La nuova legge federale sulla protezione dei dati (nLPD) è in vigore dal 1° settembre 2023. Per uno studio medico o dentistico non ha stravolto tutto, ma ha reso espliciti obblighi che spesso restavano impliciti. Ecco, concretamente, che cosa chiede a uno studio, e quali domande porre prima di adottare uno strumento di intelligenza artificiale.
Questo articolo offre una panoramica generale; non sostituisce una consulenza giuridica adeguata alla Sua situazione.
Dati sensibili per natura
I dati sulla salute rientrano tra i «dati personali degni di particolare protezione» ai sensi della nLPD. Richiedono quindi una protezione rafforzata. Queste regole si aggiungono al segreto professionale previsto dal Codice penale (art. 321 CP) e alle leggi cantonali sulla sanità, che disciplinano in particolare la tenuta e la conservazione della cartella del paziente.
Che cosa chiede la legge allo studio
Informare i pazienti. Quando raccoglie dati, Lei deve indicare chi li tratta, a quale scopo e a chi possono essere comunicati. Una dichiarazione sulla protezione dei dati chiara, consegnata o esposta nello studio e pubblicata sul Suo sito, adempie a questo obbligo.
Tenere un registro delle attività di trattamento. La nLPD prevede un registro delle attività di trattamento. Le imprese con meno di 250 collaboratori ne sono esentate, salvo quando trattano dati sensibili su vasta scala. Nel dubbio, tenere un registro semplice è una buona pratica.
Valutare i rischi. Quando un trattamento presenta un rischio elevato per i pazienti, occorre effettuare una valutazione d'impatto sulla protezione dei dati prima di avviarlo.
Proteggere i dati fin dalla progettazione. La legge chiede misure tecniche e organizzative adeguate al rischio (accessi, cifratura, backup) e impostazioni che limitino per impostazione predefinita il trattamento allo stretto necessario.
Notificare le violazioni. Una fuga o una perdita di dati che comporta verosimilmente un rischio elevato deve essere notificata il prima possibile all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
Rispondere alle richieste d'informazione. Un paziente può chiedere quali dati Lei detiene su di lui. La risposta è di principio gratuita e deve essere fornita entro 30 giorni.
Disciplinare i responsabili del trattamento. Se un fornitore tratta dati per Suo conto (software dello studio, hosting, strumento di IA), deve essere vincolato da un contratto, e Lei deve accertarsi che garantisca la sicurezza dei dati.
Controllare le comunicazioni all'estero. I dati possono essere comunicati all'estero solo verso uno Stato la cui legislazione garantisce una protezione adeguata, oppure con garanzie appropriate, per esempio clausole contrattuali tipo.
Infine, alcune violazioni intenzionali (informazione, diritto d'accesso, trattamento da parte di terzi, comunicazione all'estero, sicurezza) sono punite con una multa fino a 250 000 franchi, inflitta alla persona responsabile e non all'impresa.
Le domande da porre a uno strumento di IA
Un assistente di documentazione tratta il cuore della cartella: ciò che il paziente dice durante la consultazione. Prima di adottarlo, bastano quattro domande per fare chiarezza:
- Dove vengono archiviati e trattati i dati? In Svizzera o altrove?
- Il modello di IA funziona presso il fornitore o presso terzi? Una consultazione inviata a un grande fornitore di IA estero è una comunicazione all'estero.
- Le consultazioni servono ad addestrare modelli? E se sì, con quale consenso?
- È previsto un contratto per il trattamento dei dati su incarico?
Le risposte di Aida
I dati di Aida MD e di Aida Dental sono archiviati e trattati in Svizzera, presso un partner di hosting certificato ISO 27001, e cifrati sia a riposo sia in transito. I nostri modelli di IA funzionano sui nostri server in Svizzera: nessun dato clinico viene inviato a OpenAI, Google o Anthropic. Non utilizziamo mai i Suoi dati per addestrare un modello senza il Suo consenso scritto, e i nostri contratti per il trattamento dei dati su incarico sono pronti per la firma.
Una precisazione: i messaggi che Aida Desk scambia con i Suoi pazienti via WhatsApp e SMS transitano attraverso i fornitori di questi servizi, come qualsiasi servizio di messaggistica.
Dove si trovano i dati dei pazienti, come circolano e i nostri contratti da scaricare: il Centro fiducia.