Il GDPR, divenuto esecutivo il 25 maggio 2018, rinforza i diritti e l’attenzione alla privacy in Europa e, indirettamente, anche a livello globale. Abbiamo adeguato il nostro prodotto e i nostri processi aziendali per raggiungere una piena conformità al GDPR e questa guida ha lo scopo di aiutare i nostri clienti a fare lo stesso.

Si ricorda che questa guida è redatta solo a scopo informativo. Ci è sembrato giusto condividere quanto abbiamo fatto e abbiamo appreso. Per quanto sia la sintesi di mesi di analisi e di confronto con i massimi esperti in materia e con i nostri clienti, questo documento non può sostituirsi ad consulenza legale specifica per la tua struttura per determinare in che modo il GDPR potrebbe applicarsi alla tua organizzazione.

Il GDPR è il regolamento generale sulla protezione dei dati, una legge europea sulla privacy approvata dalla Commissione europea nel 2016. Il GDPR sostituisce una precedente direttiva sulla privacy dell’Unione europea nota come Direttiva 95/46 / CE ( la ”Direttiva”), che è stata la base della legislazione europea sulla protezione dei dati dal 1995.

Un regolamento come il GDPR è un Atto Vincolante,  applicato nella sua interezza in tutta l’UE. Il GDPR è un tentativo di rafforzare, armonizzare e modernizzare la legislazione dell’UE sulla protezione dei dati e di migliorare i diritti e le libertà individuali, in linea con la comprensione europea della privacy come diritto umano fondamentale. Il GDPR regola, tra le altre cose, come individui e organizzazioni possono ottenere, utilizzare, archiviare ed eliminare i dati personali. Sta avendo un impatto significativo sulle aziende di tutto il mondo.

Il GDPR è stato adottato nell’aprile 2016 ed è applicato ufficialmente dal 25 maggio 2018.

Sebbene il GDPR abbia mantenuto molti principi stabiliti dalla Direttiva, ha comunque introdotto diversi cambiamenti importanti e ambiziosi.
Eccone alcuni che riteniamo particolarmente rilevanti per TuoTempo e i nostri clienti:

1. Ampliamento del campo di applicazione: come accennato in precedenza, il GDPR si applica a tutte le organizzazioni stabilite nell’UE o al trattamento dei dati dei cittadini dell’UE, introducendo così il concetto di extraterritorialità e ampliando il campo di applicazione della legislazione dell’UE sulla protezione dei dati ben oltre i confini della sola UNIONE EUROPEA.
2. Espansione delle definizioni di dati personali e sensibili, come descritto sopra.
3. Espansione dei diritti individuali e delle tutele: il GDPR regolamenta l’esercizio e la tutela di diversi e importanti diritti, tra cui il diritto all’oblio, il diritto di opporsi, il diritto alla rettifica, il diritto di accesso e il diritto alla portabilità. È necessario assicurarsi di poter soddisfare tali diritti se si stanno elaborando dati personali di cittadini dell’UE.
   • Diritto all’oblio: una persona fisica può richiedere che un’organizzazione cancelli tutti i dati su quella persona senza indebito ritardo.
   • Diritto di opporsi: una persona può proibire determinati utilizzi di dati.
   • Diritto di rettifica: le persone possono richiedere che i dati incompleti siano completati o che i dati errati siano corretti.
   • Diritto di accesso: gli individui hanno il diritto di sapere quali dati su di essi vengono elaborati e come.
   • Diritto di portabilità: le persone fisiche possono richiedere che i dati personali detenuti da un’organizzazione siano trasportati ad un’ altra.
4. Requisiti di consenso più restrittivo: il consenso è uno degli aspetti fondamentali del GDPR e le organizzazioni devono garantire che il consenso sia ottenuto in conformità con i nuovi requisiti più restrittivi del GDPR. Bisogna ottenere il consenso dei propri clienti e/o interessati dal trattamento dei dati per ogni utilizzo dei dati. Il metodo più sicuro per la conformità è ottenere un consenso esplicito, sempre necessario per i dati sensibili.
5. Requisiti di elaborazione più rigorosi: gli interessati hanno il diritto di ricevere informazioni “eque e trasparenti” sul trattamento dei loro dati personali, tra cui:
   • Dettagli di contatto del titolare dei dati.
   • Scopo dei dati: questo dovrebbe essere il più specifico possibile (“limitazione delle finalità”) e minimizzato (“minimizzazione dei dati”). Si deve considerare attentamente quali dati si sta raccogliendo e perché. È necessario ottenere un consenso separato per le diverse attività di elaborazione, il ché significa che è necessario essere chiari su come i dati verranno utilizzati quando si ottiene il consenso.
   • Periodo di conservazione: dovrebbe essere il più breve possibile (“limitazione dello spazio di archiviazione”).
   • Silenzio, caselle pre-spuntate o inattività non costituiscono consenso; gli interessati devono esplicitamente dare il consenso (opt-in) per l’archiviazione, l’uso e la gestione dei propri dati personali.
   • Base giuridica: non è possibile elaborare dati personali solo perché lo si desidera. È necessario disporre di una “base legale” per farlo.

Chiaramente al di fuori di questa breve sintesi esistono molti altri principi e requisiti introdotti dal GDPR, quindi è importante aver rivisto il GDPR nella sua interezza per esser certi di avere compreso nella sua totalità la normativa e il modo in cui è ora applicata.

Se si trattano dati personali, lo si fa come titolare o responsabile, e ci sono diversi requisiti e obblighi a seconda della categoria cui si appartiene.
Nel nostro settore, il titolare è l‘ organizzazione (struttura sanitaria) che determina le finalità e strumenti di trattamento dei dati personali, mentre il responsabile è l’organizzazione che elabora i dati per conto del titolare.

Il GDPR non ha cambiato le definizioni fondamentali di titolare e responsabile, ma ha ampliato le responsabilità di ciascuna parte. I titolari mantengono la responsabilità primaria per la protezione dei dati (incluso, ad esempio, l’obbligo di segnalare violazioni dei dati alle autorità di protezione dei dati); tuttavia, il GDPR ha evidenziato che alcune responsabilità sono maggiormente condivise con il responsabile.
Nel contesto dell’applicazione TuoTempo e dei nostri servizi correlati, i nostri clienti agiscono come titolari. I nostri clienti, ad esempio, decidono:

• quali informazioni dei loro Pazienti sono trasferite nel loro account TuoTempo;
• quali messaggi, attraverso la nostra applicazione, desiderano inviare ai loro pazienti.

La nomina diTuoTempo come Responsabile da parte del Titolare avviene con la firma per accettazione delle Condizioni Generali di Utilizzo allegata al nostro modulo d’ordine.

TuoTempo è un sostenitore dei solidi principi di riservatezza e sicurezza dei dati che il GDPR promuove, molti dei quali sono stati implementati da TuoTempo molto tempo prima che venisse approvato il GDPR. Crediamo che il GDPR rappresenti un passo importante nel panorama della privacy dei dati e abbiamo raggiunto la totale conformità con il GDPR prima del 25 maggio 2018.

La preparazione del GDPR di TuoTempo è iniziata un anno prima della sua attuazione e, come parte di questo processo, abbiamo esaminato tutti i nostri processi interni, procedure, flussi di dati e documentazione per garantire di essere pronti quando il GDPR è entrato in vigore. Mentre gran parte della nostra preparazione è accaduta dietro le quinte, abbiamo anche lavorato su una serie di iniziative che sono ora visibili ai nostri utenti e che ci sembra importante condividere con voi. Abbiamo infatti:

• Analizzato tutte le nostre funzionalità e servizi attuali per determinare la possibilità di  apportare miglioramenti o aggiunte al fine di renderli più efficienti per gli utenti soggetti al GDPR.
• Valutato potenziali nuove funzionalità e strumenti compatibili con GDPR da aggiungere alla nostra applicazione.

Ricordiamo che nei confronti del GDPR TuoTempo ha un duplice impegno:

1. Tutelare la privacy dei nostri clienti e della loro organizzazione (contenuto di questa sezione)
2. Aiutare i nostri clienti, in qualità di titolari, ad agire in conformità al GDPR nella relazione con i loro Pazienti (contenuto delle prossime sezioni)

Relativamente al punto 1, siamo pronti a rispondere alle richieste dei nostri clienti relative ai loro diritti individuali ampliati ai sensi del GDPR:

• Diritto all’oblio: puoi disattivare il tuo account TuoTempo in qualsiasi momento, nel qual caso elimineremo definitivamente il tuo account e tutti i dati ad esso associati.
• Diritto di opporsi: potrai scegliere di non includere i dati della tua struttura nei progetti di benchmark o confronto anonimo e statistico con altre strutture, semplicemente cambiando l’impostazione della privacy sul tuo account.
• Diritto di rettifica: puoi accedere e aggiornare le impostazioni dell’account TuoTempo in qualsiasi momento per correggere o completare le informazioni del tuo account. Puoi anche contattare TuoTempo in qualsiasi momento per accedere, correggere, modificare o cancellare le informazioni che ti riguardano.
• Diritto di accesso: raccogliamo solo informazioni amministrative e dati utili per la fatturazione sui nostri clienti. Se hai domande specifiche su dati particolari, puoi contattare privacy@tuotempo.com per ulteriori informazioni in qualsiasi momento.
• Diritto di portabilità: esporteremo i dati del tuo account in un file o in una terza parte in qualsiasi momento su tua richiesta.

Amazon Web Services, Irlanda e Francoforte, entrambi all’interno della Comunità Europea.

Per i clienti in US, AWS ha la certificazione ai fini dello EU-US Privacy Shield. Visualizza la certificazione qui.

In qualità di Responsabile nominato dalla tua Struttura, ci sono diversi modi in cui TuoTempo può aiutarti a garantire il rispetto della Privacy dei tuoi Pazienti e la Compliance con il GDPR. Abbiamo raggruppato le modalità di supporto in 4 macroaree: Sicurezza, Conservazione dei Dati, Espansione dei Diritti Individuali e Consenso più Restrittivo.

 

Sicurezza

Il GDPR richiede che Titolari e Responsabili abbiano implementato misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato ai rischi presentati. Siamo consapevoli che i nostri clienti agiscono in qualità di Titolari di dati sensibili ed è per questo che da sempre operiamo con la massima attenzione per fare tutto ciò che è nei nostri mezzi per proteggere i dati dei nostri clienti.

Seguiamo gli standard di settore generalmente accettati per proteggere le informazioni che ci vengono fornite, sia durante la trasmissione che una volta ricevuti. Manteniamo adeguate tutele amministrative, tecniche e fisiche per proteggere i Dati personali da distruzione accidentale o illegale, perdita accidentale, alterazione non autorizzata, divulgazione o accesso non autorizzato, uso improprio e qualsiasi altra forma illecita di trattamento dei Dati personali in nostro possesso.

Ciò include, ad esempio, firewall, protezione tramite OTP e altri controlli di accesso e autenticazione. Utilizziamo la tecnologia SSL per crittografare i dati durante la trasmissione tramite Internet pubblico e utilizziamo anche funzionalità di sicurezza a livello di applicazione per rendere anonimi i dati personali.
Nella tabella di seguito riportiamo un breve elenco delle misure di sicurezza adottate in relazioni a richieste specifiche del GDPR.

Richiesta del GDPR	Come può aiutare TuoTempo
Devi essere in grado di recuperare velocemente i dati se vengono persi. E devi anche proteggerli contro le distruzioni accidentali. Articolo 32 (Comma 2)	Protezione dati automatica, grazie alla programmazione dei backup Da un backup si possono ripristinare i dati se sono stati cancellati I backup risiedono su 3 supporti diversi uno dei quali sempre su un data center a più di 200 Km dagli altri
Per evitare che attraverso un data breach vengano prelevati dati in maniera indebita può essere opportuno cifrare i dati. Articolo 32 (comma 1b)	La frazione sensibile dei dati a riposo è cifrata con crittografia SHA-256 I dati sono cifrati durante la trasmissione con protocollo Https I dati sono cifrati durante il backup
E’  necessario garantire la “confidenzialità dei dati” e l’integrità. Articolo 32 (comma 1b)	Commissioniamo almeno un Audit annuale da una società esterna esperta di sicurezza informatica, un Vulnerability Assessment & Penetration Testing per identificare eventuali vulnerabilità Monitor automatici ci segnalano ogni attività anomala o sospetta sui dati personali Conserviamo un registro (Log) di tutte le attività effettuate riguardanti i dati personali per poter rintracciare e analizzare facilmente qualunque attività a distanza di tempo
Dopo un data breach è necessario avvisare le autorità entro 72h dalla scoperta. Articolo 32 e 33	I Monitor che identificano pattern anomali di accesso inviano una notifica via SMS o Push ai responsabili della sicurezza Possibilità dei clienti di iscriversi ad una pagina di notifica per essere avvisati in tempo reale sullo stato dell’applicazione e su eventuali eventi rilevanti.

Nonostante il nostro massimo impegno, come sappiamo, nessun metodo di trasmissione su Internet o metodo di archiviazione elettronica è sicuro al 100%. Per questo motivo abbiamo attivato la casella privacy_tuotempo@docplanner.com, in aggiunta ai canali ordinari di supporto, dove potete comunicarci qualunque sospetto che i vostri dati personali siano stati compromessi e attivare il nostro processo di verifica. Da parte nostra, se verremo a conoscenza di una violazione dei nostri sistemi di sicurezza, informeremo la vostra struttura e le autorità della violazione in conformità con la legge applicabile.

 

Conservazione dei dati

Il nostro impegno è aiutare i nostri clienti a conservare di dati per il tempo necessario alla finalità del trattamento nel rispetto degli obblighi di legge.  Quindi se non diversamente richiesto dalla legge o dalla necessità di rispettare i nostri obblighi legali e risolvere eventuali controversie, ci impegniamo a:

• Eliminare il contenuto degli account disattivati entro 3 mesi dalla data di disdetta del cliente.
• Conservare copie di backup per 24 mesi a meno che i clienti scelgano un periodo più breve nell’ambiente di amministrazione, sempre però garantendo un minimo di 3 mesi.
• Far scegliere ai nostri clienti se e per quanto tempo mostrare online la storia degli appuntamenti di un paziente.
• Far scegliere ai nostri clienti che offrono accesso al Dossier sanitario online ai loro pazienti attraverso la nostra piattaforma, per quanto tempo mantenere la storia dei documenti visibile e accessibile. La scelta è disponibile online nella sezione Privacy all’interno della console di amministrazione.
• Non conservare, in caso di Dossier attivo, sui nostri Server referti o immagini, ma ci impegniamo ad acquisirli solo quando il paziente ne fa richiesta e solo per il tempo minimo necessario per consegnarli. Tutti i documenti sono sempre cancellati al termine della richiesta.
  
  

Espansione dei diritti individuali

TuoTempo ha realizzato nel corso degli anni una serie di funzionalità che possono aiutarti a rispondere prontamente alle richieste dei tuoi pazienti in base ai loro diritti individuali ampliati ai sensi del GDPR:

• Diritto all’oblio:
  • È possibile eliminare singoli pazienti in base alla loro richiesta in qualsiasi momento. Inoltre è possibile rimuovere selettivamente gli  appuntamenti e, laddove presenti, ogni singolo riferimento alla sua storia clinica incluso link a fatture, referti e immagini. La rimozione può essere anche effettuata in blocco, mantenendo attivo il paziente ma rimuovendo tutta la sua storia.
  • I pazienti possono in qualsiasi momento accedere al loro account sul vostro portale online che si poggia sull’applicazione TuoTempo e rimuovere tutti i propri dati.
  • In entrambi i casi i dati saranno immediatamente rimossi dall’ambiente di produzione.
  • Anche se un Paziente ha esercitato il Diritto di Oblio sull’ambiente di produzione, i dati del Paziente possono ancora risiedere sui nostri server per la durata della conservazione del Backup per uno dei due seguenti motivi:
    • È estremamente complesso isolare e rimuovere i singoli dati personali all’interno dell’archivio di un file di Backup
    • Il titolare è tenuto a conservare i dati più a lungo per motivi contrattuali, legali o di conformità

In queste circostanze, diamo garanzia al Paziente che i suoi dati personali non saranno ripristinati sui sistemi di produzione in caso fosse necessario recuperare informazioni dai file di backup.TuoTempo infatti mantiene un registro degli oblii che gli consente di eliminare selettivamente i dati dell’utente che ne ha fatto richiesta durante l’eventuale processo di ripristino del backup.

• Diritto di rettifica

Un Paziente o un Operatore incaricato dal Paziente può sempre accedere e aggiornare i dati all’interno dell’applicazione TuoTempo per correggere o completare le informazioni.

• Diritto di accesso

Come accennato in precedenza, qualsiasi paziente può visionare online le sue informazioni in nostro possesso o contattarci direttamente per avere chiarimenti su eventuali analisi statistiche che lo riguardano.

• Diritto di portabilità

Il Paziente può esportare tutti documenti che lo riguardano in qualsiasi momento accedendo al suo account del Portale Pazienti basato sull’applicazione di TuoTempo.

 

Consenso più restrittivo e requisiti del trattamento

Come già detto il GDPR sottolinea con forza la necessità di ottenere ed elaborare legalmente indirizzi email, numeri di cellulare e altri dati personali da pazienti, medici e altri contatti.

Il GDPR definisce 6 basi legali per il trattamento dei dati, la più nota di tutti è chiaramente la richiesta e l’ottenimento del consenso esplicito da parte dell’interessato. La analizzeremo quindi per prima.

IL CONSENSO

I dati personali dei tuoi Pazienti possono essere raccolti e trasferiti su TuoTempo tramite flussi di integrazione o procedura di registrazione resi disponibili dalla nostra applicazione e attivati e configurati dai nostri Clienti.

• In caso di trasferimento tramite Integrazione, TuoTempo assume che le informazioni trasferite dal Titolare abbiano ricevuto il consenso opportuno e che siano definiti i consensi alle varie finalità del trattamento che il Cliente potrà effettuare tramite l’applicazione di TuoTempo.
• In caso di acquisizione dei consensi tramite modulo di registrazione ai servizi del portale,  la nostra applicazione vi permette di definire quali consensi richiedere e che informativa presentare. Per aiutarti nella Compliance con il GDPR,
  • il paziente per registrarsi ai servizi del portale deve selezionare esplicitamente quali consensi dare, dato che di default sono disattivati. In assenza di consenso all’informativa base la procedura di registrazione non andrà a buon fine.
  • per aiutarti a ottenere la prova del consenso si memorizzerà una registrazione dei tuoi consensi del Paziente nel tuo account TuoTempo. Infatti, quando un Paziente si registra, TuoTempo registra l’indirizzo mobile, l’indirizzo e-mail, l’indirizzo IP e il timestamp associati a ogni paziente che completa e invia il modulo, fornendo una prova di consenso di facile accesso.
  • i consensi ricevuti online possono essere agilmente trasferiti al sistema gestionale (HIS o EHR) dei nostri clienti se risiede lì l’anagrafica Master del nostro cliente.
    
    

TIPOLOGIE DI CONSENSO E MODALITÀ DI RACCOLTA

Se si osserva con attenzione il percorso digitale di un paziente e la varietà di comunicazioni che può ricevere prima, durante e dopo un’ interazione con la struttura (ad es. una visita) è facile dedurre che le finalità del trattamento sono molteplici. TuoTempo ha deciso di adottare un modello basato su un set ampio di 6 consensi differenziati per permettere al Paziente di poter aderire o rinunciare in modo selettivo ai singoli servizi senza dover rinunciare alla totalità di essi. In questo modo è possibile ad esempio per un Paziente effettuare la rinuncia a ricevere richieste di recensioni (opt-out) senza perdere l’accesso ai promemoria o alle campagne di comunicazione.

Per aiutare i nostri clienti ad orientarsi abbiamo pubblicato nella pagina Configura>Privacy l’elenco dei consensi e per ognuno la modalità di raccolta e revoca. Inoltre, in una apposita sezione, il cliente può inserire e differenziare le informative per ogni singolo consenso.

Per comodità riportiamo nella seguente tabella l’elenco dei consensi:

TIPOLOGIA	RACCOLTA	REVOCA
1. Condizioni Generali. Se il paziente è già esistente, il consenso si considera già acquisito in sede. Se il paziente è nuovo, dovrà accettare le condizioni generali durante la registrazione.	In sede o tramite Registrazione Online del paziente.	Presso la struttura.
2.Comunicazioni automatiche Il consenso viene raccolto insieme all’accettazione dell’Informativa (punto 1).	In sede, tramite Registrazione Online del paziente oppure nella pagina profilo del paziente.	Nella pagina Profilo del paziente.
3. Comunicazioni informative e commerciali Il consenso va raccolto presso la struttura e inserito nel vostro gestionale. Sia le azioni di raccolta del consenso che di revoca devono essere sincronizzate dal vostro gestionale a TuoTempo e viceversa. Per tutte le campagne inviate tramite TuoTempo il paziente può revocare il consenso alla ricezione delle comunicazioni tramite un unsubscribe in un link all’interno di tutte le comunicazioni Email o rispondendo “STOP” agli SMS di carattere informativo o commerciale.  Per le campagne tramite messaggi PUSH su APP dei nostri clienti, i pazienti possono rimuovere il consenso dalle preferenze di Notifica del loro telefono.	In sede e acquisito da TuoTempo tramite Integrazione.	Nella pagina Profilo del paziente;   Unsubscribe via Email; Unsubscribe via Sms; Unsubscribe via spegnimento notifiche Push.
4. Accesso ai documenti online Il consenso si raccoglie attraverso la sincronizzazione con il software che genera e/o gestisce i documenti (es. referti). Lo stesso può essere revocato dal paziente dalla sezione Privacy all’interno della pagina Mio Profilo. E’ possibile inviare un SMS speciale ai pazienti che non hanno ancora concesso il consenso.	In sede e acquisito da TuoTempo tramite Integrazione.	Nella pagina Profilo del paziente.
5. Dossier Sanitario Il consenso ad attivare il Dossier viene raccolto durante il primo accesso al dossier. Nella pagina Mio Profilo, il paziente può rimuovere il consenso in qualsiasi momento dalla sezione Privacy.	Online al primo accesso al Dossier.	Nella pagina Profilo del paziente.
6. Recensioni Il paziente può rimuovere il consenso revocando l'iscrizione dall’email che invita a lasciare una recensione.		Unsubscribe via Email.

Per quanto riguarda le campagne di comunicazione che potete inviare tramite l’applicazione di TuoTempo ai vostri Pazienti, oltre alle opzioni di revoca del consenso, i nostri clienti hanno anche la possibilità:

• Di includere un link “modifica le tue preferenze” nel footer di qualsiasi campagna Email, che darà a ciascun destinatario la possibilità di aggiornare facilmente i dettagli del proprio profilo all’interno del Portale Paziente, aiutandoti a soddisfare i requisiti di accesso al GDPR.
• Di aggiornare in TuoTempo per conto di un Paziente le informazioni relative ai loro utenti o contatti quando richiesto da un Paziente al telefono o allo sportello.

Si tenga presente che qualsiasi consenso ottenuto dai tuoi utenti e contatti deve essere conforme ai requisiti GDPR, indipendentemente dal momento in cui è stato ottenuto il consenso. Tuttavia, il Recital 171 del GDPR indica che è possibile continuare a fare affidamento su qualsiasi consenso esistente che soddisfi gli standard GDPR per il consenso. Ciò significa che non è necessario richiedere nuovamente il consenso dei tuoi utenti o contatti ora che GDPR è in vigore, se hai soddisfatto tutti i requisiti del GDPR quando hai inizialmente ottenuto il consenso.
Raccomandiamo di consultare un consulente legale per determinare se:

• i consensi ottenuti prima del GDPR sono conformi ai requisiti
• ricontattare i tuoi Pazienti per richiedere nuovamente il consenso in conformità ai requisiti GDPR
• fare affidamento su una base legale diversa per il trattamento sotto il GDPR (vedi sezione successiva del Legittimo Interesse) .

In generale è necessario rivedere l’informativa sulla privacy e i processi della propria organizzazione per assicurarsi che forniscano adeguata comunicazione che i dati personali dei propri Pazienti saranno trasferiti a terzi e in particolare a TuoTempo come uno dei Responsabili, delineando, se possibile, le attività di elaborazione applicabili eseguite da TuoTempo come la raccolta (ad esempio, tramite il modulo di registrazione) e l’archiviazione di dati personali (ad es. all’interno del tuo account TuoTempo, per permetterti di consentire l’accesso al tuo Portale Paziente o inviare campagne di comunicazione).

LEGITTIMO INTERESSE, COMUNICAZIONI TRANSAZIONALI e MARKETING DIRETTO

Una base legale alternativa alla raccolta del consenso, di cui si è parlato molto in preparazione al GDPR in ambito marketing e comunicazioni è il Legittimo Interesse, ovvero la possibilità di comunicare al di fuori del consenso se è ipotizzabile un reale interesse da parte di chi riceve un messaggio.

Ad es. il consenso potrebbe non essere necessario quando il titolare, a fini di vendita diretta di propri prodotti o servizi, utilizza dati di contatto raccolti dall’interessato nel contesto della vendita di un prodotto o di un servizio, sempre che si tratti di comunicare servizi analoghi a quelli oggetto della vendita e non vi sia il rifiuto da parte dell’interessato a tale uso, inizialmente o in occasione di successive comunicazioni.

In ambito Sanitario la maggior parte (spesso la totalità) delle comunicazioni è rivolta a Clienti esistenti (Pazienti per i quali è stato erogato un servizio) o a Clienti imminenti (Pazienti che hanno prenotato un servizio). Il Legittimo Interesse è quindi particolarmente interessante in ambito sanitario, perché è una base legale efficace soprattutto nella regolamentazione delle comunicazioni con i Clienti.

Prima di entusiasmarsi però, ricordiamo che:

• Il legittimo interesse del titolare del trattamento può costituire la base giuridica del trattamento dei dati, purché siano bilanciati i diritti tra il titolare (la Struttura) e l’interessato (il Paziente).
• Nell’ambito del nuovo principio di responsabilizzazione, con il GDPR compete alle aziende effettuare tale bilanciamento, consentendone un’applicazione generalizzata. L’azienda deve, quindi, determinare se le sue azioni sono in linea con le ragionevoli aspettative del Paziente.
• In base al legittimo interesse non è possibile trattare dati sensibili per i quali occorre la raccolta del consenso.

L’ultimo punto ci ricorda che almeno un consenso all’informativa generale della Privacy che descrive il trattamento per i dati sensibili è necessario. Quindi il Legittimo Interesse è da esplorare in ambito sanitario principalmente per le comunicazioni verso Pazienti esistenti o imminenti. Dal punto di visto pratico si traduce nella possibilità da parte del nostro cliente di decidere di considerare ragionevoli aspettative dell’interessato:

• Ricevere tutte le email, SMS e comunicazioni Push di tipologia transazionale inviate ai pazienti in relazione ad eventi imminenti (conferma appuntamento, conferma disdetta, promemoria) o passati (notifica disponibilità referto, indagine di soddisfazione)
• Ricevere le campagne di richiamo o prevenzione relative ad una prestazione effettuata nel passato
• Recapitare un promemoria a un paziente che ha prenotato al telefono la sua prima prestazione presso la vostra Struttura  dando consenso telefonico in attesa di consenso scritto in accettazione.

In pratica potrebbe non essere necessario per alcune o tutte delle finalità elencate acquisire nuovamente il consenso o acquisirlo esplicitamente.

In sintesi, sia il GDPR che la bozza di Regolamento e-Privacy, si sono posti l’obiettivo di bilanciare gli interessi delle aziende rispetto a quelli degli interessati per quanto riguarda, nello specifico, le attività di trattamento per finalità di marketing diretto. L’intento è senz’altro quello di favorire le attività commerciali senza però invadere in maniera abusiva e selvaggia la sfera di interessi di ogni singolo soggetto interessato rendendo la normativa applicabile più chiara e trasparente.

E’ buona norma quindi nella valutazione del Legittimo Interesse farsi sempre 3 domande:

1. Hai un interesse legittimo per l’invio di questo messaggio?
   Ciò può includere la necessità di cross-selling di altri prodotti / servizi o promuovere un uso più ampio di un articolo già acquistato
2. Hai bisogno di inviare il messaggio per raggiungere tali interessi?
   Se si può ragionevolmente ottenere lo stesso risultato con altri mezzi meno intrusivi (come visite non sollecitate al proprio sito Web), non si applicano interessi legittimi
3. Hai bilanciato l’atto di inviare il messaggio contro gli interessi, i diritti e le libertà dell’individuo?
   Si rimanda all’analisi sulle aspettative ragionevoli.

Lo strumento del Legittimo Interesse, se applicato con responsabilità e moderazione, può costituire uno strumento utile soprattutto nella fase di transizione al GDPR. 

Se hai domande specifiche sul GDPR e sulla configurazione di TuoTempo circa la Compliance, puoi inviare una email a privacy_tuotempo@docplanner.com