Le aziende sanitarie pubbliche che producono podcast e video istituzionali assumono responsabilità diretta sui contenuti diffusi, con ricadute in materia di trattamento dati sanitari, comunicazione istituzionale e potenziale danno da informazione errata. Un avvocato che assiste ASL, fondazioni ospedaliere o pazienti deve conoscere i limiti normativi di questa attività comunicativa. Il Regolamento UE 2016/679 e il d.lgs. 196/2003 si applicano integralmente ai contenuti che trattano, anche indirettamente, dati relativi alla salute.
Punti chiave
- Punto 1 — I contenuti sanitari digitali del SSN rientrano nel perimetro del GDPR come trattamento di dati sulla salute.
- Punto 2 — La responsabilità per informazione sanitaria errata può generare pretese risarcitorie ex art. 2043 c.c.
- Punto 3 — Le aziende sanitarie devono nominare il DPO e valutare i rischi prima di pubblicare contenuti multimediali con dati di pazienti.
Per uno studio legale che assiste strutture sanitarie pubbliche o pazienti, la produzione istituzionale di podcast e video da parte del SSN non è una questione di marketing. Ogni contenuto multimediale che coinvolge esperienze di pazienti, percorsi terapeutici o dati aggregati di salute attiva obblighi precisi in materia di privacy, responsabilità civile e comunicazione pubblica. Ignorarlo espone il cliente a contestazioni evitabili.
Secondo quanto riportato da Agenda Digitale, podcast e video racconti diventano strumenti strategici del SSN per contrastare la disinformazione sanitaria e rafforzare la fiducia nelle istituzioni, costruendo una contronarrazione fondata su competenze, esperienze cliniche e prevenzione.
Il contesto normativo
Il trattamento di dati relativi alla salute è una categoria particolare ai sensi dell’art. 9 del Regolamento UE 2016/679 (GDPR) e richiede una base giuridica rafforzata. Quando un’azienda sanitaria pubblica produce un video in cui un paziente racconta la propria esperienza, serve il consenso esplicito dell’interessato oppure una norma di legge che autorizzi il trattamento. Il d.lgs. 196/2003, come modificato dal d.lgs. 101/2018, all’art. 2-sexies disciplina i trattamenti di dati sensibili da parte di soggetti pubblici: l’assenza di un’idonea base normativa espone la struttura a sanzioni del Garante fino a 10 milioni di euro o al 2% del fatturato annuo globale. Sul versante della responsabilità civile, l’art. 2043 c.c. copre anche i danni da informazione sanitaria errata o fuorviante diffusa tramite canali istituzionali, come chiarito dalla giurisprudenza in tema di responsabilità della pubblica amministrazione per atti di comunicazione lesivi (cfr. Cass. Civ. n. 15726/2020 in materia di responsabilità aquiliana della PA per condotte informative). Il Codice del consumo (d.lgs. 206/2005, artt. 20-27) può applicarsi qualora i contenuti assumano carattere promozionale verso i cittadini-utenti del servizio sanitario.
Cosa cambia per lo studio
- Prima della produzione di qualsiasi contenuto multimediale con testimonianze di pazienti, la struttura sanitaria deve acquisire un consenso scritto specifico che individui finalità, modalità di diffusione e durata della pubblicazione, distinto dal consenso al trattamento terapeutico.
- Il DPO dell’azienda sanitaria deve essere coinvolto nella fase di progettazione editoriale: la valutazione d’impatto (DPIA) ex art. 35 GDPR è obbligatoria quando si trattano su larga scala dati sulla salute, anche in forma di narrazione anonimizzata.
- Se il contenuto multimediale contiene informazioni su farmaci, dispositivi medici o protocolli terapeutici, entra in gioco la normativa AIFA e il d.lgs. 219/2006 sulla pubblicità dei medicinali: un video istituzionale che promuove un trattamento specifico può configurare pubblicità sanitaria non autorizzata.
- In caso di contenzioso con un paziente che lamenti lesione della propria immagine o diffusione non autorizzata di dati di salute, i tempi per la notifica della violazione al Garante sono di 72 ore dalla scoperta dell’evento ai sensi dell’art. 33 GDPR: lo studio deve avere un protocollo di risposta rapida già predisposto.
- I contratti con produttori esterni di contenuti (agenzie, freelance) devono prevedere la nomina a responsabile del trattamento ex art. 28 GDPR con clausole specifiche sulla gestione dei dati dei pazienti eventualmente coinvolti.
Attenzione a
Il rischio più frequente è trattare la comunicazione istituzionale sanitaria come attività editoriale ordinaria, sottovalutando che qualsiasi riferimento a percorsi di cura reali — anche apparentemente anonimo — può costituire trattamento di dati sulla salute se consente la reidentificazione dell’interessato. L’anonimizzazione deve essere irreversibile: la pseudonimizzazione non basta.
Un secondo rischio concreto riguarda i contenuti prodotti da medici o operatori sanitari in proprio, poi rilanciati dai canali istituzionali. In quel caso la struttura potrebbe rispondere in solido per i contenuti diffusi, con potenziale responsabilità disciplinare dell’operatore e amministrativa dell’ente. Verificare sempre la catena di approvazione editoriale prima che il contenuto venga associato al brand istituzionale.
Domande frequenti
Un paziente può chiedere la rimozione di un video istituzionale del SSN in cui appare?
Sì. Il paziente può esercitare il diritto all’oblio ex art. 17 GDPR e richiedere la cancellazione del contenuto se il consenso è stato revocato o se il trattamento non aveva base giuridica adeguata. La struttura sanitaria ha l’obbligo di rispondere entro 30 giorni. In caso di inerzia, il paziente può ricorrere al Garante o adire l’autorità giudiziaria ordinaria per ottenere la rimozione e un eventuale risarcimento del danno.
Un video del SSN che descrive un farmaco come efficace può configurare pubblicità sanitaria illecita?
Sì, se il contenuto promuove un medicinale specifico senza le autorizzazioni previste dal d.lgs. 219/2006. La pubblicità di medicinali al pubblico è vietata per i farmaci dispensati solo su prescrizione medica. Anche un contenuto formalmente informativo può essere qualificato come pubblicitario dall’AIFA o dall’Antitrust se produce un effetto promozionale misurabile. L’ente sanitario rischia sanzioni amministrative e il medico coinvolto sanzioni disciplinari.
Chi risponde se un podcast istituzionale del SSN diffonde informazioni mediche errate che causano un danno al paziente?
La responsabilità ricade sull’azienda sanitaria ai sensi dell’art. 2043 c.c. per fatto illecito della PA, e potenzialmente sul professionista sanitario che ha fornito le informazioni ex art. 2049 c.c. per responsabilità del preponente. Se il paziente dimostra il nesso causale tra l’informazione errata e il danno subito, può agire in giudizio. La Cass. Civ. n. 15726/2020 ha confermato la responsabilità aquiliana della PA per condotte informative lesive.
Fonte di riferimento: AgendaDigitale