Firma grafometrica su tablet: è valida?

Questo articolo ti serve solo in un caso preciso: usi dati dei pazienti per scopi diversi dalla cura fisioterapica, per esempio email/SMS promozionali, sconti, newsletter o altre attività di marketing verso i tuoi pazienti, e per farlo ti serve un consenso firmato. Se invece raccogli i dati solo per la finalità di cura (la valutazione e il trattamento fisioterapico stesso), non serve nessuna firma: basta un’informativa, anche solo un foglio appeso in sala d’attesa. Lo spieghiamo nel dettaglio nella guida alla privacy per liberi professionisti: se non fai marketing verso i pazienti, quella guida ti basta e puoi saltare questo articolo.

Detto questo: se fai marketing e ti serve davvero un consenso firmato, la domanda diventa: si può far firmare il foglio ai pazienti sul tablet o sulla tavoletta grafica invece che su carta? Se fosse possibile si risparmierebbe tempo, spazio e carta.

Introduzione

Quando raccogliamo dati per finalità diverse dalla cura (tipicamente marketing), la procedura corretta prevede di informare il paziente e raccogliere il suo consenso esplicito con un foglio firmato dedicato a quello scopo specifico.

Per esempio, se vogliamo trattare i dati per ricontattare in futuro i pazienti e offrire sconti sulle terapie o altro, nel foglio dovremo richiedere esplicito consenso per usare i dati del paziente per finalità di marketing, ed è qui che entra in gioco la domanda sulla firma digitale.

Attenzione: raccogliere il consenso è solo un lato della medaglia. Se fai marketing verso i pazienti, il codice deontologico FNOFI (artt. 41-42) regola anche cosa puoi effettivamente dire: niente promesse di risultati, false aspettative o pubblicità commerciale mascherata da contenuto informativo. Vale la pena dare un’occhiata a quella guida prima di partire con una campagna di marketing.

Il problema

Non entreremo nel merito su come ottenere il modello della privacy, ma spediamoci comunque due parole. Per fare le cose per bene bisognerebbe sentire un avvocato, perché è sempre meglio affidarsi ad un esperto. Se lo cerchiamo su internet, è a nostro rischio e pericolo. Facciamo attenzione e almeno leggiamolo e modifichiamolo per quello che serve a noi: deve indicare il nostro nome e le finalità per cui effettivamente trattiamo i dati.

Far firmare il foglio della privacy implica: stampare più copie, farle firmare, consegnarne una al paziente e conservare l’altra. Nel corso del tempo le scartoffie si accumulano, e ci serve spazio dove conservarle, e lo spazio non è di certo gratis. Senza considerare che si perde un sacco di tempo in modo improduttivo, che potremmo usare invece in modo produttivo, per esempio trattando altri pazienti.

Quindi? C’è un modo per velocizzare questo processo ma comunque essere in regola?

La possibile soluzione

Non posso far firmare al paziente direttamente il pdf con una tavoletta grafica/tablet/iPad con Apple Pencil?

Così facendo si risparmierebbe tempo, spazio e carta.

La situazione è spinosa: chi dice che non è valida come la firma cartacea, chi dice che va bene e comunque non le controlla nessuno.

Per curiosità personale ho cercato un po’ di riferimenti normativi, e con questo articolo mi piacerebbe documentarli qui sul blog.

Quindi vi prego, non scambiate curiosità personali per consigli legali, perché non lo sono assolutamente (e inutile dirlo, declino ogni responsabilità per decisioni altrui prese in base a questo articolo). Se deve passare un messaggio, è questo: su molte problematiche ognuno dice la sua; a volte basta fare un po’ di ricerche per smentire alcune voci, altre volte la situazione è così complessa che per andare sul sicuro dobbiamo affidarci ad esperti. Con la privacy non si scherza e ci sono tantissimi bravi avvocati che possono seguirci.

Come vedremo tra poco, alcune delle voci verranno smentite.

Cosa dice l’Agid (Agenzia per l’Italia Digitale)

L’Agenzia del Governo in questione ha pubblicato un documento per fornire a tutti i cittadini le informazioni fondamentali sulle diverse tipologie di firma elettronica.

La parte che interessa a noi è quella sulla firma grafometrica, contenuta nel punto 3.1.2. Cito testualmente:

Buoni esempi di firma elettronica avanzata sono diverse implementazioni basate sulla cosiddetta firma “grafometrica”. Si tratta di soluzioni di firma che raccolgono le caratteristiche comportamentali e tipiche della firma autografa (attraverso l’uso di tavolette molto evolute) quali la velocità, l’inclinazione, la pressione, l’accelerazione (e rallentamenti), i tratti aerei. Tutte queste informazioni legate in maniera certa al documento, consentono di raggiungere il risultato voluto. Da notare che, ai sensi dell’art. 61 del DPCM 22 febbraio 2013, queste soluzioni possono essere utilizzabili limitatamente per i rapporti giuridici intercorrenti tra il sottoscrittore e il soggetto che rende disponibile la soluzione. Un tipico esempio è la struttura ospedaliera che rende disponibile presso i propri sportelli soluzioni di firma elettronica avanzata ai fruitori delle prestazioni sanitarie.

Nota: quella limitazione (valida solo “tra sottoscrittore e chi fornisce la soluzione”) in realtà è un punto ancora dibattuto tra i giuristi, perché sembra in tensione con il Regolamento eIDAS europeo, che dal 2016 vale direttamente in Italia e non prevede questa restrizione. Per il caso del fisioterapista che fa firmare il proprio paziente sul proprio tablet, però, la situazione rientra comunque perfettamente nell’esempio sopra (rapporto diretto tra chi firma e chi fornisce lo strumento), quindi la questione resta più teorica che pratica.

Quindi, è legale la firma grafometrica?

Abbiamo letto che una firma grafometrica che si rispetti rientra nella categoria delle Firme Elettroniche Avanzate.

Sempre il documento dell’Agid, a tal proposito al punto 4.1.2 recita:

I documenti sottoscritti con firma elettronica avanzata soddisfano il requisito della forma scritta e hanno l’efficacia prevista dall’articolo 2702 del Codice Civile. Il soggetto cui la firma elettronica avanzata afferisce può disconoscerla; è onere della parte che vuole avvalersi degli effetti giuridici di tale firma dimostrare la conformità con quanto prescritto al Titolo V del suddetto DPCM.

Un po’ di considerazioni

Sembra quindi che la firma con una tavoletta grafica/tablet/Apple Pencil sia prevista dalla legge e prende il nome di firma grafometrica, parte della più ampia categoria delle Firme Elettroniche Avanzate.

Deve però rispettare alcuni requisiti, cioè:

• Lo strumento che si usa deve essere in grado di raccogliere le caratteristiche tipiche della firma autografa (pressione, velocità, ecc.) - quindi servono strumenti che abbiano una certa precisione (per intenderci, non va bene disegnare la firma con il mouse);
• La firma deve essere legata in maniera certa al documento. C’è sempre il rischio che la firma sia falsificata e che sia stata aggiunta a posteriori, e questo secondo punto parla proprio di evitare questo. Il come è sicuramente meno scontato, ed è rilevante in caso di controversie.

Le controversie

Siccome l’efficacia è la stessa dell’art. 2702 del Codice Civile, questo ci dice cosa succede in caso di controversie.

La firma autografa (e quindi anche quella grafometrica visto che sono equiparate) è valida fino a che il presunto autore non la disconosce.

Se in tribunale viene disconosciuta, poi tocca a chi l’ha raccolta dimostrare che la firma era autentica.

Questo accade anche per le firme con carta e penna, quindi occhio.

Esclusioni

L’art. 1350 del Codice Civile elenca gli atti sugli immobili per cui non basta la Firma Elettronica Avanzata (come la grafometrica) e serve invece una firma qualificata o digitale: contratti per aprire società con godimento di beni immobili, compravendite, affitti superiori ai 9 anni, e simili.

Le esclusioni non hanno nulla a che fare con l’operatività quotidiana di un fisioterapista: nessun atto tra quelli elencati riguarda fogli privacy, consensi informati o fatture.

Attenzione: la firma grafometrica stessa è un dato biometrico

C’è un aspetto che spesso si dimentica: i dati che rendono “grafometrica” una firma (pressione, velocità, inclinazione, accelerazione) sono a tutti gli effetti dati biometrici, cioè una categoria particolare di dati secondo l’art. 9 del GDPR, con tutele più stringenti dei dati normali.

Questo significa che raccogliere la firma grafometrica del paziente richiede una informativa specifica sul trattamento di questo dato biometrico (quanto viene conservato, come viene protetto, quando viene cancellato), separata e aggiuntiva rispetto alla normale informativa privacy che il foglio dovrebbe già contenere. Il fornitore della soluzione di firma grafometrica che usi dovrebbe garantirti che questo dato venga cifrato e gestito correttamente.

Attenzione anche a un’altra distinzione importante: far firmare correttamente il foglio non equivale automaticamente ad avere il consenso per ogni uso dei dati del paziente. Per il trattamento dei dati strettamente necessario a erogare la prestazione richiesta, di norma è sufficiente l’informativa (il professionista sanitario è comunque vincolato al segreto professionale). Il consenso esplicito serve invece per finalità ulteriori, come contattare il paziente per scopi di marketing.

Ma quindi, è possibile digitalizzare questo processo?

Oggi abbiamo visto solo un aspetto, cioè cosa succede dal lato della firma.

Il problema è che se firmiamo un documento in digitale, dopo la firma c’è anche tutto il discorso della conservazione dei documenti e dei file contenenti dati riservati, di come questi vengono utilizzati, dopo quanto vanno cancellati e altre mille implicazioni del GDPR.

Quindi, la domanda giusta non è tanto relativa alle firme, ma al processo preso globalmente, e qui il punto è più complicato.

Così complicato che rinnovo l’invito a farsi seguire in ogni caso da un professionista (sia per le firme e le modalità di conservazione, che per predisporre il foglio della privacy).

Conclusione

Cosa ho capito da queste ricerche?

Anzitutto la firma grafometrica (con tavoletta grafica, iPad o tablet) è sicuramente prevista dalla legge, ma bisogna fare attenzione agli utilizzi e ai dettagli.

L’analisi dell’Agid sembra smentire le voci sull’assenza di valore legale come la firma cartacea, infatti con le giuste modalità abbiamo visto che non è vero (e anzi, rientra addirittura tra quelle avanzate).

Tuttavia, ho scoperto che il problema iniziale (risparmiare tempo, carta e spazio) richiede un’analisi molto più approfondita. Vederlo solo dal lato della firma non porta a nessun beneficio tangibile e se non abbiamo risorse per farci affiancare da un avvocato esperto in privacy per il resto del processo, magari si fa prima a comprare una stampante e procedere col cartaceo.

Spero che questo articolo ti sia stato utile, anche per comprendere il discorso dell’accettazione e del trattamento dei dati dei pazienti.

Grazie per aver letto, a presto!