Nello studio medico il titolare del trattamento è il medico che lavora da solo oppure la società o l'associazione che gestisce lo studio. La cura non richiede il consenso privacy (art. 9 GDPR; Garante, provvedimento 55/2019). Restano obbligatori informativa, registro e misure di sicurezza, mentre newsletter e comunicazioni commerciali richiedono il consenso.
Privacy nello studio medico: norme di riferimento e dati sanitari
Questa guida serve al medico estetico e al titolare che vogliono mettere in ordine la privacy nello studio medico prima di attivare promemoria, CRM o campagne. Alla fine saprete quali documenti tenere e quando serve il consenso.
La legge sulla privacy sanitaria è il Regolamento (UE) 2016/679, il GDPR, insieme al Codice privacy modificato dal D.Lgs. 101/2018, con i chiarimenti del Garante nel provvedimento n. 55 del 7 marzo 2019. I dati relativi alla salute (art. 4, n. 15 GDPR) rientrano nelle categorie particolari dell'art. 9, e dal 2018 la cura non richiede consenso privacy.
| Tipo di dato | Esempio | Dove si trova |
|---|---|---|
| Anamnesi | Allergie, farmaci, trattamenti precedenti | Scheda anamnestica |
| Cartella clinica | Piano di trattamento, prodotti per categoria e lotto | Gestionale clinico |
| Fotografie cliniche | Zona trattata nelle diverse sedute | Archivio dello studio |
| Consensi informati | Moduli firmati per trattamento | Cartella clinica |
| Agenda | Date delle sedute e trattamento prenotato | Agenda dello studio |
| Documenti di pagamento | Descrizione della prestazione | Gestionale contabile |
Titolare del trattamento: medico singolo, studio associato, società e poliambulatorio
Chi è il titolare del trattamento dei dati sanitari è la prima domanda da chiudere, perché ne dipendono informativa, registro e contratti con i fornitori. La risposta cambia con la forma giuridica dello studio.
Titolare, contitolari e responsabili: definizioni
Il titolare (artt. 4, n. 7 e 24 GDPR) decide finalità e mezzi e deve poter dimostrare le proprie scelte. Le linee guida EDPB 07/2020 ricavano i ruoli dall'attività svolta, indipendentemente dall'etichetta del contratto. Più medici che decidono insieme sono contitolari (art. 26). Il ruolo privacy del direttore sanitario della struttura privata va definito dalla struttura con il consulente.
| Forma dello studio | Titolare, di norma | Documenti da avere |
|---|---|---|
| Medico che lavora da solo | Il medico | Registro, informativa, nomine dei fornitori |
| Studio associato | L'associazione, o i medici come contitolari | Accordo di contitolarità (art. 26) |
| Società tra professionisti o srl | La società | Registro, nomine art. 28, autorizzazioni del personale |
| Poliambulatorio | L'ente che gestisce la struttura | Valutazione sul DPO, procedure per reparto |
| Medico in una struttura altrui | Da definire con la struttura | Contratto con i ruoli privacy |
Fornitori dello studio: nomina a responsabile del trattamento
Il responsabile (art. 28) tratta i dati per conto dello studio, con un contratto su oggetto, durata, sicurezza e assistenza in caso di violazione. Di solito sono gestionale, cloud ed email, commercialista, segreteria esterna, agenzia che gestisce le richieste e portali di prenotazione, nei ruoli indicati dal portale stesso. Verificate se l'accordo è nelle condizioni del servizio o va firmato a parte. Segreteria e collaboratori sono persone autorizzate (art. 29 GDPR e art. 2-quaterdecies Codice), con istruzioni scritte e accessi per ruolo.
Basi giuridiche dei dati sanitari: cura senza consenso, comunicazioni con consenso
Per la cura la base giuridica è l'art. 9, par. 2, lett. h e par. 3 GDPR: trattamento necessario a diagnosi, assistenza o terapia da parte di un professionista soggetto al segreto, senza consenso secondo il Garante. Gli usi ulteriori richiedono il consenso.
| Finalità | Base giuridica | Consenso |
|---|---|---|
| Prima visita, trattamenti e cartella | Art. 9, par. 2, lett. h e par. 3 GDPR | No |
| Fatturazione | Art. 6, par. 1, lett. c GDPR | No |
| Promemoria con data e ora | Gestione della prestazione richiesta | Di norma no, da verificare |
| Newsletter e comunicazioni commerciali | Art. 6, par. 1, lett. a GDPR; art. 130 Codice | Sì, separato e revocabile |
| Fotografie pubblicate | Art. 9, par. 2, lett. a GDPR | Sì, esplicito e specifico |
Il consenso informato al trattamento sanitario segue invece la legge 219/2017 (vedete le differenze tra consenso informato, informativa privacy e consenso alle comunicazioni). Un modulo generico di consenso al trattamento dei dati personali sanitari è superfluo per la cura, e per le comunicazioni serve un consenso separato che non condiziona le cure.
Informativa privacy dello studio medico: contenuti, consegna e modulo
L'informativa privacy dello studio medico è obbligatoria anche senza consenso. Deve essere concisa e chiara (art. 12), consegnata alla prenotazione o alla prima visita e pubblicata sul sito. Un modulo privacy in PDF di un altro studio riporta fornitori e tempi altrui (per il web vedete privacy e cookie del sito dello studio).
Il GDPR non chiede la firma sull'informativa, ma lo studio deve poter dimostrare di averla resa (art. 5, par. 2), per esempio annotando nel gestionale data e versione consegnata. Alle richieste di accesso o di copia dei dati, fotografie comprese, si risponde entro un mese, prorogabile di due mesi nei casi complessi (art. 12, par. 3).
1. Titolare ed eventuale DPO: [nome del medico o della società], [indirizzo], [email dello studio].
2. Dati trattati: anagrafici, di contatto, relativi alla salute, fotografie cliniche, dati obbligatori e conseguenze del rifiuto.
3. Finalità e basi giuridiche: cura, obblighi fiscali, comunicazioni solo con il Suo consenso.
4. Destinatari: [categorie di fornitori nominati responsabili].
5. Conservazione: [periodo o criterio per categoria di dati].
6. Trasferimenti: [se e con quali garanzie].
7. Diritti: artt. 15-22 GDPR e revoca del consenso.
8. Reclamo: al Garante per la protezione dei dati personali.
9. Aggiornamento: versione [numero] del [data].
Da adattare allo studio e verificare con il consulente privacy.
Nel nostro servizio chiamiamo chi chiede informazioni, verifichiamo interesse, aspettative e disponibilità e lasciamo al medico ogni indicazione clinica. Se volete rivedere con noi come le richieste entrano in agenda e nel CRM, parliamone in una chiamata conoscitiva.
Registro dei trattamenti, DPO e valutazione d'impatto nello studio medico
Il registro dei trattamenti (art. 30) va tenuto anche dal medico che lavora da solo e resta nello studio, a disposizione del Garante in caso di controllo. Il DPO (art. 37) non è obbligatorio per il singolo professionista e va valutato con il consulente per i poliambulatori.
La valutazione d'impatto (art. 35) va considerata quando ricorrono due o più criteri dell'elenco del Garante dell'11 ottobre 2018, come dati sensibili e uso innovativo di nuove tecnologie, per esempio l'intelligenza artificiale.
Attività: gestione delle prime visite e dell'agenda.
Finalità: fissare, confermare e spostare le visite.
Dati: anagrafici, di contatto, trattamento di interesse, date.
Base giuridica: art. 9, par. 2, lett. h GDPR.
Destinatari: gestionale e segreteria esterna, nominati responsabili.
Conservazione: secondo i criteri dello studio.
Misure: credenziali personali, profili per ruolo, backup cifrato.
Contenuti da sostituire con quelli dello studio.
Misure di sicurezza nello studio: accessi, sala d'attesa, telefono e fotografie
L'art. 32 chiede misure adeguate al rischio. Chiamata senza nome e distanze di cortesia, imposte alle strutture sanitarie dal provvedimento del Garante del 9 novembre 2005, valgono come principi anche per gli studi dei singoli professionisti (organizzazione della sala d'attesa e dell'accettazione). Per la videosorveglianza le FAQ del Garante chiedono un cartello prima della zona ripresa e una conservazione breve; se si riprende il personale vale l'art. 4 della legge 300/1970, con accordo sindacale o autorizzazione dell'Ispettorato.
- Credenziali personali per ogni operatore.
- Profili per ruolo (requisiti del gestionale per la cartella clinica e i consensi): la segreteria vede l'agenda, il medico la cartella.
- Backup cifrato con prova di ripristino.
- Cifratura di computer, tablet e telefoni.
- Aggiornamenti e antivirus su ogni dispositivo.
- Documenti cartacei in armadi chiusi.
- Telecamere fuori dagli ambulatori.
- Nessuna informazione sanitaria al telefono a terzi senza indicazione del paziente.
- Promemoria con sola data e ora, da numero e account dello studio.
- Fotografie cliniche, anche quelle ricevute via messaggio, nell'archivio dello studio e non nel telefono personale.
Pubblicare le immagini richiede un consenso specifico (uso delle foto prima e dopo), e i dati dei pazienti restano fuori dai servizi non nominati responsabili, compresi quelli di intelligenza artificiale nello studio.
Data breach e sanzioni: procedura per lo studio di medicina estetica
Sono violazioni un referto inviato all'indirizzo sbagliato, un portatile non cifrato rubato o foto di pazienti in un gruppo di messaggistica. L'art. 33 chiede la notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta, salvo rischio improbabile; dal 1° luglio 2021 si usa solo la procedura online del Garante. Il fornitore responsabile avvisa lo studio senza ingiustificato ritardo (art. 33, par. 2).
- Contenere: bloccare gli accessi, cambiare le credenziali.
- Valutare il rischio: dati, pazienti, conseguenze.
- Decidere sulla notifica e annotarne le ragioni.
- Notificare online, motivando un eventuale ritardo.
- Informare i pazienti se il rischio è elevato (art. 34).
- Registrare ogni violazione, anche non notificata (art. 33, par. 5).
L'art. 83 prevede massimi di 10 milioni di euro o del 2% del fatturato mondiale annuo (registro, sicurezza, notifica) e di 20 milioni o del 4% (principi, basi giuridiche, art. 9, diritti), con il valore più alto per le imprese.
Marketing, CRM e campagne: dati clinici separati dai contatti dello studio
Promemoria, CRM e campagne usano contatti e preferenze di comunicazione dei pazienti. Archivi separati dalla cartella, ciascuno con accessi propri, permettono di dimostrare che le informazioni cliniche restano nel gestionale.
| Archivio | Dati ammessi | Da escludere | Chi accede |
|---|---|---|---|
| Gestionale clinico | Anamnesi, cartella, consensi, fotografie | Note di marketing | Medico |
| Agenda | Nome, contatti, data e tipo di visita | Dettagli clinici | Segreteria e medico |
| CRM | Contatti, trattamento di interesse, consenso con data e canale | Anamnesi, fotografie | Segreteria |
Nel modulo delle campagne bastano nome, telefono, trattamento di interesse e disponibilità, con informativa breve e consenso facoltativo alle comunicazioni. Nel nostro servizio il team chiama chi chiede informazioni e fissa la prima visita; un'agenzia che gestisce le richieste opera di norma come responsabile (art. 28).
Il CRM dello studio invia newsletter solo a chi ha acconsentito (art. 130 Codice). La stessa regola vale per le comunicazioni commerciali su WhatsApp, dove Meta chiede anche l'opt-in (vedete le regole su consenso e opt-in per WhatsApp nello studio medico). I pixel pubblicitari partono solo dopo il consenso ai cookie non tecnici (linee guida del Garante del 10 giugno 2021) e non trasmettono dati sanitari.
Sintesi operativa: adempimenti privacy dello studio medico
Gli adempimenti seguono quest'ordine, perché ciascuno usa il precedente. Senza un titolare definito non si firmano le nomine dei fornitori.
- Stabilire titolare ed eventuali contitolari.
- Elencare i fornitori e firmare le nomine art. 28.
- Compilare il registro, una riga per attività.
- Aggiornare l'informativa e separare il consenso alle comunicazioni.
- Separare gestionale clinico, agenda e CRM.
- Applicare la checklist di sicurezza.
- Scrivere la procedura di data breach e il registro delle violazioni.
- Formare segreteria e collaboratori.
- Rivedere tutto ogni anno e a ogni cambio di fornitore.
Queste indicazioni, verificate sulle fonti ufficiali al 16 ottobre 2026, non costituiscono parere legale. Informativa, registro, nomine e conservazione vanno rivisti con il consulente privacy o un legale e, per i profili deontologici, con l'Ordine provinciale.
Indicateci i trattamenti che volete promuovere e la città dello studio. Nella chiamata vi spieghiamo come imposteremmo le campagne informative e la gestione delle richieste fino alla prima visita in agenda. Il nostro servizio parte da 1.500 € al mese; il budget pubblicitario è a parte e lo studio lo paga direttamente alle piattaforme.
Domande frequenti
Chi è il titolare del trattamento dei dati sanitari?+
È il medico quando lavora da solo, la società o l'associazione quando lo studio è gestito in forma collettiva. Più medici che decidono insieme finalità e mezzi sono contitolari (art. 26 GDPR), e il ruolo segue l'attività svolta (linee guida EDPB 07/2020).
Serve il consenso del paziente per trattare i dati sanitari?+
Non per i dati necessari alla prestazione, trattati da un professionista soggetto al segreto (art. 9, par. 2, lett. h GDPR; Garante, provvedimento 55/2019). Serve per newsletter, comunicazioni commerciali e fotografie pubblicate. Il consenso informato al trattamento sanitario è un altro documento (legge 219/2017).
Uno studio di medicina estetica deve nominare il DPO?+
Il singolo professionista sanitario non è obbligato, perché secondo il Garante e il considerando 91 del GDPR non tratta dati su larga scala. Per i poliambulatori la valutazione va fatta con il consulente privacy. DPO e RPD indicano la stessa figura.
Il registro dei trattamenti è obbligatorio anche per un solo medico?+
Sì. L'art. 30, par. 5 esonera chi ha meno di 250 dipendenti, ma il Garante ha chiarito nel 2019 che l'esenzione non opera con i dati sanitari. Il registro resta nello studio, aggiornato, a disposizione del Garante in caso di controllo.
Cosa rischia lo studio in caso di violazione della privacy dei pazienti?+
Per le violazioni più gravi l'art. 83 GDPR prevede fino a 20 milioni di euro o, per le imprese, il 4% del fatturato mondiale annuo se superiore. L'importo lo fissa il Garante con i criteri del par. 2, tra cui gravità, dolo o colpa, misure per attenuare il danno, cooperazione e notifica della violazione. Si aggiungono risarcimento (art. 82) e profili penali (artt. 167 ss. Codice).
Si possono usare i dati dei pazienti per richiami e newsletter?+
Per newsletter e comunicazioni commerciali serve un consenso separato, facoltativo e revocabile (art. 130 del Codice privacy). Il CRM registra data e canale del consenso, mentre il richiamo indicato dal medico nel piano di trattamento va inquadrato con il consulente privacy.
Autore
Enable Digital
Scritta per medici estetici e titolari di studi di medicina estetica in Italia.
Parliamo del vostro studio