La risposta breve
Informativa chiara, base giuridica corretta per i dati sulla salute, registro dei trattamenti, misure di sicurezza e tempi di conservazione definiti. La differenza decisiva è chi tratta i dati. Il medico vincolato al segreto professionale può basarsi sulla finalità di cura dell'art. 9 del GDPR, mentre un centro estetico non sanitario deve raccogliere il consenso esplicito del cliente.
Qual è la base giuridica per i dati sulla salute?
Il GDPR vieta in linea di principio il trattamento dei dati relativi alla salute e poi elenca le eccezioni nell'articolo 9. Due contano per chi lavora nell'estetica, e non sono intercambiabili.
La lettera h dell'articolo 9, paragrafo 2, copre le finalità di medicina preventiva, diagnosi e assistenza sanitaria, ma il paragrafo successivo richiede che il trattamento sia effettuato da un professionista soggetto al segreto professionale o sotto la sua responsabilità. Il Garante per la protezione dei dati personali, nei chiarimenti del marzo 2019 sul trattamento dei dati relativi alla salute in ambito sanitario, ha confermato che i professionisti sanitari tenuti al segreto non devono più chiedere il consenso per i trattamenti necessari alla prestazione di cura richiesta dall'interessato.
Chi non è professionista sanitario non ha accesso a quella porta. Un centro estetico che raccoglie una scheda anamnestica con patologie, allergie, farmaci e gravidanza sta trattando dati sulla salute senza poter invocare la finalità di cura, quindi deve appoggiarsi al consenso esplicito previsto dalla lettera a dello stesso articolo. Consenso che va raccolto in modo distinto, documentato e revocabile.
Che cosa cambia tra medico e centro estetico
| Adempimento | Studio medico o ambulatorio | Centro estetico non sanitario |
|---|---|---|
| Base per i dati sulla salute | Finalità di cura, senza consenso, con vincolo di segreto professionale | Consenso esplicito e documentato del cliente |
| Informativa | Obbligatoria, con i tempi di conservazione e i destinatari | Obbligatoria, con la stessa completezza |
| Registro dei trattamenti | Sostanzialmente sempre necessario per il trattamento su larga scala di dati particolari | Necessario quando si trattano dati particolari, quindi in pratica sempre |
| Responsabile della protezione dei dati | Va valutato caso per caso; il Garante ne indica la necessità per molte realtà sanitarie | Di norma non obbligatorio, salvo monitoraggio o trattamenti su larga scala |
| Valutazione d'impatto | Necessaria quando ricorrono i criteri di rischio elevato | Necessaria negli stessi casi, tipicamente con archivi fotografici estesi |
| Conservazione | Regola lunga della documentazione sanitaria | Termine che definisci tu e che devi rispettare |
Quali sono gli adempimenti che vengono contestati più spesso?
L'informativa incompleta è il primo. Deve dire chi è il titolare, quali dati raccogli, per quali finalità, su quale base giuridica, a chi li comunichi, per quanto tempo li conservi e come si esercitano i diritti. Un cartello generico in reception non è un'informativa.
Il secondo è il consenso raccolto male. Il consenso al trattamento estetico, il consenso privacy, la liberatoria fotografica e l'adesione alla newsletter devono essere quattro caselle separate. Se il cliente non può ricevere la prestazione senza spuntare anche il marketing, quel consenso non è libero e cade.
Il terzo riguarda le misure di sicurezza. Il Garante, nelle linee guida sul dossier sanitario e nei provvedimenti successivi in ambito sanitario, insiste su credenziali individuali, profili di autorizzazione differenziati per ruolo e tracciatura degli accessi. Un gestionale con un'unica password condivisa tra tutte le operatrici è una violazione strutturale, a prescindere da qualunque incidente.
Il quarto è la catena dei fornitori. Gestionale, prenotazione online, email marketing, consulente contabile e servizio di backup sono responsabili del trattamento e vanno nominati con un atto scritto ai sensi dell'articolo 28 del GDPR.
Cosa succede se subisci una violazione dei dati?
Se l'incidente comporta un rischio per i diritti delle persone, il titolare notifica al Garante entro settantadue ore da quando ne è venuto a conoscenza, e informa gli interessati quando il rischio è elevato. Con archivi che contengono anamnesi e fotografie del corpo, il rischio elevato è lo scenario ordinario, non l'eccezione. Serve quindi una procedura scritta e un registro interno delle violazioni, anche di quelle che decidi motivatamente di non notificare.
Cosa significa per la tua documentazione
L'insieme minimo che devi poter mostrare è composto da sei documenti: informativa per i clienti, moduli di consenso separati per finalità, registro delle attività di trattamento, elenco dei responsabili esterni con i relativi contratti, policy di conservazione e cancellazione, e istruzioni scritte al personale con l'incarico di trattamento firmato da ciascun dipendente o collaboratore.
Aggiungi il registro delle violazioni e la procedura per gestire le richieste degli interessati, con la traccia della data di ricezione e della risposta. Il tempo per rispondere a una richiesta di accesso è breve, e un archivio in cui i dati clinici, quelli commerciali e le fotografie sono mescolati rende materialmente impossibile rispettarlo.
Domande collegate
Questa risposta ha finalità informative e non costituisce consulenza legale né medica. I requisiti variano e cambiano nel tempo: verificali con i tuoi consulenti legali e clinici prima di applicarli.