La polizza assicurativa del medico copre anche il rischio informatico?

Un attacco informatico blocca i sistemi dell'ospedale, impedisce di consultare la cartella clinica o ritarda un esame diagnostico. Se un paziente subisce un danno, il medico può contare sulla propria assicurazione professionale? La risposta non è scontata: alcune polizze escludono espressamente il rischio cyber.

I medici sono sempre più abituati a utilizzare strumenti digitali nell'attività quotidiana. Cartelle cliniche elettroniche, piattaforme di telemedicina, sistemi diagnostici e dispositivi collegati alle reti ospedaliere sono ormai indispensabili per l'assistenza.

Ma cosa accade quando questi strumenti smettono improvvisamente di funzionare a causa di un attacco informatico?

Oltre alle difficoltà operative, può emergere un problema che molti sanitari non hanno considerato al momento della sottoscrizione della polizza: la copertura assicurativa della responsabilità professionale potrebbe non comprendere i danni derivanti dalla violazione dei sistemi informatici.

Un esempio: il paziente subisce un danno durante il blocco dei sistemi

Immaginiamo che un attacco informatico renda temporaneamente indisponibili le cartelle cliniche elettroniche e i risultati degli esami di laboratorio.

Un medico deve assistere un paziente in condizioni critiche, ma non può consultare alcune informazioni necessarie per le proprie valutazioni.

Il trattamento subisce un ritardo e il paziente riporta un danno.

Successivamente viene formulata una richiesta di risarcimento nei confronti della struttura sanitaria, che potrebbe coinvolgere anche il medico.

A questo punto si pongono due questioni distinte.

La prima riguarda l'eventuale responsabilità del sanitario: occorre verificare se il danno sia effettivamente riconducibile a una sua condotta colposa oppure al malfunzionamento dei sistemi e alle condizioni organizzative nelle quali si è trovato a operare.

La seconda riguarda l'assicurazione: se dovesse essere accertata una responsabilità del medico, la sua polizza coprirebbe anche un danno verificatosi in conseguenza dell'attacco informatico?

Non necessariamente.

La polizza per colpa grave non comprende automaticamente il rischio cyber

Molti medici dipendenti hanno sottoscritto un'assicurazione destinata a proteggerli dalle conseguenze economiche della colpa grave, soprattutto in relazione alle eventuali azioni di rivalsa della struttura sanitaria.

Tuttavia, una polizza che copre la colpa grave non garantisce indistintamente ogni possibile causa di responsabilità professionale.

Le condizioni contrattuali possono prevedere esclusioni riferite a particolari categorie di eventi.

Tra queste, in alcune polizze destinate ai sanitari, compare espressamente il cosiddetto rischio cyber, ossia il rischio connesso alla violazione dei sistemi informatici.

Si tratta di una previsione tutt'altro che trascurabile.

Un medico potrebbe infatti essere assicurato per un errore diagnostico o terapeutico commesso nell'ordinaria attività professionale, ma incontrare una specifica esclusione qualora il danno venga ricondotto a un attacco informatico.

Naturalmente, l'applicazione della clausola dipende dal suo contenuto e dalle circostanze del caso concreto.

Non è sufficiente che un danno si verifichi durante un'emergenza informatica per ritenere automaticamente esclusa la copertura: occorre verificare il rapporto tra il danno contestato e il rischio che il contratto dichiara di non assicurare.

Se la polizza non parla di rischio informatico, il medico è coperto?

Nemmeno questa conclusione può essere data per scontata.

L'assenza di un'esclusione espressa non equivale necessariamente a una garanzia specifica.

Occorre verificare quali responsabilità siano comprese nell'assicurazione, quali danni siano garantiti e se le condizioni contrattuali contemplino anche le conseguenze dell'interruzione o della compromissione dei sistemi informatici.

Il problema può diventare particolarmente delicato quando la richiesta di risarcimento riguarda un danno alla salute, ma l'evento iniziale è costituito dal blocco di un'infrastruttura tecnologica.

Il medico dovrebbe quindi evitare di presumere che la normale copertura di responsabilità professionale sia sufficiente anche per il rischio informatico.

È preferibile ottenere dalla compagnia un chiarimento scritto sull'effettiva estensione della garanzia.

La copertura per la privacy protegge anche dai danni di un attacco informatico?

Un altro equivoco riguarda le garanzie assicurative relative alla protezione dei dati personali.

Alcune polizze prevedono una copertura per determinate perdite patrimoniali derivanti dalla sottrazione, perdita o divulgazione non autorizzata di dati sanitari.

Questa garanzia, tuttavia, non deve essere confusa con una copertura generale del rischio cyber.

La diffusione non autorizzata di informazioni personali è una cosa; il danno alla salute provocato dal ritardo di una prestazione sanitaria a causa del blocco informatico è un'altra.

Anche quando la polizza comprende determinate violazioni della privacy, possono rimanere esclusi i danni riconducibili agli attacchi ai sistemi informatici.

Prima di considerarsi assicurato, il medico deve verificare non soltanto l'esistenza della garanzia, ma anche quali eventi e quali conseguenze siano effettivamente coperti.

E se l'ospedale dispone di una propria assicurazione cyber?

La struttura sanitaria potrebbe avere sottoscritto una polizza specifica contro i rischi informatici.

Questo tipo di assicurazione può prevedere, secondo il contratto, garanzie relative al ripristino dei sistemi, ai costi di gestione dell'incidente e alla responsabilità per determinati danni causati a terzi.

Tuttavia, l'esistenza di una polizza cyber dell'ospedale non dimostra automaticamente che sia assicurata anche l'eventuale responsabilità personale del medico.

Per questo motivo è importante distinguere tra la protezione del patrimonio della struttura e la tutela del professionista sanitario.

Occorre inoltre considerare che la struttura potrebbe avere una polizza cyber e una diversa copertura per la responsabilità sanitaria.

Qualora il danno presenti caratteristiche riconducibili a entrambe, potrebbero sorgere controversie sull'individuazione della garanzia applicabile.

E le spese per difendersi?

Il problema assicurativo non riguarda soltanto l'eventuale risarcimento.

Se il medico viene coinvolto in un procedimento civile o penale, potrebbe avere necessità di nominare un difensore e, nei casi più complessi, un consulente tecnico.

Anche in questo caso non bisogna confondere l'assicurazione della responsabilità civile con quella di tutela legale.

Alcune polizze di tutela legale prevedono che la copertura delle spese per resistere alle richieste risarcitorie operi soltanto dopo l'esaurimento delle somme dovute dall'assicuratore della responsabilità civile.

Se quest'ultima garanzia non opera a causa di un'esclusione contrattuale, possono sorgere difficoltà anche nell'attivazione della tutela legale per la controversia civile.

Diversa è la questione dell'eventuale difesa penale, la cui copertura deve essere verificata sulla base delle specifiche condizioni della relativa polizza.

È quindi importante che il medico conosca preventivamente non soltanto i rischi assicurati, ma anche le condizioni per ottenere il pagamento delle spese difensive.

Che cosa dovrebbe verificare il medico nella propria polizza?

La verifica può partire da alcune domande molto concrete:

1. Esiste una clausola che esclude espressamente il rischio cyber o i danni derivanti dalla violazione dei sistemi informatici?
2. La copertura comprende i danni alla salute causati dall'indisponibilità di cartelle cliniche, sistemi diagnostici o dispositivi medici?
3. L'assicurazione opera anche nell'eventualità di una rivalsa della struttura sanitaria collegata a un incidente informatico?
4. Le garanzie relative alla privacy riguardano soltanto le perdite patrimoniali oppure comprendono anche altre conseguenze dell'attacco?
5. La tutela legale rimane operante se l'assicurazione della responsabilità civile esclude il sinistro?

Quando le condizioni contrattuali non consentono di dare risposte chiare, è opportuno rivolgersi alla compagnia o all'intermediario e richiedere un chiarimento scritto, prima che si verifichi un evento dannoso.

La conclusione: non basta essere assicurati, bisogna sapere per quali rischi

L'impiego quotidiano di tecnologie digitali rende il rischio informatico un problema sempre più vicino all'attività dei professionisti sanitari.

Ciò non significa che ogni medico debba necessariamente sottoscrivere una polizza cyber autonoma. La necessità di una copertura aggiuntiva dipende dall'attività svolta, dalle responsabilità concretamente assunte e dalle garanzie già esistenti.

Significa, però, che non si può considerare automaticamente assicurato un rischio soltanto perché potrebbe avere conseguenze sulla responsabilità professionale del medico.

Se la polizza esclude espressamente i danni derivanti dalla violazione dei sistemi informatici, tale previsione può incidere in modo determinante sulla tutela economica dell'assicurato.

La verifica preventiva delle condizioni di assicurazione permette di individuare eventuali scoperture e di valutare se siano necessarie garanzie ulteriori.

Lo Studio Legale Pisano e Coppola, anche attraverso il progetto A.P.iM. – Avvocati per i Medici, dedica particolare attenzione alla tutela dei professionisti sanitari e all'analisi delle coperture assicurative, con l'obiettivo di individuare le possibili criticità prima che si trasformino in un problema concreto.

Prima capiamo, poi se serve ci difendiamo.



Il presente articolo ha finalità informative. L'effettiva operatività delle garanzie assicurative richiede sempre l'esame delle condizioni contrattuali applicabili al singolo caso.