Privacy e sicurezza del gestionale sanitario: i controlli che contano

Quando metti i dati dei pazienti in un gestionale, la legge assegna i ruoli così: tu, o lo studio, sei il titolare del trattamento e decidi perché e come i dati vengono usati; il fornitore che li tratta per tuo conto è il responsabile. La conformità quindi non si compra con il software: una parte degli obblighi resta tua per definizione.

La buona notizia è che i controlli davvero importanti sono pochi e concreti: i documenti che devono esserci, chi può vedere che cosa, dove vanno i dati, che cosa succede in caso di incidente e come si esce dal servizio.

• Prima del contratto: chiedi la nomina a responsabile, la descrizione del servizio reale e prova gli accessi con dati fittizi
• Durante l'uso: profili personali per ciascun operatore e regole chiare per gli accessi dell'assistenza
• Se qualcosa va storto: sappi già chi avvisa chi, con quali tempi e con quali informazioni

Chi fa cosa: tu titolare, il fornitore responsabile

Il titolare decide finalità e mezzi essenziali del trattamento: quali dati raccogliere, per farne che cosa, per quanto tenerli. Il responsabile li tratta per conto del titolare, seguendo le sue istruzioni. Nel caso tipico dello studio tu sei il titolare e il fornitore del gestionale è il responsabile; lo stesso fornitore può avere ruoli diversi per servizi diversi.

La distinzione non è burocrazia: stabilisce chi risponde di che cosa. Se il fornitore usa i dati dei tuoi pazienti per scopi propri, non sta facendo il responsabile: chiarisci la posizione prima di firmare.

I documenti che devono esserci

Tre documenti formano il minimo indispensabile; se ne manca uno, fermati prima di importare dati.

• Nomina a responsabile (articolo 28 GDPR): il contratto con cui incarichi il fornitore: deve descrivere il servizio reale — istruzioni, sicurezza, sub-fornitori, assistenza per i diritti degli interessati, restituzione e cancellazione — non ricopiare il regolamento
• Informativa ai pazienti aggiornata: deve riflettere il trattamento reale, gestionale e fornitori compresi; se cambi sistema in modo rilevante, aggiornala
• Registro dei trattamenti: l'elenco dei trattamenti dello studio con finalità, categorie di dati, destinatari e misure: è anche la mappa che dice dove sono i dati quando serve

Chi vede che cosa: accessi e assistenza

Traduci i compiti in profili: la segreteria vede l'agenda ma non i diari clinici, l'amministrazione vede le fatture, ogni operatore ha il suo account personale. Prova i profili con dati fittizi prima dell'avvio: che cosa può leggere, modificare, esportare e cancellare ciascuno.

Accessi personali, recupero delle credenziali, cambio di ruolo e revoca vanno provati, non presunti: un account condiviso di segreteria rende anonimo qualsiasi errore.

Dove vanno i dati

Chiedi l'elenco dei sub-fornitori — chi ospita i server, chi fa assistenza, chi gestisce i backup — dove sono trattati i dati e come vieni informato se l'elenco cambia. La sede italiana del venditore non basta: contano i luoghi reali di server, copie e accessi remoti.

Se qualche anello della catena sta fuori dall'Unione europea, servono le garanzie previste per i trasferimenti: fattele mettere per iscritto, con l'indicazione dello strumento usato.

Se succede un incidente

In caso di violazione dei dati personali — un accesso abusivo, un ransomware, un portatile perso — il fornitore deve avvisarti senza ingiustificato ritardo; tu, come titolare, valuti se notificare il Garante entro settantadue ore e se informare i pazienti. Sono decisioni tue, non del fornitore.

Prepara il percorso prima che serva: un contatto presidiato del fornitore, le prime informazioni che deve darti e una prova di ripristino recente. La scritta «backup incluso» da sola non dice nulla: chiedi che cosa è stato recuperato nell'ultima prova e in quanto tempo.

L'uscita dal servizio

Prima di firmare prova un'esportazione con dati fittizi: documenti, allegati e metadati devono uscire in un formato leggibile e riutilizzabile, con tempi e costi scritti nel contratto. Il giorno in cui vuoi cambiare fornitore non deve essere il giorno in cui scopri che l'export è incompleto.

Alla fine del rapporto il fornitore restituisce o cancella i dati secondo le tue istruzioni, salvo conservazioni imposte dalla legge. La chiusura è completa quando hai verificato l'export nel nuovo ambiente, revocato accessi e integrazioni e ottenuto conferma scritta della cancellazione.