GDPR per il nutrizionista: cosa fare in concreto con i dati dei pazienti

Il nutrizionista lavora quasi interamente su dati relativi alla salute: il peso e le misure antropometriche, le patologie e le terapie in corso, le abitudini alimentari, gli esami del sangue che il paziente porta alla prima visita. Il Regolamento (UE) 2016/679, il GDPR, li considera una categoria particolare di dati, che l’articolo 9 vieta di trattare salvo eccezioni precise, e il professionista che li raccoglie per curare è il titolare di quel trattamento, con gli obblighi che ne derivano. Questa guida traduce quegli obblighi nelle scelte concrete di uno studio di nutrizione, appoggiandosi soprattutto al provvedimento del Garante per la protezione dei dati personali del 7 marzo 2019, che ha chiarito come il GDPR si applica in ambito sanitario.

Consenso e informativa: cosa serve per trattare i dati di cura

L’articolo 9 del GDPR consente di trattare i dati relativi alla salute quando il trattamento è necessario per finalità di cura ed è effettuato da un professionista soggetto al segreto professionale. Il Garante ne ha tratto una conseguenza pratica nel provvedimento del 7 marzo 2019: il professionista sanitario soggetto al segreto non deve più chiedere il consenso del paziente per i trattamenti necessari alla prestazione richiesta, che lavori in uno studio privato o in una struttura. Il biologo nutrizionista, il dietista e il dietologo rientrano in questa regola per la raccolta dell’anamnesi, l’elaborazione del piano alimentare, le misurazioni di controllo e la tenuta della documentazione.

Il consenso torna necessario per i trattamenti collegati alla cura solo in senso lato, che secondo il Garante richiedono una base giuridica distinta. Fra gli esempi indicati dal provvedimento ci sono i trattamenti per finalità promozionali o commerciali, e per uno studio di nutrizione significa chiedere un consenso specifico prima di inviare newsletter commerciali o di pubblicare la foto di un paziente sui social, anche quando il paziente è d’accordo a voce. Il consenso informato al trattamento sanitario, regolato dalla legge 22 dicembre 2017, n. 219, è un istituto diverso e riguarda la scelta del paziente di sottoporsi alla prestazione, non l’uso dei suoi dati.

L’informativa prevista dall’articolo 13 del GDPR va invece consegnata sempre, prima o al momento della raccolta dei dati. Deve indicare chi è il titolare, per quali finalità e su quale base giuridica tratta i dati, a chi li comunica, per quanto tempo li conserva e come il paziente può esercitare i propri diritti, in forma concisa e con un linguaggio semplice, come chiede l’articolo 12. Per uno studio di nutrizione basta un documento di una o due pagine, consegnato alla prima visita e disponibile in sala d’attesa o sul sito, con una copia firmata per presa visione da tenere in cartella.

Il registro dei trattamenti

L’articolo 30 del GDPR esenta dal registro delle attività di trattamento le organizzazioni con meno di 250 dipendenti, ma l’esenzione cade se il trattamento non è occasionale o riguarda categorie particolari di dati. Per questo il Garante ha chiarito che i singoli professionisti sanitari in libera professione non rientrano nelle esenzioni, e devono tenere il registro. È un documento interno, che si mostra al Garante in caso di richiesta, e descrive per ogni trattamento le finalità, le categorie di pazienti e di dati, i destinatari, gli eventuali trasferimenti fuori dall’Unione europea, i termini di conservazione e le misure di sicurezza adottate. Per uno studio di nutrizione i trattamenti da descrivere sono pochi e ricorrenti: la cartella clinica e i piani alimentari, l’agenda degli appuntamenti con i promemoria, la fatturazione e la trasmissione al Sistema Tessera Sanitaria, e le eventuali comunicazioni promozionali. Il registro ha senso solo se viene aggiornato quando cambia qualcosa, per esempio quando lo studio adotta un nuovo software o affida la contabilità a un nuovo commercialista.

DPO e valutazione d’impatto

Il responsabile della protezione dei dati, il cosiddetto DPO, è obbligatorio quando l’attività principale del titolare consiste nel trattamento su larga scala di dati relativi alla salute. Il Garante ha chiarito che il singolo professionista sanitario che opera in libera professione a titolo individuale non è tenuto a designarlo, perché secondo il considerando 91 del GDPR i suoi trattamenti non sono su larga scala. Lo stesso ragionamento vale, in linea generale, per la valutazione d’impatto sulla protezione dei dati, che il GDPR rende obbligatoria per i trattamenti su larga scala di dati sanitari; uno studio associato o un centro con più professionisti deve invece valutare caso per caso, perché il volume dei dati e il numero dei professionisti possono cambiare la conclusione.

I fornitori che vedono i dati

Ogni soggetto che tratta i dati dei pazienti per conto del nutrizionista è un responsabile del trattamento, e l’articolo 28 del GDPR richiede un contratto che ne fissi gli obblighi: trattare i dati solo su istruzione del titolare, garantirne la sicurezza, assistere il titolare in caso di violazione, cancellarli o restituirli alla fine del servizio. Nello studio di nutrizione sono responsabili, tipicamente, il fornitore del gestionale o del servizio cloud in cui stanno le cartelle, il fornitore della posta elettronica se vi transitano referti e piani, e il commercialista, che riceve le ricevute con i nomi dei pazienti. Il contratto, chiamato spesso DPA, dall’inglese data processing agreement, va chiesto prima di caricare il primo dato, e va letto in due punti in particolare. Il primo riguarda i sub-responsabili, cioè gli altri fornitori a cui il gestionale si appoggia. Il secondo riguarda la sede dei server e gli eventuali trasferimenti fuori dall’Unione europea, ammessi solo alle condizioni del capo V del GDPR. Un servizio gratuito pensato per i consumatori, che non offre un accordo di questo tipo, non è adatto a conservare dati sanitari dei pazienti.

Sicurezza e violazioni

L’articolo 32 del GDPR chiede misure tecniche e organizzative adeguate al rischio, senza un elenco chiuso. Per un dato sanitario il livello atteso comprende l’accesso con credenziali personali e un secondo fattore di autenticazione, la cifratura dei dati e dei dispositivi, copie di sicurezza verificate, il blocco automatico dello schermo e, per la carta, armadi chiusi a chiave. Le misure si scelgono in base ai rischi concreti dello studio, e la scelta va documentata, perché è il titolare a dover dimostrare di averle adottate.

Quando si verifica una violazione dei dati, come lo smarrimento di un computer non cifrato, l’invio di un piano alimentare al paziente sbagliato o l’accesso abusivo a una casella di posta, l’articolo 33 impone di notificarla al Garante entro 72 ore dal momento in cui il titolare ne viene a conoscenza, salvo che sia improbabile un rischio per i diritti dei pazienti. Se il rischio è elevato, l’articolo 34 impone anche di comunicarla ai pazienti coinvolti. Ogni violazione, anche quella non notificata, va comunque annotata in un documento interno, con i fatti, le conseguenze e i provvedimenti presi.

Per quanto tempo conservare i dati

Il GDPR chiede di conservare i dati per il tempo necessario alle finalità per cui sono stati raccolti, e di indicare quel periodo, o i criteri per determinarlo, nell’informativa. Nel provvedimento del 7 marzo 2019 il Garante ricorda che per diversi documenti sanitari i termini sono fissati da norme specifiche, che il GDPR non ha modificato, e che quando una norma manca è il titolare a dover individuare il periodo in base al principio di responsabilizzazione. Per la cartella di uno studio privato di nutrizione non esiste un termine fissato per legge, e il periodo va quindi deciso e motivato dal professionista, tenendo conto della continuità della cura e della necessità di difendersi in caso di contestazione. La documentazione fiscale segue un binario distinto. Le ricevute e il registro delle prestazioni restano soggetti ai termini di conservazione delle scritture contabili anche quando il paziente chiede la cancellazione dei propri dati, perché l’articolo 17 del GDPR esclude il diritto alla cancellazione quando il trattamento è necessario per adempiere un obbligo di legge.

I diritti dei pazienti

Il paziente può chiedere di accedere ai propri dati, di ottenerne copia, di correggerli e, nei limiti visti sopra, di cancellarli o di limitarne il trattamento. L’articolo 12 del GDPR fissa in un mese il termine per rispondere, prorogabile di altri due mesi nei casi complessi, e la risposta è di norma gratuita. Nella pratica la richiesta più frequente è la copia della cartella o dei piani alimentari, e conviene poterla produrre senza ricostruirla a mano da più archivi.

Intelligenza artificiale e chatbot

L’uso di strumenti di intelligenza artificiale con i dati dei pazienti è il punto su cui la pratica corre più veloce delle regole. Il 30 luglio 2025 il Garante ha richiamato l’attenzione sulla diffusione dell’abitudine di caricare referti e analisi sulle piattaforme di intelligenza artificiale generativa, segnalando sia il rischio di perdere il controllo su dati sanitari sia quello di ricevere indicazioni errate da sistemi non progettati né controllati come dispositivi medici. Per il professionista la conseguenza è diretta: incollare in una chat consumer l’anamnesi di un paziente identificabile significa comunicarne i dati a un fornitore con cui non esiste un accordo ai sensi dell’articolo 28. Nel decalogo sull’intelligenza artificiale nei servizi sanitari, presentato nella newsletter del 10 ottobre 2023, il Garante ha indicato tre principi: la trasparenza dei processi decisionali, la supervisione umana delle decisioni automatizzate e la prevenzione delle discriminazioni algoritmiche. Il decalogo riguarda i servizi sanitari nazionali, ma i principi sono un buon criterio anche per scegliere uno strumento di studio: i dati inviati a un modello dovrebbero essere pseudonimizzati, il fornitore dovrebbe essere un responsabile del trattamento con un contratto, e ogni risultato dovrebbe restare una bozza che il professionista rivede e approva.

Una lista di controllo per lo studio

Gli adempimenti descritti si riducono a un elenco breve, da verificare una volta all’anno o quando cambia qualcosa nello studio:

• un’informativa aggiornata, consegnata alla prima visita;
• un consenso separato per le finalità promozionali e per l’uso delle immagini dei pazienti;
• il registro dei trattamenti, tenuto aggiornato;
• un contratto ai sensi dell’articolo 28 con ogni fornitore che accede ai dati, dal gestionale al commercialista;
• misure di sicurezza scelte e documentate, compresa la cifratura dei dispositivi;
• una procedura per le violazioni, con un registro interno;
• un periodo di conservazione deciso e motivato;
• nessun dato identificativo dei pazienti in servizi di intelligenza artificiale privi di un accordo sul trattamento.

Come NutriFacile tratta i dati

NutriFacile opera come responsabile del trattamento per conto del professionista, con un accordo ai sensi dell’articolo 28 del GDPR. I dati clinici sono cifrati a livello di campo e conservati su server nell’Unione europea, ogni accesso alla cartella resta registrato in un log di audit, e i dati inviati alla componente di intelligenza artificiale vengono pseudonimizzati prima dell’elaborazione, senza nome, codice fiscale o recapiti del paziente. Il piano generato resta una bozza che il professionista rivede e approva. Il professionista può esportare i dati dei propri pazienti in qualunque momento, anche per rispondere a una richiesta di accesso.