Consenso privacy e dati pazienti: la guida per studi medici

Nello studio medico il trattamento dati personali del paziente si regge su due consensi diversi, che vanno tenuti separati. Per la cura (diagnosi, terapia, cartella clinica) non serve il consenso privacy al trattamento: la base giuridica è l'art. 9(2)(h) del GDPR, riservata ai professionisti tenuti al segreto. Per marketing, newsletter, testimonianze o foto cliniche serve invece un consenso esplicito ex art. 9(2)(a), che deve essere libero, specifico, separato dalla prestazione e revocabile in ogni momento. Confondere queste due basi — o far firmare un unico modulo "tuttofare" all'ingresso — è l'errore più diffuso e più contestato dal Garante negli studi sanitari italiani.

Questa guida spiega come strutturare il flusso consenso-dati in uno studio medico o odontoiatrico, distinguendo correttamente le basi giuridiche per la cura e per il marketing, e rispettando insieme GDPR e Codice di Deontologia Medica.

---

Perché i dati sanitari hanno una protezione rafforzata (art. 9 GDPR)

Il GDPR separa i dati "ordinari" (nome, recapiti, email) dai dati delle categorie particolari, tra cui rientrano esplicitamente i dati relativi alla salute (art. 4, n. 15 e art. 9). Per queste informazioni la regola è il divieto di trattamento: diventa lecito solo se ricorre una delle eccezioni tassative dell'art. 9, paragrafo 2 del Regolamento UE 2016/679.

Per uno studio sanitario le eccezioni che contano sono due:

• Art. 9(2)(h) — trattamento necessario per medicina preventiva, diagnosi, assistenza o terapia, eseguito da un professionista soggetto al segreto professionale. È la base che copre l'attività clinica vera e propria.
• Art. 9(2)(a) — consenso esplicito dell'interessato per finalità ulteriori, non strettamente terapeutiche.

La distinzione non è formale: ogni finalità di trattamento dati personali deve poggiare su una sola base giuridica corretta, e le due non sono interscambiabili a piacere.

---

Cura o marketing: due basi giuridiche da non confondere

Il punto che genera più errori è questo: per la cura non serve il consenso privacy al trattamento dei dati. La cartella clinica, la diagnosi, il referto, la prescrizione sono coperti dall'art. 9(2)(h). Chiedere al paziente di "firmare la privacy per essere curato" è giuridicamente scorretto, perché lascia intendere che senza quel consenso la prestazione non possa avvenire.

Attenzione però: la cura richiede comunque il consenso informato al trattamento sanitario, atto distinto disciplinato dalla Legge 219/2017. Riguarda l'autorizzazione all'atto medico sul corpo del paziente, non il trattamento dei dati.

Due consensi, due funzioni. Il consenso informato (L. 219/2017) autorizza l'atto sanitario; il consenso privacy GDPR autorizza un trattamento dati ulteriore rispetto alla cura. Per curare serve il primo, non il secondo. Per il marketing serve il consenso privacy esplicito. Tenerli separati nei moduli è la prima regola di conformità.

Le finalità che invece richiedono il consenso privacy esplicito (art. 9(2)(a), combinato con gli art. 6 e 7) sono tutte quelle non terapeutiche:

• newsletter e comunicazioni informative non legate a una prestazione in corso;
• marketing, promemoria promozionali, campagne di richiamo periodico;
• raccolta di testimonianze e recensioni che rivelino lo stato di salute;
• pubblicazione di foto cliniche (es. casi pre/post) su sito o social;
• cessione dei dati a terzi che non agiscono come responsabili del trattamento.

Per la gestione operativa dei consensi su newsletter, email e SMS — il terreno più scivoloso — abbiamo una guida dedicata: consenso al marketing via email e SMS.

---

Cosa rende valido il consenso privacy (art. 7 GDPR)

Quando il consenso privacy serve davvero (cioè per le finalità ulteriori), deve rispettare i requisiti dell'art. 7 GDPR. Un consenso è valido solo se è:

• libero — non condizionato all'erogazione della prestazione sanitaria. Non si può negare la cura a chi rifiuta la newsletter;
• specifico — un consenso distinto per ciascuna finalità, non un blocco unico "accetto tutto";
• informato — preceduto dall'informativa ex art. 13;
• inequivocabile — manifestato con un'azione positiva. Le caselle pre-spuntate non valgono;
• documentato — il titolare deve poter dimostrare che il consenso è stato prestato;
• revocabile — la revoca deve essere facile come la concessione e non pregiudica la liceità del trattamento già avvenuto.

Niente moduli "tuttofare". Un unico foglio che mescola consenso informato, presa visione dell'informativa e consenso al marketing è quasi sempre invalido per la parte marketing, perché viola i requisiti di libertà e specificità dell'art. 7. Separare i moduli protegge lo studio.

---

L'informativa: cosa deve contenere (art. 13 GDPR)

L'informativa va fornita prima della raccolta dei dati, in forma concisa, trasparente e comprensibile (art. 13). Per uno studio medico o odontoiatrico gli elementi obbligatori sono:

Questa pagina ha finalità divulgativa e non costituisce parere legale. Il medico e l'odontoiatra sono tenuti al segreto professionale e al rispetto del Codice di Deontologia Medica oltre che del GDPR: per redigere o revisionare informativa, moduli di consenso e Registro dei trattamenti rivolgiti a un DPO o a un legale specializzato e verifica le indicazioni del tuo Ordine (OMCeO).

---

Il flusso corretto di raccolta del consenso in studio

Un flusso ordinato riduce le contestazioni e semplifica il lavoro quotidiano. In uno studio medio (2-5 professionisti) dovrebbe articolarsi così.

Al primo accesso del paziente

1. Consegna dell'informativa (cartacea o digitale), prima di qualsiasi raccolta dati.
2. Presa visione dell'informativa — non è un consenso, è la prova che il documento è stato ricevuto.
3. Consenso informato sanitario ex L. 219/2017, per ogni trattamento terapeutico.
4. Consensi privacy per finalità opzionali — separati, in opt-in puro, mai precompilati.

Nei contatti successivi

• Ogni nuova finalità richiede un nuovo consenso specifico.
• Il consenso al marketing può essere revocato in qualsiasi momento, senza penalità.
• La revoca non incide sui trattamenti già effettuati legittimamente.

Nella gestione documentale

• I moduli firmati vanno archiviati in modo sicuro, con accesso tracciato.
• Il gestionale dovrebbe registrare data, versione del modulo e identità del paziente.
• Il Registro dei trattamenti (art. 30) è fortemente raccomandato anche per i piccoli studi, vista la natura sanitaria dei dati.

Se lo studio usa un gestionale in cloud, verifica che il fornitore abbia firmato un accordo sul trattamento (DPA) conforme all'art. 28 GDPR. Senza quel documento, il passaggio dei dati al software è privo di base giuridica.

---

Mini case study: lo studio dentistico che separa i consensi

Uno studio odontoiatrico associato con tre poltrone raccoglieva, all'ingresso, un unico modulo che metteva insieme presa visione dell'informativa, consenso informato e una clausola con cui il paziente "autorizzava lo studio a inviare comunicazioni promozionali e a pubblicare immagini del trattamento". La casella era pre-spuntata e la firma era unica.

Questo assetto presenta due criticità precise. Primo: il consenso al marketing e alla pubblicazione di foto cliniche è condizionato di fatto alla firma necessaria per la cura, quindi non è libero (art. 7). Secondo: la casella pre-spuntata non è un'azione positiva inequivocabile, quindi quel consenso è invalido in partenza.

La correzione è strutturale, non cosmetica: l'informativa resta unica, ma i consensi diventano tre moduli distinti — presa visione, consenso informato sanitario, consensi privacy opzionali (uno per il marketing, uno separato per la pubblicazione di immagini, con indicazione del canale e della durata). Le foto del cavo orale, che rivelano dati sulla salute, vengono pubblicate solo con consenso esplicito e specifico. Con questa separazione lo studio può dimostrare, per ciascuna finalità, su quale base giuridica tratta i dati: è la sostanza del principio di accountability dell'art. 5.

Per chi vuole anche farsi trovare correttamente online, le stesse logiche di trasparenza valgono sul profilo pubblico: vedi come impostare una scheda conforme nella guida su Google Business Profile per dentisti.

---

Sicurezza del trattamento e canali idonei (art. 32 GDPR)

L'art. 32 GDPR impone misure tecniche e organizzative adeguate al rischio. Per i dati sanitari, ad alto rischio per natura, i punti più critici nelle verifiche sono:

• Form online senza cifratura — qualsiasi raccolta dati deve transitare su connessione cifrata (HTTPS). Raccogliere dati sanitari su pagine non cifrate è una violazione immediata.
• Email ordinaria per referti e cartelle — non è un canale idoneo per dati sanitari. Vanno usati portali protetti o soluzioni con cifratura adeguata.
• App di messaggistica consumer per comunicazioni cliniche — strumenti come le chat ordinarie non offrono garanzie adeguate per le categorie particolari di dati.
• Software di prenotazione e gestionali — vanno valutati su localizzazione dei server, disponibilità del DPA e garanzie offerte. Non ogni servizio consumer è idoneo ai dati sanitari.
• Videosorveglianza in sala d'attesa — si applicano le prescrizioni del Garante su informativa, tempi di conservazione contenuti e accesso limitato.

In caso di violazione dei dati (data breach) con rischio per i diritti degli interessati, il titolare notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore (art. 33), informando gli interessati se il rischio è elevato (art. 34). Un registro interno degli incidenti è essenziale per dimostrare accountability.

---

Obblighi deontologici: il Codice FNOMCeO e il segreto professionale

Oltre al GDPR, il medico risponde al Codice di Deontologia Medica della FNOMCeO, che fa del segreto professionale e della riservatezza doveri fondamentali. Il segreto copre tutto ciò che il professionista apprende in ragione della sua attività, e si interseca con la base giuridica dell'art. 9(2)(h), riservata proprio ai professionisti tenuti al segreto.

Per gli odontoiatri valgono gli stessi principi, con specifiche sul trattamento delle immagini del cavo orale e sulla documentazione fotografica pre/post. Un punto spesso trascurato: usare foto cliniche per marketing sui social richiede un consenso esplicito separato, che indichi il canale di pubblicazione, l'eventuale anonimizzazione e la durata. Pubblicarle senza è una doppia violazione, GDPR e deontologica.

Il segreto professionale del medico e dell'odontoiatra ha rilievo anche penale e disciplinare, autonomo rispetto al GDPR. Per i casi concreti il riferimento resta il Codice di Deontologia Medica e il proprio Ordine provinciale dei Medici Chirurghi e degli Odontoiatri. Questa guida non sostituisce la consulenza di un legale o di un DPO.

---

Checklist operativa: audit rapido per il tuo studio

Prima di investire in nuovi strumenti, verifica questi punti:

• L'informativa è aggiornata e rispecchia le finalità reali del trattamento.
• I consensi sono moduli distinti: presa visione, consenso informato sanitario, consensi privacy opzionali.
• Nessun consenso al marketing è precompilato o condizionato alla prestazione.
• Il gestionale clinico ha un DPA firmato conforme all'art. 28.
• I collaboratori hanno ricevuto formazione documentata sul trattamento dei dati.
• Le comunicazioni con i pazienti avvengono su canali idonei (no chat consumer per referti).
• È presente un Registro dei trattamenti, anche in forma semplificata.
• Esiste una procedura scritta per i data breach.
• Le foto cliniche hanno consenso esplicito con indicazione dell'uso e della durata.
• I tempi di conservazione sono definiti per ciascuna finalità e rispettati.

---

In sintesi

La gestione del consenso privacy e del trattamento dati personali nello studio sanitario non è un adempimento da risolvere con un modulo scaricato da internet. È un sistema fatto di basi giuridiche corrette, moduli separati, canali sicuri e personale formato, che protegge prima il paziente e poi lo studio da responsabilità civili, penali e disciplinari. Il punto di partenza, quasi sempre, è un audit onesto: distinguere ciò che si fonda sulla cura (art. 9(2)(h)) da ciò che richiede consenso esplicito (art. 9(2)(a)) e mettere ordine nei moduli.

Quando vuoi allineare anche la presenza digitale dello studio — sito, landing e form di contatto — agli stessi requisiti di trasparenza e sicurezza, partiamo da una valutazione del tuo sito web.