Cartelle cliniche e GDPR: di chi sono i dati dei pazienti dopo la cessione

Nel gestionale del tuo studio ci sono vent'anni di anamnesi, radiografie e piani di cura. Il giorno dopo la firma quelle schede le apre un'altra persona. La domanda che quasi nessuno si fa prima del preliminare è semplice: a che titolo? E chi risponde, da quel giorno, se un paziente chiede copia della sua cartella?

I dati dei pazienti sono dati sanitari, con regole più strette di quelle di una rubrica clienti. Il concetto da tenere a mente è uno: il titolare del trattamento, cioè chi decide perché e come quei dati si usano. Oggi sei tu, o la tua società. Domani dipende da come è costruita l'operazione. Perché l'archivio non è una lista che si vende l'ho già scritto in anagrafica pazienti.

Il titolare cambia, o resta, a seconda della formula

Se lo studio è una ditta individuale, o se cedi l'azienda o un suo ramo, la titolarità passa. Chi compra subentra nell'attività e nei trattamenti che comporta: continuare a curare quei pazienti significa trattare i loro dati. L'archivio segue lo studio come conseguenza della cessione, non come vendita separata. Ma il nuovo titolare è un soggetto diverso da te, e i pazienti devono saperlo.

Se invece cedi le quote della società, il titolare è la società, e la società non cambia. Cambiano i soci, forse il direttore sanitario, ma il soggetto che tratta i dati è lo stesso di prima. Si aggiorna quello che riporta nomi di persone, non la titolarità. Le differenze fra le due strade sono in cessione di quote e nella pagina sulle formule.

Questa è la distinzione da portare al consulente privacy prima del preliminare. Non «cosa devo fare col GDPR», ma «in questa formula, il titolare cambia?». Tutto il resto discende da lì.

Serve il consenso dei pazienti?

È la prima domanda che i titolari si fanno: «devo far firmare qualcosa a tremila persone?». L'impostazione generale, che il tuo consulente ti confermerà nel caso concreto, è che i dati trattati per curare non si fondano sul consenso ma sulla necessità della cura. Chi subentra li tratta per lo stesso motivo per cui li trattavi tu. Quel che serve è l'informazione: il paziente deve sapere che il titolare è cambiato, chi è il nuovo e come esercitare i suoi diritti. Cambia quindi l'informativa, in sala d'attesa, sul sito, nel modulo della prima visita.

Questo vale per la cura. Se usavi i dati anche per altro, come newsletter o auguri via messaggio, quelle finalità poggiavano su consensi raccolti a tuo nome, e non è detto che il nuovo titolare li erediti così come sono. È un punto da far verificare.

Cosa va comunicato, e quando

Il quando è più delicato del cosa. L'informazione ai pazienti sul cambio di titolare è l'unico momento in cui dire che lo studio è passato di mano non è una scelta ma un obbligo. Non può arrivare prima della firma, perché prima non è successo niente. Non deve arrivare troppo dopo, perché il nuovo titolare sta già trattando i dati. Va pianificata insieme all'annuncio allo staff descritto ne il copione per comunicare la cessione: stessi giorni, stessa formula, così che la carta e la voce dicano la stessa cosa.

Il cosa è concreto: chi è il nuovo titolare, come contattarlo, come chiedere copia della propria cartella, come farla trasferire a un altro dentista se il paziente non vuole restare. Se oltre all'informativa aggiornata serva anche una comunicazione a ciascun paziente, e in che forma, è una domanda da fare al consulente, non da risolvere da soli.

Cosa resta a chi vende

Firmi e te ne vai, ma la responsabilità per le cure fatte prima ha tempi lunghi. Se fra sei anni un paziente contesta un impianto che hai messo tu, ti serve la sua cartella. Il contratto deve dire chi conserva l'archivio storico, se puoi tenerne una copia, per quali fini e per quanto, e come vi accedi. Tenere una copia integrale «per sicurezza» senza averlo scritto è a sua volta un trattamento, e va giustificato. Va scritto anche chi risponde alle richieste sui dati di prima della cessione: chi chiede la radiografia di sette anni fa non deve essere rimandato da uno all'altro.

Radiografie su pellicola, cartelle di carta, backup su disco esterno: l'archivio fisico passa con un verbale di consegna che elenca cosa c'è. Quel che non è nell'elenco, fra tre anni, nessuno sa più di chi sia.

Il gestionale e chi ci sta dietro

Il software che tiene le cartelle è quasi sempre in cloud, e il fornitore è un responsabile del trattamento nominato da te. Col nuovo titolare servono una nuova nomina, una licenza e account a suo nome. Lo stesso vale per il sistema radiologico digitale e per il servizio di richiamo via SMS. L'elenco dei responsabili nominati sta nel registro dei trattamenti, che chi compra ti chiede in due diligence, ed è anche la lista delle cose da rifare il giorno dopo la firma. Se il registro non c'è, è adesso che te ne accorgi. E se il gestionale è agganciato alla tua email personale, il nuovo titolare dipende da te per ogni recupero password.

Prima della firma: quel che chi compra non può vedere

Chi compra vuole capire quanto vale l'archivio e chiede di guardarlo. Prima della firma non è titolare di niente, e i dati sanitari dei tuoi pazienti non devono finire nelle sue mani. Si ragiona su numeri aggregati: pazienti attivi, fasce d'età, frequenza dei richiami, senza nomi. Cosa non deve uscire dallo studio è in cosa non mandare mai per email. Dopo il preliminare si può concordare col consulente una verifica più profonda, ma per controllare, non per copiare.

Se stai dal lato di chi acquista, chiedere l'anagrafica prima della firma ti fa apparire poco attento. Le domande giuste sono altre: il registro dei trattamenti esiste? Le informative sono aggiornate? Le nomine dei responsabili sono per iscritto? Uno studio che risponde sì a tutte e tre ti risparmia mesi.

Tre domande da portare al tavolo

Prima del preliminare, scrivi tre righe e portale insieme al consulente privacy e al commercialista, perché la risposta dell'uno cambia quella dell'altro. In questa formula, il titolare del trattamento cambia? Chi conserva l'archivio storico, per quanto, e come vi accede chi vende se gli serve? Quali consensi non legati alla cura vanno rinnovati a nome del nuovo titolare? Fatti dare le risposte per iscritto e allegale al contratto. Se non sai da quale partire, una telefonata di dieci minuti con chi segue queste trattative ogni settimana chiarisce più di sei mesi di pensieri.