Privacy dello studio medico e GDPR
Quando si parla di privacy dello studio medico e GDPR, la domanda vera non è quale modulo far firmare: è che cosa lo studio deve dire al paziente, e con quali parole. Il GDPR a uno studio medico chiede due cose distinte, e la confusione fra le due è l'errore che si incontra più spesso: un'informativa, che serve sempre, e una base giuridica per ogni finalità, che quasi mai è il consenso quando si tratta di curare.
Una dichiarazione sul metodo, prima di cominciare. Ogni affermazione di questo articolo viene dal testo del Regolamento o da un documento del Garante per la protezione dei dati personali, aperto e letto mentre l'articolo veniva scritto e linkato sulla frase che lo usa; dove c'è una citazione fra virgolette, è la fonte che parla. Questo non è un parere legale e non sostituisce chi lo dà: è la mappa di che cosa dice la norma e di dove si va a leggerla. Non trovi prezzi dei nostri servizi, non trovi volumi di ricerca e non trovi importi di sanzioni.
Che cosa chiede il GDPR a uno studio medico?
Chiede due cose, e vanno tenute separate: informare il paziente su che cosa fai dei suoi dati, e avere per ciascuna finalità una base giuridica valida. La prima non ha eccezioni; la seconda, per la cura, non passa dal consenso.
Il punto di partenza è un divieto. L'articolo 9 del Regolamento vieta in linea di principio di trattare i dati relativi alla salute, e poi elenca i casi in cui quel divieto non si applica. Uno di questi è fatto su misura per chi cura: il paragrafo 2, lettera h), letto insieme al paragrafo 3, che pretende che il trattamento sia svolto da un professionista soggetto al segreto professionale o da altra persona anch'essa soggetta all'obbligo di segretezza. Uno studio che cura sta dentro l'eccezione, non fuori dal divieto.
Il Garante lo mette in fila nei suoi chiarimenti sul trattamento dei dati relativi alla salute in ambito sanitario del 7 marzo 2019, dove le «finalità di cura» sono definite come «finalità di medicina preventiva, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali». È una definizione larga, e comprende la parte organizzativa che tiene in piedi la prestazione; non comprende tutto quello che uno studio fa con i contatti dei pazienti, ed è esattamente lì che nascono i problemi.
La conseguenza pratica è una sola, e conviene scriverla prima di tutto il resto: l'informativa non è il documento che raccoglie un consenso. È il documento che racconta il trattamento. Molti studi hanno un foglio che fa finta di essere entrambe le cose, e di solito è il segno che nessuno dei due lavori è stato fatto.
Che cosa deve dire l'informativa?
Deve dire gli elementi che l'articolo 13 del Regolamento elenca uno per uno, perché l'informativa è un contenuto obbligatorio e non una formula di cortesia. Sono sei le voci che in uno studio pesano più delle altre, e sono quelle della tabella qui sotto.
La seconda colonna è il testo dell'articolo 13, citato dal testo italiano del Regolamento pubblicato dal Garante, con la lettera accanto; la terza è nostra e lo dichiariamo, perché la differenza fra la norma e la sua applicazione in uno studio piccolo è precisamente la parte che un modello scaricato non può contenere.
| Voce | Che cosa dice l'art. 13 | Che cosa vuol dire in uno studio |
|---|---|---|
| Titolare e contatti | «l'identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante» (par. 1, lett. a) | Il nome con cui lo studio è intestato — persona fisica o società — e un recapito a cui il paziente possa scrivere davvero. Se c'è un responsabile della protezione dei dati, la lettera b) chiede anche i suoi contatti. |
| Finalità e base giuridica | «le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento» (par. 1, lett. c) | Le finalità sono quelle di quello studio, una per una: la cura, la gestione dell'agenda, la fatturazione, e separatamente ogni cosa che non è cura. Accanto a ciascuna va la sua base giuridica, non una formula sola per tutte. |
| Destinatari | «gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali» (par. 1, lett. e) | Chi vede quei dati oltre allo studio: chi tiene la contabilità, chi fornisce il gestionale, il laboratorio a cui si manda un campione. La norma ammette di indicarli per categoria, non uno per nome. |
| Conservazione | «il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo» (par. 2, lett. a) | Per quanto tempo restano cartelle, referti e recapiti. Se un numero di anni non si può dire, si scrivono i criteri con cui si decide: il Regolamento prevede espressamente questa seconda strada. |
| Diritti dell'interessato | «l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento l'accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati» (par. 2, lett. b) | I diritti si elencano e si dice come si esercitano: a chi si scrive, da quale indirizzo, e che cosa succede dopo. Un elenco di diritti senza un canale per usarli è la parte dell'informativa che il paziente scopre inutile nel momento in cui le serve. |
| Reclamo all'autorità | «il diritto di proporre reclamo a un'autorità di controllo» (par. 2, lett. d) | In Italia quell'autorità è il Garante per la protezione dei dati personali, e va nominata. È la voce che più spesso manca nei documenti copiati, perché sembra una formalità e invece è un diritto di chi legge. |
Elencare le voci non basta: conta anche come sono scritte. Negli stessi chiarimenti il Garante ricorda che le informazioni «vanno rese in forma concisa, trasparente, intelligibile e facilmente accessibile, con linguaggio semplice e chiaro», e suggerisce a chi effettua molti trattamenti diversi di darle «in modo progressivo» — alla generalità dei pazienti solo quelle che riguardano «i trattamenti che rientrano nell'ordinaria attività di erogazione delle prestazioni sanitarie», e il resto soltanto a chi quei servizi ulteriori li usa davvero. Per uno studio piccolo la traduzione è comoda: un'informativa corta e vera batte quattro pagine che coprono trattamenti che nessuno fa.
Sul momento, invece, non c'è margine. Il Compendio del Garante sulle piattaforme che mettono in contatto pazienti e professionisti sanitari, pubblicato a marzo 2024, chiede che «prima che il trattamento di cura abbia inizio» sia resa al paziente «un'autonoma e specifica informativa con tutti gli elementi di cui all'art. 13 del Regolamento». Prima: non alla seconda visita, non quando si firma il preventivo.
Serve il consenso per curare un paziente?
No, e per la maggior parte degli studi è la riga che cambia il modulo d'accettazione. Il consenso al trattamento dei dati per curare non si chiede più, perché la base giuridica è un'altra.
Il Garante lo scrive senza giri di parole nei chiarimenti del 2019: «Diversamente dal passato, quindi, il professionista sanitario, soggetto al segreto professionale, non deve più richiedere il consenso del paziente per i trattamenti necessari alla prestazione sanitaria richiesta dall'interessato, indipendentemente dalla circostanza che operi in qualità di libero professionista (presso uno studio medico) ovvero all'interno di una struttura sanitaria pubblica o privata». La parentesi sullo studio medico è nel testo originale, e vale la pena notarla: la regola non è pensata solo per gli ospedali.
C'è però un limite, e sta sulla parola «necessari». Lo stesso documento precisa che i trattamenti coperti dall'articolo 9, paragrafo 2, lettera h) sono quelli «essenziali per il raggiungimento di una o più finalità determinate ed esplicitamente connesse alla cura della salute», e che tutto il resto — i trattamenti «attinenti, solo in senso lato, alla cura, ma non strettamente necessari» — richiede «una distinta base giuridica da individuarsi, eventualmente, nel consenso dell'interessato o in un altro presupposto di liceità». Il consenso non scompare: si sposta, e resta solo dove serve.
Dove serve, il Garante fa degli esempi, e sono utili perché sono tutti riconoscibili: le app che raccolgono dati sanitari per finalità diverse dalla telemedicina o che li rendono accessibili a chi non è tenuto al segreto, i programmi di accumulo punti delle farmacie preordinati alla fidelizzazione della clientela, i trattamenti svolti «in campo sanitario da persone giuridiche private per finalità promozionali o commerciali», quelli fatti da professionisti sanitari «per finalità commerciali o elettorali» e quelli che passano dal fascicolo sanitario elettronico. Nessuno dei cinque è curare qualcuno: sono tutte cose che si fanno con i dati di chi è stato curato.
E per mandargli promemoria o messaggi?
Dipende da che cosa fa il messaggio, non dal canale con cui parte. Il promemoria di un appuntamento già preso sta dentro la prestazione che il paziente ha chiesto; un messaggio che propone qualcosa è un'altra finalità, e vuole la sua base giuridica scritta nell'informativa.
Il Compendio di marzo 2024 è il documento che si avvicina più di tutti al caso concreto, perché parla di prenotazioni e di agende. Per i dati sulla salute trattati «in occasione, ad esempio della prenotazione di una visita specialistica», dice che il professionista «opera in qualità di titolare del trattamento» nell'ambito del rapporto medico-paziente, richiamando l'articolo 9, paragrafo 2, lettera h) e paragrafo 3. E aggiunge il pezzo che riguarda chi lo studio non è: chi effettua per suo conto trattamenti di tipo tecnico-amministrativo, «quale, ad esempio, la gestione dell'agenda degli appuntamenti», può agire «esclusivamente in qualità di responsabile del trattamento» e «non è autorizzato a trattare i dati sulla salute degli utenti per finalità di cura».
Tradotto in un gesto: se i promemoria partono da uno strumento, quello strumento va designato responsabile del trattamento con l'atto previsto dall'articolo 28, e nell'informativa compare fra i destinatari — per categoria, non per marca. È la parte noiosa di qualunque crm per studi medici, e nessuno la fa al posto del titolare. Il testo dei messaggi è un'altra cosa e sta altrove: i tre promemoria scritti parola per parola e le cinque informazioni che in un messaggio al paziente non si scrivono mai stanno nella pagina che se ne occupa.
Sul messaggio che non è un promemoria, invece, c'è una lezione già scritta. Lo stesso Compendio chiede che per le finalità «ulteriori rispetto a quelle di cura, come ad es. di natura commerciale» si indichi «per ciascuna finalità la corretta base giuridica del trattamento (quale ad esempio il consenso dell'interessato)». E un provvedimento del 13 febbraio 2025 mostra che cosa accade quando quella base non c'è: a un medico di medicina generale che aveva usato gli indirizzi email dei propri pazienti per una finalità diversa dalla cura, il Garante contesta che «i consensi acquisiti alla luce della predetta informativa non possono costituire una idonea base giuridica», «in quanto tale finalità non è espressamente indicata nella suddetta informativa». È il motivo per cui la colonna delle finalità, nella tabella sopra, va riempita con le finalità vere.
Un fac-simile di informativa privacy per lo studio medico basta?
No, e questo articolo non ne offre uno da scaricare: sarebbe la cosa più comoda da mettere in fondo alla pagina e la meno utile da avere. Un modello può elencare le voci; non può sapere quali trattamenti fa lo studio che lo usa.
Chi cerca un fac-simile di informativa privacy per studio medico e GDPR — è più o meno così che si digita — trova decine di modelli, e il problema non è che siano scritti male: è che la lettera c) dell'articolo 13 chiede «le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento», e quelle finalità sono le tue. Chi tiene la contabilità, se l'agenda è su carta o su uno strumento, se i referti si consegnano a mano o altrimenti, se ci sono comunicazioni che non riguardano la cura: ogni risposta cambia una riga del documento. Il Compendio del Garante, non per caso, parla di «un'autonoma e specifica informativa».
Il modo sensato di usare un fac-simile è quindi come indice, non come testo definitivo: si prende l'elenco delle voci, si risponde voce per voce guardando come lavora davvero lo studio, e quello che resta è un documento che descrive un trattamento esistente. Due vantaggi, e nessuno dei due è formale: il paziente capisce che cosa sta leggendo, e se un giorno qualcuno chiede conto di una finalità, la risposta è già scritta nel punto giusto. Il provvedimento del 2025 citato sopra è il controesempio: un'informativa che non nomina una finalità non la copre, per quanto firmata sia.
Dove si trovano le indicazioni ufficiali?
In due posti, entrambi pubblici e gratuiti: il testo del Regolamento e il sito del Garante. Tutto quello che questo articolo dice viene da lì, e conviene saperlo leggere in autonomia invece di fidarsi di un riassunto, questo compreso.
Il testo del Regolamento si scarica dalla pagina del Garante dedicata al testo del Regolamento, che offre la versione arricchita con i riferimenti ai Considerando, aggiornata alle rettifiche pubblicate sulla Gazzetta Ufficiale dell'Unione europea del 23 maggio 2018, insieme alla rettifica e al testo pubblicato in Gazzetta. L'articolo 13 è lì, e si legge in dieci minuti: è un elenco, non un trattato. Chi preferisce consultarlo articolo per articolo in inglese trova lo stesso testo dell'articolo 13 in una versione navigabile.
Per l'ambito sanitario i due documenti da tenere aperti sono quelli citati in questa pagina: i chiarimenti del 7 marzo 2019, che sono il punto in cui il Garante dice che il consenso per curare non serve più e spiega dove invece serve, e il Compendio di marzo 2024, che è il più recente e il più vicino a come si lavora oggi — prenotazioni, agende, ruoli di chi fornisce gli strumenti. Non sono letture leggere, ma sono brevi, e sono la differenza fra sapere una regola e averla letta.
Un'ultima cosa, detta apposta. Gli articoli di questo blog di solito portano la voce di un cliente, perché la prova migliore di come funziona qualcosa è qualcuno che l'ha attraversata. Qui no: nessuna delle interviste che abbiamo raccolto parla di informative, di basi giuridiche o di adempimenti privacy, e inventare un aneddoto su un tema di compliance sarebbe esattamente il contrario di quello che questo articolo chiede di fare. La prova, qui, sono soltanto le fonti — e le trovi linkate una per una, dove servono.
Se hai uno studio, l'informativa l'hai ereditata da un modello e vorresti rimettere in fila le finalità vere — quello che fai dell'agenda, dei recapiti e dei messaggi ai pazienti — insieme a qualcuno che se ne occupa con te, puoi Candidati come cliente.
