Separare finalità e basi giuridiche
Una struttura sanitaria tratta informazioni identificative, anamnesi, referti, immagini, prescrizioni, appuntamenti e dati amministrativi. Il fatto che il trattamento avvenga in ambito di cura non rende automaticamente lecita ogni ulteriore utilizzazione. Per ciascuna finalità il titolare deve individuare una base dell’articolo 6 GDPR e, quando tratta dati sulla salute, una condizione applicabile dell’articolo 9, oltre alle eventuali norme nazionali pertinenti.
Assistenza, gestione della cartella, fatturazione, prevenzione, ricerca e comunicazione promozionale sono scopi diversi. Una mappa per finalità aiuta a evitare informative generiche e riusi incompatibili. Il consenso non va scelto come risposta standard: occorre verificare quale base sia appropriata per quel trattamento e quel contesto.
Conoscere flussi e ruoli
Per ogni processo conviene identificare chi decide scopi e mezzi, quali persone accedono ai dati, dove transitano le informazioni e quali fornitori intervengono. Software di prenotazione, laboratorio esterno, cloud, telemedicina e servizi di assistenza possono avere ruoli differenti. Il contratto e le istruzioni operative devono riflettere il ruolo effettivo; l’etichetta scelta nel contratto non risolve da sola la qualificazione.
Il registro dei trattamenti, le informative, gli accordi con responsabili e le autorizzazioni interne devono descrivere lo stesso processo. Le divergenze sono segnali utili: possono rivelare un nuovo flusso, un accesso non più necessario o un servizio che richiede una verifica ulteriore.
Limitare accessi e dati
La minimizzazione riguarda dati raccolti, conservati e resi visibili. Un professionista deve poter consultare ciò che serve al compito autorizzato; personale amministrativo e tecnico può avere necessità diverse. Profili per ruolo, autenticazione adeguata, tracciamento degli accessi, procedure di cessazione delle utenze e verifiche sui log trasformano il principio di riservatezza in attività controllabili.
La sicurezza richiede misure proporzionate ai rischi e una valutazione che consideri disponibilità e integrità insieme alla riservatezza. In una struttura sanitaria un’interruzione può incidere sulla continuità del servizio: backup, ripristino e gestione degli incidenti vanno quindi coordinati con i responsabili dei processi clinici.
Rendere il programma verificabile
La direzione può assegnare un referente a ogni trattamento, definire chi aggiorna documenti e autorizzazioni e stabilire quando riesaminare fornitori, rischi e tempi di conservazione. Il DPO offre consulenza e sorveglianza indipendente nei limiti del suo ruolo. Il titolare conserva la responsabilità delle decisioni e deve poter mostrare perché ha scelto misure e basi giuridiche. Un controllo campionario su un percorso concreto spesso fa emergere più problemi di un riesame solo formale dei documenti.