Guida
Dati sanitari e GDPR Art. 9: cosa deve fare (davvero) uno studio.
In breve: se sei un professionista sanitario tenuto al segreto, per curare il paziente non ti serve il suo consenso — ti serve invece per scrivergli promozioni. Il grosso degli obblighi non sta nei moduli da far firmare, ma nelle misure con cui proteggi i dati e in quanto a lungo li tieni.
Perché i dati di uno studio sono diversi dagli altri
Il GDPR distingue i dati personali comuni — nome, telefono, indirizzo — da alcune categorie che chiama particolari, elencate nell'articolo 9. Fra queste ci sono i dati relativi alla salute. La regola di partenza è severa: trattarli è vietato, salvo che ricorra una delle condizioni previste dallo stesso articolo.
Detta così sembra un problema. In realtà è il motivo per cui il tuo lavoro è perfettamente legittimo: fra quelle condizioni c'è proprio la finalità di cura. Il punto pratico è un altro, ed è dove quasi tutti gli studi sbagliano: capire che cosa ricade nella cura e che cosa no. Perché per la prima cosa non serve chiedere niente a nessuno, per la seconda sì.
Un'avvertenza prima di procedere: quello che segue riguarda i principi, che sono stabili dal 2018. Non è un parere legale e non sostituisce il confronto con il tuo consulente o con il DPO, se ne hai uno.
Il mito del consenso: quando non serve
La convinzione più diffusa negli studi è che senza una firma sul modulo privacy non si possa fare nulla. Non è così. Il Garante lo ha chiarito esplicitamente: il professionista sanitario soggetto al segreto professionale non deve richiedere il consenso del paziente per i trattamenti necessari alla prestazione sanitaria che il paziente stesso ha chiesto. Vale sia per il libero professionista nel suo studio, sia per chi lavora dentro una struttura pubblica o privata.
La base giuridica, in questi casi, è l'articolo 9(2)(h): medicina preventiva, diagnosi, assistenza e terapia. Prendere l'anamnesi, annotare cosa hai fatto nella seduta di oggi, conservare un referto, fissare il controllo fra tre mesi: tutto questo è cura. Non serve un consenso perché il consenso non è la base giuridica di quel trattamento.
Attenzione a non confondere due cose. Il consenso è una base giuridica; l'informativa è un obbligo di trasparenza. Il fatto che per curare non ti serva il primo non ti esonera dalla seconda: al paziente vai comunque spiegato, in modo conciso e comprensibile, quali dati tratti, perché, per quanto tempo e quali diritti ha.
Quando il consenso serve eccome
Il confine si supera nel momento in cui esci dalla cura. Il Garante indica come casi che richiedono consenso esplicito — quello dell'articolo 9(2)(a) — i trattamenti per finalità commerciali e promozionali da parte di strutture sanitarie private, i programmi di fidelizzazione, e più in generale gli usi che non sono necessari alla prestazione richiesta.
Tradotto nel quotidiano di uno studio: il promemoria dell'appuntamento di domani è parte della prestazione. Il messaggio che annuncia lo sconto sul pacchetto primaverile non lo è. Il primo puoi mandarlo, il secondo solo a chi ti ha detto di sì — e devi essere in grado di dimostrare chi te l'ha detto e quando.
Da qui discende una conseguenza organizzativa che vale più di dieci moduli firmati: il consenso alle comunicazioni promozionali va tenuto separato, registrato con la sua data, e deve filtrare da solo gli invii. Se per mandare una campagna devi ricordarti a memoria chi aveva detto di no, prima o poi sbagli.
Le misure che contano davvero
Il GDPR non ti consegna una lista della spesa: chiede misure tecniche e organizzative adeguate al rischio. Siccome i dati sanitari stanno in cima alla scala del rischio, l'asticella per uno studio è alta. Nella pratica si riduce a quattro domande a cui devi saper rispondere.
Se qualcuno arriva al database, cosa legge?
È la domanda della cifratura. Dati in chiaro significano che chiunque ottenga una copia del database ha in mano l'anagrafica dei tuoi pazienti. Dati cifrati a riposo significano che quella copia, da sola, non basta.
Chi può entrare, e come?
Una password sola non è più una misura difendibile su dati di questo tipo. La verifica in due passaggi cambia la sostanza: rubare la password non basta più. E dentro lo studio, non tutti devono vedere tutto — chi sta alla reception ha bisogno dell'agenda e dei recapiti, non delle note cliniche.
Chi ha visto cosa, e quando?
Un registro degli accessi e delle modifiche non serve a spiare i collaboratori: serve a te, il giorno in cui devi ricostruire un fatto — un dato modificato, una scheda aperta da chi non doveva. Senza traccia, la ricostruzione è una discussione fra memorie.
Stai raccogliendo più di quanto ti serve?
Il principio di minimizzazione dice che i dati devono essere adeguati e limitati a quanto necessario. Il campo in più "che magari un giorno serve" è esattamente quello che non deve esserci.
Queste quattro cose, già impostate.
Curora nasce con la cifratura a riposo dei dati sensibili, la verifica in due passaggi obbligatoria, i ruoli che separano agenda e cartella e il registro di ogni modifica. Non perché sia un vezzo tecnico: perché su questi dati sono il minimo sindacale.
Guarda com'è fatto, in una demo →Per quanto tempo si conservano
Non esiste un numero valido per tutti, e diffida di chi te lo dà: la conservazione dipende dalla natura del dato e dagli obblighi che gravano sulla tua professione, che possono essere anche molto lunghi. Il principio generale è che i dati non si tengono per sempre "per sicurezza": si tengono finché servono allo scopo per cui li hai raccolti, e poi si eliminano o si rendono non riconducibili alla persona.
Il modo pratico di rispettarlo è non affidarlo alla buona volontà. Se il sistema anonimizza da solo le posizioni ferme da anni, secondo una soglia che hai deciso tu, la minimizzazione avviene anche nei mesi in cui non ci pensi. Se invece dipende da qualcuno che si ricordi di fare pulizia, non avviene.
Se succede un incidente
Prima o poi capita a tutti qualcosa: un portatile smarrito, una casella compromessa, un file mandato alla persona sbagliata. Il GDPR chiama queste situazioni violazioni dei dati personali e prevede una regola che conviene conoscere prima, non dopo: il titolare deve notificarle all'autorità senza ingiustificato ritardo e, se possibile, entro 72 ore da quando ne è venuto a conoscenza — a meno che sia improbabile che comportino un rischio per i diritti e le libertà delle persone. Chi notifica oltre il termine deve spiegare perché ha tardato.
Se poi il rischio per le persone coinvolte è elevato, va informato anche l'interessato. Su dati sanitari questa soglia si raggiunge in fretta, ed è un'ottima ragione per ridurre in partenza la quantità di dati esposti: quello che è cifrato e non leggibile cambia la valutazione del rischio.
La cosa utile da fare oggi: scrivi su mezza pagina chi chiami se succede, dove sono conservati i dati e chi ha gli accessi. Nel momento in cui serve, avere quel foglio vale più di qualunque policy da trenta pagine.
Cosa portare al proprio consulente
Se vuoi arrivare preparato al confronto con chi ti segue sulla privacy, sono quattro cose: l'elenco dei trattamenti che fai davvero (cura, appuntamenti, comunicazioni), dove stanno fisicamente i dati e con quali fornitori, chi accede a cosa, e per quanto tempo tieni ogni categoria di informazioni. Sono le stesse domande da cui partono un registro dei trattamenti e una valutazione d'impatto, quando servono.
Se lo studio lavora su numeri importanti — più sedi, molti professionisti, grandi volumi di pazienti — è probabile che entrino in gioco obblighi ulteriori, dalla valutazione d'impatto alla designazione di un responsabile della protezione dei dati. È esattamente il tipo di valutazione che non si fa leggendo una guida, ma con chi conosce la tua situazione.
Fonti e avvertenze. I chiarimenti su consenso e finalità di cura sono quelli pubblicati dal Garante per la protezione dei dati personali; la regola delle 72 ore è quella indicata dal Garante nella sezione data breach. Questa pagina descrive principi generali e non è un parere legale: per la tua situazione specifica confrontati con il tuo consulente o con il DPO. Nota di aggiornamento: a luglio 2026 è in discussione a livello europeo un pacchetto di semplificazione del GDPR, non ancora in vigore; i principi descritti qui non sono toccati.
Da leggere dopo: come si riducono i no-show, dove si parla di promemoria — e quindi di messaggi ai pazienti, che è il punto in cui privacy e organizzazione si incrociano. Se vuoi vedere come tutto questo si traduce in un gestionale, guarda le pagine per la fisioterapia, la psicologia o la medicina estetica.