Protezione dei dati per studi medici e terapisti: che cosa chiede la nuova LPD
A cura di Advisorn · aggiornato il 26 ottobre 2026
In breve
Uno studio medico o terapeutico tratta quasi solo dati sulla salute, che la LPD considera degni di particolare protezione (art. 5 lett. c LPD). Oltre agli obblighi di ogni azienda valgono quindi misure di sicurezza più forti, il segreto professionale (art. 321 CP) e regole più severe per comunicare i dati a terzi. I pazienti hanno diritto all'accesso alla loro cartella.
I dati tipici
- anamnesi, diagnosi, referti, immagini e note di trattamento;
- dati d'identità, contatto e numero AVS dei pazienti;
- dati dell'assicurazione malattia e fatture con le prestazioni;
- corrispondenza con altri medici, laboratori e ospedali;
- dati del personale dello studio.
Dati degni di particolare protezione
Tutti i dati sulla salute sono degni di particolare protezione: comunicarli a terzi senza un motivo giustificativo lede la personalità (art. 30 cpv. 2 lett. c LPD), le misure di sicurezza devono essere adeguate a questo rischio (art. 8 LPD) e un centro che li tratta su larga scala perde l'esenzione dal registro (art. 24 OPDa) e deve di regola fare una valutazione d'impatto (art. 22 LPD).
Segreto professionale
Medici, dentisti, farmacisti, psicologi, infermieri, fisioterapisti, ergoterapisti, levatrici e altre professioni sanitarie sono tenuti al segreto professionale (art. 321 CP). Vale anche verso i propri fornitori: chi gestisce il software o l'archivio deve essere obbligato per contratto al segreto e poter accedere ai dati solo quanto serve.
Software, cloud e comunicazione
- il fornitore del software dello studio è un responsabile del trattamento: serve un contratto secondo l'art. 9 LPD;
- verificate dove sono conservati i dati e chi vi accede per l'assistenza;
- per le e-mail con pazienti e colleghi usate canali cifrati, non la posta normale per referti e diagnosi;
- i messaggi via app di chat private non sono adatti per dati dei pazienti.
Per quanto tenere la cartella
Le leggi sanitarie cantonali stabiliscono per quanto tempo conservare la cartella del paziente, e il termine varia da cantone a cantone. Le pretese per lesioni corporali si prescrivono però in vent'anni (art. 60 cpv. 1bis CO), e molti studi tengono la cartella per quel tempo. Dopo, i dati vanno distrutti o anonimizzati (art. 6 cpv. 4 LPD).
Domande collegate
- Quali sono i dati degni di particolare protezione?
- Quali misure di sicurezza dei dati chiede la nuova LPD?
- Si possono usare Microsoft 365 o Google Workspace con la nuova LPD?
- Come rispondere a una richiesta di accesso ai dati, ed entro quanto?
- Violazione dei dati: quando e come avvisare l'IFPDT?
- Per quanto tempo si possono conservare i dati personali?
Modelli utili
- Modello di informativa privacy per clienti e partner contrattuali
- Modello di misure tecniche e organizzative di sicurezza (TOM)
- Modello di contratto con il responsabile del trattamento (art. 9 LPD, art. 28 GDPR)
- Modello di impegno alla riservatezza e istruzioni per i collaboratori
- Modello di procedura in caso di violazione dei dati (data breach)
- Modello di valutazione d'impatto sulla protezione dei dati (DPIA)
Gli altri settori
Informazioni generali, non una consulenza sul vostro caso: per il vostro caso conta il testo della legge, e per un settore con regole proprie anche quelle.