Wortlaut

Il Consiglio federale è invitato a rispondere alle seguenti domande:

1. I dati dei pazienti salvati nella cartella informatizzata del paziente conformemente alla legge federale sulla cartella informatizzata del paziente (LCIP) sono protetti dagli accessi abusivi, così da evitare che si ripeta il caso verificatosi in Vallese?

2. I dati dei pazienti contenuti nelle cartelle cliniche informatizzate gestite dai fornitori di prestazioni del settore ambulatoriale e ospedaliero sono sufficientemente protetti dagli accessi abusivi e da eventuali attacchi degli hacker?

3. È necessario creare ulteriori basi legali nazionali o cantonali per la sicurezza dei dati delle cartelle informatizzate del paziente e delle cartelle cliniche informatizzate?

4. Conformemente alla LCIP, la Confederazione può simulare cyberattacchi a livello nazionale? Oppure l'esecuzione di queste simulazioni rientra nella competenza dei cantoni, ragion per cui occorre una base legale esplicita?

Begründung

L'introduzione obbligatoria della cartella informatizzata del paziente per il settore ospedaliero è alle porte. La LCIP e le relative ordinanze entreranno infatti in vigore nel primo trimestre del 2017. Nella fase preparatoria sono tuttavia sorti i seguenti problemi:

1. Contrariamente al previsto, il cantone del Vallese non ha introdotto la cartella informatizzata del paziente nel settembre del 2015, a causa dei dubbi espressi dal responsabile cantonale della protezione dei dati in seguito a gravi problemi di sicurezza riscontrati in particolare nella criptazione dei siti Internet.

2. I criminali informatici hanno attaccato i sistemi degli studi medici criptando i dati elettronici dei pazienti allo scopo di renderli inutilizzabili, per poi decriptarli in cambio di denaro.

La cartella informatizzata del paziente dimostrerà tutta la sua utilità se sarà utilizzata sia dai professionisti della salute sia dai pazienti e se nei dossier saranno iscritti dati rilevanti ai fini delle cure. Il presupposto fondamentale perché questo avvenga è che le parti abbiano fiducia nel sistema. Secondo un'inchiesta del 28 maggio 2016 del quotidiano "Tages-Anzeiger", più del 90 per cento degli interpellati ritiene che i dati non siano protetti a sufficienza dal proprio medico. Lo scambio elettronico dei dati dei pazienti potrà avere successo soltanto se i professionisti della salute e i pazienti, cioè la popolazione, saranno convinti che questo scambio avviene nel modo più sicuro possibile. Il tempo che manca all'introduzione della LCIP dovrebbe essere utilizzato per risolvere i dubbi in materia di sicurezza.

Stellungnahme des Bundesrates

Per quanto riguarda la protezione dei dati, occorre distinguere tra i dati dei pazienti contenuti nelle cartelle cliniche gestite elettronicamente dai fornitori di prestazioni ambulatoriali e stazionari (cosiddetti sistemi primari degli ospedali e degli studi medici) e quelli contenuti nella cartella informatizzata del paziente (cosiddetto sistema secondario). I primi sono disciplinati dalla legge federale del 19 giugno 1992 sulla protezione dei dati (LPD; RS 235.1) o per le istituzioni con mandato di prestazioni pubblico dalle rispettive leggi cantonali sulla protezione dei dati (cfr. risposta 3). La legge federale del 19 giugno 2015 sulla cartella informatizzata del paziente (LCIP; RS 816.11) disciplina le condizioni per il trattamento dei dati della cartella informatizzata del paziente, che avviene tramite un'infrastruttura tecnica separata. A complemento, l'incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha pubblicato delle guide, per esempio la guida al trattamento dei dati personali nella sfera medica (luglio 2002) e la guida ai provvedimenti tecnici e organizzativi concernenti la protezione dei dati (agosto 2015), che fanno riferimento alla LPD e alla relativa ordinanza.

1. Gli accessi abusivi ai sistemi di trattamento elettronico dei dati non possono mai essere esclusi con certezza assoluta. Questo vale anche per i dati della cartella informatizzata del paziente. Gli avamprogetti delle disposizioni di esecuzione della LCIP, per i quali il Dipartimento federale dell'interno (DFI) ha svolto l'indagine conoscitiva dal 22 marzo al 29 giugno 2016 (disponibile su www.admin.ch > Diritto federale > Procedure di consultazione > Procedure di consultazione concluse > 2016 > DFI), contengono prescrizioni tecniche e organizzative (condizioni di certificazione basate sull'art. 12 cpv. 1 lett. b LCIP) per il raggiungimento degli obiettivi di protezione primari (riservatezza, integrità, disponibilità e autenticità dei dati). In particolare, le prescrizioni richiedono alle comunità e alle comunità di riferimento da certificare misure per la prevenzione e il rilevamento degli eventi di sicurezza, nonché per la reazione ad essi. Ne fanno parte, per esempio, la verifica periodica delle falle di sicurezza o le misure per il riconoscimento di attacchi. Si è tenuto conto anche dei rischi e delle minacce riconosciuti nel "caso Vallese". L'attuazione e il rispetto delle condizioni di certificazione da parte delle comunità e delle comunità di riferimento, nonché degli emittenti di strumenti d'identificazione, saranno verificati da organismi di certificazione accreditati. Inoltre "eHealth Suisse", l'organo di coordinamento di Confederazione e cantoni, elaborerà raccomandazioni destinate agli attori interessati per l'attuazione conforme alla LCIP della protezione e della sicurezza dei dati.

2./3. Le cartelle cliniche elettroniche (sistemi primari) sono soggette alle vigenti disposizioni federali o cantonali di protezione dei dati. Secondo lo stato attuale delle conoscenze del Consiglio federale, il livello generale di sicurezza nel settore sanitario non corrisponde purtroppo ancora a quello di altri settori (p. es. finanza, assicurazioni, amministrazione). Il Consiglio federale ravvisa una necessità di intervento in questo senso.

Per la cartella informatizzata del paziente (sistema secondario) le prescrizioni sulla protezione e la sicurezza dei dati sono disciplinate a livello nazionale nelle disposizioni della LCIP e nel diritto di esecuzione ancora da emanare (cfr. risposta 1). In futuro il rispetto di queste e di altre prescrizioni sarà verificato periodicamente tramite la certificazione obbligatoria degli attori (comunità, comunità di riferimento, emittenti di strumenti d'identificazione; cfr. risposta 1). Inoltre, per quanto applicabili, vigono le disposizioni della LPD. Il 15 maggio 2013 il Consiglio federale ha altresì adottato il piano d'attuazione per la strategia nazionale per la protezione della Svizzera contro i cyberrischi (SNPC). È stato verificato se il diritto applicabile contiene le basi necessarie per la protezione contro questo genere di rischi (misura 16 della SNPC). La misura si è conclusa nel 2014 e non ha evidenziato alcuna necessità di disciplinamento coordinato. Attualmente il Consiglio federale non ritiene necessarie ulteriori basi legali.

Occorre menzionare che il 1° aprile 2015 il Consiglio federale ha incaricato il Dipartimento federale di giustizia e polizia (DFGP) di presentargli un avamprogetto di revisione della LPD entro la fine di agosto 2016, con l'obiettivo di rafforzare in generale il controllo delle persone sui propri dati e aumentare la trasparenza del trattamento dei dati personali.

4. La LCIP non contiene alcuna base per attività della Confederazione volte a verificare la protezione e la sicurezza dei dati direttamente presso gli attori e nei sistemi della cartella informatizzata del paziente. Nel quadro della procedura di certificazione (cfr. risposta 1), l'organismo preposto può effettuare cosiddetti test di penetrazione per la ricerca attiva delle falle di sicurezza. Per la Confederazione non esiste alcuna possibilità di effettuare tali attività al di fuori di questa procedura. Fatto salvo quanto su esposto, per le comunità e comunità di riferimento costituite secondo il diritto civile è applicabile la LPD. Come autorità preposta alla vigilanza, l'IFPDT ha la competenza, nei limiti del campo di applicazione della LPD, di effettuare accertamenti ed emanare raccomandazioni. Nella revisione della LPD è prevista l'attribuzione all'IFPDT di ulteriori competenze decisionali. Di conseguenza le leggi cantonali sulla protezione dei dati non si applicano al trattamento dei dati nella cartella informatizzata del paziente, e le autorità di vigilanza cantonali sulla protezione dei dati non hanno alcuna competenza in materia.

Risposta del Consiglio federale.