Il GDPR per i siti web degli studi medici non funziona come per un e-commerce o un’agenzia immobiliare. I dati raccolti da un sito medico, anche quelli apparentemente banali come il motivo di una richiesta di visita, rientrano nella categoria dei dati sanitari: dati particolari ai sensi dell’art. 9 del Regolamento (UE) 2016/679, soggetti a una disciplina più restrittiva rispetto ai dati comuni.
Questo crea un quadro di obblighi specifici che molti studi medici non conoscono. Un form di contatto mal configurato, una privacy policy generica copiata da internet, un cookie banner non conforme: ognuno di questi elementi costituisce una violazione concreta, non un’irregolarità formale. Il Garante per la protezione dei dati personali nel 2024 ha emesso 196 sanzioni pecuniarie, con incassi triplicati rispetto agli anni precedenti, superando i 24,4 milioni di euro. Il settore sanitario è tra quelli monitorati con maggiore attenzione.
In questo articolo
Perché il GDPR per siti web medici è più complesso
Il GDPR distingue due categorie di dati personali. I dati comuni (nome, indirizzo, email) e i dati particolari, tra cui rientrano esplicitamente i dati relativi alla salute. Un paziente che compila un form scrivendo “vorrei prenotare una visita dermatologica per una lesione cutanea” sta fornendo un dato sanitario, non un semplice dato di contatto.
Per i dati comuni, la base giuridica più frequente è il legittimo interesse o il contratto. Per i dati sanitari, l’art. 9 del GDPR stabilisce che il trattamento è in linea di principio vietato, salvo ricorra una delle condizioni tassative previste. Nel contesto di un sito web, la condizione applicabile quasi sempre è il consenso esplicito dell’interessato, oppure la necessità per finalità di medicina preventiva o di cura della salute, con le precisazioni che vedremo.
La distinzione fondamentale: cura vs comunicazione
Il Garante per la protezione dei dati personali, con il Provvedimento n. 55 del 7 marzo 2019, ha chiarito un punto che molti studi fraintendono: il medico soggetto al segreto professionale non è tenuto a richiedere il consenso al paziente per trattare i suoi dati per finalità di cura. Il segreto professionale sostituisce il consenso come base giuridica per il trattamento clinico.
Questa regola, però, vale per le attività cliniche, non per tutte le attività del sito web. Quando un paziente compila un form sul sito per richiedere un appuntamento, sta interagendo con un sistema di gestione informatica, non con il medico in ambito clinico. Quella raccolta di dati è soggetta a regole diverse: serve una base giuridica appropriata e un’informativa chiara.
Il confine pratico è questo: la cartella clinica e le comunicazioni strettamente cliniche tra medico e paziente sono coperte dal segreto professionale. Il form di contatto del sito, il sistema di prenotazione online, le newsletter, le comunicazioni di marketing: tutto il resto richiede le stesse garanzie che varrebbero per qualsiasi altro sito web, più quelle aggiuntive sui dati sanitari.
Il form di contatto: la fonte più comune di violazioni GDPR
Il form di contatto di un sito medico è il punto dove si concentrano le violazioni più frequenti. Il problema non è il form in sé: è la mancanza di consapevolezza su cosa raccoglie.
Un form con campi come Nome, Cognome, Email, Telefono e Messaggio sembra innocuo. Ma nel campo Messaggio un paziente può scrivere qualsiasi cosa: il motivo della visita, la patologia di cui soffre, le terapie in corso. Quel contenuto diventa un dato sanitario nel momento in cui viene inviato e archiviato. Se il form non è configurato per gestire correttamente questa eventualità, lo studio è in violazione.
Le misure corrette da adottare: inserire nel form un’informativa sul trattamento dei dati con link alla privacy policy completa, includere una casella di consenso esplicito non pre-spuntata per il trattamento dei dati sanitari eventualmente inseriti nel messaggio, limitare la conservazione dei messaggi al tempo strettamente necessario (non tenere in archivio email con dati clinici per anni), e utilizzare un sistema di invio email sicuro (connessione cifrata).
Un errore frequente è usare il campo messaggio del form anche per la gestione degli appuntamenti, raccogliendo di fatto informazioni cliniche senza le garanzie appropriate. La soluzione è separare il form di contatto generico dal sistema di prenotazione, che merita una gestione dedicata.
Cookie e siti web medici: le regole specifiche
Il Garante italiano ha emesso nel 2021 le Linee guida cookie e altri strumenti di tracciamento, con un periodo di adeguamento scaduto nel gennaio 2022. Dal quel momento, ogni sito web italiano che usa cookie diversi da quelli tecnici deve avere un banner conforme.
Le regole principali: nessun cookie non tecnico può essere depositato prima del consenso dell’utente. Il banner deve permettere di rifiutare tutti i cookie non tecnici con la stessa facilità con cui si accettano. Le caselle di consenso devono essere deselezionate per default. Deve essere possibile revocare il consenso in modo semplice in qualsiasi momento.
Per un sito medico, la questione cookie ha un peso aggiuntivo. I cookie analitici che tracciano il comportamento degli utenti su un sito sanitario raccolgono informazioni indirettamente sanitarie: un utente che naviga nella sezione cardiologia di un poliambulatorio sta rivelando un interesse (e potenzialmente uno stato di salute). Per questo il Garante ha applicato standard più restrittivi ai siti in ambito sanitario, anche nelle Linee guida del 2024 sui cookie in ambito salute.
Google Analytics configurato senza anonimizzazione dell’IP e senza consenso preliminare è una delle violazioni più diffuse nei siti medici italiani. Non è un dettaglio tecnico: il Garante ha sanzionato più aziende italiane per l’uso non conforme di Google Analytics, anche in settori non sanitari. In ambito sanitario il rischio è ancora più elevato.
L’informativa privacy: cosa deve contenere davvero
L’informativa privacy pubblicata sul sito è un obbligo, non un optional. Non basta una pagina con un testo generico copiato da un altro sito. L’art. 13 del GDPR stabilisce cosa deve contenere e il titolare del trattamento deve essere in grado di dimostrare che l’ha fornita correttamente (principio di accountability).
Gli elementi obbligatori per un sito medico: identità e contatti del titolare del trattamento (la struttura sanitaria o il professionista), finalità del trattamento per ciascuna categoria di dati raccolti (form di contatto, prenotazione, cookie analitici, newsletter), base giuridica per ciascuna finalità, periodo di conservazione dei dati o criteri per determinarlo, destinatari o categorie di destinatari (fornitori del sito web, servizi email, sistemi di prenotazione), trasferimenti di dati verso paesi terzi se applicabili, diritti dell’interessato (accesso, rettifica, cancellazione, portabilità, opposizione), e diritto di presentare reclamo al Garante.
Due elementi che mancano spesso nelle informative dei siti medici: i periodi di conservazione (quanti mesi si conservano i messaggi del form? quante anni i log di accesso?) e i dati dei fornitori che trattano dati per conto della struttura (l’azienda che ospita il sito, il servizio email, il sistema di prenotazione). Questi soggetti devono essere nominati responsabili del trattamento con un accordo scritto (DPA, Data Processing Agreement).
Il sistema di prenotazione online e il GDPR
Un sistema di prenotazione online raccoglie dati sanitari per definizione: il tipo di visita richiesta rivela informazioni sullo stato di salute dell’utente. Questo richiede misure aggiuntive rispetto a un semplice form di contatto.
La base giuridica corretta è il consenso esplicito per il trattamento dei dati sanitari, oppure la necessità per eseguire un contratto di prestazione sanitaria (se l’utente sta concretamente prenotando una visita). In entrambi i casi, l’informativa deve essere chiara e il sistema deve essere tecnicamente sicuro.
I fornitori di piattaforme di prenotazione come Doctolib o iDoctors hanno solitamente DPA preconfigurati e trattamenti conformi al GDPR. Se invece la prenotazione avviene tramite un modulo personalizzato sul sito, la responsabilità della conformità ricade interamente sulla struttura. Il sistema deve usare connessioni cifrate (HTTPS), i dati non devono essere conservati più del necessario, e l’accesso deve essere limitato alle persone autorizzate.
Il registro dei trattamenti: obbligatorio per tutti
Il registro dei trattamenti è un documento interno che elenca tutti i trattamenti di dati personali effettuati dalla struttura, con le relative finalità, basi giuridiche, categorie di dati, destinatari e misure di sicurezza. Il Garante ha chiarito che tutti gli operatori sanitari, inclusi i singoli professionisti, sono tenuti a compilarlo.
Non è un documento da inviare al Garante, ma da conservare e aggiornare internamente. Viene richiesto in caso di ispezione o di segnalazione. Non averlo è una violazione del principio di accountability e può aggravare le conseguenze di qualsiasi altro problema di conformità.
Per un sito medico, il registro deve includere almeno: il trattamento dei dati raccolti tramite il form di contatto, il trattamento dei dati di prenotazione, il trattamento dei dati analitici tramite cookie, e se presenti, il trattamento dei dati per la newsletter o le comunicazioni di follow-up.
Il DPO: quando è obbligatorio per uno studio medico
Il DPO (Data Protection Officer, o Responsabile della Protezione dei Dati) è una figura obbligatoria solo in determinati casi. Il Garante ha chiarito che il singolo medico libero professionista non è tenuto a nominarlo.
Il DPO diventa obbligatorio quando il trattamento dei dati sanitari avviene su larga scala. La definizione di “larga scala” non ha soglie quantitative fisse, ma i criteri orientativi includono: il numero di interessati (assoluto o come proporzione della popolazione), il volume di dati trattati, la durata del trattamento, e l’estensione geografica. Un poliambulatorio con più sedi, migliaia di pazienti attivi e un sistema informatico integrato per la gestione delle cartelle cliniche ha probabilmente l’obbligo di nominare un DPO.
Anche senza obbligo formale, per una struttura di medie dimensioni avere un DPO o un consulente privacy dedicato è una scelta che riduce concretamente il rischio di violazioni e semplifica la gestione di eventuali richieste degli interessati o ispezioni del Garante.
Le violazioni più comuni nei siti medici italiani
In base all’esperienza con siti web per strutture sanitarie, queste sono le situazioni non conformi più frequenti.
Form di contatto senza informativa adeguata. L’informativa sul form è assente, o è un link generico alla privacy policy senza specificare cosa succede ai dati inviati con il messaggio.
Cookie banner non conforme. Banner con solo il pulsante “Accetta tutti”, o con la casella dei cookie analitici già spuntata, o senza la possibilità di rifiutare facilmente. Dal 2022 questi banner sono illegali.
Google Analytics senza consenso. Analytics attivo su tutte le pagine, compresi quelle con contenuti sanitari specifici, senza che l’utente abbia dato il consenso ai cookie analitici.
Privacy policy obsoleta o generica. Il documento non indica i periodi di conservazione, non nomina i sub-responsabili (hosting, email, prenotazioni), non è aggiornata dopo la migrazione a nuovi fornitori o sistemi.
Assenza di accordo con il fornitore del sito. L’agenzia web o il tecnico che gestisce il sito ha accesso ai dati dei pazienti per la manutenzione, ma non è stato firmato nessun DPA (Data Processing Agreement). Questo è obbligatorio ogni volta che un soggetto esterno tratta dati per conto della struttura.
Se il tuo sito medico ha un problema su uno di questi punti, la guida su come realizziamo siti web per medici e strutture sanitarie spiega come affrontiamo la conformità sin dalla fase di progettazione.
FAQ
Uno studio medico piccolo deve rispettare il GDPR sul sito web?
Sì. Il GDPR si applica a qualsiasi soggetto che tratta dati personali nell’ambito di un’attività professionale, indipendentemente dalle dimensioni. Un singolo professionista con un sito web che raccoglie richieste di appuntamento ha gli stessi obblighi di conformità di un poliambulatorio strutturato, con la sola eccezione della nomina del DPO (non obbligatoria per il libero professionista).
Il medico deve chiedere il consenso ai pazienti per i dati clinici?
No, per le finalità di cura. Il Garante ha chiarito che il medico soggetto al segreto professionale non è tenuto a richiedere il consenso per trattare i dati necessari alla prestazione sanitaria. Il consenso invece è richiesto per trattamenti non strettamente clinici: refertazione online, fascicolo sanitario elettronico, newsletter, app di fidelizzazione.
Cosa rischia uno studio medico con sito non conforme al GDPR?
Le sanzioni amministrative previste dal GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, per le violazioni più gravi. Per le violazioni meno gravi fino a 10 milioni o al 2% del fatturato. Per uno studio medico privato, le sanzioni reali sono proporzionate alle dimensioni, ma anche importi di qualche migliaio di euro hanno un impatto significativo. Nel 2024 il Garante italiano ha triplicato gli incassi da sanzioni, superando i 24,4 milioni di euro.
La privacy policy gratuita scaricata da internet va bene?
No. Una privacy policy generica non può descrivere correttamente i trattamenti specifici di uno studio medico (form di contatto, sistema di prenotazione, software gestionale, fornitori specifici). Un documento non accurato può essere considerato alla stregua di un documento assente, perché non soddisfa l’obbligo di informativa dell’art. 13 GDPR.
Chi deve firmare l’accordo con l’agenzia web?
Il titolare del trattamento, ovvero lo studio medico o il professionista sanitario, deve firmare con l’agenzia web un Data Processing Agreement (DPA). Questo accordo stabilisce che l’agenzia tratta i dati solo su istruzione del titolare, garantisce misure di sicurezza adeguate, e definisce cosa succede ai dati al termine del rapporto. Senza questo accordo, il titolare è in violazione dell’art. 28 GDPR.
Per una valutazione della conformità del tuo sito e capire da dove iniziare, la pagina dedicata al marketing sanitario per strutture private spiega come lavoriamo sulla parte legale e tecnica insieme.
Nota: questo articolo ha finalità informative generali e non costituisce consulenza legale. Per casi specifici, rivolgiti a un consulente privacy qualificato o a un DPO.