Privacy in sanità: le regole sui dati dei pazienti per strutture pubbliche e private

Privacy in sanità: le basi giuridiche per i dati sanitari

Sui dati sanitari la privacy parte da un divieto. L'art. 9, par. 1, GDPR vieta di trattare dati relativi alla salute, genetici e biometrici, salvo i casi del par. 2. In una struttura sanitaria contano soprattutto:

Per i dati sanitari, GDPR e Codice privacy vanno letti insieme: il Codice prevede, all'art. 2-septies, che i dati genetici, biometrici e relativi alla salute siano trattati nel rispetto delle misure di garanzia stabilite dal Garante.

Privacy in sanità e consenso: cosa ha chiarito il Garante

Con il provvedimento n. 55 del 7 marzo 2019, i chiarimenti del Garante sui dati sanitari, il Garante ha fissato alcuni punti che restano la bussola per le strutture:

• i trattamenti per finalità di cura sono quelli effettuati da o sotto la responsabilità di un professionista sanitario soggetto al segreto professionale, o da altra persona soggetta all'obbligo di segretezza;
• in questi casi il professionista non deve più chiedere il consenso del paziente per i trattamenti necessari alla prestazione, sia che operi come libero professionista sia all'interno di una struttura pubblica o privata;
• i trattamenti solo "in senso lato" collegati alla cura, non strettamente necessari, richiedono una diversa base giuridica, eventualmente il consenso;
• tra gli esempi che richiedono il consenso esplicito il Garante indica le app mediche con cui titolari autonomi raccolgono dati per finalità diverse dalla telemedicina.

Il consenso privacy non va confuso con il consenso al trattamento sanitario della legge 22 dicembre 2017, n. 219: sono istituti diversi, con funzioni diverse. Il secondo è trattato nella pagina sul consenso informato.

Gli adempimenti privacy della struttura sanitaria

Accanto alla base giuridica, la struttura deve curare quattro adempimenti che nei controlli del Garante tornano spesso.

Informativa privacy in sanità

L'informativa al paziente è sempre dovuta, anche quando il consenso non serve. Se la struttura usa sistemi di intelligenza artificiale, l'art. 7, comma 3, della legge 23 settembre 2025, n. 132 riconosce al paziente il diritto di esserne informato.

DPO nelle strutture sanitarie

Le aziende sanitarie pubbliche devono designare un responsabile della protezione dei dati (art. 37, par. 1, lett. a). Per il settore privato, le FAQ del Garante sul RPD citano tra i soggetti tenuti alla nomina, quando ne ricorrono i presupposti, cliniche e ospedali privati, stabilimenti termali, laboratori di analisi e centri di riabilitazione.

Valutazione d'impatto

L'elenco del Garante del 2018 sulle tipologie da sottoporre a DPIA comprende i trattamenti non occasionali di dati relativi a soggetti vulnerabili, tra cui i pazienti (punto 6), e quelli che usano tecnologie innovative come i sistemi di intelligenza artificiale quando ricorre un altro criterio di rischio (punto 7).

Cartella clinica

L'art. 92 del Codice privacy chiede accorgimenti per la comprensibilità dei dati in cartella e limita l'accesso dei terzi alla documentata necessità di tutelare un diritto di rango pari a quello del paziente. Le regole complete sono nella pagina sull'accesso alla cartella clinica.

Violazioni di dati in ospedale

Un referto inviato al paziente sbagliato, un fascicolo consultato da chi non ne aveva titolo, un sistema informativo bloccato da un attacco: in sanità le violazioni di dati personali coinvolgono quasi sempre categorie particolari. Per questo la valutazione del rischio per gli interessati tende a essere più severa.

Le regole del GDPR in sanità sono quelle comuni a tutti i titolari: la struttura avvisa il Garante entro 72 ore da quando sa della violazione, se possibile, e comunque senza ritardi ingiustificati, a meno che il rischio per i pazienti sia improbabile (art. 33 GDPR); se il rischio è elevato, informa anche i pazienti coinvolti (art. 34). La procedura e lo strumento di autovalutazione sono sulla pagina del Garante sul data breach.

Ricerca e intelligenza artificiale sui dati sanitari

La legge 132/2025 ha dichiarato di rilevante interesse pubblico i trattamenti di dati per la ricerca e la sperimentazione su sistemi di AI svolti da soggetti pubblici e privati senza scopo di lucro, IRCCS e privati che partecipano a progetti con questi soggetti (art. 8, comma 1). È sempre autorizzato l'uso secondario di dati privi degli elementi identificativi diretti, anche sanitari, fermo l'obbligo di informativa, che può essere assolto con un'informativa generale sul sito del titolare (comma 2).

Questi trattamenti vanno comunicati al Garante con le informazioni degli articoli 24, 25, 32 e 35 GDPR e l'indicazione dei responsabili del trattamento, e possono partire trascorsi trenta giorni se il Garante non ne dispone il blocco (comma 5). Restano fermi i poteri ispettivi, interdittivi e sanzionatori del Garante (comma 6). Il quadro AI completo è nella guida su AI Act e sanità.

Come può aiutarti Next-OS

Next-OS aiuta uffici legali, affari generali e DPO delle strutture a trovare la base giuridica di un trattamento, a confrontare un'informativa con gli articoli 13 e 9 GDPR e con la legge 132/2025, a preparare la traccia di una DPIA e le risposte ai pazienti, con le fonti citate. Prima di caricare documenti con dati sanitari, coinvolgi il DPO e limita i dati al necessario. Gli altri casi d'uso sono nella pagina sull'AI in sanità.