Con l’evoluzione del Fascicolo Sanitario Elettronico 2.0 verso una piattaforma nazionale interoperabile, gli studi legali che assistono strutture sanitarie, aziende del settore healthtech o singoli pazienti devono aggiornarsi su tre fronti: consenso al trattamento dei dati, uso secondario per ricerca e programmazione, e responsabilità civile in caso di data breach. Il quadro normativo di riferimento combina il GDPR, il d.lgs. 196/2003 come modificato dal d.lgs. 101/2018, e le linee guida del Garante Privacy specifiche per il FSE.
Punti chiave
- Punto 1 — Il FSE 2.0 abilita l’uso secondario dei dati sanitari per ricerca e programmazione pubblica, con consenso separato.
- Punto 2 — L’interoperabilità tra pubblico e privato amplia la platea dei titolari e responsabili del trattamento coinvolti.
- Punto 3 — Il data breach su dati sanitari comporta notifica al Garante entro 72 ore ai sensi dell’art. 33 GDPR.
Per uno studio legale che assiste operatori sanitari, strutture private accreditate o aziende healthtech, il passaggio del Fascicolo Sanitario Elettronico a piattaforma nazionale non è una questione tecnica: è una fonte nuova di responsabilità contrattuale ed extracontrattuale, di obblighi di compliance e di possibili contenziosi con pazienti o con l’Autorità Garante. Chi ancora tratta il FSE come un semplice archivio digitale rischia di consigliare male i propri clienti.
L’evoluzione verso il FSE 2.0, descritta da Agenda Digitale, punta a fare del fascicolo una piattaforma nazionale per continuità clinica, ricerca, programmazione e innovazione. Le sfide aperte riguardano qualità del dato, interoperabilità tra sistemi pubblici e privati, gestione del consenso e uso secondario dei dati sanitari aggregati.
Il contesto normativo
Il FSE è disciplinato dal d.l. 179/2012 (conv. L. 221/2012), art. 12, più volte modificato, e dal successivo d.lgs. 135/2018 che ha allineato la disciplina nazionale al GDPR. Il dato sanitario rientra nelle categorie particolari ex art. 9 GDPR, con divieto di trattamento salvo eccezioni tassative, tra cui il consenso esplicito dell’interessato o le finalità di medicina preventiva e ricerca medica. Il d.lgs. 196/2003, come riscritto dal d.lgs. 101/2018, all’art. 75 prevede le condizioni per il trattamento a fini di ricerca scientifica in campo medico. Sul versante sanzionatorio, il Garante Privacy ha già irrogato sanzioni milionarie per trattamenti illeciti di dati sanitari: la delibera del 9 giugno 2022 nei confronti di una regione italiana per accesso non autorizzato al FSE vale come precedente operativo da conoscere.
L’uso secondario dei dati — cioè il riutilizzo per programmazione sanitaria, ricerca o innovazione — richiede una base giuridica autonoma rispetto al consenso originario per la cura. Il Regolamento europeo sullo Spazio Europeo dei Dati Sanitari (EHDS), in fase di approvazione definitiva, introdurrà obblighi ulteriori di accesso e condivisione che si sovrapporranno alla disciplina nazionale.
Cosa cambia per lo studio
- Mappatura dei titolari e responsabili del trattamento. Con l’interoperabilità FSE 2.0, una struttura privata accreditata che alimenta il fascicolo diventa co-titolare o responsabile del trattamento rispetto alla piattaforma regionale. Occorre rivedere i DPA (Data Processing Agreement) ex art. 28 GDPR già in essere.
- Consenso stratificato e revoca. Il paziente può prestare consenso distinto per uso primario (cura) e uso secondario (ricerca, programmazione). La revoca parziale del consenso non comporta cancellazione retroattiva dei dati già aggregati in forma anonima: chiarire questo punto nei moduli informativi evita contestazioni.
- Gestione dei data breach. Un incidente su dati del FSE impone notifica al Garante entro 72 ore (art. 33 GDPR) e, se il rischio per i diritti degli interessati è elevato, comunicazione agli stessi ex art. 34 GDPR. Gli studi che assistono ASL o cliniche private devono avere una procedura scritta e testata.
- Responsabilità civile verso il paziente. Il trattamento illecito di dati sanitari può fondare una domanda risarcitoria ex art. 82 GDPR e art. 2050 c.c. (attività pericolosa), con inversione dell’onere della prova a carico del titolare del trattamento.
- Attenzione all’EHDS in arrivo. Il futuro Regolamento europeo sullo Spazio Europeo dei Dati Sanitari obbligherà i titolari a rendere i dati accessibili a organismi autorizzati per uso secondario. Chi assiste strutture sanitarie deve monitorare i tempi di recepimento e aggiornare i contratti di gestione dati.
Attenzione a
Confondere anonimizzazione e pseudonimizzazione. I dati aggregati del FSE usati per ricerca sono spesso pseudonimizzati, non anonimizzati: continuano a essere dati personali ai sensi del GDPR. Consigliare al cliente che «i dati sono anonimi, quindi non si applica il GDPR» è un errore che espone a sanzioni fino al 4% del fatturato globale annuo.
Trascurare il ruolo del DPO nelle strutture sanitarie. Per ospedali, ASL e cliniche private che trattano dati sanitari su larga scala, la nomina del Data Protection Officer è obbligatoria ex art. 37, par. 1, lett. c) GDPR. In caso di contenzioso con il Garante, l’assenza del DPO aggrava il profilo sanzionatorio e riduce lo spazio negoziale.
Domande frequenti
Il paziente può bloccare l’accesso al suo FSE da parte di strutture private?
Sì. Il paziente ha diritto di oscurare singoli documenti o l’intero fascicolo anche nei confronti di strutture private accreditate. L’oscuramento non equivale a cancellazione: i dati restano nel sistema ma diventano inaccessibili agli operatori. L’esercizio di questo diritto non può essere condizionato all’erogazione delle prestazioni sanitarie, pena violazione dell’art. 7 GDPR sul consenso libero.
Chi è responsabile in caso di data breach sul Fascicolo Sanitario Elettronico?
La responsabilità si distribuisce tra il titolare del trattamento (tipicamente la Regione per la piattaforma FSE) e il responsabile esterno (struttura privata, fornitore IT) che ha causato o non ha prevenuto la violazione. L’art. 82 GDPR consente all’interessato di agire contro ciascuno solidalmente. Il titolare si libera solo provando che l’evento è a lui non imputabile.
L’uso dei dati FSE per ricerca scientifica richiede un nuovo consenso del paziente?
Dipende dalla base giuridica usata. Se il trattamento si fonda sull’art. 9, par. 2, lett. j) GDPR (interesse pubblico nella ricerca), il consenso non è strettamente necessario, ma occorre una norma nazionale abilitante (art. 75 d.lgs. 196/2003) e misure di garanzia adeguate. Se invece la base è il consenso esplicito ex art. 9, par. 2, lett. a), deve essere distinto e specifico rispetto al consenso per le cure.
Fonte di riferimento: AgendaDigitale