Il medico deve far firmare il consenso privacy ai pazienti?

Non per i trattamenti necessari alla cura. Il Garante, nel provvedimento n. 55 del 7 marzo 2019, ha chiarito che il professionista sanitario soggetto al segreto professionale non deve chiedere il consenso per la prestazione richiesta: la base giuridica è l'articolo 9, paragrafo 2, lettera h, del GDPR. Il consenso serve per i trattamenti non necessari alla cura, come le comunicazioni promozionali.

Il medico libero professionista deve tenere il registro dei trattamenti?

Sì. L'esenzione dell'articolo 30 del GDPR per chi ha meno di 250 dipendenti non vale quando si trattano dati sanitari, e il Garante ha confermato l'obbligo anche per il singolo professionista. Il registro non va inviato al Garante, ma tenuto aggiornato ed esibito in caso di controllo.

Lo studio medico deve nominare un DPO?

Il medico che lavora da solo no: secondo il Garante i dati dei suoi pazienti non sono un trattamento su larga scala. Il DPO è obbligatorio per le aziende sanitarie e, in generale, per ospedali privati, case di cura e residenze sanitarie.

Cosa deve contenere l'informativa privacy dello studio medico?

Secondo l'articolo 13 del GDPR: identità e contatti del titolare, finalità e base giuridica dei trattamenti, destinatari dei dati, periodo di conservazione o criteri per stabilirlo, diritti del paziente e diritto di reclamo al Garante. Va data al momento della raccolta dei dati, di solito alla prima visita, in un linguaggio semplice.

Entro quando va notificata una violazione dei dati?

Entro 72 ore da quando il titolare ne è venuto a conoscenza, salvo che sia improbabile che presenti un rischio per le persone, come prevede l'articolo 33 del GDPR. Se il rischio è elevato vanno informati anche i pazienti coinvolti, e ogni violazione va comunque documentata.

Serve un contratto con il fornitore del gestionale?

Serve quando il fornitore tratta i dati per conto dello studio, per esempio perché conserva l'archivio sui propri server: in quel caso è un responsabile del trattamento e va firmato un accordo ai sensi dell'articolo 28 del GDPR. Con un gestionale che salva i dati solo sul computer dello studio il fornitore non tratta i dati dei pazienti e l'accordo, per l'uso standard, non serve.

GDPR per il medico libero professionista: cosa serve davvero

Il medico che lavora da solo con la partita IVA è titolare del trattamento dei dati dei suoi pazienti, e alcuni obblighi del GDPR lo riguardano in pieno mentre altri no. Non deve chiedere il consenso per i trattamenti necessari alla cura, non deve nominare un responsabile della protezione dei dati e di regola non deve fare una valutazione d'impatto. Deve invece dare l'informativa, tenere il registro delle attività di trattamento, proteggere i dati e notificare le violazioni. Qui trovi ogni adempimento con la norma da cui viene.

In breve

Per i trattamenti necessari alla cura il medico non deve chiedere il consenso del paziente: la base giuridica è l'articolo 9, paragrafo 2, lettera h, del GDPR, insieme al segreto professionale, come ha chiarito il Garante nel provvedimento n. 55 del 7 marzo 2019.
Il consenso serve invece per i trattamenti che non sono necessari alla cura, come le comunicazioni promozionali.
Il registro delle attività di trattamento è obbligatorio anche per il singolo libero professionista, perché l'esenzione per chi ha meno di 250 dipendenti non vale quando si trattano dati sanitari; non va inviato al Garante, ma esibito in caso di controllo.
Il medico che esercita da solo non deve nominare un DPO e, secondo il considerando 91 del GDPR, non è obbligato alla valutazione d'impatto: i dati dei pazienti di un singolo medico non sono un trattamento su larga scala.
Una violazione dei dati va notificata al Garante entro 72 ore da quando se ne è venuti a conoscenza, salvo che sia improbabile che presenti un rischio per le persone.

Il punto di partenza: sei tu il titolare

Il GDPR chiama titolare del trattamento chi decide perché e come si trattano i dati personali. Nello studio del libero professionista il titolare è il medico: decide quali dati raccogliere, con quali strumenti, per quanto conservarli e a chi comunicarli, e ne risponde anche quando una parte del lavoro la fanno altri.

I dati sanitari sono dati particolari, nell'articolo 9 del regolamento, e il loro trattamento è vietato salvo le eccezioni che lo stesso articolo elenca. Per il medico l'eccezione che conta è quella della lettera h del paragrafo 2: il trattamento è lecito quando serve a finalità di medicina preventiva, diagnosi, assistenza o terapia ed è svolto da un professionista soggetto al segreto professionale.

Da qui discendono quasi tutti gli adempimenti dello studio. La tabella li riassume, con la norma da cui vengono.

Gli adempimenti GDPR per il medico libero professionista
Adempimento	Serve al medico che lavora da solo?	Riferimento
Consenso per i trattamenti di cura	No	GDPR art. 9, par. 2, lett. h e par. 3; Garante, provv. 55/2019
Consenso per trattamenti non necessari alla cura, come le comunicazioni promozionali	Sì	GDPR art. 6, par. 1, lett. a
Informativa ai pazienti	Sì, al momento della raccolta dei dati	GDPR art. 13
Registro delle attività di trattamento	Sì, da esibire al Garante su richiesta	GDPR art. 30; Garante, provv. 55/2019
Responsabile della protezione dei dati (DPO)	No	GDPR art. 37; Garante, provv. 55/2019
Valutazione d'impatto (DPIA)	Di regola no	GDPR art. 35 e considerando 91
Accordo con chi tratta i dati per conto dello studio	Sì, con ogni responsabile del trattamento	GDPR art. 28
Notifica delle violazioni al Garante	Sì, entro 72 ore, salvo rischio improbabile	GDPR art. 33

Regole in vigore a ottobre 2026 per il medico che esercita in forma individuale. Case di cura, ospedali privati e strutture che trattano dati su larga scala hanno obblighi più ampi, a partire dal DPO.

Il consenso: quando non serve e quando sì

Con il provvedimento n. 55 del 7 marzo 2019 il Garante ha chiarito il punto che più confondeva gli studi: il professionista sanitario soggetto al segreto professionale non deve chiedere il consenso del paziente per i trattamenti necessari alla prestazione richiesta, sia che lavori nel proprio studio sia che lavori in una struttura. Il modulo "consenso al trattamento dei dati" che molti studi fanno ancora firmare a ogni nuovo paziente, per la cura, non è necessario.

Serve invece un'altra base giuridica, di solito il consenso, per i trattamenti che con la cura hanno a che fare solo indirettamente. Il Garante cita come esempi i programmi di fidelizzazione, le app mediche gestite da altri titolari e le finalità promozionali o commerciali. Per lo studio significa, in concreto, la newsletter o le comunicazioni promozionali ai pazienti.

Non va confuso con il consenso informato all'atto sanitario, disciplinato dalla legge 219/2017: quello riguarda la scelta del paziente di sottoporsi alla prestazione, non i suoi dati, ed è sempre necessario.

L'informativa: cosa deve contenere

Il consenso per la cura non serve, l'informativa sì. L'articolo 13 del GDPR la richiede al momento in cui i dati vengono raccolti, cioè di norma alla prima visita, e ne fissa il contenuto: l'identità e i contatti del titolare, le finalità e la base giuridica di ciascun trattamento, i destinatari a cui i dati possono essere comunicati, il periodo di conservazione o i criteri per stabilirlo, i diritti del paziente e il diritto di proporre reclamo al Garante.

Il Garante chiede che sia concisa, trasparente, comprensibile e scritta in un linguaggio semplice. Per lo studio del singolo medico basta un documento solo, che descriva i trattamenti reali: le visite e la cartella clinica, la fatturazione e l'invio al Sistema Tessera Sanitaria, gli appuntamenti, e le eventuali comunicazioni facoltative.

Un'informativa scritta per un ospedale e copiata nello studio è il difetto più comune: elenca trattamenti che non esistono e tace su quelli che ci sono, per esempio il commercialista che riceve le fatture o il servizio esterno a cui si appoggia l'agenda.

Il registro delle attività di trattamento

L'articolo 30 del GDPR esonera dal registro le organizzazioni con meno di 250 dipendenti, ma le esenzioni non valgono quando il trattamento riguarda dati particolari o non è occasionale. Il Garante, nel provvedimento del 2019, ne ha tratto la conseguenza per la sanità: il registro è obbligatorio anche per il singolo libero professionista. Non va inviato al Garante: va tenuto aggiornato ed esibito in caso di controllo.

Il registro elenca i trattamenti dello studio e, per ciascuno, le finalità, le categorie di pazienti e di dati, i destinatari, i termini di conservazione quando è possibile indicarli e una descrizione generale delle misure di sicurezza. Per uno studio specialistico le righe sono poche, e la tabella qui sotto ne dà un esempio.

Il valore del registro non è burocratico. Costringe a fare l'inventario di dove stanno davvero i dati: la cartella nel gestionale, gli esami in una cartella del computer, le fatture dal commercialista, le immagini dell'ecografo, le foto mandate dal paziente sul telefono. Spesso è compilandolo che lo studio scopre un archivio di cui nessuno si occupava.

Esempio di righe del registro per uno studio specialistico
Trattamento	Dati trattati	Base giuridica
Visite, cartella clinica e referti	Anagrafica, dati sanitari, immagini ed esami	Finalità di cura: GDPR art. 9, par. 2, lett. h
Fatturazione e invio al Sistema Tessera Sanitaria	Anagrafica, codice fiscale, importi	Obbligo di legge: GDPR art. 6, par. 1, lett. c
Appuntamenti e promemoria	Nome, telefono, email	Prestazione richiesta dal paziente: GDPR art. 6, par. 1, lett. b
Comunicazioni promozionali facoltative	Nome, email	Consenso: GDPR art. 6, par. 1, lett. a

Esempio indicativo: le righe vanno adattate ai trattamenti reali dello studio, con i destinatari, i tempi di conservazione e le misure di sicurezza di ciascuno.

DPO e valutazione d'impatto: perché di regola non servono

Il responsabile della protezione dei dati, il DPO, è obbligatorio quando le attività principali del titolare consistono nel trattamento su larga scala di dati particolari. Il Garante ha chiarito che il singolo professionista sanitario che lavora in libera professione non vi è tenuto, perché i dati dei suoi pazienti non costituiscono un trattamento su larga scala. Il DPO serve invece alle aziende sanitarie e, in generale, a ospedali privati, case di cura e residenze sanitarie.

Lo stesso ragionamento vale per la valutazione d'impatto prevista dall'articolo 35. Il considerando 91 del GDPR lo dice in modo esplicito: il trattamento dei dati dei pazienti da parte di un singolo medico non dovrebbe essere considerato su larga scala, e in quel caso la valutazione d'impatto non dovrebbe essere obbligatoria.

Se lo studio cresce, con più medici, più sedi o un poliambulatorio organizzato come società, la risposta può cambiare: è una verifica da rifare quando cambia la struttura, non una volta per sempre.

Chi lavora con te: collaboratori e fornitori

La segretaria o il collaboratore che accede ai dati dei pazienti agisce sotto l'autorità del titolare e va istruito su come trattarli, come prevede l'articolo 29 del GDPR. Il Codice privacy, all'articolo 2-quaterdecies, consente di attribuire per iscritto compiti e funzioni legati al trattamento a persone designate: è il modo più semplice per dimostrare chi può fare cosa.

Diverso è il caso dei soggetti esterni che trattano i dati per conto dello studio, i responsabili del trattamento: il servizio di agenda online, il fornitore di un gestionale che conserva l'archivio sui propri server, a volte il commercialista. Con ciascuno serve un accordo scritto ai sensi dell'articolo 28, che stabilisca cosa possono fare con i dati e con quali garanzie.

Con un gestionale che salva l'archivio sul computer dello studio, come Corioli, il fornitore non tratta i dati dei pazienti e quindi non è un responsabile del trattamento: per l'uso standard del software non serve un accordo ai sensi dell'articolo 28.

Sicurezza e violazioni dei dati

L'articolo 32 chiede misure di sicurezza adeguate al rischio, senza un elenco chiuso. Per uno studio significa, in concreto, accessi protetti da password personali, computer aggiornati, dischi cifrati sui portatili, copie di sicurezza conservate fuori dal computer di lavoro e verificate con una prova di ripristino.

Se qualcosa va storto, un portatile rubato, un ransomware, un referto inviato al paziente sbagliato, l'articolo 33 chiede di notificare la violazione al Garante entro 72 ore da quando se ne è venuti a conoscenza, salvo che sia improbabile che presenti un rischio per i pazienti. Se il rischio è elevato, l'articolo 34 chiede di informare anche le persone coinvolte. In ogni caso la violazione va documentata, anche quando non va notificata.

Con l'archiviazione locale la sicurezza è nelle mani dello studio, ed è un vantaggio solo se viene gestita. Corioli salva l'archivio sul computer dello studio, si blocca con PIN, Windows Hello o Touch ID e fa copie automatiche sullo stesso disco; la copia su un supporto esterno e la cifratura del disco restano scelte dello studio, e vanno scritte nel registro tra le misure di sicurezza.

Domande frequenti

Il medico deve far firmare il consenso privacy ai pazienti?: Non per i trattamenti necessari alla cura. Il Garante, nel provvedimento n. 55 del 7 marzo 2019, ha chiarito che il professionista sanitario soggetto al segreto professionale non deve chiedere il consenso per la prestazione richiesta: la base giuridica è l'articolo 9, paragrafo 2, lettera h, del GDPR. Il consenso serve per i trattamenti non necessari alla cura, come le comunicazioni promozionali.
Il medico libero professionista deve tenere il registro dei trattamenti?: Sì. L'esenzione dell'articolo 30 del GDPR per chi ha meno di 250 dipendenti non vale quando si trattano dati sanitari, e il Garante ha confermato l'obbligo anche per il singolo professionista. Il registro non va inviato al Garante, ma tenuto aggiornato ed esibito in caso di controllo.
Lo studio medico deve nominare un DPO?: Il medico che lavora da solo no: secondo il Garante i dati dei suoi pazienti non sono un trattamento su larga scala. Il DPO è obbligatorio per le aziende sanitarie e, in generale, per ospedali privati, case di cura e residenze sanitarie.
Cosa deve contenere l'informativa privacy dello studio medico?: Secondo l'articolo 13 del GDPR: identità e contatti del titolare, finalità e base giuridica dei trattamenti, destinatari dei dati, periodo di conservazione o criteri per stabilirlo, diritti del paziente e diritto di reclamo al Garante. Va data al momento della raccolta dei dati, di solito alla prima visita, in un linguaggio semplice.
Entro quando va notificata una violazione dei dati?: Entro 72 ore da quando il titolare ne è venuto a conoscenza, salvo che sia improbabile che presenti un rischio per le persone, come prevede l'articolo 33 del GDPR. Se il rischio è elevato vanno informati anche i pazienti coinvolti, e ogni violazione va comunque documentata.
Serve un contratto con il fornitore del gestionale?: Serve quando il fornitore tratta i dati per conto dello studio, per esempio perché conserva l'archivio sui propri server: in quel caso è un responsabile del trattamento e va firmato un accordo ai sensi dell'articolo 28 del GDPR. Con un gestionale che salva i dati solo sul computer dello studio il fornitore non tratta i dati dei pazienti e l'accordo, per l'uso standard, non serve.