Articolo a cura di: Redazione - Studio Legale Calvello

Laboratori di analisi e centri diagnostici trattano quotidianamente dati relativi alla salute, referti, risultati di esami, immagini diagnostiche e altre informazioni che richiedono una gestione particolarmente attenta sotto il profilo del GDPR. La prima questione da affrontare è stabilire se la struttura sia tenuta a nominare un DPO e, subito dopo, verificare se l’organizzazione esistente sia adeguata ai trattamenti effettivamente svolti. Per una struttura sanitaria privata non basta quindi considerare la quantità dei pazienti: occorre esaminare natura, scala e continuità dei trattamenti, modalità di refertazione, sistemi informatici, accessi del personale, fornitori esterni e misure adottate per proteggere informazioni che possono esporre gli interessati a conseguenze rilevanti in caso di accesso o divulgazione non autorizzati.

Quando il DPO è obbligatorio per un laboratorio di analisi o un centro diagnostico

Il punto di partenza è l’art. 37 del Regolamento (UE) 2016/679. Per le strutture private assume particolare rilievo l’ipotesi in cui le attività principali del titolare consistano nel trattamento su larga scala di categorie particolari di dati personali. I dati relativi alla salute rientrano espressamente nelle categorie indicate dall’art. 9 GDPR. Un laboratorio di analisi, un centro diagnostico o una struttura che esegue in modo organizzato e continuativo prestazioni sanitarie deve quindi verificare concretamente se i trattamenti svolti raggiungano quella dimensione che rende obbligatoria la designazione del responsabile della protezione dei dati.

Non esiste una soglia numerica universale di pazienti, referti o esami oltre la quale il DPO diventa automaticamente obbligatorio. La valutazione deve considerare elementi quali il numero degli interessati, il volume e la varietà dei dati trattati, la durata e continuità delle operazioni, l’estensione dell’attività e le caratteristiche organizzative della struttura. Un singolo professionista sanitario che tratta i dati dei propri pazienti presenta una situazione diversa da quella di un laboratorio con più sedi, di una rete di centri diagnostici o di una struttura che gestisce sistematicamente un numero rilevante di esami e referti. Per questo la domanda «il laboratorio di analisi deve nominare il DPO?» non può essere risolta facendo riferimento soltanto alla natura sanitaria dell’attività.

Quando la nomina è obbligatoria, il DPO deve essere individuato tenendo conto delle qualità professionali e della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati. Può essere interno oppure esterno, purché siano rispettati i requisiti previsti dal GDPR, compresa l’assenza di conflitti di interessi e la possibilità di svolgere le proprie funzioni con indipendenza. Per strutture che non dispongono internamente di competenze specialistiche dedicate, il DPO esterno per laboratori di analisi e centri diagnostici può consentire di affidare questa funzione a un professionista che operi senza assumere ruoli decisionali incompatibili con l’attività di controllo.

La decisione dovrebbe essere anche documentata. Se, dopo aver analizzato i trattamenti, la struttura ritiene che la designazione non sia obbligatoria, è opportuno che possa ricostruire le ragioni della valutazione effettuata nell’ambito del principio di accountability. Se invece ricorrono i presupposti dell’art. 37 GDPR, la nomina non esaurisce l’adempimento: il DPO deve essere effettivamente coinvolto nelle questioni che riguardano la protezione dei dati, disporre delle risorse necessarie e poter riferire al vertice dell’organizzazione. Sul tema più generale delle strutture sanitarie abbiamo approfondito anche il ruolo del DPO per aziende sanitarie e strutture sociosanitarie e quello del DPO per aziende che trattano dati sanitari.

Dati sanitari, referti e sistemi diagnostici: cosa deve verificare concretamente il DPO

In un laboratorio di analisi o in un centro diagnostico il lavoro del DPO deve confrontarsi con il percorso reale seguito dai dati. Le informazioni vengono raccolte al momento dell’accettazione, associate alla prestazione, utilizzate da personale sanitario e tecnico, elaborate attraverso software gestionali o sistemi specialistici, eventualmente comunicate ad altri soggetti e infine conservate secondo tempi e modalità che devono essere definiti. A questo si aggiungono i servizi di refertazione online, l’invio digitale dei risultati, i collegamenti con altri operatori sanitari, i fornitori informatici e, a seconda dell’organizzazione, sistemi LIS, RIS o PACS.

Il primo controllo riguarda quindi la corrispondenza tra ciò che accade realmente e la documentazione privacy della struttura. Il registro delle attività di trattamento deve rappresentare i trattamenti effettivi e non rimanere un documento predisposto anni prima e mai più verificato. Lo stesso vale per informative, autorizzazioni e istruzioni al personale, procedure interne, tempi di conservazione e rapporti con i fornitori che trattano dati per conto della struttura. Quando un soggetto esterno opera quale responsabile del trattamento, il rapporto deve essere disciplinato ai sensi dell’art. 28 GDPR e le garanzie offerte dal fornitore devono essere valutate in relazione al servizio concretamente affidato.

Particolare attenzione richiede la refertazione online. Il Garante per la protezione dei dati personali prevede specifiche cautele per l’accesso e la trasmissione digitale dei referti: sistemi di autenticazione e autorizzazione adeguati, protezione delle comunicazioni, gestione degli accessi e procedure capaci di intervenire anche in caso di violazione dei dati. Il problema non riguarda soltanto la sicurezza del portale. Un indirizzo e-mail errato, credenziali gestite in modo inadeguato o l’invio di un referto a un destinatario diverso dal paziente possono determinare una divulgazione non autorizzata di dati sanitari e richiedere l’attivazione della procedura di data breach.

Il DPO deve inoltre verificare se determinate operazioni richiedano una valutazione d’impatto sulla protezione dei dati. La DPIA non va predisposta automaticamente per qualsiasi trattamento sanitario: occorre valutarne i presupposti secondo l’art. 35 GDPR, considerando caratteristiche, scala, tecnologie utilizzate e rischi per i diritti e le libertà degli interessati. La questione diventa particolarmente delicata quando vengono introdotti nuovi servizi digitali, sistemi che concentrano grandi quantità di dati sanitari, modalità innovative di refertazione o trattamenti che presentano un rischio elevato.

Il controllo deve infine estendersi alle autorizzazioni interne. Tecnici di laboratorio, personale sanitario, addetti all’accettazione, amministrativi e altri operatori non devono poter accedere indistintamente a tutte le informazioni disponibili nei sistemi. Ruoli, profili di accesso e istruzioni devono essere coerenti con le mansioni effettive. Anche la formazione assume quindi una funzione operativa: molti incidenti non derivano da un attacco informatico sofisticato, ma da errori nella selezione del destinatario, utilizzo improprio delle credenziali, consultazioni non necessarie o procedure di consegna del referto organizzate male.

In questo contesto il DPO non sostituisce il titolare del trattamento nelle decisioni organizzative e non assume su di sé la responsabilità della compliance. La sua funzione consiste nel sorvegliare l’osservanza della disciplina, fornire consulenza, cooperare con il Garante e assistere la struttura nell’individuazione delle criticità. Proprio per questo, in un laboratorio o centro diagnostico, il DPO deve conoscere non soltanto i documenti privacy, ma anche il modo in cui dati, campioni, referti e informazioni diagnostiche vengono concretamente gestiti lungo l’intero processo.

Obblighi, responsabilità e rischi: dove si concentrano le criticità per laboratori e centri diagnostici

La presenza del DPO non trasferisce su quest’ultimo gli obblighi che il GDPR attribuisce al titolare del trattamento. È il laboratorio di analisi o il centro diagnostico che deve organizzare i trattamenti secondo il principio di accountability, adottando misure tecniche e organizzative adeguate al rischio e potendo dimostrare le scelte compiute. Il DPO svolge una funzione di consulenza e sorveglianza e deve essere coinvolto tempestivamente quando vengono modificati processi che incidono sulla protezione dei dati: introduzione di un nuovo gestionale, attivazione di un portale per i referti, affidamento di servizi a fornitori esterni, apertura di una nuova sede, modifica dei profili di accesso oppure gestione di un incidente di sicurezza.

Uno dei punti più delicati riguarda i rapporti con i fornitori. Laboratori e centri diagnostici utilizzano frequentemente software gestionali, servizi cloud, piattaforme di prenotazione, sistemi di refertazione, assistenza informatica e altri servizi nei quali soggetti esterni possono accedere ai dati dei pazienti. Prima di qualificare automaticamente ogni fornitore come responsabile del trattamento occorre verificare quale attività svolga concretamente e quale sia il ruolo privacy che ne deriva. Quando ricorrono i presupposti dell’art. 28 GDPR, il rapporto deve essere regolato da un atto che disciplini oggetto, durata, natura e finalità del trattamento, categorie di dati e interessati, obblighi del responsabile, misure di sicurezza, eventuali sub-responsabili e gestione dei dati alla cessazione del servizio. La distinzione tra titolare, responsabile e autorizzato al trattamento assume quindi conseguenze operative precise.

Un secondo ambito riguarda la sicurezza. I dati sanitari possono essere interessati da ransomware, compromissione delle credenziali, accessi abusivi, perdita o furto di dispositivi, errori di configurazione, invio di documentazione al destinatario sbagliato o consultazione da parte di personale non autorizzato. Non ogni incidente comporta automaticamente una notifica al Garante: il titolare deve valutare la violazione e il rischio per i diritti e le libertà delle persone fisiche. Quando la violazione presenta un rischio, l’art. 33 GDPR prevede la notifica all’autorità di controllo, ove possibile entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza; nei casi di rischio elevato può rendersi necessaria anche la comunicazione agli interessati ai sensi dell’art. 34.

Per questo una struttura che tratta dati sanitari dovrebbe disporre di una procedura interna che permetta al personale di riconoscere e segnalare rapidamente un possibile data breach. Le prime ore possono essere determinanti per ricostruire l’accaduto, circoscrivere l’incidente, individuare i dati coinvolti e consentire al titolare, con il supporto delle competenze necessarie e del DPO, di assumere una decisione documentata sulla notifica. Una procedura predisposta soltanto dopo l’incidente rende più difficile stabilire chi debba intervenire e quali informazioni debbano essere raccolte.

La stessa logica riguarda i controlli del Garante e le richieste degli interessati. La struttura deve poter ricostruire i trattamenti svolti e produrre documentazione coerente con l’organizzazione effettiva. Informative, registro, contratti con i responsabili, procedure, istruzioni agli autorizzati, valutazioni d’impatto quando necessarie e misure di sicurezza non dovrebbero essere documenti isolati. Devono descrivere un sistema che funziona nella pratica. Per questo l’aggiornamento della documentazione privacy aziendale deve seguire i cambiamenti organizzativi e tecnologici della struttura.

Il DPO può contribuire a individuare queste criticità attraverso verifiche periodiche e audit mirati, mantenendo distinta la propria attività di controllo dalle decisioni che spettano al titolare. Nei laboratori e nei centri diagnostici questa distinzione è particolarmente importante: affidare al DPO compiti che lo portino a determinare finalità o mezzi essenziali del trattamento può creare un conflitto con la funzione indipendente che successivamente dovrebbe esercitare sugli stessi processi.

Un caso pratico: riorganizzare la privacy di un centro diagnostico con refertazione online

Consideriamo, come esempio realistico e anonimizzato, un centro diagnostico che utilizza un gestionale per l’accettazione dei pazienti e un sistema separato per rendere disponibili online i referti. Nel corso della verifica emerge che la documentazione privacy era stata predisposta diversi anni prima, mentre nel frattempo erano cambiati il software, alcuni fornitori informatici e le modalità di consegna dei risultati. Il registro dei trattamenti non descriveva completamente i nuovi flussi e le designazioni relative ai fornitori dovevano essere confrontate con le attività effettivamente svolte.

L’intervento parte dalla ricostruzione del percorso dei dati: acquisizione in fase di prenotazione e accettazione, esecuzione della prestazione, elaborazione diagnostica, produzione del referto, pubblicazione sul portale, eventuale comunicazione ad altri soggetti legittimati e conservazione. Questa ricognizione permette di verificare quali soggetti accedano alle informazioni, con quali autorizzazioni, quali fornitori trattino dati per conto della struttura e se la documentazione rappresenti correttamente tali rapporti.

L’aspetto che richiede maggiore attenzione è il coordinamento tra organizzazione interna e sistemi informatici. Non sarebbe sufficiente sostituire informative e nomine mantenendo invariati processi non adeguatamente analizzati. La revisione deve quindi interessare anche profili di accesso, istruzioni al personale, rapporti ex art. 28 GDPR, procedura per la gestione delle violazioni e criteri adottati per la conservazione dei dati. In una situazione di questo tipo il DPO svolge la propria attività di consulenza e sorveglianza sulla struttura complessiva dei trattamenti, mentre le decisioni organizzative e le misure da adottare restano nella responsabilità del titolare.

FAQ sul DPO per laboratori di analisi e centri diagnostici

Un laboratorio di analisi deve sempre nominare un DPO?

No. Per una struttura privata l’obbligo non deriva automaticamente dal fatto di trattare dati sanitari. Occorre verificare se ricorrono i presupposti dell’art. 37 GDPR e, in particolare, se le attività principali comportino un trattamento su larga scala di categorie particolari di dati. La valutazione deve tenere conto dell’organizzazione concreta del laboratorio, del numero di interessati, del volume dei dati, della durata e continuità dei trattamenti e della loro estensione. È opportuno documentare le ragioni della valutazione anche quando si conclude per la non obbligatorietà della nomina.

Un centro diagnostico può affidare l’incarico a un DPO esterno?

Sì. Il GDPR consente che il DPO svolga i propri compiti sulla base di un contratto di servizi. La scelta deve però ricadere su un soggetto dotato delle competenze professionali necessarie, che possa operare con indipendenza e senza conflitti di interessi. Per una struttura sanitaria è particolarmente utile che il professionista conosca le problematiche connesse al trattamento dei dati relativi alla salute, alla refertazione digitale, ai fornitori tecnologici e alla gestione delle violazioni dei dati personali.

Il DPO è responsabile se il laboratorio subisce un data breach?

La presenza del DPO non trasferisce su di lui la responsabilità che il GDPR attribuisce al titolare del trattamento. Il DPO informa, fornisce consulenza, sorveglia l’osservanza della normativa e coopera con l’autorità di controllo. In caso di data breach deve essere tempestivamente coinvolto, ma spetta al titolare adottare le misure organizzative necessarie e assumere le decisioni previste dagli artt. 33 e 34 GDPR sulla base delle caratteristiche della violazione e del rischio per gli interessati.

Quando può essere necessaria una DPIA in un laboratorio o centro diagnostico?

La valutazione d’impatto è richiesta quando un trattamento, in particolare se utilizza nuove tecnologie e considerate natura, oggetto, contesto e finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Non basta quindi la presenza di dati sanitari per affermare automaticamente che qualsiasi trattamento richieda una DPIA. Devono essere esaminati i processi concretamente utilizzati, la scala del trattamento, le tecnologie impiegate e i rischi connessi. Il DPO deve fornire il proprio parere sulla valutazione d’impatto e sorvegliarne lo svolgimento quando questa è richiesta.

Quando conviene verificare l’organizzazione privacy di un laboratorio o centro diagnostico?

Una verifica è particolarmente opportuna quando cambiano software, sistemi di refertazione, fornitori, modalità di accesso ai dati o organizzazione interna, oppure quando la documentazione è stata predisposta da tempo senza essere aggiornata. Lo stesso vale in caso di apertura di nuove sedi, introduzione di nuovi servizi digitali o dubbi sulla corretta attribuzione dei ruoli privacy. L’adeguamento GDPR aziendale deve infatti seguire l’evoluzione effettiva dei trattamenti e non limitarsi alla conservazione di documenti predisposti in passato.

DPO esterno per laboratori di analisi e centri diagnostici: richiedi una valutazione

Per un laboratorio di analisi o un centro diagnostico, stabilire se il DPO sia obbligatorio e organizzare correttamente la funzione richiede una valutazione dei trattamenti realmente svolti. Numero e tipologia dei pazienti, quantità di dati sanitari trattati, refertazione online, software e servizi cloud, fornitori esterni, articolazione delle sedi e procedure interne possono incidere sia sulla necessità della nomina sia sull’attività che il DPO dovrà concretamente svolgere.

Lo Studio Legale Calvello assiste le aziende nella valutazione dei presupposti per la nomina, nella verifica dell’organizzazione privacy esistente e nell’assunzione dell’incarico di DPO esterno. Se il laboratorio o il centro diagnostico deve nominare o sostituire il responsabile della protezione dei dati, oppure vuole verificare se la designazione sia necessaria, è possibile richiedere una valutazione per il servizio di DPO esterno descrivendo le caratteristiche della struttura e le esigenze da esaminare.