L’utilizzo degli strumenti dell’Information Technology in ambito sanitario risulta sempre più diffuso. In particolar modo, si assiste ad un proliferare di applicazioni realizzate per supportare l’attività di teleconsulto (consulto medico a distanza tra specialisti con l’ausilio di tecnologie informatiche): a conferma di ciò, nella bibliografia sono riportati alcuni riferimenti di progetti sviluppati sul territorio nazionale ([1], [2],[3]).

In generale, il teleconsulto consiste nella possibilità per due medici situati in postazioni remote di valutare un caso clinico, analizzando il maggior numero di informazioni possibili — dati vitali trasmessi in tempo reale, immagini statiche, filmati video — ed utilizzando, ove necessario, lo strumento della video conferenza. Gli obiettivi sono molteplici:

• garantire un’adeguata assistenza anche a coloro che si trovano in situazioni geografiche particolari;
• estendere al maggior numero di persone le competenze specialistiche di alto livello;
• ridurre gli spostamenti — e quindi il disagio — per il paziente da sottoporre a consulto;
• diminuire i costi delle strutture sanitarie.

Si tratta senza dubbio di un campo applicativo affascinante sia dal punto di vista strettamente informatico, coinvolgendo fattori tecnologici di rilievo, sia dal punto di vista sanitario, perché si aprono alla professione medica in generale ed alle singole professionalità opportunità un tempo inimmaginabili.

Tuttavia esistono una serie di rischi da non sottovalutare: la difficoltà di integrare strumenti informatici nella realtà operativa delle strutture sanitarie, problemi legali relativi alla privacy e alla sicurezza dei dati, problemi legati alla validità medico-legale delle diagnosi ([4], [5]).

Queste problematiche si riflettono anche nelle caratteristiche delle esperienze sopra citate: esse rappresentano senza dubbio un interesse crescente nei confronti del connubio tra medicina ed informatica; tuttavia da un’analisi più accurata emergono le seguenti problematiche: in tutti i casi si tratta di applicazioni isolate e frammentarie, di rado realizzate con l’ausilio di centri di ricerca specializzati e con forti caratteristiche di sperimentalità; ciò che manca è un’azione coordinata a livello nazionale, sia dal punto di vista delle infrastrutture, e soprattutto dal punto di vista della normativa.

L’utilizzo di uno strumento di teleconsulto nella prassi ospedaliera pone, in generale, una serie di problemi di carattere legale, per altro già ben noti nell’attività lavorativa del personale medico, ma che con l’ausilio delle tecnologie informatiche assumono un contenuto diverso:

• riservatezza dei dati, questo è un requisito base per qualunque sistema informatico che tratti dati sensibili; nel caso specifico si impone una soluzione per la protezione dei dati sensibili del paziente;
• integrità dei dati, è necessario garantire che i dati non vengano modificati se non da chi è autorizzato;
• negligenza: esistono casi nei quali il mancato uso del teleconsulto può configurare un reato di negligenza? E parallelamente, è necessario il consenso del paziente per l’uso del teleconsulto?
• responsabilità: come valutare la possibilità del medico che dà il proprio parere utilizzando gli strumenti di teleconsulto? E qual è la responsabilità di un fornitore di un’infrastruttura tecnologica o di un prodotto di teleconsulto?
• validità legale del teleconsulto: entro quali condizioni il parere fornito attraverso l’uso di strumenti informatici ha validità legale?
• giurisdizione: chi persegue un medico o un fornitore di servizi in campo internazionale?

In questo articolo, affrontiamo essenzialmente gli aspetti che riguardano la privacy e la sicurezza dei dati, il quadro normativo relativo all’attività di teleconsulto e la validità legale della telerefertazione; nel Paragrafo 1, vengono dapprima analizzati i requisiti generali per rispettare la sicurezza nel trattamento dei dati, ponendo in particolar modo l’accento sulla normativa relativa alla protezione dei dati clinici; il requisito della sicurezza — sia in termini di privacy che di integrità dei dati — è fondamentale, infatti, in tutte le applicazioni di teleconsulto, dato che si tratta di inviare su rete telematica informazioni che la legge impone vengano trattate in modo sicuro. Nel Paragrafo 2 si analizzano la validità legale dell’attività di telerefertazione, vista come conseguenza eventuale, ma non necessaria, di una sessione di teleconsulto. In questo caso si pongono problemi di natura giuridica relativi alla validità legale del documento che attesta il referto del medico su supporto informatico.

Quando usiamo la parola sicurezza in ambito medicale intendiamo sia la privacy, ossia gli aspetti atti ad evitare che persone non autorizzate possano accedere ad informazioni riservate e sia la security, ovvero l’integrità dei dati e la disponibilità del sistema.

In linea di principio un sistema informatico in ambito medicale deve garantire che i dati personali e sensibili degli utenti non possano essere visibili a terze persone, se non autorizzate. Quest’importante requisito è stabilito dalla legge 675/1996 a "Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali" che sancisce la riservatezza delle persone fisiche e giuridiche come un diritto assoluto e inviolabile. L’articolo 9 della medesima legge afferma:

"I dati personali oggetto di trattamento devono essere:

1. trattati in modo lecito e corretto;
2. raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini non incompatibili con tali scopi;
3. esatti e, se necessario, aggiornati;
4. pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono stati raccolti o successivamente trattati;
5. conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati".

Per rispettare questi requisiti è necessario implementare strumenti atti a garantire:

- Confidenzialità delle informazioni: dati ed informazioni devono essere accessibili solamente alle persone autorizzate.

- Identificazione degli utenti: procedura d’identificazione dell’utente.

- Autenticazione: procedura per scoprire il creatore di un’informazione.

- Crittografia: meccanismo che consente di trasferire le informazioni in modo sicuro.

- Riservatezza: operazioni atte a prevenire la diffusione non autorizzata e non controllata delle informazioni. La salvaguardia della riservatezza elimina il rischio che un soggetto utilizzi un’informazione altrui senza essere autorizzato.

- Integrità: attività atte a prevenire le alterazioni e le manomissioni illecite delle informazioni così da ridurre il rischio di cancellazioni o modifiche dei dati sia in seguito a guasti e sia in seguito all’azione di soggetti non autorizzati.

- Disponibilità: operazione che permette di garantire l’accesso controllato alle informazioni impedendo problemi derivanti dall’occultamento o dall’impossibilità di accesso ai dati.

La garanzia che un sistema informatico rispetti questi vincoli è ottenibile solamente con l’instaurazione di meccanismi per:

1) Accesso autorizzato

Un sistema informatico deve garantire di essere utilizzabile solamente da persone autorizzate. I termini della legislazione in quest’ambito sono contenuti nel DPR n. 318 del 28 luglio 1999 (appendice B) "Regolamento recante norme per l’individuazione delle misure di sicurezza minime per il trattamento dei dati personali a norma dell’articolo 15, comma 2, della legge 31 dicembre 1996, n. 675". Per ottenere questo risultato il regolamento appena citato indica la necessità di istituire un meccanismo di identificazione e autenticazione degli accessi negli articoli 4: "1. Nel caso di trattamenti effettuati con gli elaboratori di cui all’articolo 3, oltre a quanto previsto dall’articolo 2 devono essere adottate le seguenti misure:

1. a ciascun utente o incaricato del trattamento deve essere attribuito un codice identificativo personale per l’utilizzazione dell’elaboratore; uno stesso codice, fatta eccezione per gli amministratori del sistema relativamente ai sistemi operativi che prevedono un unico livello di accesso per tale funzione, non può, neppure in tempi diversi, essere assegnato a persone diverse;
2. i codici identificativi personali devono essere assegnati e gestiti in modo che ne sia prevista la disattivazione in caso di perdita della qualità che consentiva l’accesso all’elaboratore o di mancato utilizzo dei medesimi per un periodo superiore ai sei mesi;…"

Il DPR inoltre vieta l’uso di uno stesso codice identificativo per gruppi di utenti anche se questi si occupano degli stessi compiti. Questa precisa indicazione nasce dalla necessità di poter risalire in qualunque momento alla persona che abbia compiuto atti illeciti. Tutti gli accessi e le operazioni effettuate sono registrate sul file di log (o equivalenti).

E’ necessario che un sistema che si occupi della gestione di informazioni fornisca delle garanzie che il software e l’hardware non alterino i dati medicali memorizzati. Questo è specificato nel DPR del 28 luglio 1999, articolo 4, comma 1:"

1. gli elaboratori devono essere protetti contro il rischio di intrusione ad opera di programmi di cui all’articolo 615 quinquies del codice penale, mediante idonei programmi, la cui efficacia ed aggiornamento sono verificati con cadenza almeno semestrale."

Quando le modifiche dei contenuti sono la conseguenza di un’azione illecita da parte di terzi l’illecito diventa perseguibile penalmente (legge 547/1993 articolo 615-ter).

Accanto al problema della modifica illecita dei contenuti si pone la necessaria garanzia che il sistema mantenga i dati aggiornati, esatti e completi, attraverso meccanismi di back-up, sistemi di crittografia e firma digitale. Il back-up permette di effettuare una copia delle informazioni in modo da poterle recuperare nel caso in cui vadano perse quelle cui si accede regolarmente. I sistemi di crittografia verranno spiegati più avanti. La firma digitale permette: il non ripudio (un utente che abbia creato un documento non può negare di esserne l’autore) e il diritto di origine (permette al creatore di un documento di provarne la paternità). Il controllo dell’autenticità della firma digitale è fatto attraverso un algoritmo di verifica pubblico, il cui risaltato non può essere ripudiato.

Uno degli aspetti fondamentali che stanno alla base del teleconsulto è la trasmissione garantita dei dati. Citiamo a questo proposito il DPR del 10 novembre 1997 n.513 "Regolamento recante criteri e modalità per la formazione, l’archiviazione e la trasmissione di documenti con strumenti informatici e telematici" che dimostra come la trasmissione con mezzi informatici sia equivalente a quella fisica se garantiti taluni principi di sicurezza:"

1. Il documento informatico trasmesso per via telematica si intende inviato e pervenuto al destinatario se trasmesso all’indirizzo elettronico da questi dichiarato.
2. La data e l’ora di formazione, di trasmissione o di ricezione di un documento informatico, redatto in conformità alle disposizioni del presente regolamento e delle regole tecniche di cui all’articolo 3, sono opponibili a terzi.
3. La trasmissione del documento per via telematica, con modalità che assicurino l’avvenuta consegna, equivale alla notifica per mezzo della posta nei casi consentiti dalla legge."

Naturalmente alla base di una trasmissione si deve avere la sicurezza sull’identità dei due interlocutori e sulle informazioni scambiate, in termini di non visibilità a terze persone.

Anche la legislazione europea ha posto grande attenzione al problema dei dati personali e medicali formulando una serie di raccomandazioni con l’intento di indicare una strategia comune per tutti gli stati membri.

In particolare fra le raccomandazioni dell’Unione Europea la prima che è stata presa in considerazione è la n. (97) 5 entrata in vigore il 13 febbraio 1997 articolo 2: "La presente raccomandazione è applicabile alla raccolta e al trattamento automatizzato dei dati sanitari, a meno che il diritto interno, in un contesto specifico diverso da quello di cura della salute, non preveda altre garanzie appropriate".

Nel primo articolo della raccomandazione si fa un’importante distinzione fra i dati a carattere personale e i dati sanitari. L’articolo 9 della raccomandazione pone l’accento sulla sicurezza dei dati. Come si può osservare la legge italiana esposta precedentemente è in linea con la raccomandazione europea. Il comma conclude chiedendo un esame periodico delle misure di prevenzione, così come l’articolo 6 del DPR n. 318 che richiede di stendere un documento programmatico sulla sicurezza dei dati che fissi i criteri per la protezione dei locali, per la sicurezza dell’integrità dei dati e della trasmissione e conclude affermando che "L’efficacia delle misure di sicurezza ai sensi del comma 1 deve essere oggetto di controlli periodici, da eseguirsi con cadenza almeno annuale". E’ chiaro come anche in ambito europeo sia importante la prevenzione dalla possibile intrusione di terze persone non autorizzate nei sistemi che gestiscono dati medicali. Ma l’attenzione è rivolta anche alla verifica ed alla registrazione degli accessi delle stesse persone autorizzate e delle operazioni da loro effettuate.

L’articolo appena citato, inoltre, indica chiaramente che tutti i trasferimenti di dati personali verso uno stato devono avvenire in piena sicurezza a meno che la persona interessata non dia comunque il consenso. Laddove lo Stato abbia una legislazione opportuna o aderisca alla Convenzione ed alla sopraccitata raccomandazione si può effettuare il trasferimento.

Nella legislazione italiana — già povera di normativa di telemedicina — non esistono riferimenti espliciti alla materia del teleconsulto, se non qualche vago riferimento privo di contenuto giuridico che riportiamo a titolo di esempio: l’articolo 70 della convenzione nazionale che regola il rapporto di lavoro autonomo, continuativo e coordinato che si instaura tra le ASL ed i medici di medicina generale, recita: "Gli accordi regionali possono prevedere l’erogazione di prestazioni aggiuntive, anche tese ad una migliore integrazione tra interventi sanitari e sociali per […] e) sperimentazione di iniziative di telemedicina (tel4esoccorso, cardiotelefono, teleconsulto".

La mancanza di un quadro normativo di riferimento è sottolineata dalla maggior parte degli interventi a proposito di telemedicina. Segnaliamo tuttavia che il 13 gennaio 2000 è stato presentato il progetto di legge S. 4417 intitolato "Norme riguardanti la regolamentazione e la sperimentazione della telemedicina", attualmente in sede di discussione presso una commissione del Senato.

Alla luce di questo vuoto legislativo, ci sembra opportuno cercare di ricondurre il problema al caso generale di attività di consulto, cercando poi di evidenziare le caratteristiche specifiche che si presentano nel caso di utilizzo degli strumenti dell’Information Technology. Peraltro non mancano anche in Europa esempi di questo genere: in Norvegia si adotta un approccio simile; in mancanza di una normativa specifica è responsabilità dello specialista determinare se la qualità dello strumento è adeguata.

L’attività di consulto è disciplinata dal Titolo IV — CAPO II del nuovo Codice Deontologico (articolo 59 e 60) ([6]).

Come si evince dal testo — e dallo stesso commento della Federazione Nazionale degli Ordini dei Medici Chirurghi e degli Odontoiatri — il Codice pone a carico del medico curante non la semplice facoltà, ma l’obbligo di proporre una consulenza con un altro collega o presso idonea struttura specialistica quando sia necessario il ricorso a peculiari e adeguate competenze. Questo sembra confermare l’ipotesi che, all’interno di una struttura in cui esistano tecnologie informatiche che permettono un consulto a distanza, il loro uso sia obbligatorio in tutte quelle situazioni in cui non sia possibile sottoporre un caso ad un consulto di tipo tradizionale. L’enunciato pone non pochi problemi di interpretazione; esso lascia piena autonomia nella "scelta delle modalità operative" a cui sembrerebbero appartenere anche gli strumenti di teleconsulto. Tuttavia, non essendoci disposizioni che attestino la "validità" in generale delle soluzioni di telemedicina, resta aperto il problema della responsabilità del medico che si rifiuti di ricorrere ad una sessione di consulto a distanza, qualora gli strumenti a sua disposizione lo dovessero permettere.

In mancanza di riferimenti normativi precisi, ci sembra ragionevole inquadrare il problema della validità legale di un telereferto nell’ambito della più generale normativa sul documento elettronico. Il punto di riferimento è il DPR 513/97 in attuazione della Legge 59/97, che rappresenta un quadro normativo molto avanzato rispetto agli altri paesi europei. L’elemento fondamentale è rappresentato dalla possibilità di apporre la firma elettronica ad un documento, al fine di ([7], [8], [9], [10]):

• garantirne la riservatezza
• proteggerlo dalla alterazione dei dati (integrità)
• certificare che l’autore è colui che afferma di essere (autenticazione)
• impedirne il ripudio
• certificare la data di emissione

Per firma elettronica si intende un qualunque mezzo elettronico di identificazione — firma biometria, penna digitale, crittografia a chiavi asimmetriche — che permetta di utilizzare un determinato documento come prova in un processo ([9]). Ovviamente, è necessario che la particolare tecnologia utilizzata possa essere ritenuta oggettivamente valida: ad es. che sia emessa da un’Autorità di certificazione.

La Gazzetta Ufficiale n. 89 del 15 aprile 1999 ha pubblicato il DPCM 8/02/99 (appendice A), che contiene le "regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale dei documenti informatici, ai sensi dell’articolo 3 comma 1, del DPR 10/11/97, n. 513".

Si tratta del cosiddetto regolamento tecnico per la firma digitale, indispensabile per l’attuazione dell’articolo 15, comma 2 della legge n. 59 del 15/03/97 (cosiddetta Bassanini-uno), che stabilisce che "gli atti, dati e documenti formati dalla pubblica amministrazione e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici, sono validi a tutti gli effetti di legge". L’applicazione di questa norma è definita da due successivi testi legislativi: il regolamento attuativo e il regolamento tecnico ([11]).

Il primo, contenuto nel DPR 513 del 1997, pubblicato sulla G.U. n. 60 del 13/3/98, definisce le modalità di attuazione della forma elettronica nella Pubblica Amministrazione. Il DPR prevede la tipologia generale della firma digitale, specificando che questa si basa "su un sistema di chiavi asimmetriche, a coppia, una pubblica e una privata" (art. 1, comma 2). L’articolo 10 al comma 6, stabilisce che "l’apposizione di firma digitale integra e sostituisce, ad ogni fine previsto dalla normativa vigente, l’apposizione di sigilli, punzoni, timbri, contrassegni e marchi di qualsiasi genere". Secondo il comma 2 dell’articolo 20 (che definisce i tempi di attuazione della legge) le PA sono tenute a sostituire la firma tradizionale con quella elettronica a partire dal primo gennaio 2003.

Il regolamento tecnico è contenuto nel DPCM 8/02/99, pubblicato sulla G.U. n. 89 del 15 aprile 1999. Il testo è suddiviso in due parti. Le norme vere e proprie in 3 articoli e le regole tecniche contenute in un apposito allegato, suddiviso in cinque titoli: TITOLO I, regole tecniche di base; TITOLO II, regole tecniche per la certificazione delle chiavi; TITOLO III, regole tecniche sulla validazione temporale e per la protezione dei documenti informatici; TITOLO IV, regole tecniche per le pubbliche amministrazioni; TITOLO V, disposizioni finali.

La legge prevede il totale passaggio al flusso elettronico dei documenti per le Amministrazioni Pubbliche entro il 31 dicembre 2002 (articolo 20 comma 2 del DPR 513/97). L’ultimo passo consiste nella individuazione delle Certification Authoriry: a questo proposito l’AIPA ha emanato la circolare 26 luglio 1999, n. AIPA/CR/22 a cui fa riferimento l’articolo 16, comma 1, dell’allegato tecnico al DPCM 8 febbraio 1999, e che illustrate le modalità con le quali le società interessate ad esercitare l’attività di certificatore dovranno inoltrare domanda all’AIPA.

Per quanto riguarda la normativa sul documento elettronico l’Italia si trova senza dubbio all’avanguardia rispetto agli altri partner europei ([12], [13]).

In Germania è stata approvata nel giugno 1997 una legge che disciplina la firma digitale: tuttavia si tratta di disposizioni che coprono esclusivamente i requisiti generali di sicurezza della firma digitale, senza entrare nel merito della validità giuridica del documento formato elettronicamente.

Anche in Francia non esiste una disciplina organica, ma solo alcune disposizioni normative che consentono l’utilizzo del documento elettronico limitatamente a specifici ambiti e finalità.

In Belgio e Danimarca sono in corso di elaborazione alcuni progetti di legge, mentre in Inghilterra il dipartimento del Commercio e dell’Industria sta elaborando un progetto di legge sulle Trusted Third Parties.

Di fronte alle iniziative dei singoli paesi, il Consiglio Europeo ha invitato la Commissione ad elaborare una proposta di direttiva sulla firma elettronica, da sottoporre al vaglio del palamento e dello stesso Consiglio, in vista dello sviluppo del commercio elettronico e delle sue ripercussioni sul mercato interno. Ciascun stato membro dovrà sottoporre il sistema di fornitura del servizio di certificazione ad un general accreditation scheme, una procedura con la quale sono stabiliti gli obblighi ed i diritti delle autorità di certificazione. Il sistema di accreditamento è volontario: l’autorità accreditata viene iscritta in un apposito albo ed i certificati rilasciati sono ritenuti "qualificati", senza però escludere la validità giuridica dei certificati non accreditati.