Entro il 31 marzo di ogni anno il titolare del trattamento dei dati personali e sensibili deve redigere il Documento Programmatico sulla Sicurezza (DPS). In tale documento devono essere indicate le misure minime adottate per assicurare un livello minimo di protezione dei dati, come previsto dal Disciplinare Tecnico allegato alla legge. Il documento deve essere conservato agli atti del professionista e non deve essere inviato ad alcuna Autorità. L'Autorità Garante per la Privacy ha diffuso una "Guida" per la compilazione del Documento Programmatico per la Sicurezza.
Tenendo presente le istruzioni contenute nella Guida predisposta dal Garante, ogni medico e odontoiatra può redigere manualmente il DPS, oppure avvelersi di appositi software prodotti dalle aziende di informatica. In alternativa, piuttosto che redigere personalmente il DPS, è possibile richiedere la consulenza di esperti o aziende per la redazione del Documento stesso.

In ambito sanitario si semplifica l’informativa da rilasciare agli interessati e si consente di manifestare il necessario consenso al trattamento dei dati con un’unica dichiarazione resa al medico di famiglia o all’organismo sanitario (il consenso vale anche  per la pluralità di trattamenti a fini di salute erogati da distinti reparti e unità dello stesso organismo, nonché da più strutture ospedaliere e territoriali).

Per il settore sanitario vengono inoltre codificate misure per il rispetto dei diritti del paziente: distanze di cortesia, modalità per appelli in sale di attesa, certezze e cautele nelle informazioni telefoniche e nelle informazioni sui ricoverati, estensione delle esigenze di riservatezza anche agli operatori sanitari non tenuti al segreto professionali.

Vengono introdotte (a partire dal 1 gennaio 2005) le cosiddette ricette impersonali, la possibilità cioè di non rendere sempre e in ogni caso immediatamente identificabili in farmacia gli intestatari di ricette attraverso un tagliando predisposto su carta copiativa che, oscurando il nome e l’indirizzo dell’assistito, consente comunque la visione di tali dati da parte del farmacista nei casi in cui sia necessario.

Per i dati genetici viene previsto il rilascio di un’apposita autorizzazione da parte del Garante, sentito il Ministro della salute.

Per quanto riguarda le cartelle cliniche sono previste particolari misure per distinguere i dati relativi al paziente  da quelli eventualmente riguardanti altri interessati (comprese le informazioni relative ai nascituri), ma anche specifiche cautele per il rilascio delle cartelle cliniche a persone diverse dall'interessato

I medici e gli odontoiatri liberi professionisti e/o convenzionati con il SSN titolari di studio o ambulatorio o studio associato, dovranno predisporre, entro il 31 marzo 2006, il documento programmatico sulle misure di sicurezza per il trattamento dei dati personali e sensibili con/senza l'ausilio di strumenti elettronici di cui agli articoli rispettivamente 34 e 35 del D.Lgs 196/03. (All.ti 1-2).
II documento programmatico dovrà essere custodito dal Titolare dello studio o nel caso di studio associato dal Responsabile e non deve essere inviato ad alcuna autorità, ma va esibito in caso di specifica richiesta da parte del Garante.
Nel documento programmatico (all.to 1), nello spazio riservato al Titolare deve essere riportato il nominativo della persona fisica o la ragione sociale della persona giuridica, qualora si tratti di studio associato o di ambulatorio. Al Titolare competono le decisioni relative alle finalità e modalità del trattamento dei dati, la nomina del Responsabile e dell'Incaricato.
Nello spazio riservato al Responsabile dovrà essere riportato il nominativo della persona fisica o la ragione sociale della persona giuridica, soltanto se sia stato nominato e la data della lettera di incarico (all.to 3- lettera di nomina). Nell'ipotesi in cui non venga nominato il Responsabile il Titolare ne assume le funzioni. Il Responsabile può essere interno alla struttura (studio, ambulatorio o studio associato) ovvero esterno, come nel caso dello studio commercialista o del professionista commercialista che tratta, per conto del Titolare, i dati personali dei pazienti e dei dipendenti dello studio o ambulatorio o studio associato, a causa della tenuta della contabilità.
Nella casella relativa all'Incaricato se nominato, deve essere indicato il nominativo della persona fisica (non è ammessa la nomina di persona giuridica) e la data della lettera di nomina, (all.to 4 - lettera di incarico) e l'autorizzazione a compiere le operazioni di trattamento dei dati personali e l'avvenuta formazione e la consegna del D.Lgs 196/03 evidenziando le principali nozioni di competenza. (all.to 5 - vademecum).
L'Incaricato può essere nominato dal Titolare o dal Responsabile ed è sotto la diretta responsabilità e controllo di chi li ha nominati. E' consigliabile che le persone che, comunque, frequentano lo studio o l'ambulatorio siano nominati Incaricati qualora non rivestano la figura di Responsabile.

Nel documento programmatico deve essere esplicitato che sono trattati dati personali e sensibili relativi a: - cartella clinica paziente; - dati anagrafici paziente; - dati anagrafici dipendenti; - dati fornitori.
In fase di ricognizione devono essere accertate le seguenti operazioni: - raccolta; - registrazione; - aggiornamento; - conservazione; - modificazione; - comunicazione ; - cancellazione.
II documento deve contenere le misure di protezione adottate per evitare rischi di distruzione, danneggiamento o perdita dei dati, accesso non autorizzato al trattamento non consentito o non conforme alle finalità della raccolta: - parola chiave per accesso elaboratore; - eventuali più parole chiave se diversi incaricati; - periodica modifica parola chiave; - predisposizione copia su supporto magnetico; - adozione misure idonee per il ripristino dell'accesso ai dati.

L'analisi dei rischi è personalizzata e soprattutto in dipendenza dei locali ove è allocato il PC. Se il PC è ubicato al piano terra è indispensabile che le finestre vengano munite di grate o, comunque, di misure tali da non consentire l'accesso in assenza del Titolare e/o dell'Incaricato. La porta di ingresso deve essere chiusa a chiave e il PC deve essere protetto da una parola chiave che non coincide con la data di nascita o altra chiave alfanumerica facilmente individuabile.
Nel PC devono essere riportati: cartella clinica se esistente o scheda personale del paziente; dati anagrafici dei collaboratori; dati anagrafici dei fornitori.

Deve essere operato uno sbarramento attraverso password per cui la cartella clinica può essere consultata soltanto dal Titolare dello studio mentre i dati anagrafici del personale, dei pazienti e dei fornitori possono essere consultati dal Responsabile se nominato. La password dell'Incaricato e/o del Responsabile non deve essere portata a conoscenza del Titolare. Peraltro è necessario che la password venga conservata in busta chiusa, in una cassetta di sicurezza o in un armadio chiuso a chiave.
In caso di necessità o di assenza dell'Incaricato o dei Responsabile, il Titolare può aprire la busta per conoscere la parola chiave e, quindi, procedere al trattamento dei dati personali.
L'Incaricato allorché rientra in servizio procederà a individuare una nuova parola chiave che conserverà con le modalità di cui innanzi. Le stesse modalità valgono per fa compilazione del documento programmatico senza l'ausilio di strumenti elettronici ex art. 35, vale a dire documentazione cartacea. Nel caso di documentazione cartacea la cartella clinica dei pazienti, i dati anagrafici dei pazienti, i dati anagrafici dei dipendenti e i dati anagrafici dei fornitori vanno conservati in un armadio chiuso a chiave sotto la responsabilità del Titolare. La porta del locale ove è sito l'armadio deve essere chiusa a chiave

Per ulteriori approfondimenti visita il sito del Garante per la protezione dei dati personali