Prenotazioni online e GDPR: la guida pratica

Un sistema di prenotazione appuntamenti raccoglie dati personali di persone che non hanno alcun rapporto con te prima di quel momento. Ecco cosa serve davvero per farlo in modo conforme, senza trasformarlo in un progetto di sei mesi.

Individua la base giuridica corretta

Per fissare un appuntamento richiesto dall'interessato la base giuridica è normalmente l'esecuzione di misure precontrattuali o del contratto, non il consenso. È una distinzione che conta: se ti appoggi al consenso, l'interessato può revocarlo e tu ti ritrovi con una prenotazione che non puoi più gestire.

Il consenso serve invece per tutto ciò che va oltre l'appuntamento: newsletter, marketing, profilazione. Tienili separati, con caselle distinte e mai preselezionate.

Raccogli il minimo indispensabile

Nome, email e fascia oraria bastano per confermare un incontro. Il numero di telefono ha senso solo se lo usi davvero per i promemoria. Ogni campo aggiuntivo del modulo è un dato che dovrai conservare, proteggere e cancellare.

Attenzione particolare al campo note libere: è lì che gli interessati scrivono spontaneamente informazioni sulla salute o su vicende personali. Se il tuo settore lo rende probabile, devi trattare quel campo come se contenesse categorie particolari di dati.

Verifica dove finiscono i dati

Chiediti chi è il responsabile del trattamento, dove sono i server e se esistono trasferimenti verso Paesi terzi. Un fornitore con infrastruttura interamente europea ti risparmia l'intero capitolo sui trasferimenti internazionali, che è quello che invecchia più in fretta.

Verifica anche i sub-responsabili: il servizio di invio email, il provider di hosting, gli strumenti di analisi. Il fornitore deve poterteli elencare.

Conservazione, diritti e tracciabilità

Definisci per quanto tempo conservi lo storico degli appuntamenti e documenta la scelta. Prevedi come rispondere a una richiesta di accesso o di cancellazione: se richiede di aprire un ticket al fornitore e attendere giorni, hai un problema operativo.

Un audit log di chi ha visto o modificato cosa non è obbligatorio per tutti, ma è la prova più semplice da esibire in caso di contestazione. Nei contesti sanitari e nella pubblica amministrazione consideralo un requisito.