PDF in sanità: cartelle cliniche e privacy del paziente

Un paziente invia via email a un ambulatorio un PDF scansionato di una vecchia lettera di dimissione. La persona alla reception deve unirla ad altri due referti prima che il medico li veda. Così apre il primo strumento PDF gratuito che salta fuori, trascina dentro tre file pieni di diagnosi, elenchi di farmaci e un numero di tessera sanitaria, e clicca su unisci.

Niente sembra sbagliato. Il file unito si scarica, il medico lo legge, la giornata va avanti. Ma quei tre documenti hanno appena lasciato l’ambulatorio e sono atterrati sul server di uno sconosciuto, e non erano documenti ordinari.

Questo non è un parere legale o medico. Non sono il tuo responsabile della protezione dei dati e ogni ambulatorio ha le proprie regole da seguire. Ma i dati sanitari stanno in una scatola separata e più severa sotto il GDPR, e questo cambia il modo in cui dovresti trattare ogni PDF che li contiene.

Perché i dati sanitari sono trattati diversamente

La maggior parte dei dati personali sotto il GDPR è già protetta. I dati sanitari ricevono uno strato in più. Il regolamento li chiama categoria particolare, e stanno accanto a cose come convinzioni religiose, orientamento sessuale e dati biometrici. La regola di base per i dati di categoria particolare è che il loro trattamento è vietato a meno che non si soddisfi una delle poche condizioni specifiche, come il consenso esplicito del paziente o l’erogazione di cure da parte di un professionista sanitario.

Quella parola “trattamento” è ampia. Copre leggere il file, conservarlo, modificarlo e condividerlo. Unire due referti conta. Dividere una cartella per inviarne una pagina conta. Comprimere una scansione per mandarla via email conta. Quindi nel momento in cui è coinvolto un PDF sanitario, stai maneggiando la classe di dati più sensibile che la legge riconosca, e l’asticella per farlo con leggerezza è molto più alta.

Una cartella clinica tende anche a contenere più della sola diagnosi. C’è di solito un nome, una data di nascita, un indirizzo, un identificativo del paziente, a volte un numero di assicurazione. Ognuno di questi è identificativo di per sé. Uniti a una condizione medica, dipingono un quadro completo di una persona in uno dei suoi momenti più privati.

Cosa fa davvero un sito di caricamento con il file

Quando invii quel PDF a uno strumento online, il file lascia il tuo controllo. Viaggia verso un server che non gestisci, viene elaborato lì, e può essere messo in cache, in coda o copiato prima che torni indietro qualcosa. Sotto il GDPR quell’azienda diventa un responsabile del trattamento che agisce per tuo conto, e tu, l’ambulatorio o il professionista, resti il titolare responsabile dei dati.

Il titolare si prende doveri reali nel momento in cui è coinvolto un responsabile. Hai bisogno di un contratto scritto con quell’azienda che precisi cosa può fare con i dati e quando li elimina. Per i dati sanitari di categoria particolare, devi anche essere certo che l’intero impianto abbia le giuste garanzie. Uno strumento gratuito trovato tramite una ricerca raramente ti dà nulla di tutto questo. Non hai un contratto con loro, non sai dove si trovano i loro server, e non puoi dire chi altro potrebbe toccare il file.

C’è un bordo ancora più tagliente per i dati sanitari. Se il server è fuori dall’UE, hai effettuato un trasferimento internazionale di dati di categoria particolare, il tipo di cosa su cui il GDPR mette più attrito. Per una foto delle vacanze non avrebbe importanza. Per il referto oncologico di un paziente, hai creato in silenzio un problema che non puoi documentare.

La violazione che dovresti notificare

Le cartelle cliniche sono esattamente ciò che vogliono attaccanti e data broker. Una storia clinica trapelata non può essere reimpostata come una password. Se dati sensibili di un paziente finiscono esposti attraverso un servizio di cui non potevi garantire, può trattarsi di una violazione dei dati personali, e le violazioni che coinvolgono dati sanitari sono quelle che le autorità prendono più sul serio. Doveri di notifica, comunicazioni ai pazienti e il danno reputazionale per un ambulatorio derivano tutti da un singolo caricamento avventato.

La parte frustrante è che il compito in sé, unire o comprimere un paio di file, non aveva mai bisogno di lasciare lo studio.

Tieni il file sulla tua macchina

Ecco la soluzione, ed è più leggera del problema. Se il PDF non lascia mai il tuo dispositivo, nessun responsabile esterno lo tocca. Nessun contratto da rincorrere, nessun trasferimento da giustificare, nessun terzo che potrebbe farlo trapelare. Resti comunque il titolare e devi comunque al paziente la consueta diligenza, ma un intero strato di rischio semplicemente non esiste, perché i dati sono rimasti dov’erano.

È questa l’idea dietro gli strumenti che girano interamente nel tuo browser. Il codice fa il lavoro localmente, nella memoria del tuo computer, e il file resta dov’è. È così che abbiamo costruito reader.me. Quando unisci, dividi o comprimi un PDF clinico, viene elaborato nel tuo browser e non raggiunge mai un nostro server. Se vuoi una prova, apri gli DevTools del browser, osserva la scheda Network mentre lavori, e non vedrai uscire nulla con il tuo documento.

Due compiti quotidiani contano di più per i file sanitari:

• Quando una cartella arriva con una password e tu la conosci, puoi rimuovere quella password localmente così il file è più facile da lavorare, senza inviarlo da nessuna parte.
• Quando hai bisogno di inoltrare una cartella e vuoi prima blindarla, puoi cifrare il PDF con una password proprio sulla tua macchina, poi condividerlo attraverso un canale che il paziente si aspetta.

Abitudini per ambulatori, medici e pazienti

Poche regole semplici tengono i PDF sanitari fuori dai guai:

• Tratta ogni documento clinico come dato di categoria particolare. Lettere di dimissione, referti di laboratorio, prescrizioni, lettere di invio e moduli di consenso si qualificano tutti, anche una singola pagina scansionata.
• Non trascinare mai una cartella del paziente in uno strumento online a caso. Nessun contratto e nessuna chiara posizione del server significa che non riceve i dati dei tuoi pazienti, punto.
• Usa di default strumenti che girano nel tuo browser per i compiti di routine come unire, dividere o comprimere. Se funziona localmente, non c’è alcun responsabile da valutare e niente attraversa un confine.
• Blinda i file prima di inviarli. Una password sul PDF e un canale di consegna sensato battono un allegato aperto.
• Se sei il paziente, chiedi come il tuo ambulatorio gestisce i tuoi file. Ne hai diritto.

Le regole sui dati sanitari suonano pesanti, e lo sono, perché i dati lo sono. Ma il rimedio quotidiano è piccolo. Tieni il file sulla tua macchina, usa strumenti che non caricano nulla, e la parte più pesante del problema non ti raggiunge mai. Se vuoi la versione più lunga di come il caricamento faccia scattare questi doveri, ho scritto separatamente su GDPR e caricamento di PDF.