Dati dei servizi sociali e GDPR: la riservatezza che conta

Salute, disagio economico, provvedimenti: i servizi sociali trattano i dati più delicati dell'ente. Cosa chiede il GDPR e quali misure fanno la differenza.

Se esiste una classifica dei dati più delicati che un Comune tratta, i servizi sociali la dominano: condizioni di salute, disagio economico, situazioni familiari difficili, provvedimenti dell'autorità giudiziaria. Sono in larga parte categorie particolari di dati ai sensi del GDPR, quelle per cui il regolamento pretende le cautele più alte — e sono anche informazioni la cui diffusione impropria può fare danni concreti e immediati alle persone.

Per questo la protezione dei dati, nel sociale, non è un capitolo dell'informatica: è parte della qualità del servizio.

E riguarda ogni fase del lavoro: la raccolta delle informazioni, la loro conservazione, gli scambi con gli altri enti, perfino i report per la programmazione delle politiche. Non esiste un momento del percorso in cui la questione possa dirsi chiusa.

Cosa chiede il GDPR, in concreto

Il trattamento dei dati sociali da parte dell'ente trova la sua base giuridica nell'esercizio di compiti di interesse pubblico previsti dalla legge; ma la base giuridica è solo il punto di partenza. Il GDPR chiede minimizzazione — raccogliere ciò che serve alla finalità, non tutto ciò che si potrebbe sapere — ed esattezza, perché un dato sbagliato in una cartella sociale può orientare male decisioni che pesano sulla vita delle persone.

E chiede accountability: l'ente deve poter dimostrare le misure adottate. «Ci fidiamo dei nostri operatori» è una premessa necessaria, ma non è una misura dimostrabile.

C'è poi il capitolo degli scambi con gli altri soggetti: le informazioni sociali viaggiano verso scuole, aziende sanitarie, tribunali, enti del terzo settore. Ogni scambio ha bisogno di una base chiara e di un canale tracciato — e la prassi della relazione inviata per email ordinaria, o anticipata a voce al telefono, è tra i punti più fragili dell'intero trattamento.

Le misure che fanno la differenza

Tradotto in pratica quotidiana, il presidio della riservatezza si regge su poche misure strutturali, che gli strumenti digitali devono incorporare per costruzione.

Sono misure da documentare nel registro dei trattamenti e da presidiare nel tempo, insieme alla formazione degli operatori: la violazione tipica non nasce da un attacco informatico, ma da una consultazione di troppo, da un documento condiviso male, da un accesso mai revocato a chi ha cambiato ufficio.

• Permessi per ruolo e per caso: ogni operatore accede ai fascicoli che segue, non all'archivio intero
• Log completo delle consultazioni: chi ha aperto quale fascicolo, quando — un deterrente e una tutela
• Cifratura dei dati e separazione rigorosa rispetto agli altri archivi dell'ente
• Reportistica solo aggregata e anonima: la programmazione non ha bisogno dei nomi

La riservatezza come parte del servizio

C'è un paradosso da evitare: usare la delicatezza dei dati come argomento per restare alla carta. Il faldone nell'armadio non registra chi lo apre, si fotocopia senza traccia e non conosce permessi granulari: la carta non è più riservata del digitale, è solo meno controllabile. Un sistema ben disegnato offre garanzie che il cartaceo non può dare — e le rende dimostrabili, come il GDPR richiede.

La riservatezza, del resto, è ciò che rende possibile il lavoro sociale: le persone si affidano se sanno che la loro storia resta protetta. Custodirla con strumenti all'altezza non è un adempimento: è rispetto.