I tuoi dati sanitari nell'Unione Europea: GDPR, EHDS e i diritti che hai davvero

Le tue analisi sono al laboratorio. La lettera di dimissione, in ospedale. Le ricette, in farmacia e nel sistema nazionale. Sono tutte «tue» in senso morale, ma per anni la legge non diceva chiaramente che potessi chiederle per via elettronica, riceverle subito, in un formato utilizzabile, e portarle dove vuoi. Dal 2025, lo dice.

Questa guida spiega, in modo comprensibile a tutti, le due leggi che governano i tuoi dati sanitari nell'Unione Europea: il GDPR, in vigore dal 2018, e l'EHDS, il regolamento sullo Spazio europeo dei dati sanitari, in vigore da marzo 2025 e applicato a tappe fino al 2031. Non è un testo giuridico; è una mappa dei diritti che hai e del momento in cui diventano concreti.

GDPR: i dati sanitari sono una «categoria particolare»

Il Regolamento generale sulla protezione dei dati (GDPR) tratta i dati sulla salute separatamente dal resto: sono una categoria particolare, descritta all'articolo 9, insieme ai dati genetici e biometrici. Il loro trattamento è, in linea di principio, vietato, con eccezioni precise: il tuo consenso esplicito, l'assistenza sanitaria, l'interesse pubblico nella sanità, la ricerca con garanzie.

Cosa significa per te, concretamente:

• Qualsiasi app, laboratorio o clinica che tratta i tuoi dati sanitari deve avere una base giuridica chiara e dirti, in linguaggio semplice, cosa ne fa.
• Hai i diritti generali del GDPR anche per i dati sanitari: accesso (vedere cosa hanno su di te), rettifica, cancellazione (con limiti, perché le cartelle cliniche hanno termini legali di conservazione), portabilità (ricevere i dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico) e il diritto di opporti a certi trattamenti.
• Il termine di risposta a una richiesta di accesso è di un mese, prorogabile di due mesi nei casi complessi. L'accesso è gratuito.
• L'hosting conta. I dati possono essere trasferiti fuori dall'UE solo con garanzie (decisioni di adeguatezza, clausole standard). Un'app che tiene i tuoi dati nell'UE elimina la questione.

Il GDPR ha dato i diritti. Ciò che non ha dato sono il formato e l'infrastruttura: potevi chiedere l'accesso, ma ricevevi un PDF o una pila di carte, dopo mesi, e l'ospedale non era obbligato a poterli inviare a un altro ospedale. Esattamente il vuoto che l'EHDS colma.

EHDS: cos'è e perché conta

Il Regolamento (UE) 2025/327 sullo Spazio europeo dei dati sanitari è stato pubblicato a marzo 2025 ed è entrato in vigore il 26 marzo 2025. È il primo atto europeo che dice, per tutti i 27 Stati membri, come devono circolare i dati sanitari: tra te e i tuoi medici («uso primario») e, con regole rigorose, verso la ricerca e le politiche pubbliche («uso secondario»).

Tre idee centrali:

1. Hai accesso elettronico, immediato e gratuito ai tuoi dati sanitari, tramite un servizio nazionale di accesso, e puoi scaricarli, integrarli, limitarli e vedere chi li ha letti.
2. I dati circolano in un formato comune (il formato europeo di scambio della cartella clinica elettronica, EEHRxF), basato su standard come HL7 FHIR, così che un ospedale in Spagna possa leggere il tuo riassunto dalla Romania.
3. I sistemi di cartella clinica elettronica devono rispettare requisiti comuni di interoperabilità e di registrazione degli accessi, con dichiarazione di conformità, una sorta di marcatura CE per il software sanitario.

I tuoi diritti con l'EHDS, uno per uno

Gli articoli del capo II del regolamento ti danno, concretamente:

Accesso. Il diritto di accedere ai tuoi dati sanitari elettronici immediatamente, gratuitamente e in forma facilmente leggibile, tramite il servizio di accesso del tuo Paese. «Immediatamente» significa senza la richiesta scritta e l'attesa di un mese del GDPR, con un'eccezione: il medico può rinviare l'accesso a certi risultati (per esempio una diagnosi grave) finché non te lo comunica di persona.

Scaricamento. Il diritto di ricevere una copia elettronica nel formato europeo di scambio, almeno per le categorie prioritarie, e di trasmetterla a un prestatore di assistenza sanitaria a tua scelta, in qualsiasi Stato membro.

Inserimento. Il diritto di aggiungere informazioni alla tua cartella elettronica (per esempio misurazioni di casa), chiaramente contrassegnate come inserite da te, perché il medico le distingua dai dati clinici.

Rettifica. Il diritto di chiedere la correzione di dati errati, online, tramite il servizio di accesso.

Limitazione. Il diritto di limitare l'accesso dei professionisti a certi dati o all'intera cartella; chi limita è informato che, in emergenza, la mancanza di informazioni può incidere sulle cure.

Informazione sugli accessi. Il diritto di vedere chi ha acceduto ai tuoi dati, quando e da quale struttura: il registro degli accessi diventa obbligatorio e visibile al paziente.

Delega. Il diritto di designare un'altra persona (un genitore, un figlio adulto, un tutore) perché acceda ai tuoi dati per tuo conto.

Opposizione all'uso secondario. Il diritto di opporti a che i tuoi dati (pseudonimizzati o anonimizzati) siano usati per ricerca, statistica o politiche pubbliche, alle condizioni stabilite da ciascuno Stato. Non è un diritto assoluto, ma esiste, e gli Stati devono attuarlo.

Le categorie prioritarie: cosa circola per primo

L'EHDS non chiede che tutto sia disponibile dal primo giorno. Definisce categorie prioritarie di dati sanitari elettronici che devono esistere nel formato europeo di scambio ed essere accessibili e trasmissibili:

1. Il profilo sanitario sintetico (allergie, farmaci, patologie, vaccinazioni; in pratica, l'International Patient Summary o il suo equivalente europeo).
2. Le prescrizioni elettroniche e le dispensazioni elettroniche.
3. La diagnostica per immagini e i relativi referti.
4. I risultati di laboratorio.
5. Le lettere di dimissione.

A livello europeo, l'infrastruttura MyHealth@EU (ex eHDSI) collega già i punti di contatto nazionali e consente, tra i Paesi connessi, lo scambio di profili sanitari sintetici e ricette elettroniche. L'EHDS la rende obbligatoria e la estende alle altre categorie.

Quando si applica davvero

Qui la maggior parte degli articoli di stampa sbaglia. Il regolamento è entrato in vigore nel 2025, ma si applica a tappe:

• 26 marzo 2027: applicazione generale del regolamento; gli Stati devono avere le autorità di sanità digitale e gli organismi di accesso ai dati, e le regole di base diventano operative.
• 26 marzo 2029: i diritti dei pazienti e gli obblighi dei prestatori per il profilo sanitario sintetico e le prescrizioni elettroniche (le prime due categorie prioritarie), i requisiti per i sistemi di cartella clinica elettronica e la prima fase dell'uso secondario.
• 26 marzo 2031: gli stessi obblighi per immagini, risultati di laboratorio e lettere di dimissione, più il resto dell'uso secondario.
• Per gli Stati che ne hanno bisogno, certi termini possono essere prorogati, con notifica alla Commissione.

Cosa significa per te: i diritti del GDPR li hai già, ora. I diritti dell'EHDS diventano esigibili gradualmente, a partire dal profilo sintetico e dalle ricette nel 2029. Fino ad allora, molti Stati e prestatori li attuano volontariamente o tramite legislazione nazionale, e le app serie costruiscono già sul formato europeo.

Cosa significa per le app che usi

L'EHDS regola, principalmente, i sistemi usati dai prestatori di assistenza sanitaria e i servizi nazionali di accesso. Le app di benessere (fitness, sonno, nutrizione) hanno un regime volontario: il produttore può dichiarare che l'app è interoperabile con un sistema di cartella clinica elettronica e registrarla in una banca dati europea; non è un obbligo. Le app che tengono la tua cartella clinica personale stanno tra i due mondi: non sono prestatori sanitari, ma il loro valore cresce direttamente quanto più rispettano il formato europeo.

Le domande che vale la pena fare a un'app, nello spirito dell'EHDS:

• Tiene i miei dati in formato standard (FHIR, con codici) e li esporta per intero, così da poterli portare a un prestatore o al servizio nazionale di accesso?
• Mi mostra chi ha acceduto a cosa nella mia cartella?
• Mi permette di concedere e revocare l'accesso per categorie e per periodi?
• Contrassegna chiaramente ciò che ho inserito io rispetto a ciò che viene da un medico o da un laboratorio (provenienza)?
• Ospita i miei dati nell'UE?

Se le risposte sono «sì», l'app è già dove la legge europea vuole che arrivi l'intero sistema.

Come usare i tuoi diritti, oggi

Non devi aspettare il 2029 per cominciare.

1. Chiedi l'accesso, in base al GDPR, a qualsiasi prestatore che abbia dati su di te: ospedale, laboratorio, clinica privata. Per iscritto, citando l'articolo 15 del GDPR; hanno un mese per rispondere. Chiedi il formato elettronico e, se possono, strutturato.
2. Usa il portale nazionale, dove esiste. In Italia, il Fascicolo Sanitario Elettronico offre già referti, ricette e il profilo sanitario sintetico; verifica cosa puoi scaricare.
3. Metti ciò che ricevi nella tua cartella personale, codificato, perché sia esportabile e confrontabile. La guida sulle analisi spiega perché i codici contano.
4. Chiedi il registro degli accessi dove esiste già (alcuni sistemi nazionali lo offrono) e abituati a leggerlo.
5. Scrivi all'indirizzo privacy@ di qualsiasi servizio quando qualcosa non è chiaro. I servizi seri hanno un indirizzo dedicato e rispondono.

Come aiuta Anpheros

Anpheros è costruito sui principi dell'EHDS prima che diventino obbligatori: la tua cartella è archiviata come risorse HL7 FHIR R4 con codici standard, nell'Unione Europea; puoi esportarla per intero in qualsiasi momento, anche come riassunto IPS; ogni accesso di una clinica, di un'app o di un assistente AI richiede il tuo consenso, per un periodo limitato, revocabile, e resta nel registro che puoi vedere; ogni dato ha la provenienza contrassegnata (inserito da te, scansionato da un documento, arrivato da un dispositivo o da un prestatore). Le richieste sui tuoi dati, compresa la cancellazione dell'account, si gestiscono a privacy@anpheros.com, nei termini del GDPR.

Domande frequenti

L'EHDS significa che chiunque può vedere i miei dati in tutta Europa?

No. L'EHDS regola l'accesso dei professionisti sanitari che ti curano, con registrazione e con il tuo diritto di limitare, e l'uso secondario con dati pseudonimizzati, su autorizzazione di un organismo di accesso e con diritto di opposizione. Non crea una banca dati europea centrale con le cartelle di tutti.

Posso chiedere oggi i miei dati in formato FHIR?

In base al GDPR puoi chiedere la portabilità in «formato strutturato, di uso comune e leggibile da dispositivo automatico»; il prestatore decide il formato esatto e non è obbligato a offrire FHIR. In base all'EHDS, dal 2029 per profilo sintetico e ricette, il formato europeo di scambio diventa obbligatorio. Fino ad allora, chiedi: molti sistemi possono già.

I miei dati in un'app di cartella personale rientrano nell'EHDS?

L'app in sé non è un prestatore sanitario, quindi gli obblighi dell'EHDS per i prestatori non le si applicano direttamente; le si applica integralmente il GDPR. L'EHDS conta per lei indirettamente: quanto più usa il formato europeo, tanto più facilmente i tuoi dati possono arrivare ai sistemi regolamentati.

Posso rifiutare che i miei dati siano usati per la ricerca?

Sì, l'EHDS prevede il diritto di opposizione all'uso secondario, attuato da ciascuno Stato (il meccanismo concreto varia). I dati usati per la ricerca sono pseudonimizzati o anonimizzati e accessibili solo in ambienti sicuri, non scaricati liberamente.

Cosa faccio se un ospedale rifiuta di darmi i miei dati?

Invia la richiesta per iscritto, citando l'articolo 15 del GDPR, e conserva la prova. Se non ricevi risposta entro un mese (o tre, con giustificazione), hai diritto a un reclamo al Garante per la protezione dei dati personali. Dal 2029, per le categorie prioritarie, avrai anche la via del servizio nazionale di accesso.