Di fronte alle nuove sfide dell’AI e della Direttiva NIS2, il ruolo del Data Protection Officer o DPO che opera nel contesto sanitario deve evolvere da figura burocratica a perno della resilienza del sistema sanitario.
La recente decisione dell’EDPS e l’iniziativa della Rete Nazionale DPO Sanità di APIHM tracciano la rotta per un nuovo riconoscimento istituzionale e professionale di questi professionisti ad altissima specializzazione.
Indice degli argomenti
DPO in sanità tra indipendenza e responsabilità di sistema
Il 13 febbraio 2026 segna infatti uno spartiacque per la protezione dei dati nel settore pubblico europeo.
Con la Decisione n. 01/2026, il Garante Europeo della Protezione dei Dati (EDPS) ha cristallizzato un principio fondamentale: il Data Protection Officer (RPD) non è un semplice consulente, ma un organo di controllo la cui efficacia dipende strettamente dalle garanzie di indipendenza e dalle risorse messe a sua disposizione, necessarie anche ad un suo costante aggiornamento.
Se l’Europa traccia la via per le istituzioni UE, l’Italia si trova oggi a dover colmare un gap profondo, specialmente in ambito sanitario.
In un settore dove il dato non è solo informazione, ma parte integrante del processo di cura, un asset aziendale essenziale e bene strategico per la sicurezza nazionale, senza il quale l’azienda sanitaria sarebbe impossibilitata a portare avanti la sua mission istituzionale, la figura del DPO deve uscire dalle zone d’ombra della precarietà per assumere una veste di autorevolezza garantita.
La lezione dell’EDPS: indipendenza e risorse
La Decisione 01/2026 dell’EDPS stabilisce requisiti stringenti: ai DPO devono essere dedicate risorse adeguate, questi devono riferire direttamente ai vertici dell’organizzazione e, soprattutto, devono essere protetti da conflitti di interesse e rimozioni arbitrarie.
Un punto rivoluzionario della richiamata Decisione è la necessità di un consenso preventivo dell’Autorità di controllo per la revoca del DPO nelle istituzioni dell’Unione Europea.
Questo modello di tutela contrasta dolorosamente, in particolare, con la realtà di molte realtà sanitarie pubbliche e private sul territorio nazionale.
In molte di queste, infatti, l’indipendenza del DPO risulta inesistente o resta fragile, subordinata a logiche di budget o, peggio, vissuta come un ostacolo burocratico capace di frenare l’innovazione o di evidenziare le criticità di prassi consolidate sotto il profilo della adeguatezza alla vigente normativa in materia di protezione dei dati personali.
Senza una protezione analoga a quella europea, il rischio strutturale, pur a distanza di quasi otto anni dall’obbligo di introdurre nell’organigramma aziendale del ruolo del Data Protection Officer, è l’appiattimento o l’impossibilità di esercitare effettivamente la fondamentale funzione di controllo.
Tale limitazione è, a ben vedere, una condizione che può trasformare il DPO in un erogatore di “visti” formali, privo di reale capacità incisiva, un compito che invece risulta essenziale per assicurare la conformità alle norme delle attività di trattamento dei dati personali, in particolare di quelli più delicati, quelli relativi alla salute degli interessati.
Intelligenza artificiale e competenze nel governo dei dati
La sanità odierna è investita da un’applicazione massiccia, e talvolta incontrollata, di nuove tecnologie e fra queste di sistemi di Intelligenza Artificiale.
Una delle prime evidenze di fronte alle quali il sistema sanitario si sta trovando è quella della mancanza di competenze adeguate per l’introduzione e la gestione di tali sistemi, che ovviamente nello specifico contesto vedono i dati personali e di salute come oggetto di trattamento.
Tra queste competenze non va dimenticata l’essenzialità di quelle del DPO, perché l’introduzione degli algoritmi predittivi e diagnostici nel contesto organizzativo dell’azienda sanitaria richiede una vigilanza etica e tecnica che solo un DPO altamente specializzato e “presente” può garantire, così come previsto dall’articolo 39 del Regolamento UE 2016/679 “Compiti del responsabile della protezione dei dati “.
Tale articolo dispone infatti che “Il responsabile della protezione dei dati è incaricato almeno dei seguenti compiti: a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati”.
Quindi il DPO in ambito sanitario deve fornire il suo contributo al titolare anche in ogni contesto applicativo delle tecnologie di intelligenza artificiale.
DPO in sanità e protezione delle infrastrutture critiche
L’urgenza di questo potenziamento delle funzioni del Data Protection Officer in ambito sanitario è dettata dal contesto geopolitico e tecnologico, vista anche l’entrata oramai a regime della Direttiva NIS2.
A seguito di questa, le strutture sanitarie sono infatti identificate come soggetti essenziali dall’Agenzia per la Cybersicurezza Nazionale (ACN), la protezione del dato sanitario è diventata quindi anche una questione di sicurezza nazionale.
E tutte le relative e adeguate procedure e misure di sicurezza tecniche e organizzative che in una azienda sanitaria devono essere adottate, devono essere predisposte tenendo presenti le misure di sicurezza previste dal Regolamento UE 2016/679, motivo per il quale è necessario l’apporto del DPO.
Compensi, risorse e organizzazione della funzione
Un ruolo essenziale come quello del Data Protection Officer deve essere credibile, e la credibilità passa inevitabilmente per il riconoscimento economico.
Un compenso troppo basso non è solo un’offesa alla professionalità specifica richiesta, ma un indicatore del basso valore che l’organizzazione attribuisce alla protezione dei dati che gestisce.
Se il DPO è pagato poco, il suo parere peserà poco.
Ma non solo, un DPO pagato troppo poco e sovraccaricato di incombenze non avrà tempo e modo di approfondire le sue conoscenze e quindi non potrà essere di reale ed incisivo contributo per la corretta impostazione delle misure di protezione del sistema informativo, quelle legate alla gestione della Direttiva NIS2, e per una introduzione adeguata delle tecnologie innovative, come quelle dell’intelligenza artificiale.
Questi, per il DPO, sono nuovi compiti, ulteriori rispetto a quelli ordinari, motivo che rende necessario combattere il fenomeno del DPO “accumulatore di incarichi” a basso ed insostenibile costo, favorendo invece soluzioni di DPO dotati di appositi team di supporto multispecialistici, adeguatamente retribuiti.
La sanità, settore strategico, non può permettersi in alcun modo “DPO di facciata” scelti con il criterio del massimo ribasso, perché questi potrebbero non riuscire a fornire il contributo atteso.
Non è pensabile, nei fatti, che un unico professionista, spesso sottopagato rispetto alla elevatissima specializzazione necessaria, possa gestire una serie di strutture sanitarie garantendo in contemporanea a ciascuna la profondità d’analisi richiesta.
La complessità del settore sanitario è in continua evoluzione e richiede un impegno temporale e di aggiornamento, che deve essere correttamente contabilizzato, anche attraverso apposite tabelle delle quali sarebbe opportuna l’adozione, commisurando il compenso del DPO a quello di altri professionisti.
A tal proposito sarebbe opportuna anche una vigilanza da parte di ANAC su possibili situazioni di servizi di DPO affidati con la logica del “pacchetto low-cost” o nei quali a tali professionisti vengono affidati compiti meramente esecutivi o diversi da quelli strategici previsti dal citato articolo 39 del Regolamento Ue 2016/679.
In questo scenario, il DPO non può più agire in isolamento, condizione che ne indebolisce la forza e che rende difficile il rispetto del paragrafo 2 dell’articolo 38 del Regolamento, che prevede che l’azienda sanitaria lo sostenga nell’esecuzione dei propri compiti “… fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica”.
Ed è proprio qui che si inserisce l’intuizione di APIHM (Associazione Privacy Healthcare Information Manager) che già nel 2025, raccogliendo il ripetuto stimolo dell’Autorità Garante italiana, ha costituito la Rete Nazionale dei DPO della Sanità pubblica e privata, dotandola di proprie specifiche regole deontologiche.
Attraverso la Rete di APIHM, i DPO possono finalmente:
- Confrontarsi su casi d’uso reali e complessi, scambiandosi informazioni sulle misure e best practice adottate.
- Assumere posizioni uniformi su temi di elevata complessità normativa (es. fascicolo sanitario elettronico 2.0, telemedicina, applicazioni delle Intelligenze Artificiali) riportandone gli esiti ai titolari del trattamento, quale orientamento comune della rete stessa, misura questa di tutela del DPO stesso all’interno del sistema organizzativo aziendale.
- Acquisire autorevolezza nei confronti dei fornitori IT e dei vertici aziendali, anche attraverso le attività “corporative” della Rete.
DPO in sanità verso un riconoscimento istituzionale
Il Garante per la protezione dei dati personali ha già dimostrato lungimiranza nel 2024, riconoscendo l’importanza della rete dei DPO del settore bancario. È giunto il momento di replicare e superare quel modello per la Sanità.
APIHM chiede pertanto che l’Autorità Garante italiana prenda spunto dalla decisione EDPS 01/2026 per:
- Emanare linee di indirizzo aggiornate che definiscano standard minimi di risorse e tutele per i DPO che svolgono il proprio ruolo nello specifico contesto sanitario.
- Riconoscere formalmente la Rete Nazionale dei DPO della Sanità, dotandola di regole deontologiche approvate dall’Autorità stessa.
- Monitorare la congruità dei compensi e l’effettività delle attività svolte dai DPO per garantire l’effettività del ruolo.
Tutto ciò risulterebbe, in conclusione, essenziale non solo per assicurare il rispetto della legge, ma anche dei diritti delle persone.
A tal proposito è necessario ricordare che i dati sanitari sono l’estensione digitale del corpo del paziente e che proteggerli significa proteggere la dignità e la vita delle persone, diritti fondamentali che richiedono guardiani indipendenti, competenti e valorizzati.
Partecipa alla community