Dati dei pazienti e nLPD: ciò che ogni studio dovrebbe sapere nel 2026

Da settembre 2023, la nLPD (nuova legge federale sulla protezione dei dati) disciplina più severamente il trattamento dei dati personali in Svizzera. Per uno studio, i dati sanitari sono tra i più sensibili in assoluto, e la responsabilità del professionista è reale. Questa guida ripercorre senza gergo ciò che la nLPD si aspetta concretamente dal suo studio, cosa rischia in caso di fuga di dati, e le domande giuste da porre ai suoi fornitori.

1. Titolare del trattamento o responsabile esterno: la distinzione chiave

È il punto più importante, e il più spesso frainteso.

• Lo studio è il titolare del trattamento. È lui a decidere perché e come vengono trattati i dati dei suoi pazienti. La responsabilità giuridica è sua.
• Il fornitore tecnico è un responsabile esterno. L'hoster, l'editore del software o il creatore del sito agiscono per conto dello studio, secondo le sue istruzioni.

La conseguenza è netta: in caso di problema, è lo studio a rispondere nei confronti del paziente e dell'autorità, anche quando la causa tecnica proviene da un fornitore. Da qui l'importanza di inquadrare quel fornitore con un contratto chiaro (spesso chiamato contratto di trattamento dei dati): dove sono i dati, come sono protetti, e cosa ne è alla fine del contratto.

2. Quali dati tratta in realtà?

Si pensa alla «cartella clinica», ma il perimetro è più ampio. Ecco le principali categorie che uno studio gestisce.

Tipo di dati	Esempi	Sensibilità
Dati identificativi	Nome, indirizzo, data di nascita, telefono	Personale
Contatto e appuntamenti	E-mail, fasce orarie, cronologia delle visite	Personale
Dati sanitari	Diagnosi, trattamenti, note, documenti	Sensibile (protezione rafforzata)
Dati amministrativi	Assicurazione, fatturazione	Da personale a sensibile

I dati sanitari godono di una protezione rafforzata ai sensi della nLPD. Ma anche una semplice agenda di appuntamenti, che rivela che una determinata persona consulta un determinato specialista, è già un'informazione da proteggere seriamente.

3. Dove devono essere ospitati i dati?

La nLPD non vieta di per sé l'hosting all'estero, ma impone un livello di protezione adeguato e trasparenza. In pratica, per i dati sanitari, ospitare in Svizzera (o in mancanza nell'Unione europea con vere garanzie) è la scelta più sicura e più semplice da difendere.

La vera prudenza consiste nell'evitare le soluzioni in cui il dato finisce presso un attore soggetto a leggi extraeuropee di accesso ai dati. Per uno studio, poter dire «i dati dei miei pazienti non lasciano la Svizzera» non è un argomento di marketing: è una posizione solida in caso di domande.

4. Il segreto medico si aggiunge alla nLPD

La protezione dei dati non è l'unico quadro. Si applica anche il segreto medico (art. 321 del Codice penale svizzero). Chiunque tratti questi dati per conto dello studio, compreso un fornitore tecnico, ne diventa un ausiliario tenuto al segreto. Questo deve figurare nero su bianco nel contratto con il fornitore. Un responsabile esterno serio lo accetta senza difficoltà.

5. Cosa rischia concretamente uno studio

In caso di fuga (un computer rubato, un ransomware, una configurazione errata, un'e-mail inviata al destinatario sbagliato), lo studio ha degli obblighi. Al di là della possibile sanzione, il vero rischio è altrove: la fiducia dei pazienti e la violazione del segreto medico. Una fuga di dati sanitari non si «ripara» come una carta di credito bloccata. Ciò che è esposto lo resta a lungo.

Cosa fare se si verifica una fuga? I riflessi giusti, nell'ordine:

• Contenere: bloccare gli accessi, cambiare le password, isolare ciò che può essere isolato.
• Valutare: quali dati, quante persone, quale rischio per loro.
• Notificare se necessario: a seconda della gravità, informare l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e le persone interessate.
• Documentare: annotare cosa è accaduto e quali misure sono state adottate.

Anticipare con calma queste tappe, prima di ogni incidente, fa tutta la differenza il giorno in cui accade.

6. Le domande giuste da porre al suo fornitore

Non ha bisogno di essere giurista né informatico. Basta porre le domande giuste e ascoltare se le risposte sono chiare:

• Dove sono ospitati i dati dei miei pazienti (Paese e regione)?
• Chi vi accede, e come viene tracciato questo accesso?
• Esistono backup automatici, e vengono regolarmente testati?
• La connessione al mio spazio di gestione è protetta da una doppia sicurezza?
• Cosa ne è dei miei dati se interrompo il contratto (restituzione, cancellazione)?
• Il segreto medico (art. 321 CP) è previsto nel contratto?

Un fornitore che risponde chiaramente a queste sei domande la protegge. Un fornitore che elude o annega la risposta nel gergo deve allertarla.

Domande frequenti

La nLPD si applica anche a un piccolo studio?

Sì. La dimensione dello studio non cambia il principio: dal momento in cui tratta dati dei pazienti, è responsabile della loro protezione. Le misure attese sono proporzionate, ma l'obbligo esiste.

Sono responsabile anche se è stato il mio fornitore a commettere l'errore?

Nei confronti del paziente e dell'autorità, è lo studio a rispondere in quanto titolare del trattamento. Da qui l'importanza di scegliere fornitori seri e di inquadrarli con un contratto. Tra le parti, il contratto può ripartire le responsabilità di ciascuno.

I miei dati possono essere ospitati all'estero?

Non è vietato, a condizione che vi siano un livello di protezione adeguato e trasparenza. Ma per i dati sanitari, l'hosting in Svizzera resta la scelta più semplice da difendere e la più rassicurante per i suoi pazienti.

Bisogna cifrare i dati?

La cifratura (durante il trasferimento e a riposo) fa parte delle misure tecniche attese per i dati sensibili. Chieda al suo fornitore come protegge i dati, senza dover padroneggiare ogni dettaglio tecnico.

Cosa significa «tenere un registro dei trattamenti»?

Significa documentare quali dati tratta, perché, dove si trovano e chi vi accede. Per uno studio può restare breve e concreto, ed è un ottimo mezzo per vedere chiaro nella propria organizzazione.

L'essenziale da ricordare

La nLPD non è una trappola, è un quadro. Lo studio che la prende sul serio protegge i suoi pazienti e protegge sé stesso. Se dovesse ricordare una sola cosa: resta responsabile dei dati dei suoi pazienti, anche quando delega la tecnica. Scelga dunque fornitori in grado di rispondere, in modo chiaro e senza giri di parole, alle domande qui sopra.

Fonti

• Incaricato federale della protezione dei dati e della trasparenza (IFPDT) · autorità di vigilanza per la nLPD.
• Legge federale sulla protezione dei dati (nLPD, RS 235.1) · testo ufficiale, in vigore dal 1° settembre 2023 (Fedlex).
• Codice penale svizzero, art. 321 (segreto professionale) · Fedlex.