Informativa sul trattamento dei dati personali
Servizio di prenotazione delle visite di prevenzione «Villaggio della Salute 2026»
Ai sensi degli artt. 13 e 9 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 («Codice privacy») · versione 1.0
1. Titolare del trattamento e DPO
Il Titolare del trattamento è XIV Comunità Montana "Valle di Comino", Piazza Volsci, 60 - 03042 Atina (FR), che gestisce il servizio di prenotazione. Recapiti: email 14cmlazio@cmvalledicomino.it, PEC cmvalledicomino@pec.it.
Responsabile della protezione dei dati (DPO/RPD): i recapiti sono pubblicati sul sito istituzionale del Titolare.
L'iniziativa è realizzata in collaborazione con Rotary Club Cassino, Croce Rossa Italiana, AVIS Provinciale di Frosinone. Per le attività svolte insieme i soggetti operano come contitolari del trattamento (art. 26 GDPR) sulla base di un accordo che ripartisce le rispettive responsabilità; il contenuto essenziale dell'accordo è disponibile su richiesta al Titolare, che è il punto di contatto per l'esercizio dei diritti.
Gli altri soggetti che promuovono o sostengono l'iniziativa (Rotaract Club Cassino, Interact Club Cassino, EG, STADA, Abbott, 3SI, Gemar, Banca Popolare del Cassinate) non hanno accesso ai dati delle prenotazioni.
2. Quali dati trattiamo
- Dati identificativi e di contatto: nome, cognome, indirizzo email, numero di cellulare (facoltativo), codice fiscale, data di nascita (ricavata dal codice fiscale).
- Dati della prenotazione: prestazioni scelte (Screening del dolore lombare e della demenza, Consulenza e visita ginecologica, Consulenza massofisioterapista MCB, Screening malattie dermatologiche, Screening malattie psichiatriche, Screening malattie geriatriche, Screening patologie podologiche, Prevenzione del tumore al seno, Screening malattie allergiche e asma, Prenotazioni screening regionali, Screening malattie vascolari, Screening patologie urologiche, Screening malattie cardiovascolari (Medico volontario 1), Screening malattie cardiovascolari (Medico volontario 2), Screening retinopatia, Nuova| Screening nefrologico e insufficienza renale, Nuova| Screening allergie pediatriche, Screening diabete ed aiuto alla gestione, Screening senologico, Screening ipoacusia), giorno e orario, codice di prenotazione, stato (confermata, annullata, effettuata) con data e ora di registrazione e operatore che l'ha effettuata.
- Dati relativi alla salute (categoria particolare, art. 9 GDPR): la scelta di una prestazione sanitaria e le eventuali note che decidi di scrivere per il personale sanitario possono rivelare informazioni sul tuo stato di salute.
- Dati tecnici: un'impronta crittografica non reversibile dell'indirizzo IP (non l'indirizzo in chiaro), usata solo per prevenire abusi e attacchi informatici; registro delle operazioni del personale.
Cosa non trattiamo: il sistema di prenotazione non registra diagnosi, referti o esiti clinici. L'eventuale documentazione sanitaria prodotta durante la visita è redatta e custodita dal professionista o dalla struttura sanitaria che la esegue, secondo la normativa sanitaria e con informativa propria.
3. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Ricevere e gestire la prenotazione, assegnare l'orario, inviare conferma, PDF con QR code e comunicazioni di servizio (email), gestire annullamenti e recuperi. | Esecuzione di un compito di interesse pubblico (art. 6.1.e GDPR; art. 2-ter Codice privacy) e, per i dati sanitari, consenso esplicito (art. 9.2.a GDPR). |
| Accettazione e registrazione dell'avvenuta prestazione da parte del personale sanitario. | Consenso esplicito (art. 9.2.a) e finalità di medicina preventiva sotto la responsabilità di professionisti soggetti al segreto professionale (art. 9.2.h e 9.3 GDPR). |
| Sicurezza del servizio: prevenzione di prenotazioni abusive, attacchi e accessi non autorizzati; registro delle operazioni. | Compito di interesse pubblico e obbligo di sicurezza (artt. 6.1.e e 32 GDPR). |
| Statistiche sull'iniziativa (partecipazione, affluenza, fasce orarie) per programmare le future edizioni. | Compito di interesse pubblico; i risultati sono esclusivamente aggregati e anonimi. |
| Adempimento di obblighi di legge e richieste delle autorità. | Obbligo legale (art. 6.1.c GDPR). |
I dati non sono usati per finalità commerciali, di marketing o di profilazione e non sono oggetto di decisioni basate unicamente su trattamenti automatizzati (art. 22 GDPR).
4. Dati relativi alla salute: garanzie specifiche
- Accedono ai dati solo persone autorizzate e istruite (art. 2-quaterdecies Codice privacy), vincolate al segreto professionale o d'ufficio.
- Ogni operatore vede solo i dati necessari al proprio compito: l'esaminatore visualizza nominativo, codice e prestazioni da registrare; il personale può essere abilitato solo a specifiche prestazioni.
- Il QR code non contiene dati sanitari in chiaro, ma un codice casuale che consente di ritrovare la prenotazione.
- Le comunicazioni (email) contengono il minimo indispensabile; ti consigliamo di non inoltrare il PDF a terzi e di custodirlo come un documento personale.
- I dati non sono diffusi né pubblicati in alcuna forma che consenta di identificarti (art. 2-septies, comma 8, Codice privacy).
5. Obbligatorietà del conferimento e consenso
Il conferimento dei dati contrassegnati come obbligatori e il consenso al trattamento dei dati relativi alla salute sono necessari per prenotare: senza di essi la prenotazione non può essere effettuata. I dati facoltativi possono essere omessi.
Il consenso è libero, specifico e revocabile in ogni momento (art. 7.3 GDPR) annullando la prenotazione dal link ricevuto via email o scrivendo al Titolare; la revoca non pregiudica la liceità del trattamento svolto prima.
6. Modalità del trattamento e misure di sicurezza
I dati sono trattati con strumenti informatici secondo i principi di minimizzazione, esattezza e riservatezza, adottando misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui:
- connessione cifrata (HTTPS) per tutte le pagine;
- accesso all'area riservata con credenziali personali, password protette con algoritmi di hashing, blocco dopo tentativi errati e scadenza automatica della sessione;
- codici di accesso alla prenotazione casuali, memorizzati solo in forma crittografica; il reinvio della conferma invalida i link e i QR code precedenti;
- protezioni contro invii automatici e abusi; registro delle operazioni del personale;
- anonimizzazione automatica dei dati al termine del periodo di conservazione.
In caso di violazione dei dati personali il Titolare procede alle notifiche previste dagli artt. 33 e 34 GDPR.
7. Chi può conoscere i dati
- Personale sanitario e amministrativo autorizzato del Titolare e degli enti partner.
- Fornitore del servizio di hosting del sito (server nell'Unione europea) — DA INDICARE — nominato responsabile del trattamento (art. 28 GDPR).
- Fornitore del servizio di posta elettronica — DA INDICARE — nominato responsabile del trattamento (art. 28 GDPR).
- Autorità pubbliche, solo nei casi previsti dalla legge.
Solo con un tuo ulteriore e specifico consenso, raccolto al momento della visita, eventuali esiti potranno essere comunicati al tuo medico di medicina generale o ai servizi sanitari per la presa in carico.
8. Trasferimenti fuori dall'Unione europea
I dati sono conservati su server situati nell'Unione europea. Eventuali trasferimenti verso Paesi terzi avverrebbero solo in presenza delle garanzie previste dagli artt. 44-49 GDPR (decisione di adeguatezza o clausole contrattuali standard).
9. Per quanto tempo conserviamo i dati
- Dati della prenotazione e dati sanitari: fino a 90 giorni dopo l'ultima giornata di visita; poi sono anonimizzati in modo irreversibile (restano solo dati statistici aggregati).
- Prenotazioni annullate: stesso termine, per gestire eventuali contestazioni e garantire la regola di una prenotazione per persona.
- Registro delle operazioni: fino a 90 giorni dopo l'ultima giornata, salvo necessità di accertamento di illeciti.
- Copie di sicurezza (backup): sovrascritte ciclicamente entro i tempi tecnici di rotazione.
10. I tuoi diritti
Puoi esercitare in ogni momento i diritti previsti dagli artt. 15-22 GDPR: accesso ai dati, rettifica, cancellazione, limitazione del trattamento, opposizione, portabilità (per i dati trattati sulla base del consenso), revoca del consenso.
Puoi visualizzare e annullare la prenotazione in autonomia dal link nella email; per le altre richieste scrivi a 14cmlazio@cmvalledicomino.it o via PEC a cmvalledicomino@pec.it. Il Titolare risponde entro un mese (art. 12 GDPR), prorogabile nei casi complessi.
Se ritieni che il trattamento violi la normativa puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) ai sensi dell'art. 77 GDPR, o ricorso all'autorità giudiziaria (art. 79).
11. Prenotazioni per minori o persone assistite
La prenotazione per una persona di età inferiore a 18 anni, o per una persona sottoposta a tutela, curatela o amministrazione di sostegno, deve essere effettuata da chi ne esercita la responsabilità genitoriale o la rappresentanza legale, che presta il consenso per suo conto. Ogni prenotazione è personale e richiede un indirizzo email diverso.
13. Aggiornamenti dell'informativa
Questa informativa può essere aggiornata; la versione applicata alla tua prenotazione è indicata nel PDF di conferma (versione attuale: 1.0).