GDPR in casa di riposo: cosa deve fare chi gestisce la struttura

Il GDPR in una casa di riposo spaventa più di quanto dovrebbe, e per un motivo preciso: se ne parla quasi sempre in astratto. Proviamo a metterla come la vede chi gestisce una struttura da trenta posti letto, con l'amministrazione fatta al tavolo della sala. Non è consulenza legale — per quella serve un professionista che guardi la tua situazione — ma è la mappa di cosa ti riguarda e cosa no.

Una premessa che toglie metà dell'ansia: gli obblighi non nascono con il software. Ci sono già oggi, con il quaderno in guardiola e la cartellina nell'armadio. La differenza è che sulla carta nessuno se ne accorge finché non succede qualcosa.

Che tipo di dati tratta una residenza

Quasi tutto quello che scrivi su un ospite è un dato personale, e una parte importante rientra nelle categorie particolari dell'articolo 9 del GDPR — quelle con protezione rafforzata:

• Dati sulla salute: diagnosi, terapie, somministrazioni, mobilità, alimentazione, stati d'animo annotati nel diario. Categoria particolare.
• Dati anagrafici e di contatto dell'ospite e dei familiari: nome, indirizzo, telefono, grado di parentela.
• Dati amministrativi: retta, documenti, eventuale amministratore di sostegno.
• Immagini: le foto scattate in struttura sono dati personali, e in un contesto sanitario vanno trattate con particolare attenzione.

Il fatto che i dati sulla salute siano categoria particolare non significa che non puoi trattarli: significa che ti serve una base giuridica adeguata e misure di sicurezza proporzionate. Per una struttura assistenziale la base c'è (art. 9, par. 2, lett. h — finalità di assistenza sanitaria e sociale), ma va dichiarata nell'informativa, non data per scontata.

Chi è titolare e chi è responsabile

È la distinzione che confonde di più, e sbagliarla costa cara perché cambia chi risponde. In sintesi:

• Titolare del trattamento: la struttura. Decide perché e come trattare i dati degli ospiti. È chi risponde davanti al Garante e ai familiari.
• Responsabile del trattamento: chi tratta i dati per conto del titolare. Il fornitore del software, il consulente del lavoro, la ditta delle pulizie che accede ai locali, il laboratorio esterno.
• Persone autorizzate: OSS, infermieri, coordinatore. Non sono responsabili in senso giuridico: sono persone che agiscono sotto l'autorità del titolare e devono ricevere istruzioni scritte.

Il punto pratico: quando compri un gestionale, il fornitore diventa responsabile del trattamento e va nominato con un atto scritto (art. 28 GDPR). Se un fornitore non te lo propone spontaneamente, è un segnale: significa che non ha fatto i compiti, e il rischio ricade su di te che sei titolare. È una delle domande da mettere nella griglia di valutazione di come scegliere un gestionale.

I documenti che devi avere in cartella

La lista minima per una residenza di piccole o medie dimensioni. Non è lunga, ma va tenuta viva — un registro compilato una volta nel 2019 e mai più toccato non protegge nessuno:

1. Informativa privacy per ospiti e familiari: chi sei, quali dati tratti, perché, per quanto tempo li conservi, a chi li comunichi, quali diritti hanno e a chi scrivere per esercitarli. In italiano leggibile, non in legalese.
2. Registro delle attività di trattamento (art. 30): l'elenco dei trattamenti che fai. Le piccole realtà hanno un'esenzione teorica, ma non si applica quando tratti categorie particolari su base non occasionale — cioè sempre, in una residenza. Consideralo obbligatorio.
3. Nomine dei responsabili esterni (art. 28): una per ogni fornitore che tocca i dati, software compreso.
4. Istruzioni scritte al personale e formazione documentata: chi può vedere cosa, cosa non si fa (le foto sul telefono personale, il gruppo WhatsApp con i parenti), cosa succede in caso di errore.
5. Misure di sicurezza: chiavi, armadi, password individuali, backup. Vanno descritte, non solo praticate.
6. Procedura per la violazione dei dati (data breach): chi te ne accorge, chi decide, e le 72 ore per la notifica al Garante quando ricorrono i presupposti.
7. Valutazione d'impatto (DPIA) dove serve: il trattamento sistematico e su larga scala di dati sanitari di persone vulnerabili è nella lista dei casi in cui va almeno valutata. Non è automatica per tutte le strutture, ma la riflessione va fatta e messa per iscritto.

Sul DPO (Responsabile della protezione dei dati) non c'è una risposta unica: la nomina è obbligatoria quando il trattamento di dati sanitari è su larga scala, e «larga scala» non ha una soglia numerica fissata. Una residenza da trenta posti letto tipicamente non ci rientra, ma è una valutazione da fare con un professionista e da motivare per iscritto, non da liquidare.

Cosa cambia quando passi dal quaderno al digitale

Qui c'è il malinteso più diffuso: che il software «aggiunga» adempimenti. In realtà la carta ha problemi che il digitale risolve, e il Garante li conosce bene:

• Il quaderno in guardiola lo legge chiunque passi, compreso il parente in visita e il fornitore che aspetta. Non c'è controllo dell'accesso e non c'è traccia.
• Sulla carta non sai chi ha visto cosa. In un software serio ogni accesso è registrato: se domani un familiare contesta, hai una risposta documentata.
• Le foto scattate con il telefono personale dell'operatrice e mandate su WhatsApp sono la vera falla di quasi tutte le strutture: quei dati escono dal tuo controllo e finiscono su servizi che non hai nominato responsabili. Un canale ufficiale verso le famiglie chiude questo buco.
• La minimizzazione (art. 5) su carta è impossibile: il quaderno è tutto o niente. In digitale puoi decidere che l'operatrice veda la terapia e il familiare no.

Il digitale non ti mette in regola da solo — nessun software lo fa, e diffida di chi te lo promette — ma sposta il rispetto delle regole da «buona volontà delle persone» a «com'è fatto lo strumento». È una differenza enorme quando hai turnover nello staff.

Cosa possono vedere i familiari (e cosa no)

Domanda concreta e delicata: il figlio di un ospite ha diritto di vedere la cartella del padre? Non automaticamente. I diritti dell'articolo 15 sono dell'interessato, cioè dell'ospite. Un familiare può accedere se è amministratore di sostegno o tutore nei limiti dei suoi poteri, se ha una delega, o nei casi previsti per le persone che non possono provvedere a sé stesse.

Nella pratica quotidiana la distinzione che funziona è questa: condividere non è dare accesso alla cartella clinica. Una struttura può tenere le famiglie vicine — foto della giornata, «oggi ha mangiato con appetito», la videochiamata del giovedì — senza aprire diagnosi, terapie e note riservate. Sono due piani diversi, e uno strumento fatto bene li tiene separati per costruzione invece che per attenzione di chi scrive.

Questa separazione, oltre a essere corretta, è anche commercialmente utile: è quello che rende possibile la trasparenza verso i parenti di cui parliamo in tenere le famiglie informate riempie i posti letto.

Per quanto tempo conservare i dati

Non esiste un unico termine valido per tutto: dipende dalla natura del documento e dagli obblighi che ti riguardano — civilistici, fiscali, e per le strutture accreditate anche regionali. La regola operativa è stabilire tu un termine per ciascuna categoria, scriverlo nell'informativa e nel registro, e rispettarlo. Conservare tutto per sempre «per sicurezza» non è prudenza: è una violazione del principio di limitazione della conservazione, e in caso di controllo è una delle cose che si vedono per prime.

Le cinque cose da fare questa settimana

Se stai leggendo con la sensazione di essere indietro, questo è l'ordine con cui recuperare senza fermare la struttura:

1. Rileggi l'informativa che fai firmare all'ingresso: è aggiornata a come lavori oggi, o parla di una struttura di dieci anni fa?
2. Fai l'elenco di chi tocca i dati dall'esterno (software, consulenti, laboratori) e verifica di avere per ognuno una nomina firmata.
3. Chiudi il canale WhatsApp personale fra operatrici e familiari: è il rischio più grande e il più facile da eliminare.
4. Metti per iscritto chi vede cosa fra il tuo personale, e falla firmare. Due pagine bastano.
5. Decidi cosa succede se perdi un dato o lo mandi alla persona sbagliata: chi avvisi, in quanto tempo, chi decide. Le 72 ore passano in fretta se nessuno sa cosa fare.

Cureasy nasce con questa impostazione dentro: la struttura resta titolare del trattamento, noi siamo responsabili e trattiamo i dati solo per conto suo, i dati sono ospitati in Europa, ogni persona vede solo ciò che il suo ruolo prevede e i familiari non raggiungono mai i dati clinici né le note riservate. Non ti mette in regola al posto tuo — quella parte resta tua — ma toglie di mezzo le falle che nascono dal quaderno lasciato aperto e dalle foto sul telefono privato.