Protezione dei dati sanitari e conformità GDPR per i professionisti

I dati sanitari occupano un posto particolare nel panorama normativo europeo. Qualificati come dati sensibili di categoria particolare dal GDPR (articolo 9), sono soggetti a un regime di protezione rafforzato che si applica a tutti i professionisti che li trattano: strutture sanitarie, mutue, editori di software sanitario, laboratori, servizi di assistenza domiciliare, attori dell'e-health e della telemedicina. Nel 2026, il panorama normativo si è ulteriormente densificato — tra l'entrata in vigore progressiva dello Spazio europeo dei dati sanitari (EEDS), le raccomandazioni aggiornate della CNIL e le sanzioni record pronunciate nell'UE, la conformità non è più un'opzione. Questo articolo descrive, punto per punto, gli obblighi applicabili e le migliori pratiche da adottare per proteggere i vostri trattamenti.

Che cosa è un dato sanitario secondo il GDPR?

Il GDPR (Regolamento n. 2016/679, articolo 4 §15) definisce i dati sanitari come "i dati personali relativi alla salute fisica o mentale di una persona fisica, compresi la prestazione di servizi di assistenza sanitaria, che rivelino informazioni sullo stato di salute di tale persona".

Un perimetro più ampio di quanto appaia

Questa definizione comprende molto più dei classici fascicoli medici. Sono interessati:

• Gli antecedenti medici, le diagnosi, le prescrizioni e i risultati delle analisi;
• I dati raccolti da dispositivi connessi (orologi intelligenti, sensori di glicemia, applicazioni di monitoraggio del ciclo mestruale);
• I dati amministrativi che permettono di dedurre uno stato di salute (tassi di rimborso, frequenza delle consultazioni);
• I numeri di identificazione personale (codice fiscale) quando incrociati con informazioni mediche.

In Francia, la CNIL ha precisato, in particolare nella sua delibera di riferimento relativa ai magazzini di dati sanitari (EDS), che la nozione deve essere interpretata in senso lato. Pertanto, una semplice foto che rivela una disabilità visibile o un dato biometrico (impronta retinica) rientra nel campo di applicazione.

Perché una protezione rafforzata?

La particolare sensibilità dei dati sanitari deriva dal loro potenziale discriminatorio. Rivelare lo stato di salute di una persona può incidere sul suo accesso all'occupazione, all'assicurazione, al credito o esporre la sua vita privata. La CNIL stima che le violazioni che coinvolgono dati sanitari rappresentassero, nel 2024, più del 36% delle notifiche ricevute — la prima categoria di dati violati.

Le basi legali specifiche al trattamento dei dati sanitari

L'articolo 9 §1 del GDPR pone un principio di divieto di trattamento dei dati sensibili, accompagnato da eccezioni tassativamente enumerate. Per i professionisti sanitari, le basi legali mobilitabili sono principalmente:

Il consenso esplicito (art. 9 §2 a)

Il consenso deve essere libero, specifico, informato e univoco, espresso mediante un atto positivo e chiaro. Nel settore sanitario, questa base è spesso inadatta per le cure ordinarie (squilibrio di potere medico/paziente), ma rimane indispensabile per i trattamenti finalizzati alla ricerca, al marketing o all'uso di applicazioni sanitarie rivolte al pubblico.

Buona pratica 2026: ricorrere alla firma elettronica nel settore sanitario per raccogliere il consenso dei pazienti in modo tracciabile e con data e ora, il che facilita la prova in caso di controllo.

Le cure e la medicina preventiva (art. 9 §2 h)

Questa è la base legale principale per i professionisti sanitari che trattano dati nel contesto della relazione di cura. Si applica a condizione che il trattamento sia effettuato da — o sotto la responsabilità di — un professionista soggetto al segreto professionale.

L'interesse pubblico e la ricerca (art. 9 §2 i e j)

I trattamenti per finalità di sanità pubblica (sorveglianza epidemiologica, farmacovigilanza) o di ricerca scientifica possono appoggiarsi su queste eccezioni. In Francia, la legge Informatica e Libertà (art. 65-68) e il decreto che disciplina il Sistema Nazionale dei Dati Sanitari (SNDS) definiscono le condizioni di accesso.

Gli obblighi concreti dei titolari del trattamento

Che si tratti di uno studio medico o di un editore di soluzione di sanità digitale, gli obblighi sono strutturati intorno a cinque pilastri.

1. Il registro dei trattamenti (art. 30)

Ogni titolare del trattamento o responsabile del trattamento deve mantenere un registro documentando ogni trattamento: finalità, base legale, categorie di dati, periodi di conservazione, destinatari, misure di sicurezza. La CNIL richiede che questo registro sia aggiornato e presentabile senza ritardo durante un controllo.

2. L'analisi d'impatto sulla protezione dei dati (AIPD / art. 35)

I trattamenti di dati sanitari su larga scala o a fini di profilazione richiedono obbligatoriamente un'AIPD (chiamata DPIA in inglese). La CNIL ha pubblicato un elenco di trattamenti obbligatoriamente soggetti ad AIPD, includendo i magazzini di dati sanitari, le applicazioni mobili di monitoraggio dello stato di salute e i dispositivi medici connessi.

Riguardo alla valore giuridico dei documenti elettronici in questo contesto, i fornitori devono assicurare che i loro meccanismi di raccolta rispondano ai requisiti probatori.

3. La designazione di un Responsabile della protezione dei dati (DPO)

La designazione di un DPO è obbligatoria per:

• I professionisti sanitari riuniti in raggruppamento (ospedali, RSA, strutture di cura di oltre 50 persone);
• Le mutue e gli assicuratori sanitari;
• Gli editori di software sanitario che trattano dati su larga scala.

Dal 2024, la CNIL ha intensificato i controlli sull'effettività del ruolo del DPO, verificando in particolare la sua indipendenza reale e le sue risorse.

4. La sicurezza dei sistemi informativi (art. 32)

Le misure tecniche e organizzative devono essere proporzionate al rischio. La CNIL raccomanda in particolare:

• La crittografia end-to-end dei dati archiviati e in transito;
• La pseudonimizzazione ogni volta che la finalità lo consente;
• L'implementazione di controlli di accesso ristretti (autenticazione multifattore);
• Backup regolari testati e disconnessi dalla rete principale;
• Un piano di continuità aziendale (PCA) specifico per i dati sanitari.

A partire dall'applicazione della direttiva NIS 2 (recepita nel diritto francese dalla legge del 26 marzo 2025), le entità critiche del settore sanitario — tra cui ospedali, produttori di dispositivi medici e alcuni laboratori — sono soggette a requisiti di cibersicurezza ancora più severi, con notifica obbligatoria degli incidenti significativi all'ANSSI entro 24 ore.

5. La notifica delle violazioni di dati (art. 33 e 34)

Qualsiasi violazione di dati sanitari deve essere notificata alla CNIL entro 72 ore dalla sua scoperta. Se la violazione è suscettibile di causare un rischio elevato per i diritti e le libertà delle persone, i pazienti interessati devono esserne informati senza ingiustificato ritardo.

Nel 2024, la CNIL ha inflitto ammende per ritardo di notifica, ricordando che la reattività è di per sé un obbligo di conformità.

L'hosting dei dati sanitari: un obbligo specificamente francese

In Francia, la legge del 26 gennaio 2016 (art. L. 1111-8 del Codice della sanità pubblica) impone che i dati sanitari personali siano ospitati presso un provider certificato HDS (Hébergeur de Données de Santé). Questa certificazione, rilasciata da organismi accreditati COFRAC sulla base della norma ISO 27001 e del referenziale HDS dell'ANS, copre sei attività distinte.

Chi è interessato dalla certificazione HDS?

Sono interessati tutti gli attori che ospitano, amministrano o gestiscono sistemi informativi contenenti dati sanitari per conto di terzi: provider cloud, editori di DMD (fascicolo medico digitale), piattaforme di telemedicina, e — dal 2023 — editori di applicazioni sanitarie rivolte al pubblico fintantoché conservano dati identificativi.

L'utilizzo di un provider HDS certificato non esonera il titolare del trattamento dai propri obblighi: deve imprescindibilmente formalizzare un contratto di responsabile del trattamento conforme all'articolo 28 del GDPR, dettagliando le istruzioni date al provider, le garanzie di sicurezza e le modalità di verifica.

Lo Spazio europeo dei dati sanitari (EEDS): quali impatti nel 2026?

Il regolamento EEDS (adottato a fine 2025 e le cui prime disposizioni entrano in applicazione progressivamente fino al 2027) stabilisce il quadro di un accesso transfrontaliero ai dati sanitari per la ricerca, l'innovazione e la sanità pubblica. Per i professionisti francesi, due impatti immediati:

1. L'obbligo di rispettare il diritto alla portabilità rafforzata (formato strutturato, leggibile da macchina) per i fascicoli pazienti;
2. Il divieto di trattare i dati sanitari primari a fini di targeting pubblicitario, anche con consenso — una restrizione più severa del solo GDPR.

Questi sviluppi rendono indispensabile un aggiornamento delle politiche sulla privacy e dei contratti con i responsabili del trattamento prima della fine del 2026. Per i professionisti che utilizzano strumenti di firma elettronica conformi a eIDAS, la tracciabilità dei consensi e delle autorizzazioni costituisce un considerevole vantaggio per dimostrare la conformità durante un controllo.

Diritti dei pazienti ed esercizio dei diritti GDPR

I pazienti dispongono di tutti i diritti GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione), con alcuni adattamenti settoriali.

Il diritto di accesso ai dati sanitari

Un paziente può chiedere di accedere a tutti i suoi fascicoli medici (art. L. 1111-7 CSP). Il professionista ha a disposizione un termine di 8 giorni (48 ore per i dati recenti, ricoveri recenti) e 2 mesi per i dati più remoti. La CNIL e il Difensore civico hanno entrambi sanzionato strutture che rifiutavano o ritardavano queste richieste.

Il diritto alla cancellazione e i suoi limiti

Il "diritto all'oblio" è disciplinato da periodi legali di conservazione: 20 anni per i fascicoli medici di adulti, 28 anni se l'atto è stato compiuto prima della maggiore età. Questi periodi legali prevalgono su qualsiasi richiesta di cancellazione anticipata — il titolare del trattamento deve spiegarlo chiaramente al paziente.

La gestione delle richieste per via elettronica

Per le strutture che hanno dematerializzato i loro processi, le richieste di esercizio dei diritti possono essere trasmesse e gestite tramite moduli sicuri. L'marcatura temporale elettronica qualificata delle richieste e delle risposte costituisce una buona pratica che consente di provare il rispetto dei termini normativi durante un controllo della CNIL.

Quadro legale applicabile alla protezione dei dati sanitari

La conformità dei professionisti sanitari e dei loro partner tecnologici si basa su un'articolazione di testi europei e nazionali che è necessario padroneggiare.

GDPR — Regolamento (UE) n. 2016/679 del 27 aprile 2016: pietra angolare del dispositivo, qualifica i dati sanitari come dati sensibili (art. 4 §15), ne vieta il trattamento salvo eccezioni tassativamente elencate (art. 9 §2), impone l'AIPD (art. 35), la designazione di un DPO (art. 37), la notifica delle violazioni (art. 33-34) e misure di sicurezza proporzionate (art. 32). Le sanzioni previste raggiungono 20 milioni di euro o il 4% del fatturato annuale mondiale — l'importo più elevato viene ritenuto.

Legge Informatica e Libertà (legge n. 78-17 del 6 gennaio 1978 modificata): trasponendo il GDPR nel diritto francese, autorizza la CNIL ad adottare referenziali settoriali specifici per la sanità e definisce le modalità di accesso allo SNDS.

Codice della sanità pubblica — art. L. 1111-7 e L. 1111-8: consacrano il diritto del paziente di accedere ai propri fascicoli medici e l'obbligo di hosting presso un provider HDS certificato.

Referenziale HDS (Hébergeur de Données de Santé): pubblicato dall'Agenzia del Digitale in Sanità (ANS), definisce sei attività di certificazione coprendo l'infrastruttura fisica, la piattaforma e i software applicativi.

Direttiva NIS 2 — Direttiva (UE) 2022/2555, recepita in Francia dalla legge del 26 marzo 2025: assoggetta le entità critiche del settore sanitario (ospedali con oltre 30.000 pazienti/anno, produttori di dispositivi medici classe IIb e III, laboratori di riferimento) a obblighi di cibersicurezza rafforzati, in particolare la notifica all'ANSSI entro 24 ore in caso di incidente significativo e l'implementazione di piani di risposta agli incidenti testati annualmente.

Regolamento eIDAS n. 910/2014 e eIDAS 2.0 (Regolamento (UE) 2024/1183): disciplinano il valore giuridico delle firme elettroniche utilizzate per consensi, atti medici dematerializzati e contratti con fornitori. La firma elettronica avanzata o qualificata è consigliata per ogni atto il cui valore probatorio potrebbe essere contestato.

Regolamento EEDS (Regolamento europeo sullo Spazio europeo dei dati sanitari, 2025): rafforza i diritti dei pazienti sui loro dati primari e disciplina l'uso dei dati secondari per la ricerca, con la creazione di organismi di accesso ai dati sanitari in ogni Stato membro.

Rischi giuridici concreti: oltre alle ammende amministrative della CNIL, i titolari del trattamento si espongono ad azioni di responsabilità civile (art. 82 GDPR), a procedimenti penali (art. 226-17 del Codice penale, pena massima di 5 anni di reclusione e 300.000 € di multa per persona giuridica) e a danni reputazionali il cui impatto economico spesso supera l'importo dell'ammenda stessa.

Scenari di utilizzo: conformità GDPR e dati sanitari in pratica

Scenario 1 — Un raggruppamento di cliniche private che gestisce circa 1.200 posti letto

Un raggruppamento di cliniche private di taglia intermedia (circa 1.200 posti letto distribuiti su tre siti) trattava i consensi dei pazienti su moduli cartacei, archiviati in classificatori fisici poco sicuri. Durante una verifica interna preparatoria a un controllo della CNIL, sono state identificate diverse lacune: impossibilità di rintracciare rapidamente un consenso risalente a oltre due anni fa, assenza di tracciabilità per i consensi relativi a videosorveglianza medica e trasmissioni a terzi (assicuratori, medici referenti).

La direzione ha implementato una soluzione di firma elettronica qualificata integrata nel sistema informativo ospedaliero. Risultati misurati a sei mesi: il tempo di trattamento delle richieste di accesso al fascicolo è diminuito da 14 a 4 giorni lavorativi (riduzione del 71%), il tempo di ricerca di un consenso è sceso a meno di 2 minuti rispetto ai 45 minuti medi precedenti, e il raggruppamento ha ottenuto la certificazione HDS per il livello applicativo.

Scenario 2 — Un editore di soluzione di telemedicina per specialisti liberi professionisti

Un'azienda che edita una piattaforma di consultazione a distanza per specialisti liberi professionisti (circa 4.000 medici utilizzatori attivi) era esposta a un rischio maggiore: i suoi server erano ospitati presso un provider cloud americano senza clausole contrattuali conformi all'articolo 28 del GDPR e senza certificazione HDS. La piattaforma raccoglieva però referti di consultazione, ricette e foto cliniche.

Dopo un'analisi di impatto (AIPD) condotta con un DPO esterno, l'azienda ha migrato verso un provider certificato HDS ubicato in Francia, ha rivisto tutti i suoi contratti con i responsabili del trattamento e ha integrato un meccanismo di consenso informato con data e ora prima di ogni consultazione. Ha inoltre implementato una procedura di notifica interna degli incidenti in meno di 12 ore, consentendo di rispettare il termine regolamentare di 72 ore verso la CNIL. Il costo della messa a conformità è stato stimato in 180.000 € — da confrontare con i 400.000 € di multa pronunciata dalla CNIL contro un attore comparabile del settore lo stesso anno.

Scenario 3 — Una rete di farmacie indipendenti

Un raggruppamento di una quarantina di farmacie indipendenti utilizzava un software di gestione centralizzato trattando storici di prescrizioni e dati di fedeltà (collegati a profili di salute impliciti). Senza DPO designato e senza registro di trattamento aggiornato, il raggruppamento non era in grado di rispondere a una richiesta di esercizio dei diritti di un paziente entro 30 giorni.

Un progetto di conformità distribuito su otto mesi ha permesso di designare un DPO mutuato (soluzione comune e lecita per raggruppamenti di PMI), di documentare 23 trattamenti distinti nel registro, di rivedere la politica dei periodi di conservazione (i dati di fedeltà erano conservati 10 anni senza giustificazione) e di formare tutto il personale farmacistico ai giusti comportamenti in caso di richiesta di un paziente o di un verificatore. Il rischio di multa stimato ex-ante superava i 150.000 €.

Domande frequenti

I dati sanitari raccolti da un'applicazione mobile sono soggetti al GDPR?

Sì, dal momento che l'applicazione raccoglie dati che permettono di dedurre lo stato di salute di una persona (frequenza cardiaca, monitoraggio del ciclo mestruale, glicemia, alimentazione), questi dati costituiscono dati sanitari secondo l'articolo 4 §15 del GDPR. L'editore è titolare del trattamento e deve ottenere un consenso esplicito, ospitare i dati presso un provider certificato HDS e condurre un'AIPD se il trattamento è su larga scala.

Un medico libero professionista che esercita da solo deve designare un DPO?

No, la designazione di un DPO non è obbligatoria per un medico libero professionista che esercita da solo o in studio con pochi professionisti, salvo se i trattamenti riguardano dati sanitari su larga scala. Tuttavia, questo medico rimane titolare del trattamento e deve mantenere un registro dei trattamenti, applicare il principio di minimizzazione dei dati ed essere in grado di rispondere alle richieste di esercizio dei diritti dei suoi pazienti entro i termini normativi.

Quali sanzioni può pronunciare la CNIL in caso di violazione di dati sanitari?

La CNIL dispone di un potere di sanzione amministrativa che può raggiungere 20 milioni di euro o il 4% del fatturato annuale mondiale, con il maggiore dei due importi che prevale. Oltre alla multa, può pronunciare un'ingiunzione di messa in conformità con astreinte, o rendere pubblica la decisione. Sul piano penale, l'articolo 226-17 del Codice penale prevede fino a 5 anni di reclusione e 300.000 € di multa per le persone giuridiche.

Un responsabile del trattamento (software, cloud) è responsabile in caso di fughe di dati sanitari?

Sì. Il GDPR (art. 28 e 82) stabilisce una responsabilità congiunta del titolare del trattamento e del responsabile del trattamento nei confronti delle persone interessate. Il responsabile del trattamento è direttamente responsabile se ha agito al di fuori delle istruzioni del titolare del trattamento o se non ha rispettato i propri obblighi GDPR. È quindi essenziale formalizzare un contratto di responsabile del trattamento preciso e assicurare che il provider sia certificato HDS per i dati sanitari.

La certificazione HDS è obbligatoria per tutti gli attori del digitale in sanità?

La certificazione HDS è obbligatoria per qualsiasi provider che ospita, amministra o gestisce sistemi informativi contenenti dati sanitari personali per conto di un terzo. Si impone quindi ai provider cloud, editori di SaaS medico e piattaforme di telemedicina. D'altro canto, un professionista sanitario che ospita i propri dati (senza affidarli a un terzo) non è direttamente soggetto a questo obbligo, ma rimane tenuto alle misure di sicurezza dell'articolo 32 del GDPR.

Conclusione

La protezione dei dati sanitari costituisce, nel 2026, una delle sfide normative più complesse e più sorvegliate del settore digitale. Tra il GDPR, la legge Informatica e Libertà, l'obbligo di hosting HDS, la direttiva NIS 2 e l'emergere dello Spazio europeo dei dati sanitari, i professionisti devono mantenere una vigilanza permanente e strutturare la loro conformità intorno a cinque pilastri: registro dei trattamenti, AIPD, DPO, sicurezza tecnica e gestione dei diritti dei pazienti.

Certyneo accompagna gli attori della sanità nella dematerializzazione sicura dei loro processi: raccolta di consensi con data e ora, firma elettronica qualificata dei contratti con fornitori, tracciabilità probatoria di ogni atto. Scopri come la nostra soluzione può rafforzare la tua conformità GDPR visitando il nostro spazio dedicato ai professionisti sanitari o iniziando gratuitamente su Certyneo.