Dati sanitari (dati relativi alla salute)

I dati sanitari, in termini di legge i dati relativi alla salute, sono dati personali attinenti alla salute fisica o mentale di una persona fisica che rivelano informazioni sul suo stato di salute: una diagnosi, una malattia passata, l'esito di un esame. L'articolo 9 del GDPR li inserisce tra le categorie particolari di dati personali, a cui dedica regole proprie.

Che cosa sono i dati sanitari?

Il GDPR definisce i dati relativi alla salute all'articolo 4, punto 15: «i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute».

La fonte conta poco. Vale la lettera di un medico, ma anche il messaggio di un cliente che scrive di essere stato in cura per la schiena l'anno scorso. Esempi tipici:

Malattie e cure: diagnosi, disabilità, farmaci e terapie, anche di salute mentale.
Esiti di esami: referti, analisi e certificati di malattia.
Appuntamenti: una visita da uno specialista può già rivelare una malattia.

Perché i dati sanitari hanno una protezione speciale?

L'articolo 9 del GDPR si apre così, al paragrafo 1: «È vietato trattare dati personali che rivelino l'origine razziale o etnica, …». Tra i dati che l'elenco comprende ci sono quelli relativi alla salute, accanto, per esempio, ai dati genetici e ai dati biometrici. L'articolo contiene anche altre disposizioni oltre al paragrafo 1: quali rilevino per i tuoi trattamenti è una domanda per il tuo consulente legale o per il tuo responsabile della protezione dei dati. Il motivo pratico è facile da immaginare: un dettaglio medico finito nelle mani sbagliate può seguire una persona a lungo, per esempio nel lavoro o in una futura richiesta di assicurazione.

Quali misure di protezione servano per i dati sanitari e che cosa chieda l'accordo sul trattamento dei dati (DPA) con un fornitore sono questioni per il tuo responsabile della protezione dei dati.

Con quali dati sanitari ha a che fare un broker?

Nelle assicurazioni i dati sanitari compaiono soprattutto in due momenti: il questionario sanitario alla stipula e il sinistro. Esempi tipici:

Assicurazione sulla vita: malattie passate, cure e terapie, anche di salute mentale. In caso di sinistro si aggiungono i referti.
Assicurazione malattia: domande su cure e farmaci. In seguito quasi ogni fattura o referto nomina una diagnosi.
Assicurazione infortuni: dopo un infortunio, referti medici, decorso delle cure e gravità delle lesioni.

Per uno studio di brokeraggio questo significa che le informazioni sanitarie passano spesso dallo studio prima di arrivare alla compagnia. Alcuni clienti le mandano anche senza che nessuno le chieda, per esempio domandando se un'ernia del disco inciderebbe sulla loro assicurazione sulla vita. Come gli studi organizzano il resto della comunicazione con i clienti lo racconta la nostra guida alla comunicazione con i clienti per broker assicurativi, e che cosa offre SendSeven agli studi di brokeraggio lo trovi nella pagina dedicata alle assicurazioni.

I promemoria di appuntamento contano?

Possono contare. Un promemoria che nomina il tipo di assicurazione o il motivo dell'appuntamento dice già qualcosa sulla salute di un cliente. Tieni i promemoria neutri: data, ora e la persona con cui il cliente si incontra, senza assicurazione, senza motivo e senza esiti.

Si possono chiedere dati sanitari su WhatsApp?

Lo sconsigliamo. È la nostra regola d'uso, non una norma che attribuiamo a Meta o al GDPR: le informazioni sulla salute non si chiedono in chat. Le circostanze dell'articolo 9 e la protezione adeguata al rischio restano da chiarire con il tuo consulente.

La WhatsApp Business Messaging Policy di Meta contiene inoltre un punto sugli identificatori sensibili: non consente alle aziende di chiedere numeri completi di carta, di conto o di documenti d'identità.

La nostra voce sulla messaggistica e il GDPR tratta le regole di messaggistica in generale. Come il tuo studio gestisce i dati sanitari lo concordi con il tuo consulente o con il tuo responsabile della protezione dei dati.

Come tenere le informazioni sanitarie fuori dalla chat?

La regola è di processo, non di tecnica. La chat porta la strada, non il contenuto:

In chat: proposte di appuntamento, richieste di richiamata, promemoria di documenti mancanti e aggiornamenti senza dettagli.
Non in chat: domande sulla salute, diagnosi, referti, foto di certificati di malattia e numeri completi di carta, di conto o di documenti d'identità.
Invece: la conversazione all'appuntamento o per telefono, e i documenti per una via sicura che sceglie lo studio.

Se un cliente manda comunque informazioni sanitarie, non rispondere nel merito. Basta una risposta breve, per esempio: Grazie per il Suo messaggio. Le domande sulla salute le vediamo meglio di persona o per telefono. Le va bene giovedì alle 10:00? Concorda in anticipo con il tuo responsabile della protezione dei dati come il team tratta questi messaggi.

Un punto in più: l'opt-in per WhatsApp riguarda il contatto su quel canale. Non è un consenso al trattamento di dati sanitari.

Esempio pratico

Gualmarini Broker, a Fidenza, segue i clienti anche su WhatsApp. Una sera Carla Montanari scrive che vuole rivedere la sua assicurazione sulla vita e che due anni fa ha fatto una terapia. Chiara, l'assistente di studio, risponde la mattina dopo senza entrare nel merito della terapia e propone un appuntamento.

All'appuntamento Andrea Gualmarini e Carla Montanari passano insieme le domande sulla salute. Carla consegna il referto del terapeuta per la via sicura che lo studio usa per i suoi documenti. Poi la chat mostra solo ciò che serve per organizzarsi: l'appuntamento, un promemoria, una conferma. In SendSeven il team annota in una nota interna che le domande sulla salute sono state trattate di persona, non il loro contenuto.

Queste sono informazioni generali, non una consulenza legale. Verifica i dettagli con il tuo consulente legale, il tuo consulente per la conformità o il tuo responsabile della protezione dei dati.