Audit GDPR per cartelle ABA: checklist operativa per cliniche

Perche una cartella ABA e diversa da un normale archivio

Una cartella ABA digitale contiene molto piu di un'anagrafica. Di solito include baseline, programmi di insegnamento, note di sessione, grafici, video, dati ABC, piani di supporto comportamentale, report scolastici e comunicazioni con genitori o insegnanti. Spesso questi dati riguardano bambini e ragazzi, descrivono comportamenti vulnerabili e vengono raccolti in casa, a scuola o in terapia. Per questo un archivio ABA non puo essere gestito come una cartella condivisa generica.

Il GDPR parte da principi molto concreti: liceita, correttezza, trasparenza, limitazione della finalita, minimizzazione, esattezza, limitazione della conservazione, integrita, riservatezza e accountability. In una clinica questi principi diventano domande operative. Perche stiamo raccogliendo questo video? Chi puo vederlo? Serve davvero conservarlo dopo il meeting? Se un dato viene corretto, resta traccia della versione precedente? Se un terapista lascia il servizio, il suo accesso viene revocato subito?

Le linee guida EDPB sull'articolo 25 aiutano a tradurre il concetto di data protection by design and by default: la privacy non si aggiunge alla fine con una spunta, ma deve essere incorporata nei ruoli, nei flussi, nei default del software, nei moduli di consenso e nella formazione del team. Per una clinica ABA questo significa che il sistema dovrebbe rendere difficile fare la cosa rischiosa: account condivisi, export non tracciati, download locali non necessari e accessi globali dovrebbero essere eccezioni motivate, non la normalita.

Nota importante: questa guida e informativa e operativa, non sostituisce una consulenza legale o il lavoro del DPO. Serve a preparare audit interni migliori e a fare domande piu precise a consulenti privacy, direzione clinica e fornitori software.

La checklist minima: finalita, accessi, log, retention

Il primo controllo e la finalita. Ogni categoria di dato deve avere uno scopo scritto: trattamento clinico, supervisione, documentazione, obbligo amministrativo, sicurezza, formazione o comunicazione con la famiglia. Se lo scopo non e chiaro, il dato tende a gonfiarsi. Una clip video registrata per analizzare una crisi non dovrebbe diventare materiale formativo interno senza una nuova valutazione di base giuridica, informativa, minimizzazione e accessi.

Il secondo controllo e l'accesso. Il principio pratico e role-based access control: il terapista vede i casi assegnati, il supervisore vede i casi sotto la propria responsabilita, l'amministrazione vede cio che serve per fatturazione e appuntamenti, non necessariamente note cliniche o video. Gli account condivisi sono quasi sempre un segnale rosso, perche impediscono di attribuire azioni a persone specifiche. Anche gli account dimenticati dopo dimissioni, tirocinio o cambio sede sono un rischio concreto.

Il terzo controllo e il log. Un audit trail utile registra almeno utente, data e ora, azione, oggetto modificato e, quando possibile, valore precedente e valore nuovo. Non serve per punire chi sbaglia; serve per proteggere la qualita clinica. Se un dato di baseline viene corretto per un errore di inserimento, il log lo rende visibile e comprensibile. Se invece un dato viene alterato per migliorare artificialmente un grafico, il log permette di intervenire.

Il quarto controllo e la conservazione. Conservare tutto per sempre sembra prudente, ma aumenta il danno potenziale di ogni violazione. Serve una tabella di retention che distingua cartella clinica, fogli dati giornalieri, video, registrazioni di telehealth, log tecnici, report amministrativi e backup. La durata va definita con consulenza legale e in base agli obblighi applicabili; l'audit deve verificare che la policy non resti solo un documento, ma governi davvero archiviazione, cancellazione e distruzione sicura.

Telehealth ABA: privacy prima del link alla stanza

Romani e Schieltz (2017), in un articolo full text su servizi ABA per comportamenti problema via telehealth, indicano che la riservatezza non e un dettaglio tecnico separato dal trattamento. Quando una Functional Analysis o un parent training avvengono da remoto, il clinico entra virtualmente in casa: vede stanze, familiari, routine, crisi, voce e comportamento del minore. Il consenso deve quindi spiegare non solo che il servizio avverra online, ma anche rischi, limiti, procedure di emergenza, registrazioni, identita delle persone presenti e strumenti usati.

Baumes, Colic e Araiba (2020) confrontano linee guida di piu professioni e propongono una checklist etica per la telehealth ABA. Il punto utile per l'audit e che la decisione non e "Zoom si o no" in astratto. Bisogna verificare competenza del professionista, adeguatezza del caso, tecnologia disponibile, privacy dell'ambiente, consenso informato, gestione delle crisi e protezione dei dati. Un sistema sicuro ma usato da una stanza rumorosa, con fratelli presenti e registrazione automatica non dichiarata, resta un problema.

In pratica, ogni servizio remoto dovrebbe avere una scheda di avvio: piattaforma autorizzata, account professionali, autenticazione, regole su registrazione e screenshot, persona adulta responsabile in sede, piano di emergenza, consenso specifico e luogo fisico sufficientemente privato. Se la famiglia usa un dispositivo condiviso, l'audit deve considerare anche notifiche, salvataggi automatici, cloud personale e accesso di altri membri del nucleo.

Qualita del dato e accountability clinica

Il GDPR non parla di ABA, ma il suo principio di esattezza dialoga bene con la pratica comportamentale. Un grafico guida decisioni su programmi, rinforzi, fading, intensita dell'intervento e comunicazioni alla scuola. Se i dati sono modificabili senza storia, l'accuratezza clinica diventa fragile. Bergmann e colleghi (2025), in un'indagine full text sulla raccolta di dati di procedural fidelity nella pratica behavior-analytic, mostrano quanto sia importante rendere osservabile il modo in cui le procedure vengono implementate. Per una cartella digitale questo implica separare dati del bambino, dati di fidelity, note di supervisione e correzioni retroattive.

La letteratura etica ABA aiuta anche sul piano decisionale. Beaulieu, Almeida e Jimenez-Gomez (2025) valutano affidabilita e preferenza per un modello di decisione etica; Brodhead, Cascarilla e Cox (2025) mostrano come la probabilita che una segnalazione sia accurata influenzi le raccomandazioni dei professionisti. Tradotto in audit: quando emerge un possibile problema privacy, il team non deve reagire con panico o negazione. Deve raccogliere evidenze, proteggere i dati, delimitare l'incidente, informare le figure competenti e documentare le decisioni.

Vignetta clinica: il Drive condiviso

Il Contesto

Una piccola clinica ABA usa un unico Drive condiviso per fogli dati, video e report. Tutti hanno la stessa password per "risparmiare tempo". Un terapista appena assunto puo vedere cartelle di bambini che non conosce; una tirocinante scarica video per studiarli a casa; il supervisore non sa quali file siano stati copiati localmente.

L'Intervento

Il nuovo audit parte da una mappa dei dati: cosa viene raccolto, dove vive, chi lo usa, per quale finalita e per quanto tempo. La clinica crea account individuali, permessi per caso, cartelle separate per video temporanei e report permanenti, revoca automatica degli accessi a fine incarico e un registro delle richieste di accesso dei genitori. I video non necessari vengono cancellati secondo policy; quelli necessari vengono collegati alla cartella clinica con scadenza e motivo.

L'Esito

Dopo sei settimane il team scopre due cose. Primo: molti dati venivano conservati senza finalita reale, soprattutto video duplicati. Secondo: la formazione migliora quando il materiale autorizzato e selezionato, anonimizzato quando possibile e accompagnato da note cliniche. L'audit non rallenta la clinica: riduce rumore, rischio e ambiguita su chi puo fare cosa.

Domande Frequenti