Checklist GDPR per
studi e cliniche

Sì, quasi sempre, anche se il registro in sé non è una pratica da depositare presso qualcuno ma un documento interno. Il GDPR esonera le organizzazioni più piccole, ma l'esenzione non si applica quando il trattamento non è occasionale o quando include categorie particolari di dati. Una clinica tratta dati sanitari per definizione, e uno studio tratta in modo abituale e non occasionale i dati dei propri clienti, quindi entrambi restano fuori dall'esenzione per dimensione. In pratica il registro deve elencare quali dati si trattano, per quale finalità, con quale base giuridica, a chi vengono comunicati se lo sono, e per quanto tempo vengono conservati. Non va presentato a nessuno salvo che lo chieda l'autorità di controllo in un'ispezione, ma senza di esso non c'è modo di dimostrare che il resto della conformità poggia su una base ordinata.

Nelle cliniche, spesso sì. La normativa spagnola lo impone ai centri sanitari obbligati per legge a tenere cartelle cliniche, con un'eccezione esplicita per il professionista sanitario che esercita a titolo individuale senza una struttura alle spalle. Negli studi legali, nelle società di consulenza o negli studi di commercialisti di solito non è obbligatorio per elenco tassativo, anche se può esserlo se il volume o il tipo di trattamento lo giustificano: uno studio individuale non è la stessa cosa di uno studio con decine di clienti e diversi dipendenti che accedono ai loro dati. È esattamente la domanda da porre al consulente legale e non al fornitore informatico: noi possiamo dirLe se i Suoi sistemi soddisfano le condizioni tecniche perché qualcuno svolga questa funzione, ma se la figura sia obbligatoria nel Suo caso concreto, e chi debba ricoprirla, è una valutazione legale che dipende da come è organizzata l'attività.

Sì: il contratto con il responsabile del trattamento richiesto dall'articolo 28 del GDPR, oltre al normale contratto di servizio. Se qualcuno accede ai Suoi sistemi, e quindi a dati di pazienti o clienti, deve essere regolato che cosa può fare con quei dati, per quale finalità, quale riservatezza si esige dal suo personale e che cosa succede quando il rapporto finisce. Non vale solo per il fornitore informatico: vale allo stesso modo per l'hosting dove risiedono il sito o la posta, per il gestionale in cloud usato ogni giorno, per lo studio del commercialista se tratta anche altri dati, e per l'azienda che distrugge la documentazione cartacea. Chiunque tra questi tocchi dati personali ha bisogno di quel contratto firmato. È frequente trovare studi con tutta la parte giuridica in ordine e nemmeno un contratto di questo tipo firmato con chi ha il maggiore accesso tecnico ai loro sistemi.

La normativa statale spagnola fissa un minimo di cinque anni dalla dimissione di ciascun episodio assistenziale, e le comunità autonome possono estendere il termine: in Catalogna i periodi di conservazione sono più lunghi, quindi conviene confermarli con il proprio consulente legale prima di distruggere qualsiasi cartella clinica, senza fidarsi di una cifra generica trovata su internet. Ma dal lato informatico il vero problema quasi non è mai quello che preoccupa: quasi nessuno cancella troppo o distrugge prima del tempo. Di solito succede il contrario: si conserva a tempo indeterminato perché il disco ha spazio e nessuno ha mai fissato un termine né una procedura per applicarlo. Anche questa è una violazione, anche se non sembra: conservare dati sanitari più a lungo del dovuto aumenta inutilmente la quantità di informazioni sensibili da proteggere e che si possono perdere se qualcosa va storto nel sistema.

Per ricordare che l'appuntamento è alle cinque, con moderazione e senza citare il motivo della visita, molti lo usano senza grossi problemi. Per inviare referti, analisi, atti o qualsiasi documento della pratica, non è un canale adatto: finisce su un cellulare personale, viene copiato automaticamente in un cloud che l'azienda non controlla e resta nella cronologia di un dispositivo che si presta, si cambia o si perde senza che nessuno lo cancelli prima. Se un paziente o un cliente chiede di ricevere documentazione, deve passare per un canale che l'azienda possa controllare e che lasci traccia di chi l'ha inviata e quando: un'email aziendale, il gestionale stesso se ha una messaggistica, oppure un link di download con scadenza. La comodità di un cellulare personale non compensa la perdita di controllo su dove finiscono informazioni così delicate.

Documentarla sempre, qualunque sia la sua gravità, e notificarla all'autorità di controllo (in Spagna l'AEPD) entro 72 ore se è probabile che comporti un rischio per i diritti delle persone coinvolte. Un'email inviata con trenta pazienti in copia visibile è una violazione anche se poi nessuno ha fatto nulla con quei dati; lo è anche un portatile non cifrato smarrito, perfino se ricompare il giorno dopo senza essere stato aperto. Ciò che mette in difficoltà la maggior parte di studi e cliniche non è tanto la violazione in sé quanto scoprire, proprio nel momento dello spavento, che nessuno sapeva con chiarezza chi decide se notificare, chi scrive la comunicazione e chi va avvisato per primo. Averlo messo per iscritto in anticipo, anche solo in una pagina, fa la differenza tra risolvere in un giorno e passare una settimana senza sapere nemmeno se bisogna chiamare qualcuno.

No, e basarsi solo sul consenso è un errore frequente che per di più complica le cose. L'assistenza sanitaria ha una propria base giuridica nel GDPR, e buona parte del trattamento dei dati in uno studio si regge sull'obbligo legale o sul rapporto contrattuale con il cliente, non su un consenso da richiedere. Il consenso serve specificamente per ciò che resta fuori da queste basi: inviare comunicazioni commerciali, pubblicare una fotografia, comunicare dati a un terzo che non interviene nella prestazione del servizio. Chiederlo per tutto, compresa l'assistenza stessa, non aggiunge tutela: diluisce il consenso reale tra firme di routine che nessuno legge, e questo rende più difficile dimostrare che il consenso che conta davvero, quando serve, è stato dato in modo libero e informato.

No. L'obbligo di informativa — il cartello in sala d'attesa, la clausola nel modulo, il paragrafo in calce all'email — è il punto più visibile e anche il più facile da rispettare, proprio perché non richiede di cambiare nulla nel funzionamento quotidiano. È solo una verifica tra tante. Ciò che l'autorità controlla quando arriva un reclamo reale sono gli accessi, cioè chi ha potuto vedere un dato specifico, la tracciabilità di quegli accessi, l'esistenza dei contratti con i fornitori che toccano i sistemi, e se i backup esistono davvero e si possono ripristinare. Un cartello impeccabile all'ingresso con la password del gestionale scritta su un post-it attaccato al monitor della reception non protegge nulla: rispetta la parte che si vede e fallisce quella che conta davvero quando qualcosa va storto.