La sentenza CGUE, Grande Sezione, 14 luglio 2026, C-474/24 (ECLI:EU:C:2026:489), appena pubblicata, nasce nel diritto dello sport, ma parla ad un pubblico molto più ampio: più esattamente, a chiunque tratti dati in ambito sanitario e digitale.
Per decidere infatti se la pubblicazione online delle sanzioni antidoping sia compatibile con il GDPR, la Grande Sezione ha dovuto rispondere a una domanda che attraversa ormai ogni progetto di sanità digitale: quando un’informazione è un «dato relativo alla salute» ai sensi dell’art. 9, par. 1, del Regolamento (UE) 2016/679 (GDPR)?
L’occasione è dunque preziosa non solo per illustrare la sentenza appena depositata, ma anche per rimettere in fila le pronunce con cui la Corte di Giustizia ha costruito negli anni la nozione di dato sanitario e quindi capire a che punto siamo oggi.
Indice degli argomenti
La sentenza C-474/24: il caso e la decisione
Partiamo dai fatti di causa.
Quattro atleti austriaci, sanzionati per violazione delle norme antidoping, si vedono pubblicare su Internet – sui siti degli organismi antidoping nazionali – nome e cognome, disciplina sportiva praticata, violazione commessa, sanzione inflitta e relative date di inizio e fine.
Nei comunicati stampa compare anche il nome della sostanza vietata rilevata.
Nel 2021 gli atleti chiedono la cancellazione dei dati; l’autorità austriaca di protezione dei dati respinge la richiesta; il Bundesverwaltungsgericht, investito del ricorso, solleva sette questioni pregiudiziali. Una di queste interessa direttamente chi si occupa di data protection in sanità: l’informazione che una persona è stata squalificata per doping – con tanto di sostanza – è un «dato relativo alla salute» ai sensi dell’art. 9, par. 1, GDPR?
La risposta della Grande Sezione è: in linea di principio, no.
Ma è un «no» molto articolato, che va letto in controluce rispetto alla giurisprudenza precedente – da Lindqvist a Lindenapotheke – perché ne esce una fotografia aggiornata, e per certi versi sorprendente, della nozione di dato sanitario nel sistema del GDPR.
La decisione infatti – molto articolata anche su vari punti che non verranno analizzati in questa sede – analizza in maniera molto puntuale come stabilire se un dato debba considerarsi sanitario o meno.
Il dato relativo alla salute nel GDPR
Il punto di partenza è il testo normativo.
L’art. 4, punto 15, GDPR definisce i dati relativi alla salute come «i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute»; il considerando 35 vi riconduce – come ricorda la Corte al punto 57 – tutti i dati che rivelino informazioni sullo stato di salute fisica o mentale passato, presente o futuro dell’interessato. L’art. 9, par. 1, GDPR li colloca tra le categorie particolari, il cui trattamento è vietato salvo le deroghe del par. 2.
Come noto, la giurisprudenza consolidata impone di leggere la nozione «in senso ampio» (punto 58). E la Corte ribadisce il test elaborato nelle pronunce precedenti: «affinché dati personali possano essere qualificati come “dati relativi alla salute”, ai sensi dell’articolo 9, paragrafo 1, del RGPD, è sufficiente che essi siano idonei a rivelare, mediante un’operazione intellettuale di raffronto o di deduzione, informazioni sullo stato di salute dell’interessato» (punto 60). Fin qui, nulla di nuovo.
La novità sta nell’applicazione.
La legge antidoping austriaca (ADBG) prevede la divulgazione delle squalifiche con nome, durata e motivi, «senza che sia possibile desumere dati relativi alla loro salute» – così il testo della norma nazionale, riportato al punto 61. Peccato che la prassi dell’organismo antidoping, come rileva la Corte al punto 62, includesse nei comunicati stampa anche il nome della sostanza vietata.
Ed è esattamente su questo che il giudice del rinvio interroga la Corte.
Il nome della sostanza vietata e l’inferenza sanitaria
E qui la risposta dei giudici si sviluppa in due tempi.
- in assenza della menzione della sostanza o del metodo vietato, «nessun elemento di tale pubblicazione consente, in linea di principio, di fare il collegamento tra l’accertamento di una violazione delle norme nazionali antidoping, da un lato, e le informazioni sullo stato di salute della persona interessata, dall’altro» (punto 65).
- inoltre, ed è il passaggio più delicato: «la mera menzione del nome della sostanza vietata, presente nell’organismo di un atleta, quale risulta dalla prassi dell’ÖADR, generalmente non è sufficiente a rivelare informazioni sullo stato di salute, anche futuro, di tale atleta» (punto 66).
In sostanza: la notizia che un atleta è stato squalificato per doping, di per sé, non dice nulla sulla sua salute. Dice che ha violato una regola sportiva.
E nemmeno il nome della sostanza, da solo, basta – generalmente – a trasformare quella notizia in un dato sanitario.
La regola conosce però un’eccezione, che la Corte costruisce con cura: «non si può escludere che, quando è combinata con altri elementi, la menzione del nome o della categoria della sostanza o del metodo vietato di cui trattasi possa, quantomeno indirettamente, rivelare, mediante un’operazione intellettuale di raffronto o di deduzione, informazioni sullo stato di salute, eventualmente futuro, della persona interessata» (punto 67).
L’esempio che la Corte stessa offre al punto 68 è illuminante: è il caso della persona che assume una sostanza vietata «a causa di uno stato di salute particolare», senza però aver chiesto l’autorizzazione all’uso a fini terapeutici (la TUE, prevista nel sistema austriaco dall’art. 12 ADBG). Lì il nome della sostanza smette di essere una scorciatoia agonistica ed inizia invece a raccontare una patologia.
Come decidono allora i giudici? Trattandosi di un rinvio pregiudiziale, la Corte fissa il criterio ma non decide il caso concreto: spetta ora al Bundesverwaltungsgericht verificare se le pubblicazioni contestate dai quattro atleti – che, nella prassi austriaca, includevano il nome della sostanza vietata – consentissero in concreto, combinate con altri elementi, di dedurre informazioni sul loro stato di salute.
Il punto di arrivo concettuale è dunque questo: la pubblicazione nominativa della sanzione antidoping, di regola, non è trattamento di dati relativi alla salute; lo diventa solo quando, nel caso concreto, la menzione della sostanza rende possibile l’inferenza sanitaria – con conseguente applicazione dell’art. 9 GDPR e necessità di una delle condizioni di liceità del par. 2.
Regola di non inclusione, eccezione contestuale: è questa l’architettura che la sentenza consegna all’interprete.
A bene vedere, però, questa architettura scarica sul titolare un onere prognostico tutt’altro che banale. L’organismo che pubblica non sa – e spesso non può sapere – se l’atleta assumeva la sostanza per una condizione clinica non dichiarata: l’elemento che potrebbe far scattare la riqualificazione del dato sta infatti fuori dalla pubblicazione, nella sfera privata dell’interessato.
Pare a chi scrive che sia questo il vero punto debole della soluzione: la natura del dato finisce per dipendere da circostanze che il titolare, al momento del trattamento, non controlla e non conosce.
Il confronto con Lindenapotheke: lo stesso test, due esiti opposti
Per misurare la portata della sentenza occorre metterla accanto al precedente più prossimo: CGUE, 4 ottobre 2024, C-21/23, Lindenapotheke (ECLI:EU:C:2024:846).
In quel caso la Corte aveva stabilito che i dati inseriti dai clienti al momento dell’ordine online di medicinali la cui vendita è riservata alle farmacie – nome, indirizzo di consegna, elementi di individualizzazione dei medicinali – costituiscono dati relativi alla salute «anche qualora la vendita di tali medicinali non sia soggetta a prescrizione medica» (punto 2 del dispositivo). E con due precisazioni di grande impatto: la qualificazione opera «anche se è solo con una certa probabilità, e non con assoluta certezza, che tali medicinali siano destinati a tali clienti» (punto 90); e prescinde dal fatto che le informazioni riguardino l’utente che ordina o «qualsiasi altra persona per la quale quest’ultimo effettua l’ordine» (punto 88).
Accostiamo i due esiti. L’acquisto di un antinfiammatorio da banco, magari destinato a un familiare, è un dato sanitario. La pubblicazione nominativa del fatto che un atleta è risultato positivo a una sostanza dopante – sostanza indicata per nome – generalmente non lo è.
A prima lettura, l’asimmetria colpisce.
Eppure il criterio applicato è identico: l’idoneità a rivelare informazioni sulla salute mediante un’operazione intellettuale di raffronto o di deduzione.
Ciò che cambia è la premessa inferenziale.
Nell’ordine di un medicinale, il nesso con la salute è – per così dire – costitutivo: il farmaco esiste per curare, e l’ordine crea, come dice la Corte al punto 84 della sentenza Lindenapotheke, «un nesso tra un medicinale, le sue indicazioni terapeutiche o i suoi usi, e una persona fisica identificata o identificabile». Nella pubblicazione di una sanzione antidoping, invece, il contesto fornisce da sé una spiegazione alternativa e assorbente: la sostanza è stata assunta per alterare la prestazione sportiva, non per curarsi. È il frame della sanzione a spezzare – in via presuntiva – la catena inferenziale che porta alla salute.
La costruzione tiene, sul piano sistematico. Ma è fragile sul piano fattuale, e la Corte stessa lo sa: molte sostanze vietate hanno un uso terapeutico consolidato, ed è proprio il caso descritto al punto 68 – la patologia trattata con una sostanza vietata, senza esenzione terapeutica – a dimostrare che la presunzione «agonistica» può cadere. Il risultato è che lo stesso identico dato – il nome di una sostanza associato a una persona – è dato sanitario nel carrello di una farmacia online e non lo è, generalmente, nel registro delle squalifiche.
Non per una diversa natura del dato, ma per il diverso contesto informativo in cui è immerso.
Da Lindqvist a C-474/24: una nozione ampia, ma non illimitata
Conviene a questo punto allargare lo sguardo alla traiettoria giurisprudenziale su questo tema, perché la sentenza in commento ne è l’ultimo tornante.
Il punto di partenza è CGUE, 6 novembre 2003, C-101/01, Lindqvist (ECLI:EU:C:2003:596): già sotto la direttiva 95/46/CE la Corte aveva imposto (punto 50) un’interpretazione ampia della nozione, riconducendovi la semplice indicazione – in una pagina web parrocchiale – del fatto che una persona si era infortunata a un piede e si trovava in congedo parziale per motivi di salute.
Il secondo passaggio è CGUE, Grande Sezione, 1° agosto 2022, C-184/20, Vyriausioji tarnybinės etikos komisija (ECLI:EU:C:2022:601): la pubblicazione di dati anagrafici del coniuge o partner di un pubblico funzionario, in quanto idonea a rivelare indirettamente l’orientamento sessuale, ricade nel regime delle categorie particolari. È qui che nasce il test dell’operazione intellettuale di deduzione o raffronto (punto 123), poi divenuto lo standard.
Con CGUE, Grande Sezione, 4 luglio 2023, C-252/21, Meta Platforms (ECLI:EU:C:2023:537) la Corte aggiunge due tasselli: il divieto dell’art. 9, par. 1, opera a prescindere dall’esattezza delle informazioni rivelate e dalla finalità perseguita dal titolare (punti 69 e 70, richiamati anche in Lindenapotheke al punto 87). Sul versante sanitario poi, CGUE, 21 dicembre 2023, C-667/21, Krankenversicherung Nordrhein conferma che la logica protettiva dell’art. 9 accompagna il dato sanitario anche nei contesti più «amministrativi», come le perizie sull’inabilità lavorativa. E Lindenapotheke, come si è visto, porta il test alla sua massima estensione: basta la probabilità, non serve la certezza; conta anche la salute di terzi.
Letta in questa sequenza, la sentenza C-474/24 segna un cambio di passo.
Per la prima volta la Grande Sezione – che pure ribadisce formalmente l’interpretazione ampia – individua una classe di informazioni che, pur gravitando attorno a sostanze farmacologiche e al corpo dell’atleta, in linea di principio non sono dati sanitari.
Non è un cambio di rotta: è una calibratura.
Il criterio base resta l’idoneità a rivelare lo stato di salute; ma l’idoneità va misurata in concreto, dentro il contesto informativo della pubblicazione, e non come possibilità meramente teorica. Se qualunque inferenza astrattamente concepibile bastasse, ogni dato sarebbe potenzialmente sanitario.
A parere di chi scrive, da questa giurisprudenza esce una nozione di dato sanitario che non è una proprietà ontologica dell’informazione, ma una qualificazione relazionale e contestuale: lo stesso dato entra ed esce dall’art. 9 a seconda del quadro in cui è collocato, degli elementi con cui è combinato e delle deduzioni che un osservatore può plausibilmente trarne.
Con un corollario operativo che non va sottovalutato: la classificazione dei dati non è un’etichetta apposta una volta per tutte al momento del disegno del sistema, ma un giudizio che va rivisto quando cambia il contesto – perché si aggiungono dati ausiliari, perché cambia il pubblico dei destinatari, o perché strumenti di intelligenza artificiale rendono economiche inferenze che ieri erano solo teoriche.
Le implicazioni pratiche: dalla classificazione dei campi alla governance delle inferenze
Le ricadute operative sono immediate, e su più fronti.
Per il mondo dello sport, anzitutto. Il Codice mondiale antidoping WADA impone all’art. 14.3 la divulgazione pubblica obbligatoria delle violazioni, con eccezioni per minori, persone protette e atleti amatoriali; in Italia il sistema è attuato dalle Norme Sportive Antidoping di NADO Italia. La sentenza non mette in discussione la pubblicazione in sé – anzi, ne riconosce la legittimità potenziale rispetto agli artt. 5 e 6 GDPR – ma ne ridisegna le condizioni: gli organismi antidoping farebbero bene a riesaminare subito le proprie prassi, e in particolare:
- la menzione della sostanza vietata nei comunicati e nei registri online, che è l’elemento capace di far scattare la riqualificazione del dato come sanitario ex art. 9, par. 1, GDPR, con conseguente necessità di una condizione di liceità rafforzata;
- la possibilità di una ponderazione individuale degli interessi prima della pubblicazione, che la Corte pretende anche in presenza di eccezioni legislative predefinite;
- la proporzionalità della durata della pubblicazione rispetto alla durata della sanzione, che il titolare deve poter giustificare;
- la gestione dei reclami preventivi: dopo questa sentenza, l’interessato può attivare l’autorità di controllo prima che la pubblicazione avvenga, quando essa è imminente.
Per gli operatori della sanità digitale e dell’e-commerce, il messaggio è diverso ma altrettanto netto. Lindenapotheke resta pienamente valida: chi vende online prodotti connessi alla salute – farmacie, parafarmacie, piattaforme, marketplace – tratta dati sanitari, con tutto ciò che ne consegue in termini di basi di liceità ex art. 9, par. 2, GDPR, informative, misure di sicurezza e DPIA.
La sentenza C-474/24 non attenua quel presidio: lo precisa, chiarendo che il discrimine non è la merceologia ma la plausibilità dell’inferenza nel contesto.
Per chi progetta app, wearable e piattaforme, ciò significa che la mappatura dei dati non può fermarsi ai campi esplicitamente «sanitari»: deve estendersi agli scenari di inferenza, chiedendosi quali informazioni sullo stato di salute un terzo potrebbe ricavare combinando i dati trattati con elementi esterni. È un esercizio da documentare – nel registro dei trattamenti e nella DPIA – e da ripetere nel tempo.
Al di là degli adempimenti, la sentenza consegna una lezione di sistema.
La vera domanda, oggi, non è più «quali dati sono sanitari», ma «quando un’informazione può diventare un dato sanitario».
È il passaggio dalla tassonomia statica dei dati alla governance delle inferenze: un tema destinato a pesare sempre di più man mano che lo spazio europeo dei dati sanitari (Regolamento (UE) 2025/327, EHDS) costruisce un intero ecosistema sulla circolazione dei dati sanitari elettronici e l’intelligenza artificiale abbatte il costo delle deduzioni.
E il banco di prova è dietro l’angolo anche nello sport: il nuovo Codice WADA, adottato alla Conferenza mondiale di Busan a fine 2025 e destinato ad applicarsi dal 1° gennaio 2027, dovrà convivere con i paletti che Lussemburgo ha appena piantato.
Partecipa alla community