Il dato sanitario è una categoria particolare ex art. 9 GDPR e in Italia il Garante lo ha circondato di regole precise: consensi granulari, dossier distinto dal FSE, registro degli accessi conservato 24 mesi, break-the-glass motivato, data breach notificato entro 72 ore. Ecco cosa deve fare, in pratica, una struttura sanitaria o socio-sanitaria.
Se dirigete una struttura sanitaria — ospedale, casa di cura, RSA, poliambulatorio, laboratorio, servizio di cure domiciliari — trattate ogni giorno dati appartenenti alle categorie particolari dell'art. 9 del Regolamento UE 2016/679 (GDPR). Non basta l'informativa in accettazione: il quadro italiano si completa con i provvedimenti del Garante per la protezione dei dati personali, in particolare le linee guida sul dossier sanitario (2015), il provvedimento sugli amministratori di sistema (2008) e le linee guida sui referti online (2009). Sono questi testi a dire, concretamente, quali consensi raccogliere, cosa tracciare e per quanto tempo.
Il primo errore da evitare è il consenso unico "omnibus" firmato una volta per tutte. I consensi in sanità vanno raccolti in modo granulare, ciascuno con la propria finalità e la propria revocabilità:
A questi si aggiunge il consenso informato per prestazione, che è un documento firmato (FEA, firma grafometrica o OTP) da conservare a norma insieme al fascicolo. Ogni consenso deve avere data, firmatario, validità e — quando arriva — la revoca, con traccia di audit.
Le linee guida del Garante sul dossier sanitario (2015) distinguono nettamente il dossier di struttura — la documentazione clinica che la singola struttura costruisce sui propri assistiti — dal Fascicolo Sanitario Elettronico, che aggrega documenti a livello regionale e nazionale. I due strumenti richiedono consensi separati, e l'assistito può chiedere l'oscuramento di singoli documenti o episodi. Attenzione: con le regole tecniche del FSE 2.0 (DM 7/9/2023 e DM 30/12/2024) l'obbligo di alimentare il Fascicolo entro 5 giorni riguarda tutte le strutture, anche private non accreditate, dal 31/03/2026 — quindi consensi e oscuramenti vanno gestiti alla fonte, nel momento in cui il documento nasce.
Ogni accesso a dati sanitari va tracciato in un log immutabile — chi ha aperto quale cartella, quando, con quale ruolo — conservato per 24 mesi e consultabile dal DPO. È la misura che il Garante verifica per prima in caso di ispezione o di segnalazione di un accesso abusivo, ed è la ragione per cui il log non può essere un file modificabile a posteriori.
L'accesso alla documentazione deve seguire il principio della presa in carico: ogni professionista vede i pazienti in carico alla propria unità operativa o al proprio servizio, secondo ruoli e permessi (RBAC). L'eccezione è il cosiddetto break-the-glass: in urgenza un medico può aprire una cartella fuori dal proprio perimetro, ma con motivazione obbligatoria, generazione di un alert e traccia permanente nel log, che il DPO verifica.
C'è poi il provvedimento del Garante del 2008 sugli amministratori di sistema: le utenze amministrative e tecniche vanno censite e i loro accessi tracciati, esattamente come quelli clinici.
| Cosa | Termine | Riferimento nelle fonti |
|---|---|---|
| Log degli accessi | 24 mesi, immutabile | Provvedimenti Garante (dossier sanitario, amministratori di sistema) |
| Cartella clinica | Conservazione illimitata | Prassi ministeriale richiamata dalle linee guida di conservazione |
| Referti | 10 anni | Linee guida AgID / normativa di conservazione |
| Copia della cartella al paziente | Entro 7 giorni dalla richiesta | L. 24/2017, art. 4 |
| Invio dei documenti al FSE 2.0 | Entro 5 giorni | DM 7/9/2023 e DM 30/12/2024 |
| Notifica data breach | Entro 72 ore | GDPR |
Il registro degli accessi non è un adempimento "informatico" delegabile in toto al fornitore: la titolarità del trattamento resta della struttura. Verificate per iscritto, con il vostro DPO, che il software in uso produca un log immutabile di 24 mesi, gestisca il break-the-glass con motivazione e permetta di rispondere alle richieste degli interessati.
Le misure richiamate dai provvedimenti del Garante prevedono un log degli accessi immutabile conservato per 24 mesi, consultabile dal DPO, che copra sia gli accessi clinici sia le utenze amministrative (provvedimento amministratori di sistema, 2008).
Sì. Le linee guida del Garante sul dossier sanitario (2015) distinguono il dossier di struttura dal Fascicolo Sanitario Elettronico: consensi separati, con possibilità per l'assistito di oscurare singoli documenti o episodi.
Attivare la procedura interna, valutare il rischio per gli interessati e notificare il Garante entro 72 ore, documentando l'accaduto nel registro. La procedura va definita prima che serva, insieme al DPO.
Solo in urgenza, con il meccanismo del break-the-glass: motivazione obbligatoria, alert e traccia immutabile nel log degli accessi, soggetta a verifica del DPO. L'accesso ordinario segue i ruoli e la presa in carico.
Portate il vostro DPO alla demo: consensi granulari, log accessi 24 mesi e break-the-glass sono già nel disegno di SanIA
