Le norme sulla privacy riguardano tutti i medici? Oppure chi non gestisce i dati dei pazienti ne è esonerato? Prima cosa importante da chiarire: il nuovo Regolamento Europeo definisce “trattamento di dati” ogni operazione di raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, comunicazione, diffusione, cancellazione e distruzione di dati, anche se non registrati in una banca di dati, sia che si utilizzi il computer, sia che si lavori su carta.
Sulla base di questa definizione, è praticamente impossibile che il medico non esegua nessun “trattamento” dei dati dei propri pazienti. Ad esempio, anche tenere un’agenda degli appuntamenti con annotati i nominativi dei pazienti è già un trattamento di dati. Anche emettere una fattura con i dati del paziente è un trattamento di dati.
Chi sono i soggetti interessati al trattamento dei dati da parte di un medico? Secondo logica, i pazienti. Ma non solo: il medico potrebbe gestire anche i dati personali del proprio personale dipendente o dei collaboratori. Infine il medico potrebbe dover gestire dati di soggetti non pazienti né dipendenti. La nomina di tale responsabile non è obbligatoria. Se il titolare nomina un responsabile per la protezione dei dati (DPO), deve indicarne i dati.
Vanno indicate le finalità del trattamento, cioè lo scopo per cui si raccolgono e trattano i dati. La finalità principale per uno studio medico è prevenzione, diagnosi, cura, riabilitazione o altre prestazioni di natura medica, anche richieste dal diretto interessato, farmaceutiche o specialistiche. Vi sono poi finalità obbligatorie per legge, ad esempio comunicare dati a enti o autorità o a seguito di precisi rapporti contrattuali (fondi mutualistici, polizze assicurative).
Un’altra finalità importante è esercitare i diritti legali del titolare, ad esempio il diritto di difesa in giudizio. In genere si tratta degli scopi e finalità che ogni studio medico adotta come informativa minima sul trattamento.
Leggi anche: Costi e benefici delle mini-viti
Il titolare dello studio deve dichiarare che si ispira a liceità, correttezza, trasparenza, minimizzazione e limitazione dei dati. Una formula esemplificativa: i dati potranno essere trattati in forma cartacea ed elettronica, con accesso consentito solo agli operatori autorizzati, precedentemente nominati Responsabili o addetti al trattamento, che seguono corsi di formazione specifici e vengono periodicamente aggiornati sulle norme della privacy.
Nella informativa va indicato il tempo di conservazione dei dati, termine spesso diversificato a seconda delle esigenze; spesso si discute in seguito. I dati non verranno diffusi, ma potranno essere trasmessi agli enti competenti per finalità amministrative o istituzionali, secondo la normativa vigente.
Riguardo al trasferimento all’estero dei dati: in genere uno studio medico non ne ha necessità, ma può utilizzare strumenti che si appoggiano a server extra-UE. Una formulazione suggerita: i dati personali sono conservati su server all’interno dell’Unione Europea. Resta inteso che il titolare potrà spostare i server anche extra-UE se necessario.
Nella qualità di Interessato, ai sensi del GDPR, il paziente ha diritti di accesso, rettifica, cancellazione, limitazione del trattamento, opposizione, revoca del consenso e diritto alla portabilità dei dati. Se il diritto di cancellazione rileva in relazione al diritto di difesa, il medico può rifiutarne la cancellazione per tutelare i propri interessi legali, motivando tale decisione. La portabilità significa fornire i dati in formato accessibile e trasmetterli a un altro professionista se richiesto.
Il medico può trattare i dati dei pazienti per finalità di cura senza consenso esplicito, grazie al dovere di segreto professionale. Il consenso è necessario quando si eseguono trattamenti non strettamente legati alla cura, come uso di App non strettamente legate alla prestazione medica o fini di fidelizzazione promozionale e informativa.
Leggi anche: Tutto sul corso di laurea in Igiene Dentale in Emilia-Romagna
Se il medico usa personale di segreteria o collaboratori, deve predisporre una lettera formale conferendo responsabilità specifiche per la privacy. Se si avvale di un ragioniere o commercialista, anche in questo caso la responsabilità va affidata formalmente a loro. È necessario predisporre il Registro dei Trattamenti, obbligatorio per studi che trattano dati di salute, e una versione semplificata è disponibile.
Oltre alla redazione dell’informativa, al consenso e al Registro, scatta la parte di sicurezza: configurare il trattamento dei dati con garanzie essenziali per soddisfare il Regolamento Europeo e tutelare i diritti degli interessati. Una domanda ricorrente è: cos’è il Data Breach? È qualsiasi violazione dei dati: furto, perdita, alterazione o distruzione di dati cartacei o informatici. In caso di violazione, va notificato l’evento all’Autorità Garante entro 72 ore, specificando le misure adottate per contenere il danno.
Se si lavora su carta, è opportuno istituire schede sanitarie per ciascun paziente, conservandole in luoghi chiusi a chiave e accessibili solo al medico e al suo sostituto o collaboratori. Se si usa anche computer, vale lo stesso principio di ridurre rischi di perdita o manomissione: protezione tramite password robusta, aggiornamenti software, antivirus e firewall. Non occorre segnalare alle autorità il possesso di una banca dati.
La scelta tra cartaceo e informatico dipende dall’organizzazione dello studio: nessuno dei due sistemi è intrinsecamente migliore. Occorre adeguare misure di sicurezza e gestione in base al metodo selezionato.
Il regolamento non prevede requisiti fissi per il DPO; studi indipendenti possono nominare un DPO comune per rafforzare le politiche di privacy. Il paziente ha diritto alla portabilità dei dati e il medico deve essere in grado di restituire i documenti originali consegnati dal paziente stesso se richiesto, con ricevuta di consegna.
Leggi anche: leggi l'approccio completo alla terapia parodontale del Corso Ghezzi
La tecnologia AI sta entrando sempre di più nel mondo sanitario e odontoiatrico. Dal 10 ottobre 2025, con la Legge 132/2025, gli odontoiatri devono informare i pazienti sull’uso dell’intelligenza artificiale nelle proprie prestazioni, mantenendo il ruolo centrale del professionista. L’AI è consentita solo come strumento di supporto, mentre la responsabilità decisionale resta al dentista. L’informativa sull’AI deve essere allegata alle lettere di incarico o ai moduli di consenso e accompagnata da una spiegazione chiara e proporzionata al livello di conoscenza del paziente.
Applicazioni comuni dell’AI includono software di diagnosi assistita, pianificazione implantare e gestione dati, ma i risultati diagnostici e terapeutici restano di esclusiva responsabilità dell’odontoiatra. La trasparenza è fondamentale: il paziente deve sapere quali strumenti AI sono impiegati, con quali finalità e limiti. L’uso dell’AI non sostituisce il ragionamento clinico né l’esperienza del professionista.
Profilo deontologico e responsabilità: l’uso di AI va inquadrato nel Codice deontologico odontoiatrico, che richiede informazione chiara e trasparenza. L’articolo 7 e l’articolo 13 della Legge 132/2025 stabiliscono che l’uso di AI deve essere esplicitato e che la decisione clinica resta prerogativa del professionista. La formazione continua (ECM) diventa parte integrante dell’adeguamento AI, con ordini professionali e associazioni sanitarie chiamate a promuovere corsi specifici.
Decalogo pratico per AI e odontoiatri post-10 ottobre: aggiornare informativa, elaborare piani interni di gestione AI, coinvolgere DPO, valutare rischi, documentare l’uso dell’AI nelle cartelle cliniche, formare il personale, definire la comunicazione ai pazienti, mantenere copertura assicurativa, interfacciarsi con ordine ed enti esterni.
In prospettiva, formare il personale e mantenere una gestione trasparente dell’AI rafforza la fiducia del paziente e la qualità del servizio. L’uso dell’AI deve rimanere al servizio del professionista, non sostituirlo, con responsabilità chiara e decisioni cliniche guidate dall’esperienza e dall’etica professionale.
tags: #corso #privacy #edra #odontoiatra #normativa #obblighi
