SegriUna paziente chiama per spostare una visita. Un familiare chiede l'esito di un esame. Un numero sconosciuto vuole sapere se il signor Rossi è in cura da voi. In uno studio medico ogni telefonata può contenere dati sulla salute. Questa guida raccoglie indicazioni generali per gestirle bene, nel rispetto del GDPR.
Perché le telefonate sono un tema di privacy
Il GDPR, il regolamento (UE) 2016/679, protegge tutti i dati personali. Alcuni però li tratta come categorie particolari, e tra questi ci sono i dati relativi alla salute (articolo 9). Il loro trattamento è vietato, salvo i casi previsti dallo stesso articolo: tra questi, le finalità di cura svolte da professionisti tenuti al segreto professionale.
Al telefono passano proprio questi dati: il motivo di una visita, una terapia, l'esito di un esame. A volte basta anche meno. Il solo fatto che una persona sia paziente di uno studio specialistico può dire qualcosa sulla sua salute.
Il Garante per la protezione dei dati personali, nei suoi chiarimenti del 7 marzo 2019, ha spiegato che il professionista sanitario non deve chiedere il consenso per i trattamenti necessari alla cura. Questo non toglie gli altri obblighi: informare il paziente, usare solo i dati che servono, proteggerli.
Minimizzazione: al telefono, solo quello che serve
L'articolo 5 del GDPR chiede che i dati siano adeguati, pertinenti e limitati a quanto necessario. È il principio di minimizzazione. Al telefono si traduce così:
- Chiedi solo quello che ti serve per la richiesta. Per spostare un appuntamento bastano il nome, la data e, se serve, la data di nascita per distinguere due omonimi. Non serve il motivo della visita.
- Non ripetere ad alta voce nomi e dettagli clinici se in sala d'attesa qualcuno può sentire. Se puoi, gestisci le telefonate delicate lontano dal bancone.
- Annota il minimo. Nei promemoria delle chiamate scrivi cosa fare, non la diagnosi.
Prima di dare informazioni, sappi con chi parli
Al telefono non vedi chi c'è dall'altra parte, e il numero che compare sul display non prova l'identità di nessuno. Per questo, prima di dare informazioni sulla salute:
- Verifica l'identità con alcune domande di controllo decise dallo studio, sempre le stesse per tutti.
- Nel dubbio, richiama tu il numero che il paziente ha lasciato allo studio.
- Familiari e terzi: dai informazioni solo alle persone che il paziente ha indicato, e nei limiti che ha indicato.
- Esiti e referti: di solito il canale giusto non è una telefonata con la reception. Lascia che sia il medico a decidere come comunicarli.
- Chi non si qualifica: a chi chiede se una persona è in cura da voi, senza un'identità e un motivo chiari, non confermare e non smentire.
Scrivete queste regole in una pagina e condividetela con tutto il personale che risponde al telefono, comprese le sostituzioni. Le regole funzionano solo se tutti le applicano allo stesso modo.
Dove sono i dati del centralino
Anche il centralino tratta dati personali: numeri di telefono, orari e durata delle chiamate, nomi in rubrica. Con un centralino in cloud questi dati sono sui server del fornitore. Chiedi:
- In quale Paese sono i server. Il GDPR non impone un Paese preciso, ma i trasferimenti di dati fuori dall'Unione europea richiedono garanzie specifiche (capo V del GDPR).
- Se voce e collegamenti sono cifrati tra i telefoni e il centralino.
- Se il fornitore usa i dati per altri scopi, come pubblicità o statistiche.
- Qual è il ruolo del fornitore. Chi gestisce il centralino per conto dello studio è di norma un responsabile del trattamento: il rapporto va regolato per iscritto, come prevede l'articolo 28 del GDPR.
Se state valutando un nuovo centralino, la guida Centralino virtuale: cos'è e come funziona elenca le altre domande da fare a un fornitore.
Il registro delle chiamate
Ogni centralino tiene un elenco delle chiamate: chi ha chiamato, quando, per quanto tempo. Anche gli smartphone ne tengono uno. Sono dati personali e, in uno studio medico, possono essere delicati: un elenco di numeri che chiamano un ambulatorio dice chi si rivolge a quell'ambulatorio.
- Decidi per quanto tempo tenerlo. Il GDPR chiede di non conservare i dati più a lungo del necessario.
- Limita chi può consultarlo. Serve a chi organizza il lavoro, non a tutti.
- Pensa ai telefoni dei colleghi. Se le chiamate dello studio arrivano sugli smartphone, il registro è anche lì. Un telefono perso è un rischio: è bene che sia protetto da un codice di sblocco e che si possa scollegare subito dal centralino.
Se qualcosa va storto
Un telefono perso, un'informazione data alla persona sbagliata, un elenco di chiamate finito dove non doveva: sono possibili violazioni di dati personali. Lo studio, come titolare del trattamento, deve valutare l'accaduto. Salvo che sia improbabile un rischio per le persone coinvolte, l'articolo 33 del GDPR prevede la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne è venuti a conoscenza.
Per questo conviene decidere prima chi avvisare e cosa fare per primo: per esempio, scollegare subito dal centralino un telefono perso.
Una lista di controllo per la reception
- Chiedi solo i dati che servono per la richiesta.
- Verifica l'identità prima di dare informazioni sulla salute.
- Nel dubbio, richiama il numero in archivio.
- Non parlare di dati clinici dove altri possono sentire.
- Annota cosa fare, non la diagnosi.
- Passa le chiamate senza ripetere i dettagli sulla salute. Ne parliamo in Trasferire una chiamata.
- Blocca lo schermo quando ti allontani dalla postazione.
Come la pensiamo in Segri
Segri è nato in un gruppo di centri di fisioterapia, dove il telefono è il primo contatto con i pazienti. Alcune scelte vengono da lì:
- il centralino è su server in un data center in Italia;
- voce e collegamenti tra telefono e centralino sono cifrati;
- il registro delle chiamate dell'app per iPhone resta solo sul telefono, con le ultime 200 chiamate, e si cancella con “Scollega questo telefono”;
- un telefono perso si scollega dalla console e non riceve più le chiamate;
- nessuna pubblicità, nessun cookie, nessuno strumento di statistica o di tracciamento, nell'app e sul sito.
I dettagli sono nell'informativa sulla privacy. Per vedere come Segri lavora in uno studio, leggi Segri per gli studi medici. Per approfondire le regole, il punto di riferimento in Italia è il sito del Garante per la protezione dei dati personali.
Queste informazioni non sono una consulenza legale.