GDPR per nutrizionisti: come gestire i dati dei pazienti

1. I dati dei tuoi pazienti sono dati sanitari

Questo articolo è informativo e non sostituisce una consulenza legale. Per la tua situazione specifica rivolgiti al tuo ordine professionale o a un consulente privacy.

Il Regolamento europeo sulla protezione dei dati (GDPR) tratta in modo particolare alcune categorie di informazioni. L'articolo 9 le chiama categorie particolari di dati personali e tra queste ci sono i dati relativi alla salute.

Nel lavoro di un nutrizionista o di un dietista rientrano in questa categoria non solo diagnosi e referti, ma anche anamnesi, allergie e intolleranze, farmaci, misure antropometriche e di composizione corporea, il diario alimentare e lo stesso piano, quando sono legati a una persona identificabile. Per questi dati il GDPR prevede regole più stringenti e richiede particolare attenzione alla sicurezza.

2. Titolare, informativa e base giuridica

Quando raccogli e usi i dati dei tuoi pazienti per la tua attività, sei tu il titolare del trattamento: decidi perché e come vengono trattati, e sei tu a rispondere del rispetto delle regole. Se lavori in uno studio associato o in una struttura, chi sia il titolare va chiarito caso per caso.

Al paziente va fornita un'informativa privacy chiara e comprensibile, prima o al momento della raccolta dei dati. In genere deve indicare almeno:

• ✓chi è il titolare e come contattarlo;
• ✓per quali finalità usi i dati e su quale base giuridica;
• ✓a chi possono essere comunicati, compresi i fornitori di servizi che li trattano per tuo conto;
• ✓per quanto tempo li conservi;
• ✓quali diritti ha il paziente e come esercitarli, compreso il reclamo all'autorità di controllo.

La base giuridica è il punto più delicato. Per i dati sanitari il GDPR prevede diverse condizioni possibili, e la necessità o meno di un consenso esplicito dipende dalla finalità del trattamento: la cura del paziente è una cosa, l'invio di newsletter o l'uso di dati per scopi promozionali un'altra. Qual è la base corretta nel tuo caso, e quando serve un consenso specifico, va verificato con il tuo ordine o associazione professionale o con un consulente privacy.

Non confondere l'informativa privacy con il consenso informato alla prestazione: sono due documenti diversi, con scopi diversi. Spesso vengono consegnati insieme, ma vanno tenuti distinti.

3. Raccogliere solo ciò che serve

Il principio di minimizzazione chiede di trattare solo i dati adeguati, pertinenti e limitati a quanto necessario per la finalità. In pratica:

• ✓Rivedi il questionario anamnestico: ogni domanda deve servire a impostare o seguire il percorso nutrizionale.
• ✓Non chiedere copie di documenti o esami che non userai.
• ✓Evita campi liberi in cui finiscono informazioni non necessarie, o rileggili con questo criterio.
• ✓Se usi dati per statistiche o per migliorare il servizio, valuta se possono essere anonimi o aggregati.

4. Le misure di sicurezza di base

Il GDPR non elenca misure obbligatorie uguali per tutti, ma chiede misure adeguate al rischio. Per un piccolo studio che tratta dati sanitari, alcune buone pratiche sono il minimo:

1. 1

   Password robuste e diverse

   Password lunghe, diverse per ogni servizio, conservate in un gestore di password. Dove è disponibile, attiva la verifica in due passaggi.

2. 2

   Accesso solo a chi serve

   Collaboratori e segreteria devono vedere solo i dati necessari al loro lavoro, con credenziali personali e mai condivise. Quando qualcuno smette di collaborare, il suo accesso va chiuso subito.

3. 3

   Attenzione a chat ed email

   Evita di scambiare referti, esami o piani nelle chat personali o con email non protette. Meglio un canale dedicato, come un portale per i pazienti. Se usi l'email, controlla bene il destinatario e limita i dati sanitari nel testo.

4. 4

   Dispositivi protetti

   Computer, tablet e telefono con blocco schermo, sistema aggiornato e disco cifrato. Un portatile rubato con il disco cifrato è un problema molto minore di uno senza.

5. 5

   Backup

   Copie di sicurezza regolari, protette e verificate di tanto in tanto: un backup che non si riesce a ripristinare non serve. Anche le copie contengono dati sanitari e vanno protette allo stesso modo.

6. 6

   Carta

   Cartelle e moduli cartacei in armadi chiusi, non lasciati sulla scrivania durante le visite di altri pazienti, e distrutti in modo sicuro quando non servono più.

5. I fornitori di software: responsabili del trattamento

Se usi un gestionale in cloud, un servizio di email, di archiviazione o di videochiamata che tratta dati dei tuoi pazienti per tuo conto, quel fornitore è in genere un responsabile del trattamento ai sensi dell'articolo 28 del GDPR. Il rapporto va regolato da un contratto o accordo sul trattamento dei dati (spesso chiamato DPA) e sei tu, come titolare, a dover scegliere fornitori che offrano garanzie adeguate.

Prima di affidare i dati a un software, chiedi:

• ✓Dove sono conservati i dati? Server nell'Unione Europea semplificano molto la situazione rispetto ai trasferimenti verso paesi terzi.
• ✓C'è un accordo sul trattamento dei dati (DPA) e quali sub-responsabili vengono utilizzati?
• ✓Come sono protetti gli accessi e chi, dal lato del fornitore, può vedere i dati?
• ✓Vengono registrati gli accessi e le operazioni principali?
• ✓Come si esportano i dati e cosa succede in caso di disdetta: entro quanto tempo vengono cancellati?
• ✓Come e in quanto tempo il fornitore ti avvisa in caso di violazione dei dati?

6. Conservazione e diritti dei pazienti

I dati vanno conservati per il tempo necessario alle finalità per cui li hai raccolti, e indicato nell'informativa. Per la documentazione clinica possono esistere obblighi o indicazioni specifiche sui tempi di conservazione: stabilisci una politica chiara con l'aiuto del tuo ordine o di un consulente, e applicala anche ai pazienti che non segui più.

Il paziente ha diversi diritti sui propri dati, che puoi ricevere anche in modo informale, per esempio con una semplice email:

• ✓Accesso: sapere quali dati tratti e riceverne copia.
• ✓Rettifica: correggere dati inesatti o incompleti.
• ✓Cancellazione: non è un diritto assoluto. Possono prevalere, per esempio, obblighi di legge o la necessità di conservare la documentazione clinica; in quei casi spiega al paziente cosa viene conservato e perché.
• ✓Limitazione, opposizione e portabilità, nei casi previsti dal GDPR.

Il GDPR prevede che la risposta arrivi senza ingiustificato ritardo e, di norma, entro un mese. Prepara in anticipo una procedura semplice, così non dovrai improvvisare.

7. Se qualcosa va storto: la violazione dei dati

Un computer rubato, un'email inviata al paziente sbagliato, un account violato: sono tutti possibili casi di violazione dei dati personali (data breach). Quando la violazione presenta un rischio per i diritti delle persone coinvolte, il titolare deve notificarla al Garante per la protezione dei dati personali entro 72 ore da quando ne è venuto a conoscenza. Se il rischio è elevato, vanno informati anche i pazienti interessati.

• ✓Agisci subito per limitare il danno: cambia le password, blocca il dispositivo da remoto, contatta il fornitore.
• ✓Annota cosa è successo, quali dati sono coinvolti e cosa hai fatto: le violazioni vanno documentate anche quando non serve notificarle.
• ✓Valuta il rischio e, nel dubbio, fatti aiutare da un consulente privacy senza lasciar passare il tempo utile.

E NutriMi Bene?

NutriMi Bene conserva i dati su server nell'Unione Europea, e ogni studio vede solo i propri dati. L'accesso è protetto contro i tentativi ripetuti con password sbagliate, e il portale per i pazienti offre un canale dedicato per piano, diario e messaggi, al posto delle chat personali. I pazienti possono anche eliminare da soli il proprio account.

Restano tue, come titolare, le scelte su informativa, base giuridica e conservazione. Puoi esplorare la demo gratuita, senza registrarti, o attivare 15 giorni di prova gratuita.