Promemoria appuntamenti su WhatsApp e GDPR: cosa serve davvero
Mandare promemoria di appuntamento su WhatsApp e legittimo, a quattro condizioni: usare la WhatsApp Business Platform (le API ufficiali) e non l'app WhatsApp Business sul telefono della segreteria, informare il paziente prima con un'informativa che nomini il canale, limitare il contenuto del messaggio al minimo — data, ora, studio — senza mai scrivere in chat la prestazione clinica, e firmare un accordo di responsabile del trattamento con il fornitore che gestisce i messaggi per vostro conto.
I punti chiave
- L'app WhatsApp Business sul telefono della segreteria e il problema piu comune: i dati finiscono su un dispositivo personale, senza tracciabilita ne accordo di trattamento.
- Il rischio non e mandare il promemoria: e scriverci dentro la prestazione. "Il suo appuntamento di domani alle 9:00" e diverso da "la sua visita oncologica di domani alle 9:00".
- Il fornitore che manda i messaggi per voi e un responsabile del trattamento: senza accordo ex art. 28 GDPR manca un pezzo obbligatorio, non una formalita.
- Il paziente deve poter dire di no al canale e continuare a essere curato: il promemoria su WhatsApp non puo essere una condizione per la visita.
La domanda arriva quasi sempre nella stessa forma: "posso mandare i promemoria degli appuntamenti su WhatsApp?". La risposta breve e si. Quella utile riguarda come, perche la differenza tra una prassi corretta e una da sanare non sta nel canale ma in quattro dettagli che si decidono prima del primo messaggio.
Il problema numero uno: l'app sul telefono della segreteria
Moltissimi studi gia "usano WhatsApp": qualcuno in segreteria ha l'app WhatsApp Business installata sul telefono, e da li scrive ai pazienti. Funziona, ed e la configurazione piu difficile da difendere davanti a un controllo.
- I dati dei pazienti stanno su un dispositivo che spesso e personale, esce dallo studio ogni sera e non e sotto il controllo del titolare.
- Non c'e nessun registro di chi ha scritto cosa a chi: la conversazione appartiene al telefono, non allo studio.
- Se quella persona cambia lavoro, l'archivio dei pazienti se ne va con il telefono.
- I termini d'uso dell'app consumer e Business non prevedono un accordo di responsabile del trattamento adeguato a un uso professionale sistematico.
La strada corretta e la WhatsApp Business Platform, cioe le API ufficiali di Meta: il numero appartiene allo studio, i messaggi passano da un sistema tracciabile, e chi lo gestisce per voi puo assumere formalmente il ruolo di responsabile del trattamento. Ne abbiamo scritto in dettaglio in WhatsApp Business API per studi medici.
E legale mandare promemoria medici su WhatsApp?
Si. Non esiste nessuna norma che vieti a uno studio medico di usare WhatsApp per ricordare un appuntamento, e il Garante non ha mai messo il canale all'indice. Quello che il GDPR impone non riguarda quale app usate ma come: informare prima, raccogliere il minimo, non scrivere in chat cosa ha il paziente, e avere un accordo scritto con chi manda i messaggi al posto vostro.
La distinzione che decide quasi tutto e un'altra, e non e giuridica ma tecnica: l'app WhatsApp Business installata su un telefono e la WhatsApp Business Platform (le API ufficiali) sono due prodotti diversi, e solo il secondo permette a un fornitore di assumere il ruolo di responsabile del trattamento. Chi usa il primo non ha un problema di canale: ha un problema di dove stanno i dati.
Su quale base giuridica si manda un promemoria
Il promemoria di un appuntamento gia fissato non e marketing. E una comunicazione di servizio legata a un rapporto che il paziente ha attivato lui, e questo cambia il ragionamento sulla base giuridica: si discute normalmente di esecuzione del contratto o di legittimo interesse, non di consenso pubblicitario.
Attenzione pero a non trarne la conclusione sbagliata. Che la base giuridica del promemoria non sia il consenso non significa che il paziente non debba sapere niente: l'informativa deve dire che i promemoria arrivano su WhatsApp, chi li invia materialmente e per quanto tempo restano i dati. E il paziente deve poter chiedere un canale diverso senza perdere l'accesso alle cure.
| Messaggio | Su cosa si regge di solito | Serve un consenso suo? |
|---|---|---|
| Promemoria di un appuntamento fissato | Esecuzione del contratto o legittimo interesse | No |
| Conferma di una prenotazione | Esecuzione del contratto | No |
| Avviso di disdetta o spostamento | Esecuzione del contratto | No |
| Offerta di uno slot liberato a chi e in lista | Legittimo interesse | No, ma dev'essere facile uscirne |
| Domanda su com'e andata la visita | Legittimo interesse | No, ma dev'essere facile uscirne |
| Richiamo periodico per un controllo | Da valutare: molti lo trattano come marketing | Prudenza: si |
| Offerta commerciale, promozione, sconto | Consenso | Si, separato e revocabile |
La colonna di mezzo dice "di solito" per un motivo: la base giuridica la individua il titolare guardando la propria organizzazione, e va scritta nel registro dei trattamenti. Quello che non cambia mai e l'ultima colonna — il marketing vuole un consenso suo anche se parte dallo stesso numero da cui e appena arrivato il promemoria.
Cosa NON deve esserci dentro il messaggio
Qui si concentra il rischio vero. Il fatto che una persona abbia un appuntamento in uno studio medico e gia un dato delicato; il fatto che abbia un appuntamento per una certa prestazione e un dato relativo alla salute ai sensi dell'art. 9 GDPR, con tutte le tutele rafforzate che ne conseguono.
| Formulazione | Cosa rivela | Valutazione |
|---|---|---|
| "Le ricordiamo l'appuntamento di domani alle 9:00 presso lo Studio Rossi." | Che esiste un appuntamento | Minimo necessario. Va bene. |
| "Le ricordiamo la visita ginecologica di domani alle 9:00." | La branca specialistica | Dato sanitario in chiaro su una notifica che si legge sulla schermata di blocco. |
| "Ricordi di portare gli esami del sangue e l'ultima TAC." | Un percorso diagnostico in corso | Da evitare in chat: sono istruzioni da dare in studio o su un canale dedicato. |
La regola pratica e semplice: il messaggio deve bastare al paziente per ricordarsi di venire, e non deve dire nulla di piu a chi guarda il suo telefono da sopra la spalla.
Il fornitore e un responsabile del trattamento
Se un software manda i messaggi al posto vostro, quel fornitore tratta dati personali per vostro conto: e un responsabile del trattamento e serve un accordo scritto ai sensi dell'art. 28 GDPR. Non e un allegato di cortesia, e la cosa che vi chiedono per prima in caso di verifica.
Cosa chiedere al fornitore prima di firmare
L'accordo di responsabile del trattamento (DPA)
Deve esistere, essere firmabile e nominare le finalita, la durata e le misure di sicurezza. Se il fornitore non ce l'ha pronto, e una risposta.
L'elenco dei sub-responsabili
Meta per la consegna dei messaggi, il fornitore del database, l'hosting, l'eventuale modello linguistico. Dovete poterli nominare nella vostra informativa.
Dove stanno i dati e cosa esce dall'UE
Chiedete la regione di archiviazione e quali flussi finiscono fuori dallo Spazio economico europeo, con quale meccanismo di trasferimento.
Quanto a lungo vengono conservati i messaggi
E soprattutto: cosa viene conservato. Il testo integrale delle conversazioni e una scelta molto diversa dal conservare solo l'esito dell'appuntamento.
Come si cancellano i dati di un paziente
Deve esserci una procedura concreta, non una promessa. Il diritto alla cancellazione si esercita entro termini precisi.
Minimizzazione: raccogliere meno e la difesa migliore
Il modo piu efficace di proteggere un dato e non averlo. Per gestire un appuntamento servono un nome, un numero di telefono, la data e l'ora e — se lo studio lavora per tipologie — la voce scelta dal proprio catalogo. Tutto il resto e superficie di rischio in piu senza un guadagno operativo.
Vale anche per i log. Conservare per sempre il testo di tutte le conversazioni e comodo per il supporto e pessimo per il rischio: se un archivio non serve a una finalita dichiarata, la scelta corretta e non costruirlo.
I moduli che toccano dati sanitari vanno trattati a parte
Ci sono funzioni che, per come sono fatte, trattano dati dell'art. 9: per esempio un protocollo urgenze in cui il paziente descrive il problema e il messaggio viene inoltrato al medico di turno. Non e una funzione da lasciare accesa di default "perche puo tornare utile": va accesa consapevolmente dal titolare, documentata nell'informativa e valutata nel registro dei trattamenti.
In Confermo una funzione del genere non c'e: l'assistente si ferma alla logistica dell'appuntamento, e il paziente che descrive un problema viene rimandato al recapito dello studio. E il modo piu semplice di stare fuori dall'art. 9 — non trattare quel dato affatto.
La checklist minima
- Il numero WhatsApp e sulla Business Platform, non sull'app di un telefono personale.
- L'informativa nomina WhatsApp come canale, indica il fornitore e i tempi di conservazione.
- Il testo dei promemoria non contiene la prestazione clinica.
- Esiste un DPA firmato con il fornitore, con l'elenco dei sub-responsabili.
- Il registro dei trattamenti include l'invio dei promemoria e il canale usato.
- Il paziente puo chiedere un canale alternativo, e la richiesta viene onorata.
- Esiste una procedura concreta per cancellare i dati di un paziente su richiesta.
- Le funzioni che trattano dati sanitari sono spente finche non le attiva il titolare.
Confermo nasce con questi vincoli dentro: raccoglie il minimo che serve a gestire un appuntamento, non chiede mai referti in chat, e mette a disposizione l'informativa completa e il DPA. Se volete vederlo funzionare sul vostro studio, la prova dura 14 giorni e non chiede la carta.
Domande frequenti
Posso usare l'app WhatsApp Business della segreteria per scrivere ai pazienti?
E la configurazione piu difficile da giustificare: i dati risiedono su un dispositivo spesso personale, non c'e tracciabilita di chi ha scritto cosa, e i termini d'uso dell'app non forniscono un accordo di responsabile del trattamento adeguato a un uso professionale sistematico. La strada corretta e la WhatsApp Business Platform, dove il numero appartiene allo studio e il fornitore puo assumere formalmente il ruolo di responsabile.
Serve il consenso del paziente per mandargli un promemoria di appuntamento?
Il promemoria di un appuntamento gia fissato e una comunicazione di servizio, non marketing: si discute normalmente di esecuzione del contratto o di legittimo interesse, non di consenso pubblicitario. Resta pero obbligatoria l'informativa, che deve nominare WhatsApp come canale, e il paziente deve poter chiedere un canale diverso senza conseguenze sull'accesso alle cure. Per i messaggi promozionali serve invece un consenso separato e revocabile.
Posso scrivere il tipo di visita nel messaggio di promemoria?
Meglio di no. Il tipo di prestazione e un dato relativo alla salute ai sensi dell'art. 9 GDPR e finisce in chiaro su una notifica che si legge dalla schermata di blocco. Il messaggio deve bastare al paziente per ricordarsi di venire — data, ora, nome dello studio — e non dire nulla di piu a chi guarda quello schermo.
Fonti
- Regolamento (UE) 2016/679 (GDPR) — testo in italiano su EUR-LexIn particolare art. 6 (basi giuridiche), art. 9 (dati relativi alla salute), art. 28 (responsabile del trattamento) e art. 7.3 (revoca del consenso).
- Garante per la protezione dei dati personali — Provvedimento n. 55 del 7 marzo 2019, "Chiarimenti sull'applicazione della disciplina per il trattamento dei dati relativi alla salute in ambito sanitario"Il riferimento italiano su come si trattano i dati sanitari dopo il GDPR e il d.lgs. 101/2018.
- Meta — WhatsApp Business Platform, linee guida sui template di messaggioRegole di Meta su cosa si puo scrivere fuori dalla finestra di 24 ore.