WhatsApp Business e GDPR in ambito sanitario: cosa si può fare e cosa no

Sì, WhatsApp Business si può usare in uno studio sanitario, ma solo per comunicazioni organizzative — appuntamenti, promemoria, informazioni pratiche — e a tre condizioni: il paziente ha scelto quel canale ed è stato informato, il contenuto dei messaggi resta al minimo e non rivela diagnosi o trattamenti, e lo studio ha regolato il rapporto con i fornitori coinvolti. Referti, immagini cliniche e documentazione sanitaria vanno su canali diversi.

La domanda arriva praticamente in ogni progetto, perché il canale è comodo e i pazienti lo usano già. Il problema non è tecnico: è che una conversazione con uno studio odontoiatrico, un centro di fisioterapia o un poliambulatorio può rivelare informazioni sulla salute della persona anche quando il messaggio non contiene nulla di clinico. Il solo fatto che esista lo scambio è un'informazione.

Questo non rende il canale vietato. Lo rende un canale da governare, con regole scritte che valgono per tutti in studio, invece che con la prassi del "rispondiamo dal telefono di chi c'è".

La guida che segue è operativa e fa parte del percorso generale sull'automazione dei processi. Non sostituisce una valutazione legale sul caso specifico, soprattutto quando lo studio tratta volumi elevati o categorie di pazienti particolari.

Non esiste un solo "WhatsApp aziendale": esistono configurazioni diverse con implicazioni molto diverse, e confonderle è l'errore più comune.

La prima è il telefono personale di un collaboratore usato per rispondere ai pazienti. È la situazione più diffusa e la meno difendibile: i dati finiscono su un dispositivo che lo studio non controlla, restano lì quando la persona cambia lavoro, e non esiste alcuna tracciabilità. Va superata, non regolata.

La seconda è l'applicazione business su un dispositivo aziendale dedicato. È un netto miglioramento: il numero appartiene allo studio, il dispositivo è gestito, l'accesso è limitato. Resta però difficile da integrare con altri sistemi e la conservazione dei messaggi dipende dal dispositivo.

La terza è l'accesso tramite interfaccia di programmazione, di solito attraverso un fornitore intermedio. Permette messaggi automatici, integrazione con l'agenda e registri consultabili, ma introduce un soggetto in più che tratta i dati per conto dello studio: va scelto valutando dove conserva i dati, per quanto tempo e con quali garanzie contrattuali.

La scelta della configurazione va fatta prima di progettare qualsiasi automazione, perché determina cosa è tecnicamente possibile e quali documenti servono.

Il punto di partenza è distinguere due cose che vengono spesso confuse: la base giuridica del trattamento e la scelta del canale.

Inviare un promemoria di appuntamento a un paziente in cura rientra nell'attività ordinaria dello studio. Farlo su un canale di messaggistica gestito da un fornitore terzo è però una scelta che il paziente deve poter compiere consapevolmente, e che deve poter revocare.

In pratica servono tre elementi. Un'informativa che indichi chiaramente quali canali lo studio usa, per quali finalità, quali fornitori sono coinvolti e come si esercita il diritto di opposizione. Una registrazione della preferenza del paziente, con data e modalità di raccolta, conservata in un campo strutturato e non come nota libera. Un modo semplice per cambiare canale o interrompere le comunicazioni, comunicato al paziente e realmente funzionante.

Discorso diverso per i messaggi promozionali: newsletter, campagne su nuovi servizi, offerte. Qui serve un consenso specifico, separato da quello per le comunicazioni organizzative, e va tenuto presente che le piattaforme di messaggistica applicano proprie regole commerciali sui messaggi non richiesti, indipendenti dalla normativa privacy.

Un dettaglio operativo che fa la differenza: la preferenza di canale va registrata nel sistema che genera i messaggi, non su un modulo cartaceo in archivio. Un consenso che il flusso automatico non può leggere non protegge nessuno.

La regola pratica più utile è questa: scrivi solo ciò che una persona accanto al paziente potrebbe leggere sullo schermo senza che questo gli crei un problema.

Vanno bene data, ora, durata e luogo dell'appuntamento; l'indicazione di portare un documento o un esame precedente; la conferma di ricezione di una richiesta; una risposta su orari e modalità di pagamento; un promemoria generico di controllo periodico.

Non vanno bene diagnosi, esiti, referti, immagini cliniche, riferimenti espliciti a trattamenti specifici, prescrizioni, e in generale qualsiasi contenuto che descriva lo stato di salute. Anche il nome di un reparto molto caratterizzante può bastare a rivelare un'informazione sensibile.

Attenzione anche agli allegati. Un documento inviato in chat resta nel dispositivo del paziente, spesso nella galleria immagini, e viene copiato nei backup della piattaforma. Per i documenti conviene un'area riservata o un invio con link protetto, con il messaggio che serve solo ad avvisare.

Va poi gestito il caso in cui è il paziente a scrivere contenuti clinici, cosa che succede regolarmente. Serve una risposta standard che riporta la conversazione sul canale corretto, e una regola su cosa fare del messaggio ricevuto: conservarlo nella cartella se è rilevante, o cancellarlo dalla chat dopo averlo gestito.

Le conversazioni sono documenti, anche quando sembrano informali. Vanno trattate come tali.

Serve una regola di conservazione: per quanto tempo le chat restano accessibili, dove vengono archiviate se hanno valore per la cartella del paziente, e quando vengono eliminate. Una regola imperfetta scritta è meglio di un archivio infinito non deciso da nessuno.

Servono regole di accesso: chi in studio può leggere le conversazioni, con quali credenziali, e cosa succede quando una persona lascia lo studio. Nelle configurazioni su dispositivo dedicato questo significa procedure fisiche — blocco schermo, dispositivo che non esce dallo studio, disattivazione degli accessi.

Serve chiarezza su cosa succede se si cambia fornitore o si chiude il canale: i messaggi sono esportabili? in che formato? Va deciso prima di iniziare, non quando si è già in migrazione.

Infine, se lo studio usa una piattaforma intermedia, va verificato dove i dati vengono conservati e quali garanzie esistono per eventuali trasferimenti fuori dall'Unione Europea. È una verifica che riguarda il contratto con il fornitore, non le impostazioni del software.

Ci sono situazioni in cui insistere sul canale crea più problemi di quanti ne risolva, e riconoscerle in anticipo evita grane.

La consegna di referti e documentazione clinica va su un'area riservata o su un sistema pensato per lo scambio di documenti sanitari. È il caso più netto.

Le comunicazioni che richiedono prova di ricezione con valore formale — solleciti di pagamento, comunicazioni contrattuali, disdette — hanno strumenti dedicati e la chat non li sostituisce.

Le conversazioni cliniche a distanza richiedono strumenti pensati per quello scopo, con le tutele che ne derivano, e non una chat commerciale.

E infine i pazienti che non hanno scelto quel canale. Sembra ovvio, ma la tentazione di scrivere comunque a chi ha il numero attivo è forte: è esattamente il comportamento che genera reclami.

Per tutte queste situazioni conviene definire in anticipo il canale alternativo, in modo che chi lavora in reception non debba improvvisare.

L'automazione su messaggistica funziona bene quando rispetta una struttura precisa, che abbiamo visto reggere in studi di dimensioni molto diverse.

Il flusso legge le preferenze di canale prima di ogni invio. Nessun messaggio parte se il campo del consenso non è valorizzato: è un controllo banale che previene la quasi totalità degli errori.

I contenuti sono modelli approvati, non testi liberi. Modelli scritti una volta, verificati, e usati sempre uguali: questo garantisce che nessun messaggio automatico contenga informazioni che non dovrebbe contenere.

Le risposte dei pazienti arrivano a una persona. L'automazione gestisce conferme e disdette strutturate; tutto ciò che è diverso viene passato a un operatore, con un tempo di risposta dichiarato.

Ogni invio lascia una traccia: destinatario, modello usato, esito. Serve per la conformità e serve per capire cosa funziona.

L'interruzione è sempre possibile e immediata. Una parola di risposta, un link, una richiesta allo sportello: la revoca deve produrre effetto sul sistema, non su un foglio.

Con questa struttura il canale diventa uno strumento di lavoro affidabile, e le domande sulla conformità hanno una risposta documentata invece che una rassicurazione a voce.

Alcuni errori si ripetono in modo quasi identico da uno studio all'altro, e sono tutti evitabili con una decisione presa in anticipo.

Il primo è il numero unico usato sia per le comunicazioni con i pazienti sia per le conversazioni personali del titolare. Genera confusione, rende impossibile stabilire chi può leggere cosa e complica qualunque verifica.

Il secondo è il gruppo con più pazienti in copia. Un gruppo rende visibile a ciascun partecipante il numero degli altri e, trattandosi di uno studio sanitario, quella semplice lista è già un'informazione che non dovrebbe circolare.

Il terzo è l'assenza di una risposta predefinita per gli orari di chiusura. Un paziente che scrive di sera e non riceve nulla presume di essere stato letto: un messaggio automatico che indica i tempi di risposta e il numero da chiamare in caso urgente evita fraintendimenti e reclami.

Il quarto è la mancanza di una regola condivisa in studio. Se ogni collaboratore decide da sé cosa si può scrivere in chat, prima o poi qualcuno scriverà qualcosa che non doveva. Una pagina di istruzioni, letta da tutti, vale più di qualunque impostazione tecnica.