La privacy non è un unico modulo da firmare
Una clinica veterinaria tratta dati di proprietari e detentori degli animali, referenti, dipendenti, collaboratori, fornitori e utenti dei sistemi digitali. Anche informazioni cliniche riferite all'animale possono diventare dati personali quando sono collegate a una persona identificata o identificabile. Questo non significa che ogni dato veterinario sia automaticamente un dato sanitario della persona: perimetro, finalità e soggetti vanno valutati correttamente.
Il Regolamento (UE) 2016/679, o GDPR, non richiede di chiedere un consenso generico per tutto. Richiede invece di conoscere i trattamenti, individuare una base giuridica adeguata per ciascuna finalità, informare le persone, limitare dati e accessi, definire tempi di conservazione e adottare misure proporzionate al rischio.
La pagina GDPR e compliance di VetDesk descrive l'approccio della piattaforma e i ruoli privacy nel servizio. Questa guida ha un intento diverso: aiuta la struttura a organizzare procedure, responsabilità e controlli interni. Non è un modello legale pronto all'uso.
1. Mappare i trattamenti prima dei documenti
Il primo passo è una mappa semplice: quali dati entrano, per quale finalità, da quale canale, chi li consulta, a chi vengono comunicati, dove sono conservati e quando vengono cancellati o anonimizzati. Agenda, accettazione, cartella, fatturazione, messaggi, portale clienti, videosorveglianza, risorse umane e marketing possono avere finalità e basi giuridiche differenti.
Per ogni attività conviene annotare almeno:
- categorie di interessati e di dati;
- finalità e base giuridica valutata;
- utenti interni e destinatari esterni;
- software, archivi e dispositivi coinvolti;
- tempi o criteri di conservazione;
- misure di sicurezza e responsabile operativo;
- eventuali trasferimenti fuori dallo Spazio economico europeo.
Il registro delle attività di trattamento previsto dall'articolo 30 del GDPR è uno strumento per mantenere questo quadro aggiornato. L'eventuale esenzione per organizzazioni con meno di 250 dipendenti è limitata dalle condizioni indicate dal paragrafo 5: non va interpretata come esonero generale per tutte le piccole strutture.
2. Separare informativa, consenso e consenso clinico
L'informativa privacy spiega chi tratta i dati, per quali finalità, con quali basi giuridiche, per quanto tempo, con quali destinatari e quali diritti possono essere esercitati. Deve essere comprensibile e disponibile prima della raccolta quando i dati arrivano direttamente dall'interessato, secondo l'articolo 13 del GDPR.
Il consenso privacy è soltanto una delle possibili basi giuridiche. Se viene usato, deve essere dimostrabile, libero, specifico, informato, inequivocabile e revocabile. Caselle preselezionate o una formula indistinta per più finalità non soddisfano questi requisiti. Per esempio, l'esecuzione del servizio, gli obblighi fiscali e l'invio di comunicazioni promozionali non vanno riuniti automaticamente sotto un'unica spunta.
Il consenso informato a un trattamento o a una procedura veterinaria ha invece una funzione clinica e professionale distinta dall'autorizzazione al trattamento dei dati personali. Può essere conservato nello stesso sistema documentale, ma non va confuso con il consenso privacy. Nella cartella clinica veterinaria digitale documento, versione, data, firmatario e autore della registrazione dovrebbero restare ricostruibili.
3. Gestire versioni, firme e tempi di conservazione
Informative e moduli cambiano. Conservare soltanto l'ultima versione non permette di sapere quale testo fosse stato mostrato in una data precedente. Il sistema documentale dovrebbe collegare alla registrazione la versione del modulo, la data, il canale e, quando pertinente, la scelta espressa. Una revoca non cancella il fatto storico che una scelta era stata resa: deve aggiornare lo stato e interrompere gli usi futuri che dipendono da quel consenso.
I tempi di conservazione non sono uguali per ogni informazione. Documenti fiscali, rapporti contrattuali, log di sicurezza, candidature, messaggi promozionali e documenti clinici possono rispondere a regole e necessità diverse. La clinica dovrebbe definire una tabella di conservazione con base, durata o criterio, responsabile della verifica e modalità di eliminazione. “Conservare tutto per sicurezza” contrasta con i principi di minimizzazione e limitazione della conservazione.
Se una migrazione o un cambio di fornitore coinvolge l'archivio, la checklist per la migrazione dei dati aiuta a distinguere storico operativo, copie temporanee e dati da escludere.
4. Dare a ciascun ruolo gli accessi necessari
Reception, veterinari, amministrazione, direzione e collaboratori non hanno bisogno di vedere o modificare le stesse informazioni. Gli account nominativi e i permessi per ruolo aiutano a rispettare il principio di minimizzazione e a ricostruire le attività. Credenziali condivise rendono difficile capire chi ha aperto, esportato o modificato un documento.
Una procedura di gestione accessi dovrebbe coprire ingresso, cambio di mansione, assenza prolungata e cessazione. Almeno periodicamente occorre verificare utenti attivi, privilegi elevati, accessi remoti, integrazioni e dispositivi autorizzati. L'autenticazione a più fattori, quando disponibile, riduce il rischio legato al furto di password, ma non sostituisce formazione, revoca tempestiva e controllo delle esportazioni.
L'articolo 32 del GDPR richiede misure tecniche e organizzative adeguate al rischio e cita, tra gli esempi, riservatezza, integrità, disponibilità, resilienza, capacità di ripristino e verifica regolare dell'efficacia delle misure. La pagina sul software veterinario cloud propone domande da fare su accessi, backup e continuità, senza presumere che il solo uso del cloud renda un servizio conforme.
5. Valutare fornitori e responsabili del trattamento
Quando un fornitore tratta dati personali per conto della clinica, il rapporto va qualificato e, se ricorrono i presupposti, disciplinato ai sensi dell'articolo 28 del GDPR. Un contratto o altro atto giuridico deve definire oggetto, durata, natura, finalità, tipi di dati, categorie di interessati, obblighi e diritti del titolare.
Prima di adottare gestionale, firma elettronica, messaggistica, archiviazione, teleassistenza o analytics, verifica almeno subfornitori, localizzazione, trasferimenti, misure di sicurezza, restituzione e cancellazione dei dati, assistenza per i diritti e tempi di comunicazione degli incidenti. La dicitura “GDPR compliant” non sostituisce documenti, istruzioni e valutazione concreta.
La privacy policy di VetDesk riguarda i trattamenti descritti dal fornitore e dal sito: non deve essere copiata come informativa della clinica, che resta responsabile delle proprie finalità, scelte e comunicazioni agli interessati.
6. Preparare richieste degli interessati e data breach
La struttura dovrebbe avere un canale riconoscibile per richieste di accesso, rettifica, cancellazione, limitazione, opposizione o portabilità, quando applicabili. Prima di rispondere occorre verificare l'identità, individuare i sistemi interessati e valutare limiti, obblighi di conservazione e diritti di terzi. Non ogni richiesta comporta la cancellazione immediata di ogni documento.
Per un incidente, il personale deve sapere chi contattare e quali informazioni raccogliere senza tentare correzioni informali. Il Garante ricorda che il titolare notifica una violazione senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Se il rischio è elevato, può essere necessaria anche la comunicazione agli interessati. Tutte le violazioni vanno comunque documentate, anche quando non vengono notificate.
Una procedura minima indica referente, canale urgente, data e ora della scoperta, sistemi e dati coinvolti, misure immediate, valutazione del rischio, decisione e azioni correttive. Il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo quando viene a conoscenza di una violazione relativa ai dati trattati per suo conto.
Checklist operativa per la clinica
- trattamenti, finalità, basi giuridiche e ruoli sono mappati;
- informative e moduli sono separati per funzione e versionati;
- consensi facoltativi sono specifici, dimostrabili e revocabili;
- tempi di conservazione ed eliminazione sono documentati;
- account sono nominativi e i permessi vengono riesaminati;
- fornitori, subfornitori e trasferimenti sono valutati;
- backup e ripristino vengono verificati, non soltanto dichiarati;
- richieste degli interessati e incidenti hanno procedure e referenti;
- formazione e controlli vengono ripetuti quando cambiano processi o strumenti.
Fonti ufficiali verificate
- EUR-Lex: Regolamento (UE) 2016/679, in particolare articoli 5, 6, 7, 13, 28, 30, 32, 33 e 34;
- Garante per la protezione dei dati personali: principi, informativa, consenso, registro e sicurezza;
- Garante per la protezione dei dati personali: data breach.
Contenuto informativo e organizzativo, non consulenza legale. Finalità, basi giuridiche, conservazione, ruoli e misure devono essere verificati sulla struttura e sui trattamenti effettivi.