Un medico nel suo studio effettua, senza ombra di dubbio, un trattamento di dati personali, anche se non ha dipendenti né collaboratori o non usa strumenti informatici. Non solo. Il professionista medico, tratta anche categorie particolari di dati personali. Se, infatti, nella prima tipologia di dati rientrano informazioni comuni che permettono di identificare direttamente o indirettamente una persona fisica, come anagrafiche, indirizzi email, numeri telefonici, indirizzi di residenza, matricola INPS e simili; nel secondo tipo di dati, rientrano informazioni più delicate, come dati sanitari, informazioni sulla razza, l’etnia, opinioni filosofiche, politiche, religiose, dati biometrici, dati genetici. Si comprende dunque come ogni medico si trova ad aver a che fare nella propria attività professionale con le suindicate tipologie di dati personali, considerando che, nel proprio quotidiano, può raccogliere, registrare, organizzare, conservare, consultare, elaborare, modificare, selezionare, estrarre, raffrontare, usare, interconnettere, bloccare, comunicare, diffondere, cancellare e distruggere dati personali appartenenti a suoi clienti, fornitori, collaboratori, altri colleghi, manualmente e mediante strumenti informatici e telematici; tali operazioni sono infatti tutte quelle incluse nel concetto di “trattamento di dati personali” come definito nel Regolamento UE n. 679/2016 in materia di trattamento di dati personali (anche detto GDPR).
La fase di assessment o analisi
La prima cosa da fare per uno studio medico è quella di analizzare la propria organizzazione, individuando quali dati vengono trattati, scindendo quelli comuni dalle categorie particolari di dati, individuando a chi appartengono i dati trattati (generalmente pazienti, fornitori, colleghi, dipendenti), il proprio modo di operare sui dati personali trattati, gli strumenti utilizzati per il trattamento (elettronici o manuali), il contesto, i “percorsi” dei dati (dove sono raccolti, come sono comunicati all'interno dello studio e all'esterno, dove sono archiviati, per quanto tempo, quando e come sono distrutti, chi vi ha accesso), i soggetti terzi cui vengono ...