GDPR nello studio medico: titolare, responsabile, e cosa firma davvero il tuo gestionale

La domanda che nessuno fa in una demo

In una demo di gestionale si parla di agenda, di fatture, di quanti clic servono per aprire una cartella. Quasi mai si parla della cosa che, se va storta, ti costa più di tutte le altre messe insieme.

Chi risponde, quando i dati di un tuo paziente finiscono dove non dovevano?

La risposta non è «il software». La risposta sei tu. E capire perché — e cosa puoi fare perché quel rischio sia governato invece che subito — è l'unica parte di questa scelta che non puoi delegare al fornitore.

Questa guida spiega la struttura giuridica in modo utilizzabile: chi è chi, cosa deve esserci nel contratto, cosa chiedere prima di firmare.

Titolare e responsabile: la distinzione che regge tutto

Il GDPR distingue due ruoli, e non sono livelli gerarchici: sono funzioni diverse.

Il titolare del trattamento è chi determina finalità e mezzi. Perché quei dati vengono trattati, e con quali strumenti. Nel tuo studio, sei tu: decidi tu di aprire una cartella clinica, di conservarla, di quali informazioni raccogliere.

Il responsabile del trattamento è chi tratta i dati per conto del titolare, sulla base delle sue istruzioni. Il tuo gestionale è qui: conserva, elabora e rende accessibili quei dati, ma non decide perché esistano.

La conseguenza pratica è la sola cosa da ricordare di tutto questo paragrafo:

Puoi esternalizzare l'infrastruttura. Non puoi esternalizzare la responsabilità.

Verso il paziente, e verso il Garante, il titolare resti tu. Il fornitore risponde a te — su un contratto che deve esistere ed essere scritto bene. Se quel contratto è vago, il rischio non è sparito: è solo diventato invisibile.

Cosa deve contenere il contratto (art. 28)

L'art. 28 comma 3 del GDPR non lascia margine: serve un contratto o altro atto giuridico scritto che vincoli il responsabile al titolare, e che disciplini oggetto, durata, natura e finalità del trattamento, tipo di dati, categorie di interessati, obblighi e diritti del titolare.

Poi elenca otto obblighi che il responsabile deve assumere. Vale la pena leggerli come una check-list, perché sono esattamente le domande da fare a un fornitore.

1. Tratta i dati solo su istruzioni documentate del titolare, anche per i trasferimenti verso paesi terzi
2. Garantisce che chi accede sia vincolato alla riservatezza, per obbligo legale o contrattuale
3. Adotta tutte le misure di sicurezza richieste dall'art. 32
4. Rispetta le condizioni per ricorrere a un altro responsabile — i sub-responsabili
5. Ti assiste nel dare seguito alle richieste degli interessati che esercitano i loro diritti
6. Ti assiste negli obblighi di sicurezza, notifica delle violazioni e valutazione d'impatto (artt. 32-36)
7. Cancella o restituisce i dati al termine del servizio, a tua scelta
8. Ti mette a disposizione ogni informazione necessaria a dimostrare la conformità, e consente audit e ispezioni

L'ottavo punto è quello che separa i contratti veri da quelli di facciata. Un fornitore che si impegna a farsi verificare è un fornitore che ha messo in conto di dover reggere la verifica.

Le cinque clausole da leggere davvero

Un DPA è lungo. Se hai dieci minuti, spendili su questi cinque punti.

1. I sub-responsabili: c'è un elenco, ed è pubblico?

L'art. 28 commi 2 e 4 dice che il responsabile può ricorrere ad altri responsabili solo con la tua autorizzazione. Se l'autorizzazione è generale, deve informarti di ogni aggiunta o sostituzione lasciandoti la possibilità di opporti.

Nella pratica: chiedi l'elenco dei sub-responsabili. Chi ospita i server, chi manda le email, chi manda gli SMS, chi eventualmente fa girare funzioni di intelligenza artificiale. Se quell'elenco non esiste, o esiste ma non è aggiornato, il tuo diritto di opporti è teorico.

2. Dove stanno fisicamente i dati.

Non «il fornitore è italiano». La domanda è dove sono i server, e dove sono i server dei sub-responsabili a valle. Un fornitore europeo che appoggia i backup su un servizio extra-UE ha un trasferimento internazionale da giustificare ai sensi degli artt. 44-49.

Per i dati sanitari — che sono categorie particolari ai sensi dell'art. 9 — la domanda merita una risposta precisa e per iscritto, non una rassicurazione in call.

3. Cosa succede quando te ne vai.

Il punto 7 dell'elenco sopra: cancellazione o restituzione, a tua scelta. Leggi come. In che formato ti restituiscono i dati, in quanto tempo, a che costo, e per quanto tempo li conservano dopo la cessazione.

Un fornitore che alla fine del contratto ti consegna un export completo e leggibile è un fornitore che non ha bisogno di trattenerti. Uno che ti restituisce un PDF di stampe ti sta dicendo qualcosa sul suo modello di business.

4. Le violazioni: chi avvisa chi, e in quanto tempo.

Se c'è una violazione dei dati, il responsabile deve informarti senza ingiustificato ritardo (art. 33 comma 2). Da quel momento parte il tuo orologio: 72 ore per notificare al Garante, se ricorrono le condizioni, ed eventualmente la comunicazione agli interessati (art. 34).

Un contratto che non fissa un tempo di avviso ti lascia con un obbligo a orologeria e nessun controllo sull'innesco. Cerca un impegno esplicito, con un canale definito.

5. I diritti degli interessati: il software ti mette in condizione di rispettarli?

Accesso, rettifica, cancellazione, portabilità (artt. 15-20). Sono diritti che il paziente esercita verso di te. Se il tuo gestionale non ha una funzione per estrarre tutti i dati di una persona, o per cancellarli davvero, quei diritti li stai promettendo senza poterli mantenere.

E attenzione al conflitto che nel sanitario è la norma: la cancellazione richiesta da un paziente si scontra con i tempi di conservazione della documentazione sanitaria. Non è un difetto del software: è una valutazione che spetta a te, come titolare. Il software deve però permetterti di eseguirla, e di dimostrare cosa hai fatto.

Gli adempimenti che restano tuoi, comunque

Nessun gestionale te li toglie. Un buon gestionale te li rende sostenibili.

Il registro dei trattamenti (art. 30). L'esonero per chi ha meno di 250 dipendenti non si applica quando tratti categorie particolari di dati — e i dati sanitari lo sono sempre (art. 30 comma 5). Quindi sì, anche il medico da solo lo tiene.

L'informativa ai pazienti (artt. 13-14): chi sei, perché tratti i dati, su quale base giuridica, per quanto li conservi, a chi li comunichi, quali diritti hanno.

La base giuridica. Per le finalità di cura è tipicamente l'art. 9 comma 2 lettera h. Attenzione a non confonderla con il consenso, che serve per altre cose — comunicazioni promozionali, funzioni accessorie, trattamenti non necessari alla cura. Sono binari diversi, e mescolarli è uno degli errori più frequenti.

La valutazione d'impatto (art. 35), quando il trattamento è su larga scala o presenta rischi elevati.

La formazione di chi accede ai dati. La segretaria che apre una cartella è una persona autorizzata: va istruita, e l'istruzione va documentata.

Le dieci domande da fare prima di firmare

Portale in demo. Le risposte che ottieni valgono più della schermata dell'agenda.

1. Mi fate firmare un contratto art. 28? Posso leggerlo prima, senza chiederlo?
2. Qual è l'elenco dei sub-responsabili? Dove lo pubblicate, e come mi avvisate quando cambia?
3. Dove sono fisicamente i server? E quelli dei backup?
4. C'è un trasferimento di dati fuori dall'UE? Su quale base giuridica?
5. I dati sono cifrati a riposo? Con quale separazione tra i diversi studi che usano il sistema?
6. Chi, dentro la vostra azienda, può leggere i dati clinici dei miei pazienti? In quali casi?
7. In caso di violazione, entro quanto mi avvisate e con quale canale?
8. Se domani me ne vado, cosa mi restituite, in che formato, in quanto tempo, a che costo?
9. Se usate funzioni di intelligenza artificiale: dove vengono elaborati i dati, per quanto tempo sono conservati, e vengono usati per addestrare modelli? Il consenso è separato e revocabile?
10. Posso esercitare un audit? Cosa mettete a disposizione per dimostrare la vostra conformità?

Se un fornitore risponde a queste dieci domande per iscritto e senza esitare, hai imparato più in un'ora che in tre demo.

La posizione di Sanovia

Qui parliamo di noi, e proviamo a farlo con lo stesso metro che ti abbiamo appena suggerito di usare su chiunque.

Il titolare sei tu. Noi siamo il responsabile. Non è una formula: è il DPA art. 28 che accetti dentro la piattaforma, pubblico e leggibile prima di registrarti, non un allegato che arriva dopo la firma.

I dati stanno in Unione Europea, su infrastruttura in Germania.

La cifratura a riposo è per titolare: i dati clinici di ogni studio sono cifrati con una chiave derivata per quello studio. Non un unico cassetto con dentro tutti.

I sub-responsabili sono dichiarati in un allegato dedicato del DPA (Allegato C), insieme all'informativa privacy e alla pagina sui diritti GDPR. E qui applichiamo a noi stessi la domanda numero 2 della lista qui sopra: se l'elenco nominativo non lo trovi nella pagina che stai leggendo, chiedicelo e te lo mandiamo per iscritto. È esattamente ciò che ti abbiamo suggerito di pretendere da chiunque, noi compresi.

L'export è un diritto, non un favore. Il paziente ha una funzione di esportazione completa dei suoi dati dentro il portale. Tu, se te ne vai, porti via i tuoi.

Sull'intelligenza artificiale siamo espliciti perché è la parte in cui è più facile essere vaghi: SanovIA è in accesso anticipato — la attivi oggi e le funzioni si accendono progressivamente. L'elaborazione avviene in UE, i dati non vengono conservati dal fornitore del modello e non vengono usati per addestrare modelli, il consenso è separato dal resto e revocabile, e ogni bozza la firma il medico. Non la vendiamo come una funzione «disponibile» e finita, perché non lo è.

Un'ultima precisazione, che è la ragione per cui questa pagina esiste. I nostri documenti di conformità sono adottati dalla società: descrivono quello che facciamo, e sono verificabili leggendoli. Non ti diremo mai che «un avvocato li ha approvati» come se fosse un bollino. Ti diremo cosa c'è scritto, e ti inviteremo a leggerlo.

Prova Sanovia 30 giorni, senza carta

Prezzi pubblici, contratto mensile, DPA leggibile prima di registrarti. Trenta giorni di prova, senza carta di credito.

Inizia la prova gratuita · Leggi il DPA art. 28 · Come cambiare gestionale senza perdere dati

---

Questa guida descrive il quadro del GDPR applicato a uno studio medico privato al 21 agosto 2026. Non sostituisce una consulenza legale sul tuo caso specifico.