Inviare il referto al paziente via email: cosa prevede il GDPR e come farlo correttamente
In sintesi:- Inviare un referto via email non cifrata o su canali non autorizzati viola il GDPR e può costare sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale.
- Il Garante Privacy italiano ha già sanzionato strutture sanitarie per comunicazioni di dati clinici su canali non adeguatamente protetti.
- Servono almeno tre elementi: consenso esplicito del paziente all'invio digitale, cifratura del canale o del documento, e un log tracciabile di ogni invio.
Quanti medici, finita la visita, aprono WhatsApp e mandano la foto del referto al paziente? Probabilmente la maggior parte. È comodo, è immediato, e il paziente lo ringrazia. Il problema è che quel gesto — così normale, così innocuo in apparenza — costituisce un trattamento di dati sanitari su una piattaforma che non ha sottoscritto un Accordo di Responsabilità del Trattamento (DPA) con il medico, i cui server possono risiedere fuori dall'Unione Europea, e per cui non esiste alcun log di ricezione. L'invio del referto al paziente via email o su canali digitali è uno di quei temi che ogni medico affronta quotidianamente, ma che raramente qualcuno ha spiegato con precisione normativa.
Perché il referto è un dato che merita attenzione particolare
Il referto clinico — con diagnosi, terapia farmacologica, esito degli esami e indicazioni di follow-up — rientra nella categoria dei «dati particolari» ai sensi dell'art. 9 del Regolamento (UE) 2016/679 (GDPR), vale a dire dati che rivelano lo stato di salute di una persona fisica. Per questa categoria il legislatore europeo ha previsto un regime di protezione rafforzata: il trattamento è in linea di principio vietato, salvo specifiche eccezioni, tra cui la prestazione di cure mediche e la gestione dei sistemi e dei servizi di assistenza sanitaria (art. 9, par. 2, lett. h).
Questo significa che il medico ha titolo per trattare quei dati durante la visita e per produrre il referto. Ma quando decide di trasmettere quel documento al paziente su un canale digitale, compie un'operazione di comunicazione di dati sanitari che deve rispettare le garanzie previste dall'art. 5 GDPR: integrità, riservatezza, e responsabilizzazione (accountability). Non basta la buona intenzione. Serve una procedura.
Cosa dice concretamente il Garante Privacy
Il Garante per la protezione dei dati personali ha affrontato più volte il tema della trasmissione di documenti clinici via canali digitali. Nel provvedimento del 7 marzo 2019 (doc. web n. 9101974), il Garante ha chiarito che l'invio di referti e documentazione clinica tramite email ordinaria — non cifrata, senza verifica dell'identità del destinatario — espone il titolare del trattamento a violazioni del principio di integrità e riservatezza sancito dall'art. 5, par. 1, lett. f) del GDPR. Le sanzioni previste dall'art. 83, par. 4 del Regolamento arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per violazioni delle misure di sicurezza, e fino a 20 milioni o al 4% per violazioni dei principi fondamentali.
Le Linee Guida 5/2022 dell'European Data Protection Board (EDPB) sulla notifica delle violazioni dei dati confermano che la perdita di riservatezza nella comunicazione di dati sanitari a soggetti non autorizzati — incluso l'invio a un indirizzo email errato — costituisce un «data breach» da notificare al Garante entro 72 ore. Il che, nella pratica ambulatoriale, significa una procedura che pochi studi privati hanno effettivamente strutturato.
Le tre condizioni minime per inviare un referto via email
Se vuoi inviare il referto al paziente via email in modo conforme al GDPR, la soglia minima è composta da tre elementi. Non sono opzionali.
Il primo è il consenso esplicito e documentato del paziente alla ricezione di documentazione clinica su quel canale. L'informativa privacy che ogni studio deve fornire ai sensi dell'art. 13 GDPR deve specificare le modalità di comunicazione dei dati, e il paziente deve aver scelto attivamente la ricezione via email, indicando l'indirizzo che considera sicuro e riservato. Non basta la firma dell'informativa generica: la scelta del canale digitale deve essere separata e tracciata.
Il secondo elemento è la protezione del documento trasmesso. L'approccio più solido è la cifratura end-to-end del canale oppure — più pratico nella realtà ambulatoriale — l'invio del referto come file PDF protetto da password, comunicata al paziente su un canale separato (ad esempio via SMS). L'EDPB, nelle sue linee guida sulla sicurezza del trattamento, indica la cifratura dei dati come misura tecnica appropriata per la protezione di dati sanitari in transito.
Il terzo elemento è la tracciabilità dell'invio: data, ora, indirizzo destinatario, e conferma di ricezione. Senza un log, in caso di contestazione non esiste prova che il documento sia stato consegnato né che il destinatario fosse effettivamente il paziente. Un log di invio strutturato, conservato per il periodo previsto dalla normativa, è la differenza tra una procedura difendibile e un rischio concreto.
Il problema di WhatsApp, Gmail e gli account personali
La prima obiezione che viene in mente è ovvia: ma tutti lo fanno. Vero. Ma «tutti lo fanno» non ha mai protetto nessuno in sede di accertamento del Garante, né in un eventuale contenzioso civile tra paziente e medico.
WhatsApp, nella versione ordinaria, è un servizio di Meta Platforms Inc. I dati transitano su server il cui regime giuridico dipende dal contratto tra Meta e l'utente, non da un Accordo di Responsabilità del Trattamento sottoscritto con lo studio medico. Per le aziende esiste WhatsApp Business API, che consente la stipula di un DPA, ma richiede un'integrazione tecnica che la stragrande maggioranza degli ambulatori privati non ha. Usare l'account personale WhatsApp per inviare referti è, a tutti gli effetti, un trattamento privo delle garanzie contrattuali richieste dall'art. 28 GDPR.
Gmail, nella versione gratuita, ha le stesse criticità: i termini di servizio non offrono le garanzie di un contratto di responsabilità del trattamento pensato per dati sanitari. Google Workspace for Healthcare, con il Business Associate Agreement, è un'altra cosa — ma richiede configurazione, costo aggiuntivo e una procedura interna che la maggioranza degli ambulatori privati non ha attivato.
La mail inviata dall'account personale del medico, su un provider ordinario, verso un indirizzo del paziente scelto al volo, senza cifratura e senza log: è esattamente il profilo di rischio più frequente e più difficile da difendere.
Come un sistema strutturato cambia la situazione
Un approccio corretto all'invio del referto al paziente via email non richiede necessariamente di diventare esperti di crittografia. Richiede di usare strumenti pensati per questo scopo.
Refertius, ad esempio, integra la consegna del referto al paziente all'interno del flusso di lavoro ambulatoriale: il documento viene inviato tramite un canale dedicato, con tracciatura automatica dell'invio — data, ora, destinatario — e con il referto stesso protetto. Il medico non deve gestire password, client email separati o procedure manuali di cifratura. La conformità GDPR è incorporata nel flusso, non è un adempimento aggiunto a posteriori.
Chi volesse approfondire il confronto tra diversi approcci alla gestione documentale può trovare utile la nostra guida su come scegliere un software di refertazione medica: i criteri di valutazione per la sicurezza dei dati sono tra i parametri chiave da considerare.
La tracciabilità non serve solo per il Garante. Serve anche per rispondere a un paziente che sostiene di non aver mai ricevuto il referto, o — in uno scenario più delicato — per dimostrare che le indicazioni terapeutiche erano state correttamente comunicate prima che si verificasse un evento avverso. Il log di invio è documentazione clinica a tutti gli effetti.
Cosa fare prima del prossimo referto
Se domani mattina vuoi fare la cosa giusta, il percorso è più semplice di quanto sembri. Parti dall'informativa: verifica che menzioni esplicitamente le modalità di comunicazione digitale dei documenti clinici. Se non lo fa, aggiornala — non è un'operazione che richiede un legale, bastano pochi minuti con un modello aggiornato al GDPR.
Subito dopo, definisci internamente — anche con una procedura scritta di una pagina — quale canale usi per inviare i referti, come proteggi il documento e come registri l'invio. Questa procedura, in caso di accertamento, dimostra che il titolare del trattamento ha adottato misure tecniche e organizzative adeguate ai sensi dell'art. 24 GDPR. È la prova concreta dell'accountability.
Se gestisci più pazienti al giorno e la procedura manuale diventa un collo di bottiglia, un sistema strutturato come Refertius risolve il problema a monte: il referto viene generato durante la visita e consegnato al paziente attraverso un canale tracciato, senza passaggi manuali aggiuntivi. Prova la demo gratuita (3 referti omaggio, senza carta) per vedere come funziona nella pratica.
Tre scenari concreti di rischio che vale la pena conoscere
Il rischio non è sempre il Garante che bussa alla porta. Molto spesso il problema emerge in contesti meno formali ma ugualmente scomodi.
Il primo scenario è l'email inviata all'indirizzo sbagliato. Un referto contenente diagnosi di ipertensione, dislipidemia o una condizione più sensibile che finisce nella casella di un omonimo, di un familiare non autorizzato, o di un ex datore di lavoro: è un data breach che va notificato al Garante entro 72 ore. Senza un sistema che registri l'indirizzo usato e la conferma di ricezione, dimostrare l'accaduto — e gestire la notifica — diventa complicato.
Il secondo scenario è la contestazione del paziente. «Non ho mai ricevuto le indicazioni per il farmaco» oppure «nessuno mi ha detto di tornare per il controllo»: in assenza di un log di invio del referto, non esiste prova documentale della comunicazione. La parola del medico contro quella del paziente, in sede civile, è una posizione scomoda.
Il terzo scenario, meno frequente ma esistente, è l'accesso non autorizzato ai dati durante la trasmissione. Un'email non cifrata che transita su reti non sicure — come il Wi-Fi di uno studio condiviso — può essere intercettata. Non è un rischio teorico: le Linee Guida EDPB 01/2021 dedicano una sezione specifica a questo profilo di vulnerabilità nella trasmissione di dati sanitari.
Domande frequenti sull'invio del referto al paziente via email
Posso inviare il referto al paziente tramite WhatsApp?
WhatsApp nella versione ordinaria non consente la stipula di un Accordo di Responsabilità del Trattamento ai sensi dell'art. 28 GDPR tra il medico e Meta Platforms. L'invio di referti su questo canale espone il medico a un trattamento privo delle garanzie contrattuali richieste dalla normativa europea. Tecnicamente possibile; normativamente difendibile con difficoltà, in caso di accertamento del Garante.
Qual è la sanzione per aver inviato un referto su un canale non sicuro?
Le violazioni dei principi di sicurezza del trattamento (art. 5 e art. 32 GDPR) sono punite fino a 10 milioni di euro o al 2% del fatturato mondiale annuo dell'organizzazione, secondo l'art. 83, par. 4 del GDPR. Per le violazioni dei principi fondamentali — inclusa la riservatezza — la sanzione può arrivare fino a 20 milioni o al 4%. Per un singolo medico, le sanzioni irrogate dal Garante italiano sono proporzionate alle dimensioni del titolare, ma anche gli importi «minori» documentati in passato si aggirano tra i 5.000 e i 50.000 euro.
Il paziente deve firmare qualcosa prima che io gli invii il referto via email?
Non serve una firma separata per ogni invio. È sufficiente che l'informativa privacy fornita al paziente ai sensi dell'art. 13 GDPR menzioni esplicitamente la modalità di comunicazione digitale della documentazione clinica, e che il paziente abbia indicato e confermato l'indirizzo email su cui intende ricevere i suoi documenti. Questa preferenza va documentata e conservata.
È sufficiente proteggere il PDF con password per essere in regola?
La protezione con password del file PDF è una misura tecnica appropriata per la protezione del documento in transito, coerente con le indicazioni dell'EDPB sulla cifratura dei dati particolari. Non è l'unica misura richiesta: servono anche il consenso documentato del paziente all'invio su quel canale e un log tracciabile dell'invio stesso. La password sul PDF, da sola, non esaurisce gli obblighi di sicurezza.
Cosa faccio se invio accidentalmente un referto all'indirizzo email sbagliato?
Un invio a un destinatario non autorizzato è un data breach ai sensi dell'art. 33 GDPR. Il titolare del trattamento — cioè il medico o la struttura ambulatoriale — deve valutare il rischio per i diritti e le libertà dell'interessato. Se il rischio non è improbabile, la violazione va notificata al Garante entro 72 ore dalla presa di conoscenza. Se il rischio è elevato, va anche comunicata al paziente coinvolto. Documentare immediatamente l'accaduto e le misure adottate è il primo passo.
---
Scopri Refertius — 3 ore gratis senza cartaRefertius genera il referto durante la visita e lo consegna al paziente attraverso un canale tracciato, con log automatico di ogni invio. Nessuna procedura manuale, nessun canale improvvisato.
Prova la demo gratuita (3 referti omaggio, senza carta)Condividi questo articolo