GDPR e Studio Medico: Checklist degli Adempimenti [2026]

Il GDPR per lo studio medico impone otto adempimenti di base. Sono informativa, registro dei trattamenti, istruzioni a chi accede ai dati, sicurezza, contratti con i fornitori, diritti dei pazienti, violazioni e conservazione. Per curare il paziente non serve il consenso. Il DPO, per il singolo professionista, nemmeno.

Molti studi sanno di dover "essere in regola" ma non sanno cosa mostrare a un controllo. Questa guida mette in fila gli adempimenti con l'articolo di legge e rimanda alle guide dedicate per i temi più tecnici.

Ultimo aggiornamento: ottobre 2026

In breve:

• Per le finalità di cura il consenso non serve, ma l'informativa va sempre data (Garante, 7 marzo 2019).
• Il registro dei trattamenti è dovuto anche dal singolo professionista che tratta dati sanitari.
• Il DPO non è richiesto al singolo professionista in libera professione.
• Una violazione dei dati va notificata entro 72 ore se il rischio è probabile e annotata comunque.
• Ambulatorio Facile aiuta con accessi per ruolo, tracciamento e backup cifrati. Informativa e registro restano del titolare.

Le norme che contano per lo studio medico

Tre fonti reggono la privacy dello studio. Il Regolamento UE 2016/679 (GDPR) vale dal 25 maggio 2018 e tratta i dati sulla salute come categorie particolari (art. 9).

Il Codice privacy, il D.Lgs. 196/2003, è stato adeguato al GDPR dal D.Lgs. 101/2018. Normattiva lo riporta come vigente. I provvedimenti del Garante completano il quadro: continuano ad applicarsi in quanto compatibili con il GDPR (art. 22, comma 4, D.Lgs. 101/2018).

Per i professionisti sanitari il testo di riferimento è il provvedimento del Garante del 7 marzo 2019, che chiarisce consenso, DPO e registro. Le fonti ufficiali citate in questa guida sono state rilette il 22 ottobre 2026.

Consenso e informativa: cosa serve davvero

Il medico non deve chiedere il consenso per i trattamenti strettamente necessari alla cura. Lo ha chiarito il Garante nel provvedimento del 2019, in base all'art. 9, par. 2, lett. h) del GDPR. La deroga vale solo per ciò che serve alla prestazione. I trattamenti collegati alla cura solo in modo indiretto richiedono un'altra base giuridica.

Il consenso esplicito resta necessario, tra gli altri casi, per:

• finalità promozionali o commerciali, come newsletter e comunicazioni di marketing;
• app mediche con scopi diversi dalla telemedicina;
• la refertazione online, per le modalità di consegna, come richiama il DPCM 8 agosto 2013.

Quello che serve sempre è l'informativa (artt. 12 e 13 GDPR). Dice chi sei, perché tratti i dati, a chi li comunichi, per quanto tempo li conservi e quali diritti ha il paziente. Il Garante chiede di indicare il periodo di conservazione o i criteri per stabilirlo.

Un modello scaricato da internet non basta. L'informativa deve descrivere i trattamenti del tuo studio e va aggiornata quando cambiano, per esempio con un nuovo software o un nuovo servizio.

La checklist degli adempimenti, con il riferimento di legge

Questa tabella è il cuore della guida. Per ogni adempimento trovi l'articolo, il documento che devi saper mostrare e dove approfondire.

Il registro dei trattamenti: un esempio

Il registro è un documento scritto, anche elettronico. Per ogni trattamento riporta finalità e base giuridica, categorie di interessati e di dati e destinatari. Indica anche gli eventuali trasferimenti fuori dall'Unione europea, i termini di cancellazione e le misure di sicurezza.

Il Garante precisa che deve avere la data di creazione e quella dell'ultimo aggiornamento e che va esibito su richiesta. Mette anche a disposizione due modelli semplificati, uno per il titolare e uno per il responsabile.

È un esempio da adattare. Il registro vale solo se descrive i trattamenti che il tuo studio fa davvero.

Persone autorizzate e formazione

Chi lavora sotto la tua autorità e accede ai dati personali può trattarli solo se istruito da te. È il contenuto dell'art. 29 del GDPR.

In pratica servono istruzioni scritte per ogni ruolo: cosa può vedere la segreteria, cosa fa il sostituto, come si usano le credenziali. La norma parla di istruzioni, non di corsi. Un incontro di formazione è il modo più semplice per dimostrare che le istruzioni sono arrivate.

DPO e valutazione d'impatto

Il DPO non serve al singolo professionista sanitario, perché i suoi trattamenti non sono su larga scala. Il Garante lo considera obbligatorio per le aziende sanitarie del SSN e, in linea generale, per ospedali privati e case di cura.

La valutazione d'impatto (art. 35) va fatta prima di iniziare un trattamento che può comportare un rischio elevato. Un esempio è il gran numero di interessati di cui si trattano dati sensibili. Il Garante pubblica un elenco dei trattamenti che la richiedono. Il provvedimento del 2019 non la tratta: per un poliambulatorio chiedi al consulente privacy.

I diritti dei pazienti

Il paziente può chiedere accesso ai dati (art. 15), cancellazione (art. 17), limitazione (art. 18) e portabilità (art. 20). Il Garante ricorda che il termine di risposta è un mese, fino a tre nei casi complessi.

Si risponde entro un mese anche per negare la richiesta, di regola per iscritto e gratuitamente. Nomina una persona che riceve le richieste e tieni traccia di quando arrivano e quando le chiudi.

Gli errori più frequenti negli studi medici

Gli stessi principi valgono per gli altri adempimenti dello studio, dal consenso informato allo smaltimento dei rifiuti sanitari, fino al DVR dello studio medico. Per i promemoria senza dati clinici vedi la guida ai promemoria degli appuntamenti.

Come lo gestisce Ambulatorio Facile

Ambulatorio Facile è un gestionale web che aiuta lo studio a documentare accessi, operazioni e backup. Non sostituisce il lavoro privacy del titolare, ma ne copre la parte tecnica. Le funzioni sono queste:

• profili distinti per responsabili, medici e personale operativo, con ruoli e permessi applicati sia nelle schermate sia nelle operazioni sui dati;
• registrazione dell'operatore, della data e del tipo di attività effettuata;
• backup cifrati e procedure di ripristino, con copie pianificate secondo il servizio concordato;
• consensi del paziente registrati con la relativa documentazione e consultabili dalla cartella;
• accesso da browser, con aggiornamenti centralizzati e dati separati per ogni struttura.

Il limite, detto chiaramente: informativa, registro, nomine delle persone autorizzate e valutazioni d'impatto restano del titolare, con il suo consulente. Il contratto con il fornitore del gestionale è spiegato nella guida al responsabile del trattamento.

Domande frequenti

Il medico deve chiedere il consenso al paziente per trattare i dati sanitari?

No, non per le finalità di cura. Lo ha chiarito il Garante con il provvedimento del 7 marzo 2019. Il professionista soggetto al segreto professionale non chiede il consenso per i trattamenti strettamente necessari alla prestazione. Il consenso serve per finalità diverse, per esempio promozionali o commerciali. L'informativa, invece, va sempre data.

Il D.Lgs. 196/2003 è ancora in vigore con il GDPR?

Sì, in versione modificata. Il Codice privacy è stato adeguato al Regolamento UE 2016/679 dal D.Lgs. 101/2018 e Normattiva lo riporta come vigente. Il GDPR fissa le regole generali e il Codice le integra con disposizioni nazionali. Tra queste ci sono gli artt. 2-sexies e 2-septies, che il Garante richiama per i dati sanitari.

Serve il DPO per lo studio medico?

Per il singolo professionista sanitario in libera professione no: il Garante spiega che i suoi trattamenti non sono su larga scala. Ospedali privati, case di cura e RSA, in linea generale, sì. Per un poliambulatorio con molti professionisti il caso va valutato con un consulente privacy.

Il registro dei trattamenti è obbligatorio anche per il singolo medico?

Sì. Il Garante indica i liberi professionisti sanitari tra i soggetti tenuti. Precisa anche che la deroga dell'art. 30, par. 5, non opera se si trattano dati sulla salute. Il registro può essere cartaceo o elettronico, deve essere in forma scritta e va esibito al Garante su richiesta. Non va inviato al Garante.

Un referto consegnato alla persona sbagliata è una violazione dei dati da notificare al Garante?

Sì, è una violazione dei dati personali anche se l'errore è della segreteria. Va notificata al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne sei venuto a conoscenza (art. 33 GDPR). La notifica non serve se è improbabile un rischio per il paziente. Se il rischio è elevato informa anche il paziente (art. 34). Annota ogni violazione nel registro interno, anche quella che non notifichi.

Con il provvedimento del 26 ottobre 2023 il Garante ha sanzionato con 6.000 euro un'azienda sanitaria locale. Aveva consegnato a pazienti sbagliati dei CD con referti radiologici. Le violazioni erano state notificate, ma sono stati ritenuti violati gli artt. 5, par. 1, lett. f), 9 e 32 GDPR. La procedura completa è nella guida alla sicurezza informatica e al data breach. Le regole ufficiali sono nella pagina del Garante sulle violazioni.

Serve un amministratore di sistema nello studio medico?

Serve se qualcuno gestisce o fa manutenzione ai sistemi informatici dello studio con la possibilità concreta di accedere ai dati personali, anche un tecnico esterno. Non rientra chi interviene solo occasionalmente, per esempio per un guasto. Il provvedimento del Garante del 27 novembre 2008, modificato il 25 giugno 2009, chiede una designazione individuale con gli ambiti consentiti e un elenco aggiornato. Chiede anche una verifica almeno annuale e la registrazione degli accessi logici, conservata per almeno sei mesi. Sono esclusi i trattamenti a fini amministrativo-contabili.

Il testo è nel provvedimento sugli amministratori di sistema. I provvedimenti del Garante restano applicabili in quanto compatibili con il GDPR (art. 22, comma 4, D.Lgs. 101/2018).

Posso usare WhatsApp per comunicare con i pazienti?

Per prudenza, referti, esiti e informazioni cliniche non vanno inviati su canali di messaggistica generici. Un promemoria con data e ora della visita, senza dati clinici, è un'altra cosa: concorda il canale con il paziente e scrivi il minimo necessario.

Per chiudere

La privacy dello studio non si risolve con un documento scaricato una volta. Si risolve con poche carte aggiornate e persone che sanno cosa fare. Parti dalla checklist e segna cosa manca.

Se stai valutando un gestionale per studio medico e vuoi capire cosa ti toglie dalle spalle, ne parliamo in una videochiamata gratuita con Ambulatorio Facile.