Quando è meglio farsi valutare
Sì: l’agenda online si può attivare in modo lecito, ma la prenotazione è un dato relativo alla salute (art. 4, n. 15, GDPR) e la responsabilità resta al medico Titolare anche con un software di terzi. Per le visite legate alla cura la base giuridica è l’art. 9, par. 2, lett. h, non il consenso; restano dovuti informativa, registro dei trattamenti, contratto con il Responsabile ex art. 28 e misure di sicurezza ex art. 32. In caso di violazione la notifica al Garante scatta entro 72 ore se sussiste un rischio per i pazienti (art. 33, par. 1).
La piattaforma compare tra i trattamenti soggetti a DPIA nell’elenco adottato dal Garante con provvedimento dell’11 ottobre 2018: la valutazione d’impatto ex art. 35 va completata prima di pubblicare la pagina di prenotazione; Dopo un’esposizione dell’agenda non riuscite a escludere un rischio per i pazienti: la notifica al Garante entro 72 ore è la condotta prevista (art. 33, par. 1) e, se il rischio è alto, va comunicato anche agli interessati (art. 34); Il fornitore non mette per iscritto contratto ex art. 28, localizzazione dei server e log di accesso: senza documenti la conformità non è dimostrabile secondo il principio di accountability (art. 5, par. 2).
Attivare un software di prenotazioni online per lo studio medico significa pubblicare sul web un registro di dati sulla salute: la pagina che fissa una visita rivela anche il motivo per cui il paziente ne ha bisogno, e chi vi accede senza controlli lo legge. Il tema privacy non si scarica sul fornitore: la responsabilità resta a voi, Titolari del trattamento, anche quando la piattaforma è di un servizio esterno. Vediamo come impostare il servizio nel rispetto del GDPR: obblighi da adempiere prima dell’attivazione, misure di sicurezza minime e la procedura da seguire se l’agenda finisce esposta.
Le prenotazioni online sono già dati sulla salute?
Sì: anche il solo appuntamento è un dato relativo alla salute. Il tipo di prestazione prenotata rivela la condizione clinica del paziente, e il GDPR qualifica espressamente come dati relativi alla salute anche le informazioni sulla prestazione di servizi sanitari (Regolamento UE 2016/679, art. 4, n. 15). Il divieto generale è formulato dall’art. 9, par. 1, in questi termini:
«È vietato trattare dati personali atti a rivelare l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici atti a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale di una persona fisica.»
Il trattamento diventa lecito solo alle condizioni del par. 2, che trovate nella sezione sulla base giuridica. Prima conviene però vedere dove, in pratica, un’agenda online finisce esposta:
- Prenotazione senza login: chiunque conosca l’indirizzo della pagina vede orari e tipi di visita degli altri pazienti.
- Conferme con dettagli: l’email o l’SMS riporta specialità o motivo della visita, leggibile da chiunque abbia accesso al telefono o alla casella del paziente.
- Campi note liberi: la segreteria annota «controllo neo» o «prima consulenza» in un campo visibile a tutto lo staff.
- Link di conferma condivisibili: un URL che mostra l’appuntamento senza autenticazione può essere inoltrato o restare nella cronologia del browser.
Nessuno di questi scenari è teorico: bastano impostazioni predefinite lasciate al loro posto. Per la natura giuridica di queste informazioni si veda la nostra guida su la classificazione dei dati sensibili in sanità secondo il GDPR.
Voi siete i Titolari del trattamento, anche con un software di terzi
Delegare il trattamento non significa delegare la responsabilità. Le finalità e i mezzi della prenotazione li decide lo studio: l’agenda online esiste perché voi volete gestire gli appuntamenti in un certo modo. Il fornitore esegue, voi rispondete.
Titolare e Responsabile: chi risponde di cosa
I due ruoli si distinguono con precisione:
- Titolare del trattamento: chi decide finalità e mezzi; nella prenotazione online è lo studio medico, cioè voi.
- Responsabile del trattamento: chi tratta i dati per conto del Titolare, su istruzioni documentate, come il fornitore della piattaforma (art. 28 GDPR).
Il principio di accountability ex art. 5, par. 2, vi chiede di dimostrare la conformità con documenti: registro, contratto, misure adottate. La buona fede non è una prova.
Perché le dimensioni dello studio non contano
Il medico singolo è Titolare a tutti gli effetti, senza esenzioni per gli studi piccoli: informativa, registro e contratto col fornitore sono dovuti anche con cinque pazienti al giorno. La dimensione incide sul grado di rischio e sulle misure adeguate, non sull’esistenza degli obblighi. Il punto ha anche un peso economico: la violazione del divieto di trattamento ex art. 9 rientra nel tetto sanzionatorio massimo di 20 milioni di euro o 4% del fatturato mondiale annuo (art. 83, par. 5, GDPR), mentre le irregolarità su contratto e misure di sicurezza cadono sotto il tetto inferiore, fino a 10 milioni di euro o al 2% (art. 83, par. 4).
Gli obblighi da adempiere prima di aprire l’agenda online
Prima di pubblicare la pagina di prenotazione, tre adempimenti vanno sistemati in sequenza: base giuridica e informativa, registro e valutazione d’impatto, contratto con il Responsabile.
Base giuridica e informativa: serve il consenso esplicito?
No: per la prenotazione legata alla cura la base giuridica non è il consenso, ma la necessità di trattare i dati per finalità di medicina preventiva, diagnosi, assistenza sanitaria o gestione dei servizi sanitari (art. 9, par. 2, lett. h, GDPR). Un consenso separato per fissare una visita non è richiesto e rischia solo di confondere il paziente.
Serve invece trasparenza: l’informativa deve spiegare in linguaggio comprensibile finalità, tempi di conservazione e destinatari, ed essere resa al momento della raccolta (artt. 12 e 13 GDPR). Se i dati di prenotazione arrivano da terzi, per esempio da un altro specialista che indirizza il paziente, si aggiunge l’obbligo ex art. 14.
Registro dei trattamenti e valutazione d’impatto
Il registro ex art. 30 deve descrivere il flusso reale dell’agenda online: quali dati raccoglie, dove risiedono, chi vi accede, per quanto tempo. Un template generico che non menziona le prenotazioni lascia fuori un trattamento che esiste.
Quanto alla valutazione d’impatto (DPIA) ex art. 35, le Linee guida WP248 del Gruppo di lavoro Articolo 29 (2017, recepite dall’EDPB) indicano che la presenza congiunta di due criteri di rischio, ad esempio dati di categorie particolari insieme all’uso di nuove tecnologie, rende in linea generale necessaria la valutazione. In caso di dubbio, confrontate la piattaforma con l’elenco dei trattamenti soggetti a DPIA adottato dal Garante per la protezione dei dati personali con provvedimento dell’11 ottobre 2018.
Il contratto con il Responsabile: contenuti minimi
Il rapporto col fornitore va messo per iscritto prima dell’attivazione, non dopo il primo problema. L’art. 28, par. 3, fissa i contenuti minimi:
- Istruzioni documentate: il fornitore tratta i dati solo su istruzioni dello studio, compresi i criteri di cancellazione.
- Riservatezza: obbligo vincolante per tutto il personale autorizzato.
- Misure di sicurezza: adeguate al rischio secondo l’art. 32.
- Sub-responsabili: nessuna modifica senza autorizzazione preventiva e specifica del Titolare.
- Assistenza: supporto nel rispondere ai pazienti, nel gestire le violazioni e nella restituzione dei dati a fine contratto.
Le misure di sicurezza minime dell’agenda online (art. 32)
Se scegliete un software di prenotazione online per lo studio medico, la privacy non è un dettaglio da lasciare al fornitore: l’art. 32 vi obbliga a scegliere misure adeguate al rischio e a saperle dimostrare. Vanno progettate in anticipo, non aggiunte dopo: è la logica del privacy by design ex art. 25 GDPR.
Sicurezza tecnica
- Autenticazione del paziente: nessun appuntamento esistente si mostra o si modifica senza verifica dell’identità.
- Cifratura in transito e a riposo: connessione protetta su tutte le pagine e dati conservati cifrati, non in chiaro nel database.
- Log di accesso: ogni consultazione e ogni modifica tracciata con utente, data e operazione.
- Hosting e backup: server nello Spazio economico europeo (UE più Norvegia, Islanda e Liechtenstein) e copie di backup verificate periodicamente.
La nostra checklist delle misure di sicurezza GDPR per i dati sanitari approfondisce i requisiti ex art. 32 punto per punto.
Sicurezza organizzativa
I permessi del personale vanno calibrati: la segreteria ha bisogno dell’agenda, non della cartella clinica, e ogni utente opera con un profilo nominativo. Vale la minimizzazione ex art. 5, par. 1, lett. c): il modulo di prenotazione raccoglie solo i campi necessari, non l’anamnesi. Restano da definire i tempi di conservazione, che stabiliscono dopo quanto eliminare i dati di un appuntamento annullato.
L’agenda finisce esposta: serve notificare il Garante?
Sì, quando la violazione può comportare un rischio per i diritti e le libertà dei pazienti: la notifica va inviata entro 72 ore dalla presa d’atto (art. 33, par. 1, GDPR). Solo se è improbabile che la violazione presenti un rischio la notifica può essere omessa, ma la decisione di non notificare va comunque documentata, perché spetta al Titolare dimostrarne la fondatezza (art. 5, par. 2). Se invece il rischio è alto, va comunicato anche ai pazienti interessati (art. 34).
Un’agenda esposta contiene tipicamente i dati di salute di molte persone: lo scenario realistico è quello del rischio elevato, non marginale. L’improvvisazione aggrava le conseguenze, quindi la procedura va scritta prima dell’incidente, con ruoli e canali definiti. La nostra guida sulla notifica al Garante in 72 ore descrive la sequenza operativa passo passo.
Le domande da porre al fornitore prima di firmare
Prima di firmare, raccogliete per iscritto le risposte del fornitore. Otto domande distinguono una piattaforma conforme da un booking generico:
- Localizzazione server: in quale Paese risiedono fisicamente i dati e se lo Spazio economico europeo è garantito a contratto.
- Autenticazione paziente: come viene verificata l’identità prima di mostrare o modificare un appuntamento.
- Cifratura dati: in transito e a riposo, con riferimenti tecnici verificabili e non solo affermazioni commerciali.
- Log di accesso: che cosa registrano, per quanto tempo e se sono esportabili per un audit.
- Contratto scritto: esiste l’atto di nominazione ex art. 28, con l’elenco aggiornato dei sub-responsabili.
- Tempi di cancellazione: dopo quanto tempo vengono eliminate le prenotazioni annullate o non confermate.
- Gestione violazioni: entro quanto tempo il fornitore vi avvisa di un incidente e attraverso quale canale.
- Restituzione dati: in caso di cessazione del servizio, in quale formato riottenete i dati e come vengono cancellati.
Chiedete documenti, contratto, policy, esiti dei test, non rassicurazioni a voce: un fornitore serio ha già tutto pronto.
Il Portale Paziente come prova di conformità
Un’agenda online integrata nel gestionale dello studio, anziché una piattaforma esterna assemblata a parte, riduce la distanza tra obblighi e strumenti: autenticazione, tracciabilità degli accessi, cifratura e hosting restano sotto il controllo del Titolare. Il Portale Paziente con prenotazioni online e referti di Medaid funziona su questo impianto: le prenotazioni confluiscono nell’agenda e nella cartella clinica, gli accessi sono tracciati e i referti si consultano in un ambiente autenticato, senza email e senza app consumer.
Il valore si misura in caso di verifica: contratto di nominazione, registro dei trattamenti aggiornato con il flusso delle prenotazioni, tracciabilità degli accessi. La tecnologia non sostituisce gli obblighi, li rende dimostrabili.
La conformità non è un adempimento da archiviare: è la qualità professionale con cui lo studio merita la fiducia di chi affida i propri dati. Se state valutando l’agenda online, o volete verificare quella già attiva, prenotate un colloquio con il team Medaid.
