GDPR e laboratorio di analisi: dati, referti e responsabilità

Il webinar parte da una mappatura dei dati personali coinvolti nel ciclo di un'analisi: anagrafica del committente, indirizzo del punto di prelievo (che spesso coincide con la residenza), eventuali dati sanitari indiretti (es. richiesta analisi per soggetto immunodepresso). Il relatore evidenzia che, anche quando il committente è una persona giuridica, i nominativi dei referenti sono dati personali a tutti gli effetti.

Sulle basi giuridiche del trattamento si chiarisce che la maggior parte delle attività si fonda sull'esecuzione del contratto di analisi (art. 6.1.b GDPR) e sull'adempimento di obblighi di legge (art. 6.1.c), in particolare per la conservazione documentale e la tracciabilità ISO 17025. Il consenso entra in gioco solo per attività accessorie (newsletter, marketing) e va sempre raccolto separatamente.

La sezione sulla conservazione affronta uno dei dubbi più frequenti: per quanto tempo il laboratorio tiene i dati? Per i certificati la conservazione è di norma decennale per ragioni fiscali e probatorie; i record analitici grezzi seguono i tempi previsti dal manuale qualità ISO 17025; i dati di contatto vengono mantenuti per la durata del rapporto e per il tempo necessario all'esercizio dei diritti delle parti.

Sull'esercizio dei diritti il relatore mostra il flusso operativo: richiesta scritta o tramite modulo dedicato, verifica dell'identità, risposta entro 30 giorni, tracciatura della richiesta e dell'esito. Vengono illustrati i casi tipici: accesso ai propri certificati, rettifica di un'anagrafica errata, opposizione a comunicazioni promozionali.

La sicurezza tecnica viene illustrata con riferimento alle misure adottate: cifratura dei dati in transito (TLS), controllo degli accessi al LIMS con profilazione per ruolo, log di accesso conservati per finalità di audit, backup cifrati e disaster recovery. Il relatore richiama anche la gestione degli accessi fisici al laboratorio.

Sui campioni residui si chiarisce che, salvo richieste specifiche di conservazione, vengono mantenuti per un periodo definito (tipicamente 14-30 giorni in funzione della matrice) e poi smaltiti secondo la procedura di gestione rifiuti del laboratorio. Il dato analitico associato resta archiviato secondo i tempi documentali.

Chiude il webinar una panoramica sui rapporti con i fornitori (corrieri, software, hosting): tutti sono qualificati come responsabili del trattamento ex art. 28 GDPR e regolati da contratti dedicati. Il messaggio finale è che la conformità GDPR è parte integrante del sistema qualità del laboratorio, non un layer separato.