campagne di prevenzione studio medico

Garante Privacy 2026: le strutture sanitarie sotto la lente

17 Febbraio 2026
, , , News

Il Garante per la protezione dei dati personali ha pubblicato il piano delle attività ispettive per il primo semestre 2026, e tra i settori prioritari c’è di nuovo la sanità. Per una struttura sanitaria privata la notizia non è un allarme astratto: i controlli si concentrano su punti concreti — chi accede ai dati clinici, come si gestisce un data breach, come si documentano i consensi — e su questi il Garante ha già sanzionato. Vediamo cosa verifica nel 2026 e come arrivarci preparati.

Cosa controlla il Garante nel 2026

Il Garante ha programmato almeno quaranta accertamenti nel primo semestre 2026, anche con il supporto della Guardia di Finanza, e la sanità è tra le aree a più alta attenzione per la delicatezza dei dati trattati. Le verifiche nel settore sanitario si concentrano su tre ambiti:

  • Dossier sanitario e profili di accesso. L’accesso ai dati clinici deve rispettare i principi di necessità e minimizzazione: solo il personale che ha una relazione di cura con il paziente dovrebbe poterne consultare i dati. L’accesso indiscriminato da parte di personale amministrativo o di professionisti non coinvolti nella cura è tra le violazioni più frequenti.
  • Tracciabilità degli accessi. La struttura deve poter dimostrare chi ha avuto accesso a quali dati, quando e per quale motivo. L’assenza o l’incompletezza dei registri di accesso è già stata sanzionata.
  • Gestione dei data breach. Quando una violazione di dati può comportare un rischio per i diritti e le libertà delle persone, va notificata al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore (articolo 33 del GDPR), sulla base di una valutazione del rischio documentata; se il rischio è improbabile la notifica non è dovuta. Nei casi di rischio elevato va informato anche l’interessato (articolo 34), salvo le eccezioni dell’art. 34(3): dati resi inintelligibili da misure adeguate, misure successive che scongiurano il rischio elevato, o comunicazione individuale che richiederebbe sforzi sproporzionati. Le misure di rimedio adottate devono essere concrete e documentate.

Le sanzioni del 2025: il Garante non esita

I provvedimenti del 2025 mostrano che il Garante sanziona le strutture sanitarie, anche pubbliche, sulla gestione del dossier sanitario:

  • con il provvedimento del 29 aprile 2025, la Regione Lombardia ha ricevuto una sanzione di 50.000 euro per violazioni nella gestione del dossier sanitario;
  • con il provvedimento del 4 agosto 2025, l’Azienda Ospedaliero-Universitaria Careggi di Firenze è stata sanzionata con 80.000 euro per l’illiceità del trattamento tramite il proprio dossier sanitario.

Gli importi si riferiscono a strutture pubbliche — per la struttura privata il parametro di proporzionalità è diverso — ma l’orientamento del Garante è chiaro: sul dossier sanitario e sugli accessi non c’è margine di leggerezza.

Cosa deve fare una struttura sanitaria privata

In vista di una possibile ispezione, le azioni prioritarie per studi medici e poliambulatori sono quattro.

  1. Verifica il registro dei trattamenti. Chi tratta dati sanitari su larga scala tiene un registro dei trattamenti (articolo 30 del GDPR): controlla che sia completo e allineato alle attività reali.
  2. Controlla i profili di accesso. Il personale di reception deve avere lo stesso accesso del medico specialista? I permessi vanno tarati sul principio del «bisogno di conoscere»: ogni operatore vede solo ciò che serve al suo ruolo.
  3. Documenta la raccolta dei consensi. In caso di ispezione, ogni trattamento deve avere una base giuridica dimostrabile; per i trattamenti facoltativi (come le comunicazioni promozionali) il consenso va documentato e rispettato.
  4. Datti una procedura per i data breach. La gestione di un incidente — un laptop rubato, un accesso non autorizzato, una email al destinatario sbagliato — va codificata: chi valuta, chi notifica il Garante, quali rimedi adottare.

Come DBMedica supporta la conformità

La conformità non è uno stato che si raggiunge una volta: è un processo continuo che richiede strumenti capaci di rendere visibili e governabili le dinamiche quotidiane del trattamento dei dati. DBMedica è un software gestionale medico in cloud per studi e centri medici, che tiene insieme agenda, cartella clinica e fatturazione con i dati custoditi in cloud. Su alcuni dei punti che il Garante verifica offre basi concrete.

Gli accessi sono governati da permessi per ruolo e per sede: la segreteria gestisce gli appuntamenti senza entrare nelle cartelle cliniche, il medico vede i pazienti della propria agenda, e nelle strutture con più sedi i dati restano separati per sede. È la risposta concreta al principio di minimizzazione dell’accesso. Sul fronte dei consensi, il gestionale documenta in anagrafica lo stato di ogni informativa e consenso — quale è stato raccolto, quando, se è ancora valido — così che la base giuridica di un trattamento sia dimostrabile senza cercarla tra fogli sparsi. I dati clinici sono conservati cifrati e ogni modifica alle cartelle genera una nuova versione, con lo storico consultabile.

Restano invece responsabilità della struttura le procedure organizzative: il registro dei trattamenti, la procedura di gestione dei data breach e la tracciabilità completa degli accessi. Il gestionale fa la sua parte tecnica; il percorso di conformità lo governa il titolare del trattamento.

Arrivare preparati, non rincorrere

Con la sanità di nuovo tra i settori prioritari del Garante, la conformità sui dati dei pazienti non è un adempimento da rimandare: profili di accesso ordinati, consensi documentati e una procedura per gli incidenti sono ciò che distingue una struttura pronta da una esposta. Guarda il gestionale per poliambulatorio di DBMedica e richiedi una demo gratuita: permessi per ruolo e sede, consensi documentati e dati cifrati in cloud, verificati sulla tua struttura.

Domande Frequenti

La mia struttura sanitaria privata può essere ispezionata dal Garante nel 2026?

Sì: il piano ispettivo del primo semestre 2026 mette la sanità tra i settori prioritari, con almeno quaranta accertamenti anche con il supporto della Guardia di Finanza. I controlli riguardano strutture pubbliche e private e si concentrano su dossier sanitario, profili di accesso ai dati clinici e gestione dei data breach.

Cosa verifica il Garante sugli accessi ai dati clinici?

Che l’accesso rispetti i principi di necessità e minimizzazione: solo il personale con una relazione di cura con il paziente dovrebbe poterne consultare i dati, e la struttura deve poter dimostrare chi ha avuto accesso a quali dati, quando e perché. L’accesso indiscriminato e l’assenza di tracciabilità sono tra le violazioni più sanzionate.

Entro quanto va notificato un data breach?

Quando la violazione può comportare un rischio per i diritti e le libertà delle persone, va notificata al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore (articolo 33 del GDPR), previa valutazione del rischio documentata; se il rischio è improbabile la notifica non è dovuta. In caso di rischio elevato va informato anche l’interessato (articolo 34), salvo le eccezioni dell’art. 34(3) (dati resi inintelligibili, misure che scongiurano il rischio, sforzo sproporzionato). Conviene avere una procedura codificata prima che l’incidente avvenga: chi valuta il rischio, chi notifica, quali rimedi adottare.

Un gestionale mette la mia struttura in regola con il Garante?

No da solo. Un gestionale aiuta sulla parte tecnica — permessi per ruolo e per sede, consensi documentati in anagrafica, dati cifrati — ma il registro dei trattamenti, la procedura per i data breach e la tracciabilità completa degli accessi restano responsabilità organizzativa della struttura.

centralino ai comunicazioni telefoniche

Come gestire le convenzioni con enti e assicurazioni nello studio medico

12 Febbraio 2026
, , , News

Le convenzioni con aziende, mutue sanitarie, assicurazioni e fondi di assistenza integrativa sono una fonte importante di pazienti per molti poliambulatori. Ma ogni convenzione ha tariffe proprie, modalità di autorizzazione diverse e tempi di rimborso variabili: senza una gestione strutturata, il rischio è erogare prestazioni a prezzi sbagliati, emettere fatture incomplete e non avere mai una visione chiara di quanto gli enti devono ancora rimborsare. In questa guida vediamo come tenere ordinate le convenzioni e trasformarle da complicazione in un flusso di fatturato prevedibile.

Perché gestire le convenzioni è più complesso di quanto sembra

In apparenza è semplice: il paziente porta un’autorizzazione, si eroga la prestazione, si emette la fattura con le tariffe concordate. Nella pratica quotidiana di uno studio con più convenzioni attive emergono però problemi ricorrenti.

Tariffe diverse per ogni ente. La stessa ecografia può avere una tariffa in convenzione con una mutua, un’altra con un’assicurazione privata, un’altra ancora a listino base. Se queste tariffe non sono configurate con precisione e applicate in automatico, l’errore è costante.

Codici di autorizzazione obbligatori. Molte convenzioni richiedono che la fattura riporti il codice di presa in carico comunicato dall’ente al momento dell’autorizzazione. Se manca, il rimborso viene sospeso o rifiutato.

Quota a carico dell’ente e quota a carico del paziente. Spesso la convenzione non copre il 100%: c’è una quota rimborsata dall’ente e una quota residua a carico del paziente. Gestire bene questa suddivisione in fattura serve sia alla chiarezza verso il paziente sia alla riconciliazione con il rimborso dell’ente.

Tempi di rimborso variabili. Gli enti pagano spesso a 30, 60 o 90 giorni. Senza monitoraggio, le fatture in attesa di rimborso si accumulano in silenzio e diventa impossibile sapere quanto si è ancora in credito.

Scadenze delle convenzioni. Ogni accordo ha una data di fine validità. Se non la si monitora, si rischia di applicare tariffe convenzionate su un accordo già scaduto.

Come organizzare la gestione delle convenzioni: 5 elementi

1. Registrare ogni convenzione con dati precisi

Ogni convenzione va registrata in modo formale: dati dell’ente (denominazione, codice fiscale o partita IVA, referente), date di inizio e fine validità, termini di pagamento concordati. Senza questa base, tutto ciò che segue — tariffe, riconciliazione dei rimborsi — parte su fondamenta instabili.

2. Configurare un listino dedicato per ogni convenzione

Le tariffe convenzionate non vanno applicate a mano fattura per fattura, ma configurate in un listino specifico dell’ente, così che si applichino da sole quando un appuntamento è associato a quella convenzione. Questo elimina gli errori di digitazione e garantisce coerenza tra tutti gli operatori.

3. Tracciare il codice di autorizzazione su ogni appuntamento

Quando l’ente rilascia un’autorizzazione, il codice va registrato sull’appuntamento prima della fatturazione, così da confluire nella fattura come codice di presa in carico e soddisfare il requisito formale della maggior parte delle convenzioni.

4. Separare quota ente e quota paziente in fattura

La fattura per una prestazione convenzionata deve indicare chiaramente l’importo totale autorizzato, la quota a carico dell’ente e la quota residua a carico del paziente. Non è solo un requisito formale di molti enti: è chiarezza dovuta al paziente, che altrimenti non capisce perché la fattura riporta un importo diverso da quello che ha pagato.

5. Monitorare i rimborsi attesi

Ogni mese andrebbe fatta una riconciliazione tra le fatture emesse in convenzione e i rimborsi effettivamente ricevuti. Le pratiche per cui il rimborso non è arrivato entro i termini vanno segnalate all’ente. Lasciare che i rimborsi arrivino quando arrivano, senza monitoraggio, significa scoprire mesi dopo che alcune pratiche non sono mai state liquidate.

Come DBMedica ti aiuta a gestire le convenzioni

DBMedica è un software gestionale medico in cloud per poliambulatori e centri medici che tiene su un unico sistema agenda, tariffe, fatturazione e monitoraggio del credito. Le convenzioni smettono di vivere su fogli di calcolo paralleli e restano collegate ad appuntamenti e fatture.

Gli enti registrati con le date della convenzione

Ogni convenzione si registra con tutti i dati che servono: denominazione, codice fiscale e partita IVA, sede, referente e recapiti e — soprattutto — data di inizio e di fine validità, con i termini di pagamento concordati che restano a portata di mano per il monitoraggio del credito.

I listini per convenzione, applicati in automatico

Per ogni ente puoi definire un listino con le tariffe concordate per ciascuna prestazione. Quando un appuntamento viene associato a quella convenzione, si applicano le tariffe del listino convenzionato invece di quelle del listino base, e la fattura ne riceve gli importi: non devi ricordare né cercare i prezzi, li propone il sistema.

Il codice di presa in carico sull’appuntamento

Prima della fatturazione, l’operatore inserisce sull’appuntamento il codice di presa in carico comunicato dall’ente, insieme all’importo autorizzato, alla quota a carico della convenzione e alla quota residua del paziente. Questi dati si ritrovano già compilati nella fattura, senza riscrittura e senza il rischio di dimenticarli.

La fattura con quota ente e quota paziente distinte

La fattura per una prestazione convenzionata riporta chiaramente la suddivisione tra quota convenzione e quota paziente, con il codice di presa in carico in evidenza. Una struttura che soddisfa i requisiti formali della maggior parte degli enti e riduce le richieste di integrazione documentale.

I crediti verso le convenzioni, tenuti a parte

Le prestazioni erogate in convenzione, il totale atteso e i rimborsi già ricevuti si leggono separatamente dai crediti verso i pazienti privati, così individui subito gli enti con pratiche in sospeso. Tenere distinti i due flussi di cassa — che hanno logiche e tempi completamente diversi — è la condizione per governarli entrambi.

Trasforma le convenzioni da complicazione in opportunità

Una convenzione ben gestita è un canale di acquisizione stabile e un fatturato prevedibile; mal gestita, è una fonte di errori, rimborsi mancati e dispute con gli enti. Scopri come gli enti registrati, i listini per convenzione, il codice di presa in carico e il monitoraggio dei rimborsi lavorano insieme nel gestionale per poliambulatorio di DBMedica e richiedi una demo gratuita.

Domande Frequenti

Perché un rimborso in convenzione viene rifiutato?

Nella maggior parte dei casi per un errore formale: manca il codice di presa in carico sulla fattura, la tariffa applicata non è quella concordata, oppure la quota a carico dell’ente e quella del paziente non sono separate correttamente. Registrare il codice di autorizzazione e applicare il listino dell’ente in automatico riduce quasi a zero questi rifiuti.

Come si tengono aggiornate le tariffe di ogni convenzione?

Con un listino dedicato per ciascun ente: le tariffe si aggiornano in un unico posto e si applicano da sole quando l’appuntamento è associato alla convenzione. Così tutti gli operatori usano gli stessi prezzi, senza doverli ricordare o cercare fattura per fattura.

Come faccio a sapere quanto mi devono ancora rimborsare gli enti?

Tenendo i crediti verso le convenzioni separati da quelli verso i pazienti privati e riconciliando ogni mese le fatture emesse con i rimborsi ricevuti. Con il totale atteso e i rimborsi già registrati sotto controllo, gli enti con pratiche in ritardo si individuano a colpo d’occhio.

patient experience

NIS2 e sanità privata: si applica a poliambulatori e studi medici?

5 Febbraio 2026
, , News

Quando si parla di NIS2 e cybersecurity in sanità, la prima domanda di un titolare di poliambulatorio è semplice: riguarda anche me? E non è una domanda con una risposta uguale per tutti: la NIS2 non guarda solo al settore, guarda soprattutto alle dimensioni della struttura — ed è un confine dove è facile sbagliare in tutti e due i sensi, allarmandosi per un obbligo che non c’è o ignorandone uno che c’è. Vediamo con precisione chi rientra, chi resta fuori e cosa devono fare i soggetti effettivamente coinvolti, senza allarmismi.

La NIS2 si applica agli studi medici e ai poliambulatori?

Non a tutti. La NIS2 è la direttiva europea sulla sicurezza informatica (Direttiva UE 2022/2555), recepita in Italia dal Decreto Legislativo 4 settembre 2024, n. 138. La sanità è tra i settori considerati «ad alta criticità», ma la direttiva non si applica per settore da solo: si applica per settore più dimensione. Sotto una certa soglia di dipendenti e di fatturato una struttura sanitaria privata resta fuori dagli obblighi. È il motivo per cui la maggior parte degli studi medici e dei poliambulatori di piccole e medie dimensioni non è tenuta ad adempiere alla NIS2.

Quali strutture sanitarie rientrano nella NIS2 (e quali no)

Il criterio dimensionale distingue tre situazioni. Nel settore sanitario, che rientra tra i settori ad alta criticità, valgono queste fasce (i dati vanno letti sul proprio bilancio e sull’ultima verifica ufficiale ACN):

  • Soggetti essenziali — le imprese grandi ai sensi della raccomandazione UE 2003/361/CE: almeno 250 dipendenti, oppure più di 50 milioni di euro di fatturato, oppure un totale di bilancio annuo superiore a 43 milioni di euro. Qui rientrano cliniche private importanti, case di cura, grandi gruppi sanitari.
  • Soggetti importanti — le imprese medie: quelle che superano le soglie della piccola impresa (almeno 50 dipendenti, oppure oltre 10 milioni di euro di fatturato o di totale di bilancio) senza raggiungere quelle della grande. Qui possono rientrare i poliambulatori più strutturati e i centri con più sedi.
  • Sotto soglia (di norma esclusi) — le micro e piccole imprese: meno di 50 dipendenti e non oltre 10 milioni di euro di fatturato e di totale di bilancio. È la fascia in cui ricade la gran parte degli studi medici e dei poliambulatori. La NIS2 riguarda i soggetti almeno medi, quindi queste strutture restano fuori dagli obblighi, salvo che l’Agenzia per la Cybersicurezza Nazionale non le identifichi in modo specifico (per esempio come unico fornitore di un servizio essenziale su un territorio).

La differenza tra essenziale e importante non cambia solo l’etichetta: incide sul regime di vigilanza e sul tetto delle sanzioni. Ma il punto per un titolare è a monte: prima verifica se rientri, contando dipendenti e fatturato — includendo, secondo i criteri UE 2003/361/CE, anche le eventuali imprese associate e collegate — e solo dopo ragiona sugli adempimenti. Nel dubbio sulla soglia, la valutazione va fatta con il proprio consulente sulla base dei dati aggiornati e delle indicazioni dell’ACN.

Cosa devono fare le strutture sanitarie che rientrano

Se la struttura supera la soglia, gli obblighi principali sono tre e si muovono su tempi diversi.

  • Registrazione all’ACN. I soggetti nel perimetro si registrano sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale in una finestra annuale, dal 1° gennaio al 28 febbraio. Chi si era già registrato l’anno precedente conferma o aggiorna i dati; chi entra per la prima volta nel perimetro effettua la prima registrazione. La finestra del 2026 si è chiusa il 28 febbraio: i nuovi soggetti si registrano nella finestra successiva.
  • Notifica degli incidenti significativi. Il regime di notifica al CSIRT Italia è operativo dal gennaio 2026. In caso di incidente rilevante è prevista una pre-notifica entro 24 ore dalla scoperta e una notifica entro 72 ore; l’articolo 25 del D.Lgs. 138/2024 richiede inoltre una relazione finale entro un mese dalla notifica (con relazioni intermedie sui progressi, se l’incidente è ancora in corso).
  • Misure di sicurezza tecniche e organizzative. Gestione del rischio, controllo degli accessi, backup e continuità operativa, cifratura, piano di risposta agli incidenti, formazione del personale. Non sono solo scelte di software: riguardano l’organizzazione interna e vanno adottate entro i termini fissati dalle determinazioni dell’ACN.

Come DBMedica ti aiuta a proteggere i dati dei pazienti

La NIS2 riguarda l’organizzazione nel suo complesso, non un singolo programma: nessun gestionale, da solo, rende una struttura «conforme alla NIS2». Detto questo, il modo in cui custodisci i dati dei pazienti è una parte concreta del quadro, e vale a prescindere dall’obbligo NIS2 — perché la protezione dei dati sanitari è già richiesta dal GDPR. DBMedica è un software gestionale medico in cloud per studi e centri medici, che tiene insieme agenda, cartella clinica e fatturazione con i dati custoditi in cloud. Su questo fronte offre alcune basi utili.

  • Dati in cloud con backup. Le informazioni cliniche e amministrative non vivono sul singolo computer dello studio: sono conservate in cloud, con copie di sicurezza gestite dall’infrastruttura.
  • Accessi controllati per ruolo. Ogni collaboratore vede e fa solo ciò che gli compete: medico, segreteria e amministrazione hanno livelli di accesso distinti, e nelle strutture con più sedi i dati restano separati per sede.
  • Trasmissioni cifrate. Il traffico tra il tuo browser e il gestionale è cifrato: è un controllo tecnico che aiuta a proteggere i dati in transito.

Sono tasselli che alleggeriscono la parte «tecnica» della sicurezza, non un bollino di conformità: le procedure organizzative, la valutazione del rischio e gli adempimenti verso l’ACN restano responsabilità della struttura.

In sintesi: prima verifica se rientri

La NIS2 non è un obbligo per tutta la sanità privata: conta la dimensione della struttura, e la maggior parte degli studi e dei poliambulatori resta fuori. Il primo passo non è comprare tecnologia, è contare dipendenti e fatturato per capire se sei nel perimetro; se lo sei, il percorso passa da registrazione ACN, notifica degli incidenti e misure organizzative. In ogni caso, proteggere i dati dei pazienti è già un dovere: se vuoi un gestionale che tenga le informazioni in cloud con backup e accessi controllati, guarda il gestionale per poliambulatorio di DBMedica e richiedi una demo gratuita.

Domande Frequenti

La NIS2 si applica al mio studio medico?

Di norma no, se lo studio ha meno di 50 dipendenti e non supera i 10 milioni di euro di fatturato o di totale di bilancio: in quel caso è una micro o piccola impresa, resta sotto la soglia dimensionale e non rientra negli obblighi NIS2. La direttiva si applica ai soggetti almeno medi — le strutture sanitarie medie e grandi — non ai piccoli studi. Resta possibile, in via di eccezione, che l’ACN individui in modo specifico anche un soggetto sotto soglia (per esempio come unico fornitore di un servizio essenziale su un territorio): in quel caso rientra negli obblighi e nelle relative sanzioni.

Quali poliambulatori devono registrarsi all'ACN?

Quelli almeno di medie dimensioni secondo i criteri della raccomandazione UE 2003/361/CE. Una PMI ha meno di 250 dipendenti e resta entro una soglia finanziaria (fatturato fino a 50 milioni oppure totale di bilancio fino a 43 milioni): fatturato e totale di bilancio sono alternativi tra loro, ma superare da solo il tetto dei 250 dipendenti basta a uscire dalla categoria PMI. L’obbligo di registrazione parte dalle imprese medie (dai ~50 dipendenti e oltre i 10 milioni di fatturato o di bilancio); i soggetti essenziali sono le imprese grandi (dai 250 dipendenti, oppure oltre 50 milioni di fatturato o 43 di totale di bilancio). La classificazione esatta va verificata col proprio consulente e sulle indicazioni dell’ACN. Un poliambulatorio micro o piccolo, sotto quelle soglie, di norma non è tenuto a registrarsi, salvo un’identificazione specifica da parte dell’ACN.

Un gestionale medico basta per essere conformi alla NIS2?

No. La NIS2 richiede misure organizzative, valutazione del rischio, procedure di notifica e adempimenti verso l’ACN: un software, per quanto sicuro, ne copre solo la parte tecnica. Custodire i dati in cloud con backup, accessi per ruolo e trasmissioni cifrate aiuta, ma non sostituisce il percorso di conformità della struttura.

Quali sono le sanzioni previste dalla NIS2?

Per i soggetti essenziali si arriva fino a 10 milioni di euro o al 2% del fatturato annuo mondiale; per i soggetti importanti fino a 7 milioni di euro o all’1,4%. In entrambi i casi, come previsto dall’articolo 38, comma 9, del D.Lgs. 138/2024, si applica l’importo più elevato tra i due. Le sanzioni riguardano però solo chi rientra effettivamente nel perimetro: una struttura sotto soglia di norma non è esposta, salvo che l’ACN non l’abbia individuata specificamente.

1 … 6 7 8 9 10 … 16