Checklist GDPR per cliniche: cosa controlla il Garante

Avviso: questo articolo è una guida operativa basata sulla pratica abituale del settore, non un parere legale. Per situazioni specifiche o sanzioni in corso, rivolgiti a un consulente specializzato in GDPR + Codice Privacy in ambito sanitario.

Il Garante per la protezione dei dati personali ispeziona regolarmente le cliniche private — con frequenza più alta nelle strutture con oltre 500 pazienti attivi e in modo praticamente certo quando viene presentato un reclamo formale. Le sanzioni previste dal GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato annuo mondiale. Per le cliniche italiane, le sanzioni effettivamente irrogate dal Garante negli ultimi tre anni si collocano nella fascia 20.000 € - 800.000 €.

La checklist che segue copre gli 11 punti che un ispettore controlla in una verifica standard. Se la tua clinica li supera tutti, l’ispezione si chiude con verbale positivo. Se ne fallisce 3 o più, la sanzione è quasi certa.

1. Consenso informato al trattamento sanitario, firmato e archiviato

Cosa: Per qualsiasi trattamento invasivo (piccola chirurgia, epilazione laser, mesoterapia, peeling chimico, ecc.), il paziente deve aver firmato il documento di consenso informato PRIMA della prima seduta. Il documento descrive in cosa consiste la procedura, gli effetti attesi, i possibili effetti collaterali e le alternative terapeutiche. È un obbligo che deriva dalla L. 219/2017, oltre che dal Codice Privacy.

Come verificare: apri la scheda di 3-5 pazienti che hanno ricevuto trattamenti invasivi negli ultimi 6 mesi. In ogni scheda devi trovare il PDF firmato con data, ora e tracciato di audit.

Errore tipico: il consenso è in un faldone cartaceo separato dalla scheda, oppure non è mai stato firmato (la segretaria lo ha consegnato in formato cartaceo e il paziente non lo ha mai restituito).

2. Consenso al trattamento dei dati sanitari (art. 9 GDPR)

Cosa: È diverso dal consenso informato al trattamento medico. Si tratta del consenso esplicito ex art. 9.2.a GDPR per il trattamento dei dati sanitari del paziente — categoria particolare ai sensi del Codice Privacy e delle Linee Guida del Garante per il settore sanitario. È obbligatorio e va raccolto al primo contatto, insieme all’informativa ex art. 13 GDPR.

Come verificare: apri la scheda di 3-5 pazienti nuovi dell’ultimo mese. Devi trovare il PDF firmato con data chiara, anteriore alla prima visita prenotata, e copia dell’informativa consegnata.

Errore tipico: viene confuso con il consenso informato al trattamento sanitario. Sono due documenti distinti, con basi giuridiche diverse (art. 9 GDPR vs L. 219/2017).

3. Consenso marketing separato ex art. 130 Codice Privacy

Cosa: Se invii comunicazioni promozionali via WhatsApp, SMS o email (offerte, newsletter, “questa settimana 20% di sconto”), serve un consenso marketing specifico e separato, ai sensi dell’art. 130 del Codice Privacy e dell’art. 6.1.a GDPR. Una casella generica “accetto tutto” non è valida — il Garante richiede un opt-in esplicito e granulare, distinto per canale (email da una parte, SMS e WhatsApp dall’altra).

Come verificare: apri la scheda dei pazienti che ricevono newsletter o promozioni. Devi trovare un consenso marketing distinto da quello operativo, con data e ora.

Errore tipico: tutti i pazienti ricevono la newsletter promozionale perché “hanno firmato alla registrazione” — ma quella firma era il consenso generale, non quello marketing. La sanzione è garantita se un paziente fa reclamo. Il Garante ha già multato diverse strutture proprio su questo punto.

4. Nomina del responsabile del trattamento per ogni fornitore

Cosa: Qualsiasi servizio esterno che accede ai dati paziente — gestionale, email, WhatsApp, hosting, commercialista — deve essere nominato responsabile del trattamento ex art. 28 GDPR con contratto firmato. Il DPA specifica quali dati tratta, con quali finalità, con quali misure di sicurezza, per quanto tempo.

Come verificare: elenco dei fornitori che trattano dati paziente. Per ciascuno, contratto di nomina firmato e archiviato.

Errore tipico: la clinica usa Calendly + Mailchimp + Google Workspace + Zoom — nessuno con nomina firmata. Il Garante chiede di esibire la documentazione in sede di ispezione.

5. Nomina del DPO (Responsabile della Protezione dei Dati)

Cosa: Per le cliniche private che trattano dati sanitari su larga scala, la nomina del DPO/RPD è obbligatoria ex art. 37.1.c GDPR. “Larga scala” non ha una soglia numerica fissa, ma il Garante considera indicativi per il settore numeri superiori a 250 pazienti attivi. La nomina va comunicata al Garante tramite il portale dedicato.

Come verificare: c’è un atto di nomina del DPO? È stato comunicato al Garante? I contatti sono pubblicati nell’informativa e sul sito?

Errore tipico: nessun DPO nominato perché “siamo piccoli” — ma se tratti i dati di centinaia di pazienti, per il Garante sei già su larga scala.

6. Informativa privacy e politica cookie pubblicate

Cosa: Il sito deve avere un’informativa ex art. 13 GDPR accessibile da ogni pagina (in footer), che spieghi: quali dati raccogli, le finalità, i sub-responsabili, i tempi di conservazione, i diritti dell’interessato, i contatti del titolare e del DPO. Se usi cookie analitici o di marketing, serve un banner conforme alle Linee Guida cookie del Garante del 2021: “accetta tutto” e “rifiuta tutto” sullo stesso livello, nessun cookie non tecnico installato prima del consenso.

Come verificare: apri il sito in finestra anonima. Il banner deve comparire prima degli analytics. Rifiutando, NON devono essere installati.

Errore tipico: “accetta” in evidenza e “rifiuta” nascosto dietro “preferenze” — schema vietato dal Garante dal 2021. Sanzione minima 20.000 € in caso di reclamo.

7. Procedura documentata per i diritti dell’interessato

Cosa: I pazienti hanno i diritti ex artt. 15-22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Quando un paziente chiede “voglio sapere quali dati avete su di me”, devi rispondere entro 30 giorni (prorogabili fino a 90 in casi complessi, con comunicazione motivata).

Come verificare: esiste una procedura scritta? C’è un canale dedicato (tipicamente privacy@clinica.it)? Esiste un registro delle richieste ricevute e delle risposte fornite?

Errore tipico: nessuno conosce la procedura; la richiesta finisce nella casella di posta generica; la risposta arriva dopo 60 giorni o non arriva affatto. Il Garante ha sanzionato più volte proprio per i ritardi nella risposta.

8. Cifratura dei dati in transito e a riposo

Cosa: I dati sanitari rientrano nelle categorie particolari ex art. 9 GDPR. Devono essere cifrati sia in transito (HTTPS obbligatorio) sia a riposo (database cifrato con chiave non condivisa con terzi non autorizzati). Le Linee Guida del Garante per i dati sanitari del 2009 (tuttora rilevanti) e le misure minime AgID lo richiedono esplicitamente.

Come verificare: il sito pubblico è servito in HTTPS? Il database del gestionale è cifrato? Se il gestionale è SaaS, il fornitore dichiara nel DPA la cifratura a riposo?

Errore tipico: il sito pubblico è in HTTPS, ma il gestionale interno gira in HTTP con dati in chiaro. Oppure il database non è cifrato e un furto del server espone tutti i record.

9. Accesso ai dati segregato per ruolo

Cosa: La segretaria non ha bisogno di vedere la cartella clinica completa di ogni paziente. Il medico sì. Il direttore può aver bisogno di dati aggregati, ma non di dettagli. Gli accessi al gestionale vanno segmentati per ruolo, nel rispetto del principio di minimizzazione (art. 5.1.c GDPR) e del segreto professionale medico (art. 622 c.p., richiamato dal Codice di Deontologia Medica).

Come verificare: se accedi al gestionale con l’utenza della segretaria, riesci a vedere il campo “anamnesi”? Se sì, manca la segmentazione.

Errore tipico: tutti gli utenti hanno accesso a tutto. È accettabile in micro-cliniche (1-2 persone), ma diventa un problema serio nelle strutture medie (5 o più operatori).

10. Registro dei trattamenti ex art. 30 GDPR

Cosa: Documento interno obbligatorio ex art. 30 GDPR. Elenca ogni trattamento: denominazione, finalità, base giuridica, categorie di dati e di interessati, tempi di conservazione, misure di sicurezza, trasferimenti extra-UE. Per una clinica privata tipica si tratta di 8-12 trattamenti distinti.

Come verificare: il documento esiste? È aggiornato all’ultimo anno? Il titolare riesce a esibirlo in meno di 5 minuti se richiesto dal Garante?

Errore tipico: non è mai stato redatto. È uno degli errori più frequenti riscontrati alla prima ispezione.

11. Piano di risposta alle violazioni dei dati (data breach)

Cosa: Se il gestionale viene violato o un dispositivo con dati paziente sparisce, devi notificare il Garante entro 72 ore dal momento in cui ne hai avuto conoscenza, ex art. 33 GDPR, tramite il portale dedicato. Se la violazione comporta un rischio elevato, devi anche darne comunicazione senza ingiustificato ritardo ai pazienti coinvolti (art. 34 GDPR).

Come verificare: esiste un piano scritto? Chi si occupa della notifica (tipicamente il DPO)? C’è un modello di notifica già pronto?

Errore tipico: nessuno ci pensa finché non succede. La notifica arriva dopo 7 giorni e il ritardo aggrava la sanzione — diversi provvedimenti del Garante hanno raddoppiato la multa proprio a causa del ritardo nella notifica.

Come Zellbox copre di default gli 11 punti

Zellbox è progettato fin dal primo giorno per essere conforme a GDPR + Codice Privacy per le cliniche private operative in Italia:

• Consensi firmati (punti 1, 2, 3) — inviati dalla scheda paziente, firmati con il dito direttamente dallo smartphone, archiviati come PDF nella scheda con tracciato di audit. Distinzione chiara fra consenso sanitario, consenso ex art. 9 GDPR e consenso marketing ex art. 130 Codice Privacy.
• DPA art. 28 GDPR (punto 4) — Zellbox sottoscrive la nomina a responsabile del trattamento al momento dell’attivazione; i sub-responsabili (AWS, Meta, Google, Stripe) hanno DPA pubblici.
• Supporto al DPO (punto 5) — log di accesso e registri dei trattamenti accessibili per gli audit periodici del DPO.
• Informativa privacy + cookie (punto 6) — pagina di informativa personalizzabile con i tuoi dati legali e i sub-responsabili specifici.
• Procedura diritti dell’interessato (punto 7) — funzionalità integrata per ricevere e gestire le richieste, con tracciato di audit di ogni richiesta e risposta.
• Cifratura in transito e a riposo (punto 8) — HTTPS end-to-end + chiavi KMS dedicate per cliente su AWS, con DPA che copre il trasferimento extra-UE tramite Clausole Contrattuali Tipo (SCC) UE.
• Accesso per ruolo (punto 9) — ruoli admin / member con permessi differenziati, nel rispetto del principio di minimizzazione.
• Registro dei trattamenti (punto 10) — modello precompilato con i trattamenti tipici di una clinica privata italiana.
• Piano data breach (punto 11) — procedura integrata di notifica al Garante, con modello già predisposto.

→ Inizia gratis con Zellbox (piano gratuito, senza carta) → Informativa privacy di Zellbox — modello di riferimento per la tua informativa → Calcola quanto ti costano i no-show — strumento gratuito → Confronti: Callbell vs Zellbox, Doctolib vs Zellbox, AgendaPro vs Zellbox

Il riassunto senza giri di parole

Il Garante non ispeziona “per sfortuna” — ispeziona per (a) reclamo di un paziente, (b) dimensione del registro pazienti sopra soglia, o (c) campionamento di settore. I primi due sono evitabili con un minimo di igiene operativa; il terzo è pura probabilità.

Se gli 11 punti sono coperti prima che si presenti un ispettore, l’ispezione si chiude con verbale positivo. Se ne falliscono 3 o più, la sanzione arriva, indipendentemente dalle dimensioni della clinica.

La differenza tra conformità reale e apparente sta tutta qui: i consensi sono firmati e archiviati nella scheda paziente (conformità reale) oppure sono in un faldone cartaceo mai scansionato (conformità apparente, che crolla alla prima ispezione).

→ Leggi anche: Callbell vs Zellbox per cliniche.

Sull’autore: Nacho Coll è il fondatore di Zellbox. Scrive di automazione WhatsApp Business per PMI con prenotazione su appuntamento.