Dati dei pazienti e nLPD: ciò che ogni studio dovrebbe sapere nel 2026

Da settembre 2023, la nLPD (nuova legge federale sulla protezione dei dati) disciplina più severamente il trattamento dei dati personali in Svizzera. Per uno studio, i dati sanitari sono tra i più sensibili in assoluto, e la responsabilità del professionista è reale. Questa guida ripercorre senza gergo ciò che la nLPD si aspetta concretamente dal suo studio, cosa rischia in caso di fuga di dati, e le domande giuste da porre ai suoi fornitori.

1. Titolare o responsabile del trattamento: la distinzione chiave

È il punto più importante, e il più spesso frainteso.

• Lo studio è il titolare del trattamento. È lui a decidere perché e come vengono trattati i dati dei suoi pazienti. La responsabilità giuridica è sua.
• Il fornitore tecnico è un responsabile del trattamento. L'hoster, l'editore del software o il creatore del sito agiscono per conto dello studio, secondo le sue istruzioni.

La conseguenza è netta: in caso di problema, è lo studio a rispondere nei confronti del paziente e dell'autorità, anche quando la causa tecnica proviene da un fornitore. Da qui l'importanza di inquadrare quel fornitore con un contratto chiaro (spesso chiamato contratto di trattamento dei dati): dove sono i dati, come sono protetti, e cosa ne è alla fine del contratto.

2. Quali dati tratta in realtà?

Si pensa alla «cartella clinica», ma il perimetro è più ampio. Ecco le principali categorie che uno studio gestisce.

Tipo di dati	Esempi	Sensibilità
Dati identificativi	Nome, indirizzo, data di nascita, telefono	Personale
Contatto e appuntamenti	E-mail, fasce orarie, cronologia delle visite	Personale
Dati sanitari	Diagnosi, trattamenti, note, documenti	Sensibile (protezione rafforzata)
Dati amministrativi	Assicurazione, fatturazione	Da personale a sensibile

I dati sanitari godono di una protezione rafforzata ai sensi della nLPD. Ma anche una semplice agenda di appuntamenti, che rivela che una determinata persona consulta un determinato specialista, è già un'informazione da proteggere seriamente.

3. Dove devono essere conservati i dati?

La nLPD non vieta di per sé l'hosting all'estero, ma impone un livello di protezione adeguato e trasparenza. In pratica, per i dati sanitari, conservarli in Svizzera (o in mancanza nell'Unione europea con vere garanzie) è la scelta più semplice da difendere.

Ciò che conta è sapere dove sono conservati i dati dei pazienti, chi vi accede e su quale base contrattuale. Una conservazione in Svizzera facilita il percorso, ma da sola non basta: chieda anche un contratto con il fornitore, la cifratura dei dati (in transito e a riposo), un controllo degli accessi tracciato e backup ripristinabili. Per uno studio, saper rispondere con precisione a queste domande è una posizione solida se un paziente o un'autorità lo chiede.

4. Il segreto medico si aggiunge alla nLPD

La protezione dei dati non è l'unico quadro. Si applica anche il segreto medico (art. 321 del Codice penale svizzero). Anche i suoi ausiliari, compreso un fornitore tecnico che ha accesso a questi dati nell'ambito del suo incarico, sono tenuti al segreto. È prudente prevederlo espressamente nel contratto con il fornitore. Un responsabile del trattamento serio lo accetta senza difficoltà.

5. Cosa rischia concretamente uno studio

In caso di fuga (un computer rubato, un ransomware, una configurazione errata, un'e-mail inviata al destinatario sbagliato), lo studio ha degli obblighi. Al di là della possibile sanzione, il vero rischio è altrove: la fiducia dei pazienti e la violazione del segreto medico. Una fuga di dati sanitari non si «ripara» come una carta di credito bloccata. Ciò che è esposto lo resta a lungo.

Cosa fare se si verifica una fuga? I riflessi giusti, nell'ordine:

• Contenere: bloccare gli accessi, cambiare le password, isolare ciò che può essere isolato.
• Valutare: quali dati, quante persone, quale rischio per loro.
• Notificare se necessario: se la violazione comporta probabilmente un rischio elevato per le persone interessate, la comunichi quanto prima all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) (art. 24 nLPD); informi anche le persone interessate quando la loro protezione lo richiede o l'IFPDT lo chiede.
• Documentare: annotare cosa è accaduto e quali misure sono state adottate.

Anticipare con calma queste tappe, prima di ogni incidente, fa tutta la differenza il giorno in cui accade.

6. Le domande giuste da porre al suo fornitore

Non ha bisogno di essere giurista né informatico. Basta porre le domande giuste e ascoltare se le risposte sono chiare:

• Dove sono ospitati i dati dei miei pazienti (Paese e regione)?
• Chi vi accede, e come viene tracciato questo accesso?
• Esistono backup automatici, e possono essere ripristinati in caso di bisogno?
• La connessione al mio spazio di gestione è protetta da una doppia sicurezza?
• Cosa ne è dei miei dati se interrompo il contratto (restituzione, cancellazione)?
• Il segreto medico (art. 321 CP) è previsto nel contratto?

Un fornitore che risponde chiaramente a queste sei domande la protegge. Un fornitore che elude o annega la risposta nel gergo deve allertarla.

Domande frequenti

La nLPD si applica anche a un piccolo studio?

Sì. La dimensione dello studio non cambia il principio: dal momento in cui tratta dati dei pazienti, è responsabile della loro protezione. Le misure attese sono proporzionate, ma l'obbligo esiste.

Sono responsabile anche se è stato il mio fornitore a commettere l'errore?

Nei confronti del paziente e dell'autorità, è lo studio a rispondere in quanto titolare del trattamento. Da qui l'importanza di scegliere fornitori seri e di inquadrarli con un contratto. Tra le parti, il contratto può ripartire le responsabilità di ciascuno.

I miei dati possono essere ospitati all'estero?

Non è vietato, a condizione che vi siano un livello di protezione adeguato e trasparenza. Ma per i dati sanitari, la conservazione in Svizzera resta la scelta più semplice da difendere, a condizione di un contratto con il fornitore e di misure di sicurezza chiare.

Bisogna cifrare i dati?

La cifratura (durante il trasferimento e a riposo) fa parte delle misure tecniche attese per i dati sensibili. Chieda al suo fornitore come protegge i dati, senza dover padroneggiare ogni dettaglio tecnico.

Cosa significa «tenere un registro delle attività di trattamento»?

Significa documentare quali dati tratta, perché, dove si trovano, chi vi accede e quando vengono cancellati. La nLPD prevede questo registro delle attività di trattamento (art. 12); le piccole strutture possono esserne dispensate a certe condizioni (art. 24 dell'ordinanza sulla protezione dei dati), ma non quando trattano dati degni di particolare protezione su larga scala. Nel dubbio lo tenga: può restare breve e concreto, ed è un ottimo mezzo per vedere chiaro nella propria organizzazione.

L'essenziale da ricordare

La nLPD non è una trappola, è un quadro. Lo studio che la prende sul serio protegge i suoi pazienti e protegge sé stesso. Se dovesse ricordare una sola cosa: resta responsabile dei dati dei suoi pazienti, anche quando delega la tecnica. Scelga dunque fornitori in grado di rispondere, in modo chiaro e senza giri di parole, alle domande qui sopra.

Fonti

• Incaricato federale della protezione dei dati e della trasparenza (IFPDT) · autorità di vigilanza per la nLPD.
• Legge federale sulla protezione dei dati (nLPD, RS 235.1) · testo ufficiale, in vigore dal 1° settembre 2023 (Fedlex).
• Codice penale svizzero, art. 321 (segreto professionale) · Fedlex.
• Ordinanza sulla protezione dei dati (OPDo, RS 235.11) · testo ufficiale (Fedlex), in particolare l'art. 24 sulla dispensa dal registro.