Assistenti sociali e GDPR: quando serve davvero il consenso (e quando no)
Il primo istinto è chiedere sempre una firma. Ma per la Pubblica Amministrazione il consenso è quasi sempre la base giuridica sbagliata — e capire perché è il primo passo per una gestione corretta dei dati nei servizi alla persona.
Chi lavora nei servizi sociali maneggia ogni giorno informazioni delicatissime: condizioni economiche, situazioni familiari, dati sanitari, fragilità psicologiche. È comprensibile che il primo istinto, per mettersi "in regola" con la privacy, sia chiedere sempre una firma di consenso all'utente. Ma è un istinto sbagliato.
Il consenso non è la base giuridica giusta per la Pubblica Amministrazione
Il GDPR (art. 6) prevede diverse basi di liceità per il trattamento dei dati: consenso, contratto, obbligo legale, interesse vitale, compito di interesse pubblico, legittimo interesse. Quest'ultima non è mai disponibile per una PA nell'esercizio delle sue funzioni istituzionali.
E il consenso, in un rapporto tra cittadino ed ente pubblico erogatore di un servizio essenziale, è strutturalmente debole: per essere valido deve essere "libero", ma un utente che dipende dal servizio sociale per un sussidio, un inserimento lavorativo o un supporto alla famiglia difficilmente è nella posizione di dire no. È un tema che il Garante Privacy richiama costantemente nei suoi provvedimenti verso gli enti pubblici.
Per i dati "particolari" serve qualcosa in più
I dati trattati dagli assistenti sociali sono spesso dati "particolari" ai sensi dell'art. 9 GDPR: condizioni di salute, situazioni socio-economiche che rivelano vulnerabilità, a volte origine etnica o convinzioni religiose. Qui il trattamento è vietato salvo eccezioni tassative.
Quella più pertinente per i servizi sociali è la lettera h), che copre le finalità di assistenza o cura sanitaria e sociale. Anche in questo caso il consenso resta un'opzione residuale, non la regola.
Il vero punto critico: chi è il Titolare del trattamento?
Molti Comuni gestiscono i servizi sociali non direttamente ma tramite Consorzi, Unioni di Comuni o cooperative convenzionate. In questi casi la domanda più urgente non è "serve il consenso?" ma "chi risponde dei dati?"
Il Consorzio agisce come titolare autonomo, contitolare insieme al Comune, o responsabile del trattamento ex art. 28 GDPR? Da questa qualificazione dipendono contratti, nomine, misure di sicurezza e responsabilità in caso di violazione. È un profilo spesso trascurato, ma è proprio dove nascono i rischi concreti di data breach e sanzioni.
Leggi il provvedimento sul sito del Garante →
Il GDPR non basta: c'è anche il segreto professionale
Gli assistenti sociali sono vincolati anche dal proprio Codice Deontologico (CNOAS), che impone un dovere di riservatezza e segreto professionale autonomo rispetto al GDPR. Le due discipline si sommano: rispettare il regolamento privacy non esonera dal rispetto delle regole deontologiche della professione, e viceversa.
- Verificare che le basi giuridiche dei trattamenti (comuni e particolari) siano documentate nel registro dei trattamenti, senza appoggiarsi al consenso come default.
- Chiarire per iscritto il ruolo di eventuali Consorzi o soggetti esterni che gestiscono i servizi sociali (titolare, contitolare o responsabile ex art. 28 GDPR).
- Formare il personale sulla distinzione tra obblighi GDPR e obblighi deontologici della professione.
- Rivedere le informative fornite agli utenti, assicurandosi che coprano davvero tutte le finalità di trattamento.
Qualificazione dei ruoli, registro dei trattamenti aggiornato, informative conformi: è esattamente il tipo di lavoro che un DPO esperto e uno strumento come GovDPO possono semplificare per gli uffici servizi sociali del tuo Ente.
Scopri GovDPO → Contattaci →