Pubblica amministrazione · ASL, aziende sanitarie ed enti sanitari

DPO per ASL, aziende sanitarie ed enti sanitari

Assumo l'incarico di Responsabile della protezione dei dati per aziende sanitarie, aziende ospedaliere, strutture accreditate e aziende speciali, in tutta Italia. Il presidio si concentra dove il rischio è realmente concentrato: accessi alla documentazione sanitaria, catena dei fornitori, valutazioni d'impatto e sistemi di intelligenza artificiale.

Verifica la disponibilità per l'incarico Le aree di attenzione

Aggiornato al 1° settembre 2026

Per le aziende sanitarie la designazione del Responsabile della protezione dei dati discende da due presupposti autonomi dell'art. 37: la natura di organismo pubblico e il trattamento su larga scala di categorie particolari di dati. La particolarità del settore non sta nell'obbligo, che è pacifico, ma nella densità dei trattamenti critici: dati relativi alla salute ai sensi dell'art. 9, interessati in condizione di vulnerabilità, una filiera di fornitori e subresponsabili molto estesa, e sistemi informativi in cui il controllo degli accessi è esso stesso un adempimento.

In questa pagina

A chi si rivolge questa pagina
Perché in sanità la soglia è diversa
Le aree di attenzione
Intelligenza artificiale in ambito sanitario
Ricerca e uso secondario dei dati
Come svolgo l'incarico
Che cosa comprende
Come si avvia l'incarico
Come l'ente può affidare il servizio
Perché lo Studio, e con quale trasparenza
Domande frequenti

A chi si rivolge questa pagina

Direzione generale, sanitaria e amministrativaÈ il livello a cui il RPD riferisce ai sensi dell'art. 38 par. 3 e a cui vanno portate le criticità che richiedono una decisione del titolare.

Sistemi informativi e ingegneria clinicaGestiscono cartelle, applicativi dipartimentali, sistemi diagnostici e dispositivi connessi. Sono l'interlocutore per profilazione degli accessi, log e integrazioni tra sistemi.

Risk management e qualitàLe valutazioni d'impatto sulla protezione dei dati e la gestione degli eventi avversi condividono metodo e linguaggio con l'analisi del rischio già in uso nell'ente.

Provveditorato e RUPDevono poter verificare requisiti, indipendenza e disponibilità del professionista, e conoscere l'ampiezza esatta dell'incarico prima di avviare la procedura.

Uffici legali e affari generaliGestiscono richieste di accesso, riscontri agli interessati, rapporti con l'autorità di controllo e contenzioso. Sono i primi a intercettare i reclami.

Strutture private accreditate e aziende specialiCase di cura, RSA, poliambulatori e aziende speciali consortili: perimetri diversi, ma la stessa densità di dati relativi alla salute.

Perché in sanità la soglia è diversa

Nel settore sanitario si sommano tre condizioni che altrove ricorrono separatamente, ed è la loro combinazione a spostare verso l'alto il livello di diligenza richiesto.

La natura dei dati. I dati relativi alla salute rientrano tra le categorie particolari dell'art. 9, il cui trattamento è vietato salvo che ricorra una delle condizioni previste. Ogni trattamento va quindi ricondotto a una base giuridica esplicita e documentata, non presunta.
La condizione degli interessati. Il paziente si trova in una posizione di asimmetria rispetto alla struttura, e in molti casi in condizione di vulnerabilità. Questo incide sulla valutazione del rischio, sulla libertà del consenso quando è la base scelta, e sulle modalità con cui vanno rese le informazioni.
La scala. Il trattamento su larga scala di categorie particolari è espressamente indicato dall'art. 35 par. 3 lett. b tra i casi in cui la valutazione d'impatto sulla protezione dei dati è richiesta. Non è un'eventualità residuale: è la condizione ordinaria di un'azienda sanitaria.

Ne discende una conseguenza pratica su cui vale la pena essere espliciti: in sanità il RPD non può limitarsi a un presidio documentale. Deve poter entrare nel merito di come sono profilati gli accessi, di come sono costruite le integrazioni tra sistemi e di che cosa prevedono davvero i contratti con i fornitori.

Le aree di attenzione

Area	Perché è critica	Attività del RPD
Cartelle e dossier sanitario	Aggregano nel tempo l'intera storia clinica dell'assistito e sono consultabili da un numero elevato di operatori appartenenti a strutture diverse.	Verifica delle basi giuridiche e delle scelte offerte all'assistito, perimetrazione della visibilità per struttura e per ruolo, coerenza tra quanto dichiarato nell'informativa e quanto configurato nei sistemi.
Accessi e tracciamento	L'accesso non necessario alla documentazione di un assistito da parte di personale non coinvolto nella cura è una delle violazioni più ricorrenti e più sanzionate del settore.	Verifica dei profili autorizzativi, esistenza ed effettiva leggibilità dei log, procedure di controllo periodico a campione, istruzioni scritte agli operatori e gestione dei casi rilevati.
Referti e comunicazioni all'assistito	Ritiro online, invio via posta elettronica, notifiche su app e sportelli automatici moltiplicano i punti in cui un referto può raggiungere la persona sbagliata.	Verifica dei meccanismi di autenticazione e di consegna, gestione delle deleghe, disciplina dei casi particolari previsti dall'ordinamento, informativa specifica sul canale utilizzato.
Fornitori e subresponsabili	Applicativi dipartimentali, refertazione, manutenzione da remoto sui sistemi diagnostici, servizi di conservazione: la catena dei subresponsabili è lunga e spesso non è interamente nota all'ente.	Verifica degli atti di nomina ex art. 28, ricostruzione della catena dei subresponsabili, controllo delle garanzie sugli accessi da remoto, clausole su cancellazione e restituzione a fine contratto.
Cloud e trasferimenti	Molti servizi sanitari poggiano su infrastrutture cloud e su catene di fornitura che possono comportare trattamenti fuori dallo Spazio economico europeo.	Mappatura di dove i dati risiedono e di chi vi accede, verifica delle basi per il trasferimento previste dal Capo V, esame delle misure supplementari dichiarate dal fornitore.
Telemedicina	Televisita, telemonitoraggio e teleconsulto spostano il trattamento su dispositivi e reti non controllati dall'ente e coinvolgono nuovi soggetti.	Valutazione d'impatto sui nuovi servizi, informative dedicate, verifica della sicurezza dei canali e della corretta qualificazione dei ruoli tra struttura, professionista e fornitore della piattaforma.
Violazioni dei dati	Il termine di 72 ore dell'art. 33 mal si concilia con strutture articolate in più presidi, dove la notizia dell'evento può impiegare giorni a risalire.	Catena di segnalazione interna nota agli operatori, criteri di valutazione della notificabilità, registro delle violazioni, supporto nella comunicazione agli interessati quando il rischio è elevato.
Conservazione	La documentazione sanitaria è soggetta a regole di conservazione proprie, che convivono con il principio di limitazione della conservazione.	Coordinamento tra massimario di scarto, obblighi di conservazione della documentazione sanitaria e principi del Regolamento, con tempi differenziati per categoria di documento e non un'unica regola generale.

Un'osservazione sul metodo. In sanità il rischio maggiore non è l'assenza di documentazione, che di norma esiste ed è abbondante, ma la distanza tra il documento e il sistema: informative che descrivono una visibilità diversa da quella configurata, atti di nomina che non menzionano subresponsabili già operativi, procedure che nessun operatore ha mai visto. La verifica di questa coerenza è il contributo più utile che un RPD può dare a un'azienda sanitaria.

Intelligenza artificiale in ambito sanitario

La sanità è il settore in cui l'intelligenza artificiale è entrata prima e con l'impatto più diretto sulle persone. La classificazione richiede però attenzione, perché sistemi che sembrano simili ricadono in regimi diversi.

Tipo di sistema	Inquadramento	Decorrenza
Software con funzioni di IA che costituisce dispositivo medico o componente di sicurezza di un dispositivo	Alto rischio ai sensi dell'Allegato I, per il tramite della normativa di settore sui dispositivi medici	Obblighi applicabili dal 2 agosto 2028
Sistemi che regolano l'accesso a prestazioni e servizi pubblici essenziali, compreso il triage o la definizione di priorità di accesso	Alto rischio ai sensi dell'Allegato III	Obblighi applicabili dal 2 dicembre 2027
Strumenti generativi usati per redigere lettere di dimissione, relazioni o testi amministrativi	Regime generale, con obblighi di trasparenza dove applicabili	Il tema immediato non è la classificazione ma quali dati vengono immessi nel sistema
Riconoscimento delle emozioni sul luogo di lavoro	Pratica vietata dall'art. 5	Divieto applicabile dal 2 febbraio 2025

Per un'azienda sanitaria pubblica si aggiungono due obblighi che non hanno equivalenti nel settore privato: la valutazione d'impatto sui diritti fondamentali dell'art. 27, che riguarda in particolare gli organismi di diritto pubblico e i soggetti che erogano servizi pubblici quando utilizzano determinati sistemi ad alto rischio, e la registrazione nella banca dati europea prevista dall'art. 49 par. 3 per gli utilizzatori che sono autorità pubbliche. Va inoltre presidiata la sorveglianza umana: un sistema che supporta una decisione clinica non può tradursi in una decisione automatizzata sulla persona senza le garanzie previste dall'art. 22 del GDPR.

Nel frattempo è già applicabile l'obbligo dell'art. 4 in materia di alfabetizzazione, che richiede di adottare misure per un livello adeguato di competenza del personale che utilizza i sistemi di IA. Su questo trovi un approfondimento nella pagina formazione AI Act e nella sezione AI Act.

Ricerca e uso secondario dei dati

Studi osservazionali, sperimentazioni, registri di patologia e riutilizzo di dati raccolti per finalità di cura sono trattamenti a sé, con basi giuridiche proprie e vincoli specifici. Le domande da chiarire prima di avviare, e non dopo, sono sempre le stesse: qual è la base giuridica del trattamento secondario, quale documentazione è richiesta e quali pareri sono necessari, quali garanzie previste dall'art. 89 sono state adottate, se e come i dati sono stati pseudonimizzati, chi ha accesso al codice di collegamento, che cosa avviene alla conclusione dello studio. Il contributo del RPD in questa fase è soprattutto preventivo: intervenire sul disegno del trattamento costa una frazione di quanto costa correggerlo a raccolta avviata.

Come svolgo l'incarico

Il metodo è lo stesso che applico con gli altri enti, ma qui l'ordine delle priorità cambia. Parto dalla ricognizione dei sistemi e dei fornitori prima che dalla documentazione, perché in sanità è lì che si trovano le distanze più rilevanti. Verifico quali applicativi sono in uso, chi vi accede, quali integrazioni esistono tra sistemi, quali manutenzioni da remoto sono attive e su quali basi. Solo dopo confronto questo quadro con registro dei trattamenti, informative e atti di nomina.

Da qui individuo le priorità e le porto alla direzione in forma di elenco ordinato, con l'indicazione di che cosa è immediatamente contestabile, che cosa è strutturale e che cosa può attendere. Un'azienda sanitaria non sistema tutto in un trimestre, e un piano che finge il contrario non è utile a nessuno.

L'indipendenza, in questo settore, ha un peso concreto. Lo Studio non fornisce all'ente applicativi, servizi informatici o attività di manutenzione: non si trova quindi a vigilare su forniture proprie, che è esattamente la situazione che l'art. 38 par. 6 mira a evitare.

Va infine ricordato che la protezione dei dati non esaurisce il quadro: il settore sanitario è tra quelli su cui insiste anche la disciplina europea sulla sicurezza delle reti e dei sistemi informativi. I due piani vanno tenuti coordinati, in particolare sulla gestione degli incidenti, dove notifiche diverse possono derivare dallo stesso evento.

Che cosa comprende l'incarico

Assunzione del ruolo di RPD con atto di designazione, supporto agli adempimenti di pubblicazione e comunicazione all'autorità di controllo previsti dall'art. 37 par. 7.
Ricognizione dei sistemi informativi, degli applicativi dipartimentali e dei fornitori, con aggiornamento del registro delle attività di trattamento.
Verifica dei profili di accesso, dei log e delle procedure di controllo sugli accessi alla documentazione sanitaria.
Supporto metodologico alle valutazioni d'impatto su dossier sanitario, telemedicina, videosorveglianza, nuovi applicativi e sistemi di IA.
Esame degli atti di nomina dei responsabili e ricostruzione della catena dei subresponsabili, con particolare attenzione agli accessi da remoto.
Revisione delle informative agli assistiti e al personale e verifica della loro coerenza con la configurazione effettiva dei sistemi.
Procedura per le richieste degli interessati e supporto sui riscontri complessi, inclusi i casi che coinvolgono terzi.
Gestione delle violazioni dei dati: criteri di valutazione, supporto alla notifica entro le 72 ore, registro delle violazioni, comunicazione agli interessati quando dovuta.
Supporto su ricerca e uso secondario dei dati, con verifica preventiva del disegno del trattamento.
Classificazione dei sistemi di IA in uso e supporto sugli adempimenti dell'utilizzatore, compresa la valutazione d'impatto sui diritti fondamentali dove ricorrono i presupposti.
Formazione differenziata per personale sanitario, amministrativo e tecnico, con attestazione.
Punto di contatto per l'autorità di controllo e supporto in caso di istruttoria, reclamo o accertamento.
Verifiche periodiche programmate e relazione alla direzione.

Come si avvia l'incarico

Inquadramento preliminareUn confronto con la direzione o con l'ufficio competente per definire il perimetro: presidi, applicativi principali, servizi esternalizzati, stato della documentazione e scadenza dell'incarico in corso.
Proposta scrittaAttività comprese, modalità e tempi di risposta, periodicità delle verifiche, durata e corrispettivo. Il perimetro è definito in modo esplicito, incluso ciò che non è compreso.
Affidamento e designazioneL'ente procede secondo le proprie procedure. Seguono l'atto di designazione, la pubblicazione dei dati di contatto e la comunicazione all'autorità di controllo.
Ricognizione dei sistemiNella fase iniziale esamino applicativi, profilazioni, contratti e catena dei fornitori, e consegno alla direzione un quadro delle priorità ordinato per urgenza e per impatto.
Attività ordinariaPareri preventivi, valutazioni d'impatto, gestione delle richieste e delle violazioni, formazione, verifiche periodiche e relazione alla direzione.

Da remoto e in presenza

L'attività ordinaria si svolge prevalentemente da remoto: pareri, esame della documentazione, riunioni con i servizi e formazione si conducono efficacemente in videoconferenza, ed è ciò che consente di seguire enti in tutta Italia con continuità e senza costi di trasferta. Per la sanità alcuni momenti in presenza sono però realmente utili e vanno concordati: la ricognizione iniziale sui sistemi, le verifiche che richiedono osservazione diretta dei presidi, e le sessioni formative rivolte al personale di reparto.

Come l'ente può affidare il servizio

Come affidarmi l’incarico

Abilitato su MePAIscritto a SardegnaCAT

Lo Studio è abilitato sul Mercato elettronico della Pubblica Amministrazione ed è iscritto a SardegnaCAT, la centrale di committenza della Regione Sardegna. L’ente può quindi procedere con gli strumenti che già utilizza, senza attivare una procedura fuori piattaforma.

Denominazione: Studio Cravero Consulting — Dott. Pietro Cravero
P.IVA / C.F.: 03059830905 — è la chiave di ricerca del fornitore su entrambe le piattaforme
PEC: info.studiocravero@pec.it
Sede: Piazza Fiume 5B, 07100 Sassari (SS)

Le vie praticabili, a seconda dell’importo e del regolamento interno:

affidamento diretto, nei casi e nei limiti in cui l’ordinamento lo consente;
trattativa diretta oppure ordine su MePA;
procedura su SardegnaCAT, per gli enti della Regione Sardegna;
richiesta di preventivo o indagine di mercato, quando l’ente preferisce una fase aperta.

Chiedimi i documenti per la determina →

Le aziende sanitarie acquisiscono il servizio secondo le proprie procedure e attraverso gli strumenti di negoziazione che utilizzano abitualmente. Le vie ordinariamente praticate sono:

affidamento diretto, nei casi e nei limiti in cui l'ordinamento lo consente;
richiesta e confronto di preventivi;
trattativa o procedura telematica sulla piattaforma di negoziazione utilizzata dall'ente;
manifestazione di interesse o indagine di mercato;
centrali di committenza e piattaforme regionali, dove l'acquisizione è centralizzata;
MePA, quando l'ente sceglie di operare su quel mercato elettronico e il professionista risulta abilitato al bando di riferimento.

Questa sezione ha finalità informativa e non costituisce consulenza sulla procedura: la scelta dello strumento, la verifica dei presupposti e il rispetto delle soglie competono al RUP e agli uffici dell'amministrazione. Per conoscere gli strumenti di acquisto attualmente utilizzabili con lo Studio e ricevere i dati necessari a una richiesta di preventivo o a una trattativa, scrivimi indicando l'ente.

Perché lo Studio, e con quale trasparenza

Elementi verificabili

DPO certificato IDcert e Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre.
Specializzazione su protezione dei dati e AI Act. Per un ente che sta introducendo sistemi di IA significa un solo referente per entrambe le materie, che in ambito sanitario si sovrappongono di continuo.
Indipendenza strutturale. Lo Studio non fornisce applicativi né servizi informatici alle strutture sanitarie: nessun conflitto tra il ruolo di RPD e una posizione di fornitore.
Interlocuzione diretta. Chi risponde alla direzione è la stessa persona che ha assunto l'incarico, senza filtri intermedi.
Approccio proporzionato. Priorità ordinate e sostenibili, integrate nella documentazione e nei processi esistenti, invece di un impianto parallelo che nessuno mantiene.
Operatività nazionale. Studio con sede a Sassari, incarichi in tutta Italia prevalentemente da remoto, con presenza concordata dove serve.

Una precisazione che preferisco fare io: su questa pagina non trovi né elenchi di enti seguiti né numeri di incarichi. Non pubblico riferimenti che non possa documentare, e un'azienda sanitaria che sta valutando un affidamento ha diritto a distinguere fra ciò che è verificabile e ciò che è asserito. Quello che offro è una specializzazione normativa su GDPR e AI Act, un metodo esplicito e la disponibilità a un confronto tecnico preliminare in cui la direzione può valutare direttamente la competenza sul merito.

Per il quadro degli adempimenti che riguardano le strutture sanitarie private, come cliniche, studi medici e laboratori, la pagina di riferimento è GDPR per la sanità. Se ti interessa il servizio per un altro tipo di amministrazione, ho pagine dedicate ai Comuni e alle Unioni e alle istituzioni scolastiche, oltre alla panoramica sul servizio per la PA. Le caratteristiche generali dell'incarico sono descritte in DPO esterno.

Verifica la disponibilità per l'incarico

Indicami tipologia e dimensione dell'ente, presidi, principali applicativi in uso e scadenza dell'incarico in corso. Ti rispondo con un inquadramento del perimetro e una proposta scritta.

Richiedi una proposta per il servizio Valutazioni d'impatto

Domande frequenti

Un'azienda sanitaria è sempre obbligata a nominare il DPO?

Sì, e per due ragioni autonome. In quanto organismo pubblico ricade nell'art. 37 par. 1 lett. a; in quanto soggetto che tratta su larga scala categorie particolari di dati ricade anche nella lett. c. Lo stesso vale, per la seconda ragione, per le strutture private che trattano dati relativi alla salute su larga scala, come case di cura, RSA e grandi poliambulatori.

Il DPO può essere il responsabile dei sistemi informativi dell'ente?

È la situazione classica di conflitto di interessi che l'art. 38 par. 6 mira a evitare. Chi determina come sono configurati gli accessi, quali integrazioni esistono tra sistemi e quali fornitori operano non può poi vigilare in modo indipendente su quelle stesse scelte. La designazione interna resta possibile per altre figure, ma richiede una verifica puntuale di assenza di conflitto e una disponibilità di tempo che spesso, nelle strutture articolate, non c'è.

Serve una valutazione d'impatto per il dossier sanitario?

Nella grande maggioranza dei casi sì. L'art. 35 par. 3 lett. b indica espressamente il trattamento su larga scala di categorie particolari di dati tra le ipotesi in cui la valutazione è richiesta, e il dossier sanitario aggrega nel tempo l'intera storia clinica dell'assistito rendendola consultabile da molti operatori. Più che la necessità della valutazione, la questione pratica è la sua qualità: deve descrivere la configurazione reale dei profili di accesso, non quella prevista sulla carta.

Come si gestisce un accesso indebito alla cartella di un paziente?

È una delle casistiche più frequenti del settore. Serve prima di tutto poterlo rilevare, quindi log leggibili e controlli periodici a campione, non solo su segnalazione. Una volta rilevato, va valutato se costituisca una violazione notificabile ai sensi dell'art. 33 e se il rischio per l'interessato sia elevato al punto da richiedere la comunicazione prevista dall'art. 34, tenendo conto della natura sanitaria del dato. Vanno poi documentati l'evento, la valutazione svolta e le misure adottate.

L'ente usa già sistemi di intelligenza artificiale: da dove si comincia?

Dall'inventario, prima che dagli adempimenti. Bisogna sapere quali sistemi sono in uso, chi li ha introdotti, con quale funzione e con quali dati, e su questa base classificarli: un software con funzioni di IA che costituisce dispositivo medico segue l'Allegato I, con obblighi dal 2 agosto 2028; un sistema che regola l'accesso a prestazioni segue l'Allegato III, con obblighi dal 2 dicembre 2027. Per un ente pubblico va inoltre valutata la valutazione d'impatto sui diritti fondamentali dell'art. 27 e la registrazione prevista dall'art. 49 par. 3.

Avete già seguito ASL o aziende ospedaliere?

Su questo sito non pubblico elenchi di enti seguiti né numeri di incarichi, perché non pubblico riferimenti che non posso documentare pubblicamente. Quello che posso mettere a disposizione è la certificazione, il percorso formativo, il metodo di lavoro descritto in questa pagina e la disponibilità a un confronto tecnico preliminare, nel quale la direzione può valutare direttamente la competenza sul merito delle questioni che le interessano.

Il RPD si occupa anche della sicurezza informatica dell'ente?

Sono piani distinti e vanno tenuti tali. Il RPD vigila sull'osservanza della disciplina di protezione dei dati e valuta l'adeguatezza delle misure rispetto al rischio per gli interessati, ma non sostituisce le funzioni tecniche di sicurezza né le strutture che l'ente ha per la gestione degli incidenti informatici. Il coordinamento tra i due piani è però necessario, in particolare quando dallo stesso evento discendono obblighi di notifica diversi.

Scritto da Dott. Pietro Cravero, titolare di Studio Cravero e DPO certificato IDcert, Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre. Studio con sede a Sassari, incarichi svolti in tutta Italia prevalentemente da remoto.