{"id":43531,"date":"2026-07-15T10:41:56","date_gmt":"2026-07-15T08:41:56","guid":{"rendered":"https:\/\/smartfense.com\/?p=43531"},"modified":"2026-07-15T10:42:03","modified_gmt":"2026-07-15T08:42:03","slug":"dati-sanitari-gdpr-sanita","status":"publish","type":"post","link":"https:\/\/smartfense.com\/it\/blog\/dati-sanitari-gdpr-sanita\/","title":{"rendered":"Dati sanitari e GDPR: cosa richiede alle strutture sanitarie"},"content":{"rendered":"

Una cartella clinica dice molto pi\u00f9 di una carta di credito. Rivela diagnosi, terapie, storia familiare e abitudini che accompagnano una persona per tutta la vita. Per questo il GDPR (Regolamento UE 2016\/679) non tratta il dato sanitario come uno qualsiasi. Lo colloca nella categoria di dati pi\u00f9 protetta, con obblighi che vanno ben oltre l\u2019ufficio legale o il reparto IT.<\/p>\n

In una clinica, un ospedale o un laboratorio, gran parte di questi obblighi finisce nelle mani di chi sta alla reception, dell\u2019infermiere che registra un episodio o dell\u2019amministrativo che risponde a un\u2019email. Rispettare il GDPR in sanit\u00e0 \u00e8, prima di tutto, una questione di persone preparate.<\/p>\n

Cosa sono i dati sanitari per il GDPR?<\/h2>\n

I dati relativi alla salute sono i dati personali che rivelano informazioni sullo stato di salute fisica o mentale di una persona, compresa la prestazione di servizi di assistenza sanitaria. Cos\u00ec li definisce l\u2019articolo 4 del GDPR, e comprende tutto: dalla diagnosi al numero di cartella clinica, dal referto di laboratorio al semplice fatto che qualcuno si sia presentato a una visita.<\/p>\n

L\u2019articolo 9 li classifica come categoria particolare di dati<\/strong>. La conseguenza pratica \u00e8 diretta. Il loro trattamento \u00e8 vietato salvo che esista una base specifica che lo consenta, come il consenso esplicito della persona o la prestazione di assistenza sanitaria da parte di un professionista tenuto al segreto. La base generale valida per altri dati personali qui non basta.<\/p>\n

Questa distinzione conta perch\u00e9 alza l\u2019asticella. La stessa disattenzione (un\u2019email inviata al destinatario sbagliato, una cartella condivisa senza controlli) ha un impatto e una responsabilit\u00e0 molto diversi quando a viaggiare \u00e8 un\u2019informazione sanitaria.<\/p>\n

Cosa richiede il GDPR a una struttura sanitaria?<\/h2>\n

Il regolamento distribuisce la responsabilit\u00e0 sui dati in tutta l\u2019organizzazione. Tre obblighi ricadono in modo particolarmente chiaro sul lavoro quotidiano di chi tratta informazioni dei pazienti.<\/p>\n

Sicurezza del trattamento come abitudine quotidiana.<\/strong> L\u2019articolo 32 impone misure tecniche e organizzative adeguate al rischio. In un contesto sanitario significa cifratura e controllo degli accessi, ma anche qualcosa di meno visibile. Ogni persona deve saper gestire l\u2019informazione con cura, non riutilizzare le password, verificare a chi sta inviando un messaggio e capire perch\u00e9 l\u2019accesso a una cartella clinica viene registrato.<\/p>\n

Responsabilizzazione (accountability).<\/strong> L\u2019articolo 5 chiede di poter dimostrare la conformit\u00e0, non solo di essere conformi. Per una struttura sanitaria vuol dire che formazione, policy e registri devono essere documentati e disponibili, perch\u00e9 l\u2019onere della prova ricade sul titolare del trattamento.<\/p>\n

Valutazione d\u2019impatto quando il rischio \u00e8 elevato.<\/strong> Il trattamento su larga scala di dati sanitari richiede di norma una valutazione d\u2019impatto sulla protezione dei dati (articolo 35). Quell\u2019analisi individua i rischi del trattamento e le misure per mitigarli, e spesso mostra che il rischio maggiore sta nel comportamento quotidiano delle persone pi\u00f9 che nella tecnologia.<\/p>\n

Come si rileva e si notifica una violazione di dati sanitari?<\/h2>\n

Quando si verifica una violazione di sicurezza che riguarda dati personali, il GDPR fa partire un orologio. L\u2019articolo 33 impone di notificarla all\u2019autorit\u00e0 di controllo entro 72 ore<\/strong> dal momento in cui se ne viene a conoscenza. Se la violazione comporta un rischio elevato per le persone coinvolte, l\u2019articolo 34 impone anche di comunicarla direttamente a loro.<\/p>\n

Quel termine si rispetta solo se l\u2019organizzazione se ne accorge in tempo, ed \u00e8 qui che il fattore umano torna al centro. Secondo il report Verizon DBIR, il fattore umano interviene in quasi 6 violazioni di sicurezza su 10. In sanit\u00e0, la persona che riceve un\u2019email sospetta o nota un accesso anomalo \u00e8 spesso la prima linea in grado di dare l\u2019allarme.<\/p>\n

La differenza tra notificare entro le 72 ore o scoprire l\u2019incidente settimane dopo quasi mai dipende da uno strumento. Dipende dal fatto che chi ha visto qualcosa di strano sappia cos\u2019\u00e8 un incidente e a chi segnalarlo senza paura di sbagliare. Costruire questa capacit\u00e0 di rilevamento e segnalazione \u00e8 un compito di Cybersecurity awareness, non di infrastruttura.<\/p>\n

Cosa devi poter dimostrare in un audit?<\/h2>\n

Di fronte a un\u2019ispezione o a un audit, la domanda non \u00e8 se l\u2019organizzazione ha fatto una volta una sessione informativa. \u00c8 se pu\u00f2 dimostrare che le persone giuste hanno ricevuto la formazione giusta e che quella formazione si mantiene nel tempo. Tre evidenze fanno la differenza:<\/p>\n