Studio Cravero ConsultingAggiornato al 9 settembre 2026
Perché qui la soglia è più alta
Nelle strutture residenziali si sommano tre condizioni che altrove ricorrono separate, ed è la combinazione a spostare in alto il livello di diligenza richiesto.
- Dati dell'art. 9. Diagnosi, terapie, diari assistenziali, schede di valutazione, dati sull'alimentazione e sulla mobilità: sono categorie particolari, il cui trattamento è vietato salvo che ricorra una delle condizioni previste dalla norma.
- Interessati vulnerabili. L'ospite spesso ha limitazioni cognitive, dipende dalla struttura per ogni aspetto della vita quotidiana e non è in posizione di far valere i propri diritti. Questo incide sulla valutazione del rischio e sulla libertà di un eventuale consenso.
- Continuità e convivenza. A differenza di un ambulatorio, qui il trattamento non è un episodio: è la vita quotidiana di una persona, osservata e annotata ogni giorno, in un luogo che per lei è anche il domicilio.
Quest'ultimo punto è quello che più spesso sfugge. La camera di un ospite non è uno spazio della struttura: è il suo spazio privato, e va trattata come tale nelle scelte su accessi, riprese e circolazione delle informazioni.
Consenso, capacità e chi firma
È il nodo pratico numero uno, e la confusione è diffusa. Vanno tenute distinte due cose che negli uffici finiscono spesso sullo stesso modulo.
I trattamenti necessari all'assistenza non si fondano sul consenso. La cura, la somministrazione delle terapie, la tenuta della documentazione socio-sanitaria e gli obblighi di legge hanno basi giuridiche proprie, previste dagli artt. 6 e 9: chiedere un consenso per queste attività è scorretto, perché suggerisce all'ospite o alla famiglia una facoltà di rifiuto che non corrisponde a come funzionano davvero le cose.
I trattamenti ulteriori, invece, il consenso lo richiedono davvero: pubblicare una foto sul sito o sui canali social, inviare comunicazioni non necessarie all'assistenza, condividere informazioni con soggetti diversi da quelli che partecipano alla cura.
Quando l'ospite non è in condizione di esprimersi, la firma non è automaticamente del familiare più presente. Va verificato se esista un amministratore di sostegno, un tutore o un curatore e quali poteri gli siano stati conferiti dal decreto di nomina, perché non tutti includono le decisioni sui dati o sull'immagine. In assenza di una figura di protezione formalmente investita, il familiare non ha per sé un potere di rappresentanza sui dati, e questo è un punto su cui le strutture procedono spesso per prassi anziché per titolo.
Che cosa possono sapere i familiari
La domanda arriva ogni settimana in ogni struttura, e la risposta non è «i parenti hanno diritto di sapere». Il diritto di accesso ai dati spetta all'interessato, cioè all'ospite; ai familiari spetta nella misura in cui l'ospite lo abbia indicato, oppure in cui esista un titolo di rappresentanza.
La soluzione operativa è semplice e va predisposta all'ingresso, non nel momento della richiesta: raccogliere, quando l'ospite è in grado di esprimersi, l'indicazione delle persone a cui possono essere fornite informazioni sul suo stato, distinguendo eventualmente fra informazioni generali e informazioni cliniche. È un foglio, ma risolve alla radice una quantità di conflitti familiari che altrimenti ricadono sugli operatori.
Va poi previsto il caso, tutt'altro che raro, del familiare che chiede informazioni contro la volontà espressa dell'ospite. In quella situazione la struttura non ha discrezionalità: deve rispettare l'indicazione dell'interessato.
Videosorveglianza in struttura
È il tema più delicato, e va affrontato con una regola di partenza netta: le camere degli ospiti e i bagni sono esclusi. Sono spazi in cui si svolgono la vita privata e la cura della persona, e non esiste finalità che renda proporzionata una ripresa continuativa.
Negli spazi comuni e sugli accessi la videosorveglianza può essere legittima per sicurezza e tutela del patrimonio, con gli stessi adempimenti previsti ovunque: base giuridica documentata, informativa su due livelli, tempi di conservazione brevi e giustificati, accesso limitato a persone designate. Trattandosi di soggetti vulnerabili, la valutazione d'impatto è quasi sempre dovuta. Il quadro completo è nella pagina videosorveglianza e privacy.
Due situazioni ricorrenti meritano una risposta chiara. La prima è la richiesta di un familiare di installare una telecamera in camera per controllare l'assistenza: la struttura non può autorizzarla, perché riprenderebbe l'ospite, gli altri ospiti che entrano e gli operatori al lavoro. La seconda riguarda la presenza di dipendenti: qualunque impianto che consenta anche solo la possibilità di osservare l'attività del personale ricade nell'art. 4 dello Statuto dei Lavoratori, e richiede accordo sindacale o autorizzazione dell'Ispettorato.
Foto, feste e social
Le occasioni di socialità sono parte del servizio e nessuno suggerisce di rinunciarvi. Serve però distinguere. Fotografare un momento di festa e conservare l'immagine nel diario della struttura è una cosa; pubblicarla sui canali social o sul sito è tutt'altra, ed è un trattamento ulteriore che richiede una base propria, tipicamente il consenso di chi ha titolo a prestarlo.
Il consenso va raccolto in modo specifico, non annegato nel modulo di ingresso, deve poter essere revocato e la revoca deve avere un effetto concreto: se una foto viene rimossa dal sito ma resta pubblicata su tre canali social, la revoca non è stata onorata. Vale la pena stabilire in anticipo anche chi scatta, dove si conservano le immagini e per quanto: nella pratica il dispositivo personale di un operatore è il punto in cui il controllo si perde per primo.
Fornitori e professionisti esterni
Una struttura residenziale lavora con una filiera più ampia di quanto il registro dei trattamenti di solito rifletta: gestionale socio-sanitario, servizio di ristorazione con diete personalizzate, lavanderia, medici e fisioterapisti in convenzione, laboratorio analisi, servizi di trasporto, animazione. Alcuni trattano dati per conto della struttura e vanno nominati responsabili ai sensi dell'art. 28; altri sono titolari autonomi, e l'errore ricorrente è nominare responsabile chi non lo è.
Il criterio è chi decide finalità e mezzi. Il medico che opera in autonomia professionale sui propri pazienti è titolare; la società che gestisce il gestionale per conto della struttura è responsabile. Sistemare questa distinzione è noioso ma serve, perché determina chi risponde di che cosa quando qualcosa va storto.
Gli adempimenti in concreto
- Designazione del RPD e adempimenti dell'art. 37 par. 7 se la struttura è pubblica o partecipata.
- Registro dei trattamenti costruito sui processi reali: ingresso, valutazione, assistenza quotidiana, terapie, rapporti con familiari, dimissione o decesso.
- Informative distinte per ospiti, familiari, personale e visitatori, scritte in modo comprensibile a chi le legge in un momento difficile.
- Modulistica di ingresso che separi ciò che è necessario all'assistenza da ciò che richiede consenso, e che accerti chi ha titolo a firmare.
- Valutazione d'impatto sui trattamenti principali e sulla videosorveglianza.
- Gestione degli accessi alla documentazione: chi vede che cosa, con profili distinti fra area sanitaria, assistenziale e amministrativa.
- Procedura per le violazioni dei dati, con l'avvertenza che in questo contesto una violazione ha quasi sempre rischio elevato.
- Conservazione e dimissione: che cosa si conserva dopo l'uscita o il decesso dell'ospite, per quanto e chi vi può accedere.
- Formazione del personale distinta per ruolo, costruita sui casi che accadono davvero in reparto.
Come lavoro con le strutture
Parto dai fascicoli e dalla modulistica, non dai documenti generali: è lì che si vede la distanza fra quello che la struttura ha scritto e quello che fa. Poi guardo i profili di accesso al gestionale, la filiera dei fornitori e l'impianto di videosorveglianza. Da qui esce un elenco di priorità ordinato per urgenza, che distingue ciò che va sistemato subito da ciò che può attendere.
La formazione la costruisco sui casi reali del reparto, perché in queste strutture il rischio non nasce quasi mai da una scelta gestionale sbagliata: nasce da una conversazione in corridoio, da un messaggio in un gruppo di operatori, da una fotografia scattata con le migliori intenzioni. Sono comportamenti che si correggono spiegando il perché, non distribuendo un regolamento.
Vuoi una verifica sulla tua struttura?
Descrivimi la tipologia, il numero di ospiti, se la gestione è pubblica, privata o convenzionata e quale documentazione esiste già. Ti rispondo con le priorità e una proposta scritta.
Domande frequenti
Una RSA deve nominare il DPO?
Quasi sempre sì. L'art. 37 par. 1 lett. c rende obbligatoria la designazione quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati, e una struttura residenziale tratta dati sulla salute in modo continuativo su decine o centinaia di persone. Se la struttura è pubblica o è un organismo di diritto pubblico, l'obbligo discende in via autonoma anche dalla lett. a, a prescindere dalla scala.
Il familiare può firmare i consensi al posto dell'ospite?
Non automaticamente. Va verificato se esista un amministratore di sostegno, un tutore o un curatore, e quali poteri il decreto di nomina gli abbia conferito, perché non tutti comprendono le decisioni sui dati o sull'immagine. Quando l'ospite è in grado di esprimersi, sia pure con supporto, va coinvolto lui. La prassi di far firmare al figlio più presente è diffusa ma non ha di per sé un titolo giuridico.
Si possono mettere telecamere nelle camere degli ospiti?
No. La camera è lo spazio privato dell'ospite e vi si svolgono attività di cura della persona: una ripresa continuativa non supera il test di proporzionalità, e non lo supera nemmeno se la richiede un familiare preoccupato per la qualità dell'assistenza. Negli spazi comuni e sugli accessi la videosorveglianza può invece essere legittima, con base giuridica documentata, informativa, tempi brevi di conservazione e, trattandosi di persone vulnerabili, quasi sempre una valutazione d'impatto.
Possiamo pubblicare le foto delle attività sui social?
Serve una base giuridica autonoma, che di norma è il consenso di chi ha titolo a prestarlo: la pubblicazione non è necessaria all'assistenza e quindi non si appoggia alle basi che valgono per la cura. Il consenso va raccolto in modo specifico e separato dalla modulistica di ingresso, deve essere revocabile e la revoca deve produrre effetti reali su tutti i canali. Va inoltre deciso in anticipo chi scatta e dove si conservano le immagini: i dispositivi personali degli operatori sono il punto in cui il controllo si perde per primo.
Quali dati si possono comunicare al telefono a chi chiama?
Solo a chi ha titolo, e questo va stabilito all'ingresso invece che al momento della telefonata. La soluzione pratica è raccogliere dall'ospite, quando è in condizione di esprimersi, l'elenco delle persone a cui possono essere date informazioni, distinguendo se necessario fra notizie generali sullo stato e informazioni cliniche. In assenza di quell'indicazione e di un titolo di rappresentanza, la struttura non può comunicare, e il personale al telefono ha bisogno di una regola chiara più che di un'interpretazione caso per caso.
Per quanto tempo si conserva la documentazione dopo l'uscita di un ospite?
I tempi seguono la natura del documento e gli obblighi di conservazione applicabili alla documentazione sanitaria e socio-assistenziale, che non coincidono per tutte le tipologie. Non esiste quindi un termine unico: serve un prospetto che indichi per ciascuna categoria quanto si conserva, dove e chi può accedervi. È uno dei punti su cui le strutture sono più scoperte, perché la documentazione tende ad accumularsi senza che nessuno abbia stabilito quando smettere di tenerla.
Il medico che viene in struttura va nominato responsabile?
Dipende dal ruolo che ha in concreto. Il professionista che opera in autonomia sui propri pazienti è titolare del trattamento e non va nominato responsabile; chi invece tratta i dati per conto della struttura, nell'ambito di un servizio che la struttura organizza e dirige, va nominato ai sensi dell'art. 28. È una distinzione che vale la pena fare bene, perché nominare responsabile un titolare autonomo crea un documento privo di effetto e confonde le responsabilità nel momento in cui servono chiare.
Scritto da Dott. Pietro Cravero, titolare di Studio Cravero e DPO certificato IDcert, Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre. Studio con sede a Sassari, incarichi svolti in tutta Italia prevalentemente da remoto.