GDPR per professionisti sanitari: guida per il sito web
GDPR e sito web per professionisti sanitari: privacy policy, consensi, form di contatto e dati sensibili. Cosa serve davvero per essere in regola.
Se hai un sito web e lavori nell’ambito sanitario — psicologo, fisioterapista, medico, nutrizionista — il GDPR per professionisti sanitari non è un dettaglio burocratico. È un obbligo concreto che riguarda ogni form di contatto, ogni campo dove un paziente inserisce informazioni sulla propria salute. Ignorarlo espone a sanzioni del Garante Privacy e, cosa più importante, mina la fiducia dei pazienti che si fidano di te con dati sensibili.
In questa guida vediamo cosa serve davvero sul sito, senza semplificazioni e senza allarmismi inutili.
Perché i dati sanitari hanno una protezione speciale
Il Regolamento UE 2016/679 (GDPR) classifica i dati relativi alla salute come “categorie particolari di dati personali”, soggetti a protezione rafforzata rispetto ai dati comuni. Il Garante per la protezione dei dati personali in Italia ha emanato linee guida specifiche per il settore sanitario, ribadite e aggiornate nel 2024-2025.
Cosa significa in pratica: quando un paziente scrive nel form del tuo sito “soffro di attacchi di panico” o “ho bisogno di riabilitazione dopo un intervento al ginocchio”, sta condividendo dati sanitari. Questi dati richiedono una base giuridica specifica (di norma il consenso esplicito) e misure di sicurezza superiori a quelle richieste per i dati ordinari.
Il problema più comune nei siti di professionisti sanitari non è la privacy policy mancante — è che la privacy policy presente è una copia generica scaricata da internet, non adattata alla realtà dello studio. Il Garante può sanzionare anche questo.
Cosa deve contenere la privacy policy del sito
La privacy policy non è un testo standard. Deve descrivere con precisione:
Chi è il titolare del trattamento. Nome, cognome, indirizzo dello studio, contatti diretti. Se hai un DPO (Data Protection Officer) nominato, va indicato anche lui — anche se per la maggior parte dei professionisti singoli non è obbligatorio.
Quali dati raccogli e per quale finalità. Il form di contatto raccoglie nome, email, motivo del contatto — e il motivo può contenere dati sanitari. La finalità è la gestione della richiesta di appuntamento. Va scritto esplicitamente.
Per quanto tempo conservi i dati. I dati del form di contatto non servono per sempre. Una regola pratica: i dati di chi non diventa paziente vanno cancellati entro 30-60 giorni. I dati dei pazienti seguono i tempi previsti dalla normativa sanitaria.
Se trasferisci dati a terzi. Usi un sistema di email marketing? Un CRM? Un gestionale per appuntamenti? Ogni strumento che riceve dati dei pazienti è un “responsabile del trattamento” e va indicato.
Il form di contatto: il punto critico
Il form di contatto è dove la maggior parte dei siti sanitari è fuori norma. Ecco cosa serve:
Checkbox di consenso separata per i dati sanitari. Non basta il consenso generale alla privacy policy. Prima di inviare informazioni sulla propria salute, il paziente deve poter dare un consenso esplicito, informato e separato. Il testo della checkbox deve essere chiaro: “Presto il consenso al trattamento dei dati sulla salute che fornisco in questo messaggio per la gestione della richiesta di appuntamento.”
Niente campi obbligatori non necessari. Se non ti serve sapere il codice fiscale per gestire una richiesta di appuntamento, non chiederlo. Il principio di minimizzazione dei dati impone di raccogliere solo ciò che è strettamente necessario.
Protocollo HTTPS. Il sito deve essere accessibile solo via HTTPS. Un form di contatto su HTTP trasmette i dati in chiaro — una violazione tecnica di base che il Garante considera grave.
Cookie banner e preferenze
Dal 2022, il Garante italiano ha adottato linee guida stringenti sui cookie. Il banner non può avere solo il pulsante “Accetta tutto” in evidenza: deve dare all’utente la possibilità concreta di rifiutare i cookie non essenziali con la stessa facilità con cui li accetta.
Per i siti di professionisti sanitari che usano Google Analytics o pixel di tracciamento (Facebook Ads, ad esempio), l’obbligo di consenso preventivo è ancora più stringente — il tracciamento del comportamento su un sito sanitario è considerato sensibile.
La soluzione pratica: usa una piattaforma di gestione del consenso (CMP) certificata IAB o equivalente. Iubenda, Cookiebot, Usercentrics: esistono soluzioni a costo mensile contenuto che gestiscono automaticamente il banner conforme.
Quello che vedo fare spesso: installare un plugin WordPress anti-cookie gratuito che mostra un banner, ma non registra i consensi e non distingue tra cookie tecnici e di profilazione. È sufficiente per passare a un’occhiata distratta, ma non supera un’ispezione del Garante.
Quanto costa mettersi in regola (e cosa succede se non lo fai)
Mettersi in regola con il GDPR per un sito di professionista sanitario richiede: una privacy policy personalizzata, un’informativa cookie corretta, una CMP per i consensi, un form di contatto con consenso esplicito per i dati sanitari. Non sono lavori enormi — sono lavori che vanno fatti bene una volta.
Il costo di non farlo è più alto. Il Garante per la protezione dei dati personali può comminare sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale. Per i professionisti singoli le sanzioni sono proporzionate, ma anche 5.000-15.000 euro per violazioni di media gravità sono una cifra che pesa.
Il valore aggiunto è anche comunicativo: un sito che gestisce i dati in modo trasparente trasmette professionalità. Per un paziente che sta per condividere informazioni delicate sulla propria salute, sapere che il professionista prende la privacy sul serio è un elemento di fiducia.
FAQ
Devo nominare un DPO se sono un professionista sanitario individuale? In linea generale, i professionisti sanitari individuali non sono obbligati a nominare un Data Protection Officer. L’obbligo scatta per strutture sanitarie che trattano dati su larga scala. Tuttavia, avere qualcuno di riferimento per le questioni privacy — anche un consulente esterno — è una buona pratica che molti studi adottano.
La privacy policy scaricata da internet va bene? No. Il Garante ha sanzionato siti con privacy policy generiche non adattate alla realtà del trattamento. La policy deve descrivere i dati che raccoglie il tuo sito, le finalità specifiche, i tempi di conservazione reali e gli eventuali responsabili del trattamento. Non esiste un template universale valido.
Devo chiedere il consenso ogni volta che un paziente mi scrive? Il consenso per il trattamento dei dati sanitari va richiesto al primo contatto, tramite checkbox esplicita nel form. Non va ripetuto ad ogni messaggio successivo nell’ambito dello stesso rapporto professionale. Va invece rinnovato se cambi finalità o se passa un periodo lungo senza contatti.
Google Analytics è compatibile con il GDPR su un sito sanitario? Con il sistema di consenso corretto, sì. Senza consenso preventivo, no. Per i siti sanitari, l’opzione più sicura è usare Google Analytics 4 con anonimizzazione degli IP, attivato solo dopo il consenso esplicito dell’utente tramite il cookie banner, o affidarsi ad alternative privacy-first come Plausible o Fathom.
Tutti i siti web per professionisti sanitari che costruisco includono privacy policy personalizzata, informativa cookie conforme e form di contatto con consensi GDPR corretti — non come extra, ma come parte standard del pacchetto. Se vuoi capire cosa serve nel tuo caso specifico, prenota una call gratuita.