Informativa sul trattamento dei dati personali dei pazienti

ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”)

Informazioni generali

La presente informativa descrive i trattamenti effettuati da Ortho-Next S.r.l. nell’ambito dell’erogazione di prestazioni sanitarie, della gestione amministrativa e organizzativa dei rapporti con i pazienti, dell’attività chirurgica presso strutture sanitarie, della telemedicina e dell’impiego di strumenti digitali e, ove attivati, di sistemi di intelligenza artificiale per finalità amministrative e operative, nonché dell’invio di newsletter e comunicazioni informative o promozionali.

I trattamenti sono effettuati nel rispetto dei principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione del titolare.

1. Titolare del trattamento e responsabile della protezione dei dati

Il Titolare del trattamento è Ortho-Next S.r.l., C.F. e P. IVA 11620580966, in persona del legale rappresentante pro tempore Dott. Vito Lavanga, con sede legale in Via Matteotti n. 59, 20015 Parabiago (MI), PEC: orthonext@legalmail.it.

Il Titolare determina le finalità e i mezzi dei trattamenti e adotta misure tecniche e organizzative adeguate a proteggere i dati personali, con particolare riguardo ai dati relativi alla salute.

Sulla base della valutazione organizzativa attualmente effettuata, il Titolare non ha designato un Responsabile della protezione dei dati (DPO), non risultando allo stato integrati i presupposti di designazione obbligatoria previsti dall’art. 37 GDPR, in particolare il trattamento su larga scala di categorie particolari di dati o il monitoraggio regolare e sistematico degli interessati su larga scala. La valutazione sarà riesaminata in caso di variazione delle dimensioni, delle finalità, dei sistemi o delle modalità dei trattamenti.

L’elenco aggiornato dei soggetti autorizzati al trattamento e dei responsabili del trattamento è conservato dal Titolare ed è disponibile, nei limiti applicabili, mediante richiesta ai recapiti indicati nella presente informativa.

2. Categorie di dati trattati

Il Titolare può trattare, in relazione alla prestazione richiesta e alle finalità perseguite:

• dati identificativi e anagrafici, compresi nome, cognome, codice fiscale, data e luogo di nascita, residenza o domicilio;
• dati di contatto, compresi numero telefonico, indirizzo e-mail e PEC;
• dati relativi ad appuntamenti, prenotazioni e comunicazioni operative;
• dati amministrativi, fiscali, contabili, bancari, assicurativi e di pagamento;
• dati relativi alla salute, compresi anamnesi, diagnosi, referti, cartelle cliniche, risultati di esami, immagini diagnostiche e immagini DICOM, documentazione terapeutica, riabilitativa e chirurgica, informazioni pre- e post-operatorie e dati relativi alle prestazioni di telemedicina;
• dati tecnici e di sicurezza, quali username, profili autorizzativi, indirizzi IP, log di accesso, dati relativi ai dispositivi e agli eventi di sicurezza, nella misura necessaria alla gestione dei sistemi;
• dati vocali, audio, trascrizioni e metadati, esclusivamente quando siano effettivamente attivati servizi telefonici, chatbot, interazioni vocali, promemoria o trascrizioni;
• immagini, voce, video, testimonianze e contenuti clinici soltanto per specifiche finalità interne, scientifiche, didattiche, informative o promozionali e previo distinto consenso, ove richiesto;
• dati biometrici soltanto se effettivamente necessari per una specifica finalità e nel rispetto delle condizioni previste dalla normativa applicabile.

Il Titolare non richiede dati eccedenti rispetto a quelli necessari per la specifica prestazione o attività. Il paziente è invitato a non trasmettere, tramite canali non richiesti, informazioni ulteriori rispetto a quelle necessarie.

3. Modalità del trattamento e principi di sicurezza

I dati sono trattati con strumenti elettronici e cartacei, mediante applicativi clinici e amministrativi, sistemi di agenda e prenotazione, posta elettronica, , piattaforme di invio di comunicazioni e newsletter, servizi cloud e di gestione documentale, sistemi di telemedicina, strumenti telefonici o VoIP, archivi cartacei e, ove attivati e autorizzati, strumenti di intelligenza artificiale.

Il trattamento è svolto da soggetti autorizzati, istruiti e vincolati alla riservatezza, secondo profili di accesso differenziati e secondo il principio del minimo privilegio. Sono adottate, secondo la natura e il rischio del trattamento, misure quali autenticazione individuale e, ove disponibile, autenticazione a più fattori, profilazione degli accessi, segregazione degli ambienti clinici e amministrativi, cifratura, backup, firewall, sistemi antivirus/EDR, logging, controllo degli accessi, VPN, procedure di revoca delle autorizzazioni e gestione degli incidenti.

Le misure sono periodicamente verificate e aggiornate in relazione all’evoluzione dei sistemi, dei rischi e dei fornitori utilizzati. Nessuna misura di sicurezza può tuttavia eliminare integralmente i rischi connessi alla trasmissione di dati mediante reti di comunicazione elettronica.

4. Finalità e basi giuridiche del trattamento

4.1 Erogazione di prestazioni sanitarie e gestione del percorso di cura

I dati sono trattati per la prenotazione e l’erogazione di visite specialistiche, prestazioni ortopediche, fisiatriche, fisioterapiche, massoterapiche, osteopatiche, riabilitative, di ginnastica posturale, trattamenti personalizzati, diagnosi, assistenza e terapia sanitaria, nonché per la formazione e gestione della documentazione clinica.

Il trattamento dei dati comuni è fondato, secondo la specifica operazione, sull’art. 6, par. 1, lett. b), c) o f), GDPR. Il trattamento dei dati relativi alla salute è fondato sull’art. 9, par. 2, lett. h), GDPR, in quanto necessario per finalità di diagnosi, assistenza o terapia sanitaria e per la gestione dei servizi sanitari, nel rispetto del segreto professionale e della normativa nazionale applicabile.

4.2 Prenotazioni, comunicazioni e gestione amministrativa

I dati sono trattati per la gestione dell’agenda, delle prenotazioni, delle comunicazioni operative, dei pagamenti, della fatturazione, degli adempimenti contabili e fiscali, dei rapporti con banche, assicurazioni, consulenti e fornitori, nonché per la gestione delle richieste degli interessati.

La base giuridica è l’art. 6, par. 1, lett. b) e c), GDPR e, ove necessario per la gestione del rapporto e la tutela dei diritti, l’art. 6, par. 1, lett. f), GDPR. Quando le operazioni riguardano dati relativi alla salute, si applica anche l’art. 9, par. 2, lett. h), GDPR, nei limiti strettamente necessari.

Le comunicazioni telefoniche o scritte sono, per quanto possibile, formulate in modo neutro e sono precedute da verifiche dell’identità, in particolare quando possano rivelare indirettamente informazioni sanitarie.

4.3 Telemedicina e prestazioni sanitarie a distanza

Quando il servizio è attivato, i dati sono trattati per teleconsulto, televisita, telemonitoraggio, teleassistenza, scambio di immagini e referti digitali e gestione della documentazione sanitaria a distanza.

Il servizio può utilizzare piattaforme di videocomunicazione e strumenti cloud individuati dal Titolare. La piattaforma concretamente utilizzata e il relativo fornitore sono comunicati o resi disponibili al paziente prima dell’attivazione del servizio, ove necessario per garantire un’informazione aggiornata.

Il flusso può comprendere: ricezione delle immagini e della documentazione diagnostica tramite canali messi a disposizione dal Titolare; fissazione dell’appuntamento; svolgimento della prestazione audio-video; redazione e comunicazione dell’esito o del referto tramite canali protetti.

La base giuridica del trattamento sanitario è l’art. 9, par. 2, lett. h), GDPR. La registrazione audio o video della seduta non è effettuata, salvo che sia specificamente necessaria, previamente comunicata e sorretta da una distinta base giuridica e, ove richiesto, da consenso esplicito.

Il paziente deve collegarsi da un luogo riservato e adottare cautele idonee a impedire l’ascolto o la visione da parte di soggetti non autorizzati. Il Titolare non risponde della riservatezza compromessa da condotte o dispositivi nella disponibilità del paziente o di terzi da lui ammessi al collegamento.

4.4 Attività chirurgica presso strutture sanitarie

I dati sono trattati per l’organizzazione e l’erogazione di prestazioni chirurgiche presso strutture sanitarie convenzionate o collegate al SSN, per la gestione pre- e post-operatoria e per lo scambio della documentazione necessaria.

La base giuridica del trattamento dei dati sanitari è l’art. 9, par. 2, lett. h), GDPR. La struttura presso la quale l’intervento è eseguito può trattare i dati in qualità di autonomo titolare per le proprie finalità sanitarie e organizzative. Per ciascun flusso deve essere verificato, in concreto, il rispettivo ruolo privacy e, ove Ortho-Next tratti dati per conto della struttura, deve essere formalizzato il relativo atto ai sensi dell’art. 28 GDPR.

4.5 Alimentazione e consultazione del Fascicolo Sanitario Elettronico

Il FSE raccoglie dati e documenti sanitari e sociosanitari relativi all’assistito, inclusi quelli riferiti a prestazioni erogate da soggetti privati autorizzati, secondo la normativa di settore.

Quando previsto dalla legge e dalle regole tecniche applicabili, Ortho-Next alimenta il FSE con i dati e i documenti relativi alle prestazioni erogate, quali referti, documentazione riabilitativa, documentazione chirurgica, immagini e referti diagnostici digitali.

L’alimentazione del FSE avviene per obbligo di legge e non richiede il consenso dell’assistito. La consultazione del FSE da parte dei professionisti sanitari per le finalità di prevenzione, diagnosi, cura e riabilitazione richiede invece il consenso specifico dell’assistito, salvo i casi previsti dalla legge, inclusi quelli di emergenza sanitaria. Il mancato consenso alla consultazione non pregiudica l’erogazione della prestazione sanitaria.

L’assistito può esercitare i diritti previsti dalla disciplina del FSE, compresi il diritto di conoscere gli accessi effettuati, il diritto all’oscuramento di dati o documenti nei casi previsti e il diritto di revocare il consenso alla consultazione. La gestione del FSE può coinvolgere ulteriori titolari pubblici o privati individuati dalla normativa e dalle regole del sistema; Ortho-Next non determina autonomamente le finalità e i mezzi del sistema FSE nel suo complesso.

4.6 Utilizzo di strumenti di intelligenza artificiale, chatbot e sistemi vocali

Il registro dei trattamenti contempla, ove effettivamente attivati e previa verifica contrattuale e organizzativa, l’utilizzo di:

• strumenti di IA generativa e assistenti conversazionali per supporto redazionale, sintesi, attività amministrative, operative o ricerca interna su documenti autorizzati;
• chatbot, sistemi vocali, servizi di trascrizione e strumenti telefonici per richieste organizzative, informazioni operative, prenotazioni e trasferimento a un operatore umano;
• chiamate outbound e promemoria organizzativi relativi a prestazioni o interventi già programmati.

Tali strumenti non sono utilizzati per formulare diagnosi, prescrizioni, decisioni terapeutiche o decisioni autonome sull’accesso alle prestazioni. Le decisioni cliniche restano sempre rimesse ai professionisti sanitari.

I dati sanitari non sono inseriti in strumenti di IA per finalità amministrative o organizzative se non sono necessari, specificamente autorizzati e assistiti da adeguate garanzie. Ove sia indispensabile trattare dati sanitari, il Titolare valuta preventivamente necessità, proporzionalità, base giuridica, ruolo del fornitore, garanzie di sicurezza, eventuali trasferimenti internazionali e, se necessario, l’esecuzione di una valutazione d’impatto.

Le interazioni con chatbot o sistemi vocali possono essere inoltrate a un operatore umano. Audio, trascrizioni e registrazioni sono effettuati solo se attivati e per il tempo strettamente necessario alla finalità specifica. Il paziente può chiedere il trasferimento a un operatore umano e non deve utilizzare tali strumenti per comunicazioni urgenti o per ottenere diagnosi o indicazioni terapeutiche.

4.7 Gestione dei sistemi, sicurezza e incidenti

I dati tecnici, gli account, le credenziali, i log e le informazioni relative agli accessi sono trattati per amministrare i sistemi, controllare le autorizzazioni, prevenire accessi indebiti, garantire la sicurezza, gestire incidenti e data breach, effettuare backup e ripristini e documentare l’adempimento degli obblighi di sicurezza.

Le informazioni contenute nei log sono trattate nei limiti necessari alla sicurezza e alla responsabilità del Titolare e non sono utilizzate per finalità incompatibili.

4.8 Gestione dei diritti e dei reclami

I dati sono trattati per ricevere, verificare e gestire le richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, nonché per gestire reclami, contenziosi e richieste delle autorità.

4.9 Immagini, voce, video, testimonianze e casi clinici

L’eventuale utilizzo di immagini, voce, video, testimonianze, nome, contenuti clinici o casi clinici per finalità scientifiche, didattiche, informative, sul sito, sui social o promozionali è oggetto di una specifica informativa e di una liberatoria o di un consenso separato, con indicazione delle finalità, dei canali, della durata e delle modalità di revoca. Tali materiali non sono utilizzati per finalità ulteriori senza una base giuridica adeguata.

4.10 Invio di newsletter e comunicazioni informative o promozionali

Previo consenso libero, specifico, informato e inequivocabile dell’interessato, i dati anagrafici e di contatto, in particolare nome, cognome e indirizzo di posta elettronica, sono trattati per l’invio periodico, tramite posta elettronica o altri strumenti di comunicazione elettronica, di newsletter, aggiornamenti sulle attività e sui servizi di Ortho-Next S.r.l., iniziative di prevenzione, eventi, contenuti divulgativi in ambito sanitario e comunicazioni a carattere informativo o promozionale.

La base giuridica del trattamento, quando le comunicazioni hanno natura promozionale o commerciale inviate mediante e-mail o altri strumenti automatizzati, è il consenso preventivo dell’interessato.

Per tale finalità sono utilizzati esclusivamente dati anagrafici e di contatto; i dati relativi alla salute o al percorso clinico del paziente non sono utilizzati per attività di profilazione commerciale né per l’invio di comunicazioni promozionali personalizzate.

Il consenso è facoltativo e può essere prestato mediante apposita selezione nel modulo dedicato o con altra modalità idonea a documentarne il rilascio. Il mancato consenso non pregiudica in alcun modo l’erogazione delle prestazioni sanitarie.

Il consenso può essere revocato in qualsiasi momento, facilmente e gratuitamente, senza pregiudicare la liceità del trattamento effettuato prima della revoca, mediante il link di disiscrizione presente in ciascuna comunicazione elettronica oppure inviando una richiesta ai recapiti del Titolare indicati nella presente informativa.

Resta ferma la possibilità, nei limiti consentiti dalla normativa applicabile, di utilizzare l’indirizzo e-mail fornito dall’interessato nel contesto della vendita di un proprio servizio per l’invio di comunicazioni relative a servizi analoghi (c.d. soft spam). In tale ipotesi il consenso preventivo non è richiesto, purché l’interessato sia stato adeguatamente informato e possa opporsi agevolmente e gratuitamente sin dal momento della raccolta e in occasione di ogni successiva comunicazione.

5. Natura del conferimento dei dati

Il conferimento dei dati necessari all’identificazione, alla prenotazione, all’erogazione della prestazione, alla gestione clinica e agli adempimenti amministrativi, fiscali e contabili è necessario. Il mancato conferimento può rendere impossibile erogare la prestazione o gestire correttamente il rapporto.

Sono facoltativi, salvo specifici obblighi di legge:

• il consenso alla consultazione del FSE;
• il consenso alla refertazione online;
• il consenso a registrazioni audio o video, ove proposte;
• il consenso all’utilizzo di immagini, voce, video, testimonianze o casi clinici per finalità ulteriori rispetto alla cura;
• il consenso all’iscrizione alla newsletter e alla ricezione di comunicazioni informative o promozionali.

Il mancato rilascio o la revoca di tali consensi non pregiudica l’erogazione della prestazione sanitaria. In assenza di consenso alla refertazione online, il referto sarà reso disponibile in formato cartaceo o con altra modalità non telematica concordata.

6. Destinatari dei dati e ruoli dei soggetti coinvolti

I dati possono essere trattati o comunicati, nei limiti necessari, a:

• professionisti sanitari, collaboratori e personale autorizzato coinvolti nel percorso di cura;
• personale amministrativo e organizzativo, con accesso limitato ai dati necessari alle mansioni;
• strutture sanitarie presso cui siano organizzate o eseguite prestazioni, compresa l’attività chirurgica;
• enti pubblici, autorità, organismi del SSN, Regioni, Agenzia delle Entrate, INPS, istituti assicurativi e altri destinatari previsti dalla legge;
• banche, assicurazioni, commercialista, consulente del lavoro e altri consulenti o fornitori, per le rispettive attività;
• fornitori di servizi cloud, gestione documentale, posta elettronica, agenda, sistemi clinici, telefonia, VoIP, manutenzione e sicurezza informatica;
• fornitori di strumenti di IA, chatbot, trascrizione o voce, esclusivamente ove il servizio sia effettivamente attivato e il trattamento sia stato valutato e formalizzato;
• fornitori di piattaforme per la gestione e l’invio di newsletter o comunicazioni elettroniche, esclusivamente ove il servizio sia effettivamente attivato e il trattamento sia stato valutato e formalizzato;
• soggetti che operano quali responsabili del trattamento ai sensi dell’art. 28 GDPR, quando trattano dati per conto del Titolare;
• soggetti che operano quali autonomi titolari quando determinano autonomamente finalità e mezzi del proprio trattamento.

L’elenco dei fornitori indicati nel registro comprende, tra gli altri, Google Workspace/Drive, OpenAI – ChatGPT Business, ElevenLabs, provider telefonici o VoIP, consulenti, medico competente e fornitori di manutenzione. Il ruolo privacy di ciascun soggetto, l’eventuale designazione a responsabile e l’eventuale ricorso a sub-responsabili devono risultare da accordi o atti aggiornati prima dell’utilizzo del relativo servizio per dati personali.

7. Trasferimenti verso Paesi terzi

Alcuni fornitori cloud, di IA, telefonia, trascrizione o servizi digitali possono comportare un trasferimento o un accesso da Paesi al di fuori dello Spazio Economico Europeo. Il Titolare autorizza tali trasferimenti soltanto previa verifica dell’applicabilità del Capo V GDPR e sulla base di una decisione di adeguatezza, di garanzie adeguate quali clausole contrattuali standard, o di altra condizione prevista dalla legge.

Il trasferimento non è desunto dalla sola ubicazione della società fornitrice: deve essere verificato in relazione al servizio concretamente utilizzato, ai data center, ai sub-responsabili e agli eventuali accessi da remoto. Informazioni aggiornate sulle garanzie applicate e sui Paesi coinvolti possono essere richieste al Titolare.

Qualora siano utilizzate piattaforme di invio newsletter o e-mail marketing con infrastrutture o supporto tecnico situati fuori dallo Spazio Economico Europeo, il relativo trasferimento sarà soggetto alle medesime verifiche e garanzie.

8. Conservazione dei dati

I dati sono conservati per il tempo necessario alle finalità per cui sono trattati e, successivamente, per il periodo imposto da obblighi di legge, da esigenze di documentazione dell’attività sanitaria, da obblighi contabili e fiscali o dalla necessità di accertare, esercitare o difendere un diritto.

In particolare:

• la documentazione clinica e sanitaria è conservata secondo il piano di conservazione sanitaria del Titolare e i termini applicabili alle singole categorie documentali, tenendo conto della natura della prestazione, della documentazione chirurgica, dei minori e degli obblighi di legge;
• i dati contabili, fiscali e di fatturazione sono conservati per i termini previsti dalla normativa applicabile;
• i dati di agenda e prenotazione sono conservati per il tempo necessario alla gestione del rapporto e agli adempimenti conseguenti;
• dati, audio, trascrizioni e metadati relativi a chatbot, sistemi vocali, telefonia o promemoria sono conservati per il periodo specifico definito per il servizio, evitando conservazioni generalizzate non necessarie;
• credenziali, log e dati di sicurezza sono conservati secondo le policy IT e per il tempo necessario alla sicurezza, agli audit, alla gestione degli incidenti e alla tutela dei diritti;
• le copie di sicurezza sono conservate per il periodo tecnico necessario al ripristino e secondo il ciclo di vita dei backup;
• immagini, video, audio e testimonianze utilizzati per finalità ulteriori sono conservati per il periodo indicato nel relativo consenso o liberatoria, fatti salvi gli ulteriori obblighi di conservazione.
• i dati di contatto trattati per l’invio di newsletter e comunicazioni informative o promozionali sono conservati fino alla revoca del consenso o all’esercizio del diritto di opposizione/disiscrizione da parte dell’interessato e, successivamente, per il solo tempo necessario a documentare la liceità del trattamento e la gestione della richiesta.

Alla scadenza dei periodi applicabili i dati sono cancellati, anonimizzati o resi non più direttamente associabili all’interessato, salvo ulteriori obblighi o esigenze di tutela dei diritti.

9. Diritti dell’interessato

L’interessato può esercitare, nei casi e nei limiti previsti dal GDPR:

• il diritto di accesso ai dati e alle informazioni sul trattamento;
• il diritto di rettifica e di integrazione dei dati inesatti o incompleti;
• il diritto alla cancellazione, quando ricorrono i presupposti;
• il diritto alla limitazione del trattamento;
• il diritto alla portabilità, nei casi previsti;
• il diritto di opposizione ai trattamenti fondati sull’interesse legittimo;
• il diritto di revocare il consenso in qualsiasi momento, quando il trattamento si fonda sul consenso, senza pregiudicare la liceità del trattamento svolto prima della revoca;
• il diritto di opporsi in qualunque momento all’invio di newsletter e comunicazioni promozionali, nonché di disiscriversi con modalità semplici e gratuite;
• il diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o incida significativamente sulla persona, nei casi previsti dall’art. 22 GDPR;
• il diritto di proporre reclamo al Garante per la protezione dei dati personali, con sede in Piazza Venezia n. 11, 00187 Roma, www.garanteprivacy.it.

Per i dati relativi alla salute, l’accesso comprende il diritto di ottenere una copia fedele e intelligibile dei dati personali contenuti nella documentazione sanitaria, nel rispetto dei diritti e delle libertà altrui.

Le richieste possono essere inviate all’indirizzo PEO privacy@orthonext.it oppure per posta all’indirizzo del Titolare, specificando nell’oggetto “Esercizio diritti privacy”. Il Titolare può richiedere informazioni necessarie a verificare l’identità del richiedente.

10. Processo decisionale automatizzato, profilazione e intelligenza artificiale

Il Titolare non adotta decisioni che producano effetti giuridici o effetti analogamente significativi sul paziente sulla base di un trattamento esclusivamente automatizzato, né utilizza strumenti di IA per sostituire la valutazione o la decisione del professionista sanitario.

Gli eventuali strumenti di IA, chatbot, sistemi vocali o software di supporto sono utilizzati, se attivati, come strumenti ausiliari e sotto controllo umano, per finalità amministrative, organizzative, redazionali o operative previamente definite. Il loro impiego non comporta automaticamente una decisione automatizzata né un’attività di profilazione del paziente.

Il paziente ha diritto a essere informato sull’impiego di tecnologie di IA e può chiedere informazioni sul loro ruolo nel trattamento che lo riguarda. Nessun output generato automaticamente costituisce diagnosi, prescrizione o indicazione terapeutica senza verifica e responsabilità del professionista sanitario competente.

11. Valutazione d’impatto e aggiornamento delle misure

Il Titolare valuta, prima dell’attivazione o dell’estensione dei trattamenti che possono presentare un rischio elevato, la necessità di una valutazione d’impatto sulla protezione dei dati, con particolare attenzione a dati sanitari, telemedicina, sistemi vocali, strumenti di IA, trattamenti su larga scala, monitoraggio, interconnessioni e trasferimenti internazionali.

L’informativa e le misure tecniche e organizzative sono aggiornate quando cambiano i fornitori, le piattaforme, i flussi di dati, le finalità, i rischi o la normativa applicabile.

12. Modifiche e aggiornamenti

La presente informativa può essere modificata in relazione a variazioni normative, organizzative, tecnologiche o dei servizi utilizzati. La versione aggiornata sarà resa disponibile presso la sede del Titolare e, ove applicabile, sul sito internet o mediante gli altri canali utilizzati per le comunicazioni ai pazienti.