Cos'è questa guida e cosa non è
Questo articolo offre informazioni generali sul Regolamento generale sulla protezione dei dati dell'Unione europea, il GDPR, per come si applica di solito alle piccole attività che lavorano su appuntamento. Non è una consulenza legale e non può coprire il tuo caso specifico. In Italia si aggiunge il Codice in materia di protezione dei dati personali, il D.Lgs. 196/2003 aggiornato dal D.Lgs. 101/2018, e il Garante per la protezione dei dati personali pubblica indicazioni che possono cambiare nel tempo.
Se tratti informazioni delicate, hai dipendenti, lavori con clienti di altri Paesi o semplicemente vuoi avere certezze, rivolgiti a un professionista qualificato in protezione dei dati o a un avvocato. Molti ordini professionali, associazioni di categoria e camere di commercio offrono anche modelli e supporto ai propri iscritti. Usa questa guida per capire il vocabolario e preparare domande più precise, non per sostituire un supporto professionale.
Perché riguarda un salone, uno studio o un coach? Perché ogni prenotazione comporta dati personali: un nome, un numero di telefono, un indirizzo email, lo storico degli appuntamenti e a volte note su preferenze o salute. Il GDPR si applica a tutti questi dati, che stiano in un software, in un foglio di calcolo, in un'agenda di carta o in una chat WhatsApp sul tuo telefono.
Raccogli solo ciò che serve, per uno scopo chiaro
Uno dei principi cardine del GDPR è la minimizzazione dei dati: raccogliere solo i dati personali davvero necessari per una finalità specifica. Per una prenotazione di solito bastano un nome, un recapito e il servizio richiesto. Chiedere data di nascita, indirizzo di casa o numero di documento «per sicurezza» aumenta la tua responsabilità senza aiutare l'appuntamento.
Ogni uso dei dati personali ha bisogno di una base giuridica. Per prendere e gestire una prenotazione, le attività si basano spesso sul fatto che il trattamento è necessario per fornire il servizio richiesto dal cliente, ciò che il GDPR chiama esecuzione di un contratto. Inviare pubblicità, newsletter o offerte promozionali è una finalità diversa e di solito richiede un consenso separato, che il cliente può negare senza perdere l'appuntamento.
Tieni separate le finalità anche nella pratica. Un numero di telefono lasciato per i promemoria non dovrebbe finire automaticamente in una lista di invii promozionali. Rendi il consenso al marketing una scelta distinta e non preselezionata, registra quando e come è stato dato e rendi la revoca semplice quanto il consenso. Una separazione chiara mantiene la fiducia dei clienti e rende i tuoi registri più facili da spiegare.
Dati sanitari e altre informazioni delicate
L'articolo 9 del GDPR definisce le categorie particolari di dati personali, tra cui i dati relativi alla salute. Per fisioterapisti, psicologi, nutrizionisti, dentisti e professionisti simili, il semplice fatto che qualcuno abbia prenotato un trattamento, insieme a eventuali note su sintomi o condizioni, può essere un dato sanitario. Trattarlo è in generale vietato salvo che si applichi un'eccezione specifica, e per questo serve un'attenzione particolare.
Anche fuori dall'ambito sanitario compaiono informazioni delicate: un'allergia annotata da un'estetista, un infortunio raccontato al personal trainer o una gravidanza segnalata prima di un massaggio. Chiediti se hai davvero bisogno di registrarlo, chi può vederlo e come è protetto. Se devi conservare queste informazioni, verifica con un professionista quale base giuridica e quali garanzie si applicano alla tua attività.
Alcune misure pratiche aiutano a prescindere dai dettagli legali: limita chi può aprire le note dei clienti, evita di scrivere informazioni delicate nei commenti di prenotazione o nei messaggi in chat, usa password robuste e l'accesso in due passaggi dove disponibile, e non lasciare sbloccati i dispositivi condivisi. I professionisti sanitari hanno spesso ulteriori obblighi professionali e di documentazione, quindi uno strumento di prenotazione non va usato come cartella clinica.
Fornitori di software, conservazione e diritti dei clienti
Quando un'azienda di software conserva o tratta dati dei clienti per tuo conto, di solito agisce come responsabile del trattamento, mentre tu resti il titolare. L'articolo 28 del GDPR richiede un accordo scritto, spesso chiamato DPA o nomina a responsabile, che stabilisca cosa può fare con quei dati. Prima di scegliere strumenti di prenotazione, email o messaggistica, leggi l'informativa privacy di ogni fornitore, chiedi se offre un accordo sul trattamento dei dati e verifica dove sono conservati i dati e quali sub-responsabili sono coinvolti. Se un fornitore tratta dati fuori dall'UE/SEE, chiedi quale garanzia per il trasferimento si applica, come una decisione di adeguatezza o le clausole contrattuali tipo.
Decidi per quanto tempo conservi i dati e perché. Le registrazioni degli appuntamenti possono servire per un periodo per motivi contabili, contestazioni o continuità del servizio, ma non per sempre. Definisci tempi di conservazione per tipo di dato, mettili per iscritto e cancella o anonimizza le schede dei clienti inattivi alla scadenza. Ricorda le vecchie copie in fogli di calcolo, allegati email e telefoni, che è facile dimenticare.
I clienti hanno diritti sui propri dati, tra cui accesso, rettifica, cancellazione in molti casi, limitazione, opposizione e portabilità. Prepara una procedura semplice: chi riceve le richieste, come verifichi l'identità e come ritrovi i dati del cliente in tutti i tuoi strumenti. In genere la risposta va data entro un mese. Poter esportare e cancellare le informazioni di un cliente dal software di prenotazione rende tutto molto più facile.
Informa i clienti con chiarezza al momento della prenotazione
Il GDPR richiede trasparenza: le persone devono sapere chi raccoglie i loro dati, perché, su quale base giuridica, a chi vengono comunicati, per quanto tempo sono conservati e come esercitare i propri diritti. Per un'attività su appuntamento, il momento naturale è la prenotazione stessa. Una breve informativa accanto al modulo di prenotazione, con un link all'informativa privacy completa, copre la maggior parte delle situazioni.
Scrivi l'informativa privacy in un linguaggio semplice e coerente con ciò che fai davvero. Indica gli strumenti che usi per prenotazioni, promemoria e messaggi, ed evita di copiare un modello pieno di attività che non svolgi. Rivedila ogni volta che aggiungi un nuovo strumento, inizi a inviare un nuovo tipo di messaggio o cambi i tempi di conservazione.
Il software di prenotazione fa parte di questo quadro, ma la responsabilità per i dati dei tuoi clienti resta della tua attività, in quanto titolare del trattamento. SkedEz, come ogni fornitore, pubblica la propria informativa privacy e le proprie condizioni, che conviene leggere prima di decidere; se ti serve, chiedi se il fornitore offre un accordo sul trattamento dei dati. Qualunque strumento scegli, combina le sue funzioni con le tue abitudini e, nel dubbio, chiedi a un professionista di rivedere la tua configurazione.