Dati personali: due consensi, esportazione ed eliminazione
Cosa conserva il portale, chi può vederlo, come scaricare tutto in un unico file e come cancellarlo. Con semplici pulsanti nell'account, senza dover scrivere all'hotel.
L'informativa sulla privacy dell'hotel non è adatta al portale: non contempla dati sanitari, non prevede un account e non include dispositivi indossabili. Per questo il portale ha una propria informativa: dodici sezioni all'indirizzo `#/privacy`, in tutte le lingue dell'interfaccia.
Il titolare del trattamento è indicato con denominazione, estremi societari e indirizzo; per le domande sui dati c'è una casella e-mail dedicata; e il server si trova in Germania, ossia nell'UE.
L'informativa del portale: dodici sezioni, consultabile senza effettuare l'accesso×
I consensi sono due, e non è una formalità
Il primo è generale, al momento della registrazione. Il secondo è esplicito, per il trattamento dei dati sanitari, e viene richiesto prima del questionario.
È stato necessario separarli perché i dati sanitari costituiscono una categoria particolare: per essi, la semplice accettazione delle condizioni al momento della registrazione non è giuridicamente sufficiente.
Entrambi i consensi vengono registrati con il numero di versione dell'informativa. Quando l'informativa cambia nella sostanza — come quando sono state introdotte le bilance in camera e la composizione corporea —, la versione aumenta e il portale richiede la conferma a tutti. È la schermata «un passaggio prima di proseguire» che compare sopra ogni schermata.
«I miei dati»: quattro pulsanti
Nella sezione «Account» è presente il riquadro «I miei dati», e i diritti previsti dal GDPR si esercitano tramite pulsanti, non scrivendo un'e-mail.
Esporta — tutto ciò che vi riguarda, in un unico file.
Esportazione HL7 FHIR — gli stessi dati nel linguaggio dei sistemi sanitari: paziente e osservazioni con codici LOINC. Un file leggibile da un gestionale ospedaliero, non soltanto da una persona.
Revoca il consenso — con contestuale eliminazione dei dati sanitari.
Elimina l'account — per intero.
«I miei dati»: esportazione, revoca del consenso, eliminazione×
Cosa viene cancellato e cosa rimane
La cancellazione prevede due livelli, e la differenza è esplicita. Dati sanitari — notti, passeggiate, prescrizioni, pesate, note del personale su di voi, messaggi del medico indirizzati a voi personalmente. Account — tutto quanto sopra, più le credenziali di accesso.
Rimangono le registrazioni che la struttura conserva su se stessa: il registro di consegna dei kit, il registro degli accessi del personale all'account dell'ospite, gli avvisi generali. Non sono dati personali vostri, bensì la memoria interna dell'hotel sulle proprie operazioni.
Va chiarito: «Cancella tutte le registrazioni» alla reception non è la stessa cosa. Questa funzione pulisce il kit e il relativo account Garmin affinché l'ospite successivo non trovi le notti di un altro, ma non tocca il vostro account (dettagli).
Chi altro vede le vostre schermate
Il personale può aprire l'«Account dell'ospite» per visualizzare le stesse pagine attraverso i vostri occhi. Per il medico l'accesso è in sola lettura: ogni tentativo di scrittura durante tale sessione viene respinto dal server, e non semplicemente nascosto nell'interfaccia.
Ogni accesso di questo tipo viene registrato nel registro eventi: chi è entrato e quando. Trattandosi di una registrazione interna dell'hotel, il registro sopravvive alla cancellazione dei dati sanitari e viene rimosso solo con l'eliminazione dell'account.
Le note del personale sull'ospite funzionano all'opposto: riguardano direttamente voi e vengono cancellate insieme ai dati sanitari.
Come funziona in pratica per l'ospite
State per partire e volete portare via tutti i vostri dati: premete «Esporta» e il file viene salvato sul telefono. Volete consegnarli al vostro medico a casa: scegliete «Esportazione HL7 FHIR» e il suo gestionale potrà leggerli. Volete che l'hotel cancelli ogni traccia: selezionate «Elimina l'account», senza dover chiedere nulla a nessuno.
Cosa fa la reception
La reception non cancella né esporta i dati al posto vostro: per questo ci sono i vostri pulsanti nell'account. La reception fa un'altra cosa: ripulisce il kit prima di consegnarlo all'ospite successivo, sempre e in automatico (perché).
