Telemedicina e privacy: obblighi per medici, poliambulatori e piattaforme

La telemedicina comporta il trattamento di dati personali appartenenti alle categorie più sensibili, ossia i dati relativi alla salute. Per questo motivo il quadro normativo di riferimento è rappresentato principalmente dal Regolamento (UE) 2016/679 (GDPR), integrato dalla normativa nazionale e dai provvedimenti dell’Autorità Garante per la protezione dei dati personali.

Il primo passaggio essenziale consiste nella corretta individuazione dei soggetti coinvolti nel trattamento. Il medico o il poliambulatorio che eroga la prestazione sanitaria agisce normalmente come titolare del trattamento, ossia il soggetto che determina finalità e mezzi del trattamento dei dati. Su di esso ricade la responsabilità generale della conformità alla normativa privacy, inclusa la scelta degli strumenti tecnologici utilizzati.

Le piattaforme tecnologiche di telemedicina, invece, operano di regola come responsabili del trattamento, trattando i dati per conto del titolare. Il rapporto tra le parti deve essere formalizzato mediante un contratto conforme all’art. 28 GDPR, che definisca in modo dettagliato natura, durata, finalità del trattamento, tipologie di dati trattati e obblighi di sicurezza. La scelta del fornitore tecnologico non è quindi neutra: il titolare deve verificare preventivamente affidabilità, competenze tecniche e garanzie di protezione offerte dal provider.

Obblighi dei medici e delle strutture sanitarie

Il titolare del trattamento è destinatario dei principali obblighi previsti dal GDPR. Il trattamento dei dati deve rispettare i principi fondamentali di liceità, correttezza, trasparenza, minimizzazione, limitazione delle finalità e sicurezza.

Poiché i dati sanitari sono soggetti a un divieto generale di trattamento, la loro liceità deve fondarsi su specifiche basi giuridiche. In ambito di telemedicina, le più rilevanti sono:

• il consenso esplicito del paziente, che deve essere libero, informato e specifico;
• la necessità del trattamento per finalità di diagnosi, cura o assistenza sanitaria, svolte sotto la responsabilità di un professionista soggetto al segreto professionale.

Un obbligo centrale è quello dell’informativa privacy, che deve essere chiara e completa. Il paziente deve conoscere identità del titolare, finalità del trattamento, soggetti destinatari dei dati, tempi di conservazione e diritti esercitabili (accesso, rettifica, cancellazione, limitazione e opposizione).

Accanto alla trasparenza informativa, il titolare deve garantire il principio di accountability, dimostrando concretamente di aver adottato misure adeguate di sicurezza e di gestione organizzativa, comprese istruzioni al personale autorizzato e controlli sull’uso corretto degli strumenti digitali.

Gli obblighi delle piattaforme di telemedicina

Sebbene la responsabilità primaria rimanga in capo al titolare, anche il fornitore tecnologico assume obblighi diretti previsti dal GDPR.

La piattaforma deve trattare i dati esclusivamente sulla base delle istruzioni documentate del titolare, garantendo elevati standard di sicurezza tecnica e organizzativa. Ciò include l’obbligo di riservatezza per tutto il personale autorizzato e l’adozione di sistemi idonei a prevenire accessi non autorizzati o perdite di dati.

Il responsabile del trattamento deve inoltre assistere il titolare nell’adempimento degli obblighi normativi, tra cui:

• gestione delle richieste degli interessati;
• notificazione delle violazioni di dati personali (data breach);
• supporto nelle valutazioni d’impatto sulla protezione dei dati (DPIA).

Particolare attenzione riguarda l’eventuale ricorso a sub-fornitori tecnologici: il responsabile può nominarli solo previa autorizzazione del titolare, mantenendo comunque la responsabilità sul loro operato.

Sicurezza e protezione dei dati nella pratica della telemedicina

La sicurezza rappresenta il cuore della compliance privacy in telemedicina. L’art. 32 GDPR impone l’adozione di misure tecniche e organizzative proporzionate al rischio, considerando natura dei dati trattati e impatto sui diritti dei pazienti.

Tra le misure ritenute essenziali rientrano:

• cifratura dei dati sia durante la trasmissione sia nella conservazione;
• pseudonimizzazione delle informazioni sanitarie;
• autenticazione forte e gestione rigorosa delle credenziali di accesso;
• tracciabilità degli accessi tramite sistemi di log;
• monitoraggio continuo degli eventi di sicurezza e prevenzione delle intrusioni;
• verifica periodica dell’efficacia delle misure adottate.

Un ruolo fondamentale è svolto anche dal principio di privacy by design e by default, che impone di integrare la protezione dei dati fin dalla progettazione dei servizi digitali e di limitare automaticamente il trattamento ai soli dati necessari. In molti casi, inoltre, l’utilizzo di piattaforme di telemedicina richiede lo svolgimento di una Valutazione d’Impatto sulla Protezione dei Dati (DPIA), indispensabile per individuare preventivamente i rischi e predisporre adeguate contromisure.

In conclusione, la telemedicina non rappresenta soltanto un’evoluzione tecnologica della pratica sanitaria, ma anche un ambito ad alta responsabilità giuridica. Solo un approccio integrato — basato su chiarezza dei ruoli, trasparenza verso i pazienti e solide misure di sicurezza — consente di coniugare innovazione digitale e tutela effettiva della riservatezza sanitaria.

Scopri come il team di OKPrivacy può aiutarti a proteggere i tuoi dati e quelli dei tuoi pazienti