Risposta breve: ai sensi del GDPR, i dati relativi alla salute sono una categoria speciale. L'articolo 9(1) vieta il loro trattamento; l'articolo 9(2) elenca le eccezioni che sollevano il divieto. Per un team di prodotto, quattro sono importanti: (a) consenso esplicito della persona, (h) erogazione di assistenza sanitaria da parte di un professionista vincolato dal segreto o sotto la sua responsabilità, (i) salute pubblica e (j) ricerca scientifica con garanzie ai sensi dell'articolo 89. Un'eccezione all'articolo 9 è necessaria in aggiunta a una base giuridica ordinaria ai sensi dell'articolo 6, non in sua sostituzione. Il trattamento di dati sanitari su larga scala innesca anche una DPIA (articolo 35) e un responsabile della protezione dei dati (articolo 37).
Cosa si intende per dati sanitari
Ai sensi del GDPR, i dati relativi alla salute sono dati personali relativi alla salute fisica o mentale di una persona, inclusa la fornitura di servizi sanitari, che rivelano informazioni sullo stato di salute della persona (Articolo 4, paragrafo 15). Se interpretato in senso ampio, copre valori di laboratorio, diagnosi, farmaci, appuntamenti e certificati di malattia, nonché qualsiasi dato da cui si possa dedurre una condizione di salute.
L'articolo 4(15) definisce i dati relativi alla salute come dati personali relativi alla salute fisica o mentale di una persona, compresa l'erogazione di servizi sanitari, che rivelano informazioni sul suo stato di salute. Il considerando 35 e la giurisprudenza lo interpretano in senso ampio: un valore di laboratorio, una diagnosi, un farmaco, un appuntamento medico, un certificato di malattia, un conteggio dei passi combinato con una condizione cardiaca, una ricerca di un sintomo legata a un account. I dati che rivelano lo stato di salute sono dati sanitari anche se non sono stati raccolti come tali. La Corte di giustizia ha confermato nel 2022 (OT, C-184/20) che i dati da cui un fatto di categoria speciale può essere inferito sono essi stessi dati di categoria speciale.
Le eccezioni che contano
Le eccezioni dell'Articolo 9, paragrafo 2 del GDPR più rilevanti per i prodotti sanitari sono il consenso esplicito (a), utilizzato dalle app per la salute dei consumatori e dai registri controllati dal paziente; la fornitura di assistenza sanitaria (h), utilizzata da cliniche e dai loro fornitori di software sotto il segreto professionale; la salute pubblica (i); la ricerca scientifica (j) con le salvaguardie dell'Articolo 89; e l'interesse pubblico sostanziale (g), su cui si basa l'EHDS per l'uso secondario.
| Articolo 9(2) | Chi lo usa tipicamente | Condizioni |
|---|---|---|
| (a) Consenso esplicito | App per la salute dei consumatori, servizi di benessere, registri controllati dal paziente | Liberamente dato, specifico, informato, inequivocabile, mediante un chiaro atto affermativo, facile da revocare come da dare; non aggregato al servizio a meno che il servizio non necessiti dei dati |
| (c) Interessi vitali | Accesso di emergenza | Solo quando la persona è fisicamente o legalmente incapace di dare il consenso |
| (h) Erogazione di assistenza sanitaria | Cliniche, ospedali, medici di base, i loro fornitori di software come responsabili del trattamento | Necessario per la diagnosi, la cura, il trattamento o la gestione dei sistemi sanitari, ai sensi del diritto UE o nazionale o di un contratto con un professionista, e sotto il segreto professionale (articolo 9(3)) |
| (i) Salute pubblica | Autorità sanitarie pubbliche, farmacovigilanza | Basato su una legge che prevede misure adeguate |
| (j) Ricerca, statistiche, archiviazione | Istituti di ricerca, registri, piattaforme che abilitano la ricerca | Basato su una legge, proporzionato, con garanzie ai sensi dell'articolo 89 (pseudonimizzazione, minimizzazione) |
| (g) Interesse pubblico sostanziale | Infrastrutture sanitarie nazionali | Basato su una legge; l'EHDS si basa su di esso per l'uso secondario |
Un fascicolo sanitario personale controllato dal paziente si basa su (a): la persona decide cosa memorizzare e con chi condividere. Una clinica che scrive in quel fascicolo si basa su (h) per il proprio trattamento, e il consenso del paziente regola la condivisione. Una piattaforma che serve entrambi è un responsabile del trattamento per la clinica (contratto articolo 28) e un titolare del trattamento per l'account che offre alla persona. Scrivere questo, per ogni operazione di trattamento, è il nucleo dei registri richiesti dall'articolo 30.
Consenso che ha davvero valore
Il consenso esplicito per i dati sanitari ai sensi del GDPR è valido solo se è una dichiarazione separata e specifica per ogni finalità, fornita mediante un chiaro atto affermativo, informata sui destinatari, registrata con data e modalità, e revocabile con la stessa facilità con cui è stata data. Caselle pre-spuntate, finalità aggregate e app inutilizzabili senza il consenso all'analisi sono state tutte dichiarate non valide.
I regolatori hanno invalidato il consenso per le app sanitarie per le stesse ragioni ripetutamente: caselle pre-spuntate; consenso richiesto per tutto in una volta; nessun modo di usare l'app senza acconsentire all'analisi; testi di consenso che non nominano i destinatari; nessun percorso di revoca. Un consenso esplicito valido per i dati sanitari significa una dichiarazione separata e specifica ("Accetto che Anpheros memorizzi i risultati di laboratorio che carico"), granulare per finalità (memorizzazione; condivisione con una clinica nominata; statistiche anonime), con una registrazione di quando e come è stato dato, e un interruttore che lo revoca con effetto immediato sul trattamento futuro. I dati dei minori richiedono il titolare della responsabilità genitoriale, con soglie di età stabilite da ciascuno Stato membro tra i 13 e i 16 anni.
Segreto, articolo 9(3)
L'Articolo 9, paragrafo 3 del GDPR stabilisce la condizione di segretezza per l'eccezione relativa all'assistenza sanitaria: i dati sanitari possono essere trattati ai sensi dell'Articolo 9, paragrafo 2, lettera (h) solo da o sotto la responsabilità di un professionista vincolato dal segreto professionale ai sensi del diritto dell'UE o nazionale, o da un'altra persona soggetta a un obbligo di segretezza equivalente.
I fornitori di software per le cliniche soddisfano questo requisito tramite contratto: l'accordo di elaborazione impone la riservatezza al personale con accesso, e l'accesso viene registrato.
Oltre l'articolo 9
Un'eccezione ai sensi dell'Articolo 9, paragrafo 2 non è l'unico obbligo del GDPR per i dati sanitari. Il trattamento richiede anche una base ai sensi dell'Articolo 6, solitamente una DPIA ai sensi dell'Articolo 35 e un responsabile della protezione dei dati ai sensi dell'Articolo 37, limiti alle decisioni automatizzate ai sensi dell'Articolo 22, uno strumento del Capitolo V per i trasferimenti al di fuori dell'UE, notifica delle violazioni entro 72 ore e leggi nazionali sui registri sanitari.
- L'articolo 6 si applica ancora: contratto (6(1)(b)) per fornire il servizio richiesto dalla persona, consenso (6(1)(a)), obbligo legale, compito di interesse pubblico o interessi legittimi, che non possono essere utilizzati per sovrascrivere l'articolo 9.
- Articolo 35 DPIA è obbligatorio per il trattamento su larga scala di categorie speciali; la maggior parte delle app sanitarie e tutte le piattaforme si qualificano. Vedere DPIA per un'app sanitaria.
- Articolo 37 DPO è obbligatorio per le attività principali che consistono nel trattamento su larga scala di categorie speciali.
- Articolo 22 limita le decisioni basate esclusivamente sul trattamento automatizzato con effetti significativi, che include il triage o l'idoneità automatizzati; i dati sanitari possono essere utilizzati per essi solo con consenso esplicito o una base giuridica nella legge, con garanzie.
- Articolo 44 e seguenti: i trasferimenti al di fuori dell'UE richiedono adeguatezza (il quadro UE-USA sulla privacy dei dati per le aziende statunitensi certificate), clausole contrattuali standard con una valutazione d'impatto del trasferimento, o un altro strumento del Capitolo V. L'hosting nell'UE evita la questione per i dati a riposo; il personale di supporto all'estero no.
- Articolo 33-34: notifica delle violazioni all'autorità entro 72 ore e alle persone quando il rischio è elevato, cosa che per i dati sanitari di solito è.
- Legge nazionale aggiunge strati: leggi sul segreto medico, leggi sui fascicoli sanitari, periodi di conservazione e, in alcuni paesi, regole specifiche per le app sanitarie (certificazione di hosting HDS in Francia, quadro DiGA in Germania).
L'EHDS in aggiunta
Il regolamento sullo Spazio Europeo dei Dati Sanitari (2025/327) non modifica l'articolo 9. Aggiunge diritti di accesso e portabilità dei dati sanitari in un formato comune, obblighi per i sistemi EHR e un sistema di permessi per l'uso secondario che si basa sugli articoli 9(2)(g), (h), (i) e (j) con le proprie garanzie e un'opzione di esclusione. Vedere I tuoi dati medici nell'UE.
In Anpheros
Anpheros tratta dati sanitari sulla base del consenso esplicito della persona per il registro che essa conserva (articolo 9(2)(a)), per finalità e revocabile nell'app, e come responsabile del trattamento per le cliniche che scrivono in quel registro in base al proprio fondamento giuridico ai sensi dell'articolo 9(2)(h). Ogni accesso da parte di una clinica richiede l'approvazione della persona per un ambito e una durata e appare nel suo registro di accesso. Vedere Piattaforma di consenso del paziente e Chi ha visualizzato il mio fascicolo medico?.
Questa pagina spiega la normativa per i team di prodotto e ingegneria. Non costituisce consulenza legale; i testi collegati sotto Fonti fanno fede, e il tuo responsabile della protezione dei dati, organismo notificato o consulente decide per il tuo caso. Ultima revisione: Ottobre 2026.
Pagine correlate
- DPIA per un'app sanitaria: checklist e modello
- I tuoi dati medici nell'UE: GDPR, EHDS e i tuoi diritti
- HIPAA vs GDPR
- De-identificazione dei dati sanitari
- Piattaforma di consenso del paziente
- Mappa della normativa sui dati sanitari
- GDPR per sviluppatori (sito sviluppatori)
Fonti
- Articolo 9 del GDPR, EUR-Lex
- Articolo 4(15) e Considerando 35 del GDPR, EUR-Lex
- EDPB: Linee guida 05/2020 sul consenso
- CGUE, C-184/20 (OT v Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: Linee guida sul trattamento dei dati sanitari per la ricerca nel contesto del COVID-19 (03/2020)
- Regolamento (UE) 2025/327 (EHDS), EUR-Lex
Domande frequenti
Un conteggio dei passi è un dato sanitario?
Di per sé, di solito no. Se combinato con altri dati che rivelano uno stato di salute (una diagnosi, un programma di riabilitazione, una condizione cardiaca), o trattato per inferirne uno, diventa un dato relativo alla salute. I regolatori esaminano la finalità e l'inferenza, non solo il campo grezzo.
Posso usare gli interessi legittimi per i dati sanitari?
No. Gli interessi legittimi sono una base ai sensi dell'articolo 6; i dati sanitari richiedono inoltre un'eccezione ai sensi dell'articolo 9(2), e nessuna di esse è gli interessi legittimi. L'analisi dei dati sanitari richiede il consenso o l'anonimizzazione.
Una clinica ha bisogno del consenso del paziente per conservare i registri?
Non ai sensi del GDPR: tratta ai sensi dell'articolo 9(2)(h) e della legge sanitaria nazionale. Il consenso diventa rilevante quando i dati vengono utilizzati per qualcos'altro (condivisione con un'app, ricerca, marketing) o quando la legge nazionale lo richiede.
Per quanto tempo possono essere conservati i dati sanitari?
Il GDPR afferma non più del necessario; le leggi nazionali sui fascicoli sanitari stabiliscono periodi di conservazione concreti per i fascicoli clinici (spesso da 10 a 30 anni). Un fascicolo personale controllato dalla persona viene conservato finché essa lo desidera e viene eliminato su richiesta.
Provalo gratis nella sandbox
La tua prima chiamata FHIR in 5 minuti. Un'API HL7 FHIR R4 con il consenso del paziente integrato: provala nella sandbox, poi collega la tua app o il sistema della tua clinica.
Gratis · 30 pazienti sintetici · senza carta
Anpheros sviluppa una cartella clinica che il paziente controlla e può condividere con qualsiasi studio medico, su una piattaforma HL7 FHIR R4, con sede in UE. Queste guide ti aiutano a comprendere e organizzare la tua salute; non sostituiscono il tuo medico.
Chi siamo →