Risposta breve: una valutazione d'impatto sulla protezione dei dati (DPIA) è il documento in cui descrivi un'operazione di trattamento, dimostri che è necessaria e proporzionata, valuti i rischi per le persone i cui dati vengono utilizzati e registri le misure che riducono tali rischi. L'articolo 35 del GDPR la rende obbligatoria laddove il trattamento sia suscettibile di produrre un rischio elevato, e cita il trattamento su larga scala di categorie particolari, che include i dati sanitari, come caso. In pratica, ogni app sanitaria con più di pochi utenti e ogni piattaforma di dati sanitari ne necessita una, prima che inizi il trattamento, da rivedere quando il trattamento cambia. Il modello sottostante segue l'articolo 35(7) e le linee guida europee; scaricalo alla fine.
Quando è richiesta
Una valutazione d'impatto sulla protezione dei dati (DPIA) è richiesta ai sensi dell'articolo 35 del GDPR ogni volta che il trattamento è suscettibile di generare un rischio elevato. Il trattamento su larga scala di categorie speciali di dati, come i dati sanitari, è indicato come un fattore scatenante automatico. Secondo i criteri dell'EDPB, un'app sanitaria soddisfa solitamente diversi requisiti (dati sensibili, larga scala, persone vulnerabili), quindi quasi ogni app sanitaria ne necessita una prima che inizi il trattamento.
L'articolo 35(3) elenca tre inneschi automatici: profilazione sistematica ed estesa con effetti significativi; trattamento su larga scala di categorie particolari (articolo 9) o dati penali; monitoraggio sistematico su larga scala di aree pubbliche. I criteri del Comitato europeo per la protezione dei dati (dall'ex Gruppo di lavoro dell'articolo 29) ne aggiungono altri sei; se si applicano due o più criteri, effettua una DPIA: valutazione o punteggio; decisioni automatizzate con effetto legale o simile; monitoraggio sistematico; dati sensibili; larga scala; corrispondenza o combinazione di set di dati; dati su persone vulnerabili (i pazienti contano); uso innovativo della tecnologia; impedire alle persone di esercitare un diritto o di utilizzare un servizio. Un'app sanitaria tipicamente tocca dati sensibili, larga scala, persone vulnerabili e spesso tecnologia innovativa. Le autorità nazionali pubblicano anche elenchi di trattamenti che richiedono sempre una DPIA (articolo 35(4)); la maggior parte include app sanitarie e dispositivi connessi.
La checklist
Una checklist per la DPIA di un'app sanitaria segue i quattro elementi dell'articolo 35, paragrafo 7 del GDPR: una descrizione del trattamento (finalità, dati, attori, tecnologia), una valutazione di necessità e proporzionalità (base giuridica, minimizzazione, diritti, responsabili del trattamento, conservazione), una valutazione dei rischi per le persone i cui dati vengono utilizzati e le misure che affrontano tali rischi, seguite da consultazione, approvazione e revisione periodica.
1. Descrivere il trattamento (Art. 35(7)(a))
- Finalità, una per una: archiviazione delle cartelle della persona; condivisione con una clinica; promemoria; statistiche anonimizzate; funzionalità AI.
- Categorie di dati per finalità, con i dati sanitari contrassegnati; fonti (la persona, cliniche, dispositivi indossabili, documenti); destinatari; conservazione per categoria; trasferimenti al di fuori dell'UE e il loro meccanismo.
- Attori: titolare(i), responsabili del trattamento (hosting, analisi, strumenti di supporto, fornitori di AI) con i loro contratti; il DPO.
- Tecnologia: architettura, dove risiedono i dati, crittografia, identità, logging. Un diagramma di flusso dei dati è il modo più rapido per trovare ciò che hai dimenticato.
2. Necessità e proporzionalità (Art. 35(7)(b))
- Base giuridica ai sensi dell'articolo 6 e dell'eccezione dell'articolo 9(2), per finalità (Articolo 9 del GDPR spiegato).
- Minimizzazione dei dati: per ogni elemento di dato, perché è necessario; cosa hai deciso di non raccogliere.
- Informazioni alle persone (articoli 13-14) e come i diritti (accesso, rettifica, cancellazione, portabilità, opposizione, revoca del consenso) vengono esercitati nel prodotto, non via email al supporto.
- Responsabili del trattamento: contratti ai sensi dell'articolo 28 in essere; sub-responsabili elencati; diritti di audit.
- Conservazione e cancellazione: periodi concreti e il meccanismo che li applica.
3. Rischi per le persone (Art. 35(7)(c)) Valuta probabilità e gravità per ciascuno dei tre eventi classici, per ciascuna finalità:
- Accesso illecito (violazione, interno, condivisione eccessiva, una clinica che vede più di quanto approvato);
- Modifica indesiderata (dati errati in una cartella su cui un medico fa affidamento, errori di sincronizzazione, una funzionalità AI che scrive nella cartella);
- Scomparsa (perdita di una cartella da cui la persona dipende; furto di account; un fornitore che chiude). Quindi quelli specifici per la salute: re-identificazione di statistiche "anonime"; inferenza di condizioni dal comportamento; discriminazione se i dati raggiungono assicuratori o datori di lavoro; danni dai dati dei bambini; dati di localizzazione intorno alle cliniche; SDK di terze parti nell'app che inviano dati a reti pubblicitarie (il riscontro più comune nelle audit normative delle app sanitarie).
4. Misure (Art. 35(7)(d)) Per ogni rischio, il controllo e il rischio residuo: crittografia a riposo e in transito; autenticazione forte; accesso limitato per consenso e tempo, con log che la persona può leggere; pseudonimizzazione nelle analisi e nei log; nessuna SDK pubblicitaria o di tracciamento di terze parti; ambienti separati e dati sintetici per lo sviluppo; backup con ripristino testato; revisione dei fornitori; risposta agli incidenti con l'orologio delle 72 ore; pratiche di sviluppo sicure; formazione del personale e riservatezza; esportazione e cancellazione dei dati nel prodotto; un interruttore di emergenza per le integrazioni.
5. Consultazione
- Il parere del DPO è registrato (Art. 35(2)); i pareri delle persone o dei loro rappresentanti sono richiesti ove opportuno (Art. 35(9)), ad esempio tramite un panel di utenti o un'associazione di pazienti.
- Se rimane un rischio residuo elevato, consultare l'autorità di controllo prima del trattamento (Art. 36). La maggior parte delle app sanitarie ben controllate non raggiunge questo punto; le piattaforme che trattano per molte cliniche a volte lo fanno.
6. Approvazione e revisione
- Approvato dalla direzione del titolare; datato; versionato.
- Revisionato quando cambiano finalità, dati, tecnologia o destinatari, e almeno ogni uno o due anni (Art. 35(11)).
Riscontri tipici nelle DPIA di app sanitarie
I riscontri più comuni nelle DPIA di app sanitarie riguardano SDK di analisi e segnalazione di crash che ricevono identificatori insieme al contesto sanitario, notifiche push che rivelano condizioni sulla schermata di blocco, personale di supporto con accesso illimitato al database, backup al di fuori dell'UE, dati conservati dopo la chiusura di un account, schermate di consenso che raggruppano finalità e set di dati "anonimizzati" che identificano ancora le persone.
Ognuno di questi presenta una soluzione concreta, e la DPIA è il luogo in cui la soluzione viene formalizzata.
Il modello
Il modello di DPIA presente in questa pagina è un documento in formato Markdown compilabile per un'app sanitaria, strutturato in sei sezioni (descrizione del trattamento, necessità e proporzionalità, rischi per le persone, misure, consultazione, approvazione e revisione) con una tabella dei rischi e una tabella delle misure. Segue l'articolo 35, paragrafo 7 del GDPR e i criteri dell'EDPB, ed è una struttura di partenza, non una consulenza legale.
Scarica il modello di DPIA. Può essere importato in qualsiasi strumento di elaborazione documenti; il tuo DPO lo adatterà.
In Anpheros
Anpheros mantiene una DPIA per Anpheros Daily e una per Anpheros Platform come responsabile del trattamento, con la struttura sopra, e le scelte che ne sono derivate sono visibili nel prodotto: consenso per finalità, accesso limitato e registrato, nessuna SDK pubblicitaria, hosting UE, esportazione e cancellazione nell'app. Vedi Trasparenza sanitaria.
Questa pagina spiega la normativa per i team di prodotto e ingegneria. Non è consulenza legale; i testi collegati sotto Fonti sono l'autorità, e il tuo responsabile della protezione dei dati, organismo notificato o consulente decide per il tuo caso. Ultima revisione: Ottobre 2026.
Pagine correlate
- Articolo 9 del GDPR per i dati sanitari
- De-identificazione dei dati sanitari
- Chi ha visualizzato la mia cartella clinica?
- Un'app sanitaria è un dispositivo medico?
- ISO 27001 vs ISO 27799
- Mappa della normativa sui dati sanitari
Fonti
- Articoli 35 e 36 del GDPR, EUR-Lex
- Gruppo di lavoro dell'articolo 29 / EDPB: Linee guida sulle DPIA (WP248 rev.01)
- CNIL: Metodologia e software PIA
- [ICO: Valutazioni d'impatto sulla protezione dei dati](https://ico.org.uk/for-organisations/uk- GDPR-guidance-and-resources/accountability-and-governance/data-protection-impact-assessments-dpias/)
- EDPB: linee guida, raccomandazioni e best practice
Domande frequenti
Ho bisogno di una DPIA per una piccola app con pochi utenti?
Se elabora dati sanitari, quasi sempre sì: dati sensibili più persone vulnerabili soddisfano già il test dei due criteri, e diversi elenchi nazionali citano esplicitamente le app sanitarie. La DPIA di una piccola app è semplicemente più breve.
Chi scrive la DPIA?
Il titolare è responsabile; in pratica, il product owner e il responsabile dell'ingegneria la scrivono con il parere del DPO, perché conoscono i flussi di dati. Esternalizzarla completamente produce un documento che nessuno può mantenere aggiornato.
La DPIA deve essere pubblicata?
No. È un documento di accountability interno mostrato all'autorità di controllo su richiesta. Molte organizzazioni pubblicano un riassunto; l'EHDS e alcune normative nazionali richiedono trasparenza su determinati trattamenti.
In che modo una DPIA è diversa da una valutazione dei rischi ai sensi della ISO 27001?
La valutazione ISO esamina i rischi per l'organizzazione; la DPIA esamina i rischi per le persone i cui dati vengono elaborati. Condividono controlli e prove, e un buon programma di sicurezza alimenta la sezione misure della DPIA.
Provalo gratis nella sandbox
La tua prima chiamata FHIR in 5 minuti. Un'API HL7 FHIR R4 con il consenso del paziente integrato: provala nella sandbox, poi collega la tua app o il sistema della tua clinica.
Gratis · 30 pazienti sintetici · senza carta
Anpheros sviluppa una cartella clinica che il paziente controlla e può condividere con qualsiasi studio medico, su una piattaforma HL7 FHIR R4, con sede in UE. Queste guide ti aiutano a comprendere e organizzare la tua salute; non sostituiscono il tuo medico.
Chi siamo →