitura di assistenza sanitaria o cura, o per la gestione dei sistemi e servizi sanitari, a condizione che il trattamento avvenga da parte di, o sotto la responsabilità di, un soggetto vincolato al segreto professionale, come previsto dall'articolo 9, paragrafo 3. In termini semplici, registrare, conservare e usare le informazioni mediche necessarie per curare effettivamente il paziente non richiede una casella di consenso separata come base giuridica. Restano comunque gli altri obblighi GDPR su questi dati, sicurezza, conservazione e informativa al paziente, ma non il consenso in sé.
Cosa succede se lo studio vuole usare i dati per altri scopi (ricerca, promozione)?
Qualsiasi uso che vada oltre l'eccezione per la cura diretta, impiegare i dati del paziente per la ricerca, includerlo in comunicazioni promozionali, o condividerli con terzi per uno scopo estraneo alla sua cura, richiede una propria base giuridica autonoma, e nella maggior parte di questi casi il consenso esplicito dell'articolo 9, paragrafo 2, lettera a), è la condizione rilevante. Questo consenso deve essere specifico per quello scopo: un paziente che accetta la cura, o anche una generica informativa sul trattamento dei dati raccolta all'ingresso, non ha per questo accettato di comparire in uno studio di caso o di ricevere email promozionali. Ogni uso ulteriore richiede un proprio consenso chiaro e separatamente registrato.
Come raccoglie uno studio entrambi i consensi in modo chiaro, in un'unica accettazione
Lo schema che funziona meglio prevede due passaggi distinti in fase di accettazione: un consenso all'atto medico, formulato in termini clinici e specifico per la procedura o la cura proposta, e una informativa o consenso al trattamento dei dati separato, formulato attorno a cosa succede alle informazioni del paziente, con eventuali usi facoltativi, ricerca o promozione, come casella propria e non preselezionata, invece che inclusi in un unico consenso generico. Conservare una registrazione con data e ora di ciascuno separatamente permette allo studio di dimostrare esattamente cosa il paziente ha accettato, e quando, se la questione viene sollevata in seguito.
In Braigest
Due consensi separati e tracciati nello stesso modulo di accettazione
Un modulo di accettazione Braigest può presentare il consenso alla cura e il consenso al trattamento dei dati come due passaggi distinti, ciascuno con la propria registrazione temporale. Disponibile dal piano Solo a 29 €/mese.
Domande frequenti
Serve il consenso del paziente per conservare la sua cartella clinica?
Per il trattamento necessario a fornire la cura stessa, l'articolo 9, paragrafo 2, lettera h), del GDPR lo consente senza consenso come base giuridica, purché avvenga sotto vincolo di segreto professionale. Restano comunque gli altri obblighi GDPR, come sicurezza e conservazione.
Una sola firma può coprire sia la cura sia il trattamento dei dati?
Può accadere, ma non è consigliabile. Unire tutto in un unico consenso generico rende poco chiaro cosa il paziente abbia davvero accettato per ciascuno scopo, il che diventa un problema se la questione viene messa in discussione. Meglio tenerli separati e chiaramente formulati.
Il consenso raccolto all'ingresso copre anche future comunicazioni promozionali?
No. La promozione è un uso estraneo alla cura diretta e richiede un proprio consenso esplicito e specifico, distinto da quanto accettato al momento della cura.
Cosa succede se un paziente rifiuta il consenso al trattamento dati ma vuole essere curato?
Poiché la cura si basa sull'articolo 9, paragrafo 2, lettera h), e non sul consenso, lo studio può generalmente continuare a fornire assistenza usando questa base giuridica, anche se il paziente rifiuta usi facoltativi dei suoi dati basati sul consenso.
Scopra di più sulla piattaforma
Vuole vederlo sui Suoi documenti?
In una chiamata di 30 minuti trasformiamo il modulo che usa oggi in un flusso che i Suoi clienti completano dal telefono.