Dati sanitari e GDPR nel centro medico: chi vede cosa, e con quale consenso

I dati sanitari sono una delle "categorie particolari" del GDPR: si possono trattare solo in casi precisi, con più cautele degli altri. Per un centro medico privato questo si traduce in poche regole chiare e in molte scelte organizzative, dalla segreteria che non deve leggere i diari clinici al marketing che non deve vedere i codici fiscali.

Per curare non serve il consenso

Con il provvedimento del 7 marzo 2019 il Garante ha chiarito che il professionista sanitario, tenuto al segreto professionale, non deve chiedere il consenso per trattare i dati necessari alla cura: la base giuridica è l'articolo 9 del GDPR, paragrafo 2, lettera h. Deve però informare il paziente, con un'informativa chiara.

Il consenso serve invece per tutto ciò che va oltre la cura. Tra gli esempi del Garante:

• i referti consegnati online;
• il dossier sanitario, cioè la storia clinica condivisa tra i professionisti della struttura;
• le app mediche rivolte ai pazienti;
• le comunicazioni promozionali e commerciali, compreso il marketing del centro.

Ogni consenso va registrato con la data, il canale e il testo che il paziente ha accettato, e deve potersi revocare con la stessa facilità con cui è stato dato.

Il dossier sanitario e l'oscuramento

Le linee guida del Garante del 2015 sul dossier sanitario fissano alcuni punti che valgono per qualsiasi centro con più professionisti:

• il dossier richiede un consenso specifico, distinto da quello per la cura;
• il paziente può chiedere di oscurare un episodio, che allora resta visibile solo a chi lo ha curato;
• chi accede deve essere tracciato: chi ha aperto quale dato, quando;
• l'accesso è riservato a chi ha in cura il paziente.

Ognuno vede solo quello che gli serve

Il GDPR chiede di limitare l'accesso ai dati a chi ne ha bisogno per il suo lavoro. In pratica:

Gli obblighi da non dimenticare

• Registro dei trattamenti (art. 30): con i dati sanitari serve anche sotto i 250 dipendenti.
• Valutazione d'impatto, la DPIA (art. 35): obbligatoria quando il trattamento è su larga scala o usa nuove tecnologie, come indica l'elenco del Garante.
• Violazioni dei dati (art. 33): un data breach va notificato al Garante entro 72 ore da quando se ne è venuti a conoscenza.
• Responsabile della protezione dei dati (art. 37): obbligatorio per le strutture che trattano dati sanitari su larga scala; per il singolo professionista di norma no.
• Fornitori: chi gestisce i dati per conto del centro, come il fornitore del gestionale, va nominato responsabile del trattamento (art. 28).

Quanto si conservano

Per la cartella clinica ospedaliera la conservazione è illimitata. Per quella ambulatoriale di uno studio o di un centro privato non c'è un termine fissato dalla legge: la prassi è conservarla almeno dieci anni dall'ultima prestazione, il termine in cui può arrivare una richiesta di risarcimento. Le fatture si conservano dieci anni.

Come lo fa DottorCloud

In DottorCloud ogni livello vede la sua parte: la segreteria l'agenda e i moduli, il medico i suoi pazienti e la cartella, il marketing i contatti senza dati clinici né codice fiscale. I consensi stanno in un registro che non si modifica, gli episodi si possono oscurare e ogni apertura della cartella resta nel registro degli accessi. Ne parliamo nella pagina dati e privacy.

Le informazioni sono aggiornate al 2 ottobre 2026 e non sostituiscono il parere del DPO o del consulente privacy del centro.