campagne di prevenzione studio medico

Garante Privacy 2026: le strutture sanitarie sotto la lente

Il Garante per la Protezione dei Dati Personali ha pubblicato il piano delle attività ispettive per il primo semestre 2026. Tra i settori prioritari figura esplicitamente la sanità, con particolare attenzione al dossier sanitario elettronico, ai profili di accesso ai dati clinici e alla gestione dei data breach. Per studi medici e poliambulatori privati, ignorare questi segnali rischia di trasformarsi in una sanzione che può arrivare a decine o centinaia di migliaia di euro.

Cosa prevede il piano ispettivo 2026

Il Garante ha pianificato almeno 40 attività ispettive nel primo semestre 2026, ripartite tra controlli d’ufficio, ispezioni a seguito di segnalazioni e verifiche su settori ritenuti ad alto rischio per i diritti degli interessati.

Il settore sanitario rientra esplicitamente tra le aree prioritarie. Le verifiche si concentreranno su tre ambiti:

Dossier sanitario e profili di accesso. Il Garante intende verificare che l’accesso ai dati clinici dei pazienti avvenga nel pieno rispetto dei principi di necessità e minimizzazione: solo il personale che ha una relazione di cura diretta con il paziente dovrebbe poter consultare i suoi dati. L’accesso indiscriminato da parte di personale amministrativo o di professionisti non coinvolti nella cura è una delle violazioni più frequentemente rilevate.

Traceability degli accessi. Le strutture devono essere in grado di dimostrare chi ha avuto accesso a quali dati, quando e per quale motivo. L’assenza di log o la loro incompletezza è stata già sanzionata in passato.

Gestione dei data breach. Il Garante verificherà che le strutture segnalino tempestivamente (entro 72 ore) le violazioni di dati ai sensi dell’art. 33 GDPR e che le misure di rimedio adottate siano concrete e documentate.

Sanzioni già comminate nel 2025

I provvedimenti del 2025 mostrano che il Garante non esita a sanzionare le strutture sanitarie, anche pubbliche:

  • Con il provvedimento n. 243 del 29 aprile 2025, la Regione Lombardia ha ricevuto una sanzione di 50.000 euro per violazioni nella gestione del dossier sanitario.
  • Con il provvedimento n. 474 del 4 agosto 2025, l’Azienda Ospedaliero-Universitaria Careggi di Firenze è stata sanzionata con 80.000 euro per l’illiceità del trattamento tramite il proprio dossier sanitario.

Questi importi si riferiscono a strutture pubbliche — per le strutture private il parametro di proporzionalità è diverso, ma l’orientamento del Garante è chiaro.

Cosa deve fare una struttura sanitaria privata

In vista di una possibile ispezione, le azioni prioritarie per studi medici e poliambulatori sono:

  1. Verificare il registro dei trattamenti. Il GDPR art. 30 obbliga le strutture con più di 250 dipendenti (e comunque quelle che trattano dati sanitari su larga scala) a tenere un registro aggiornato dei trattamenti. Verificare che sia completo e allineato alle attività reali.
  2. Controllare i profili di accesso degli utenti. Chi può accedere ai dati dei pazienti? Il personale di reception ha lo stesso accesso del medico specialista? I permessi devono riflettere il principio del “need to know”: ogni operatore deve poter vedere solo ciò che è necessario al suo ruolo.
  3. Documentare la raccolta dei consensi. In caso di ispezione, la struttura deve dimostrare che ogni trattamento ha una base giuridica. Per i trattamenti facoltativi (marketing, comunicazioni promozionali), il consenso deve essere documentato in anagrafica e rispettato nelle comunicazioni operative.
  4. Avere una procedura per i data breach. La gestione di un incidente (furto di un laptop, accesso non autorizzato al gestionale, email inviata al destinatario sbagliato) deve essere codificata: chi valuta, chi notifica il Garante, quali rimedi adottare.

Come DBMedica supporta la conformità GDPR

La conformità non è uno stato che si raggiunge una volta: è un processo continuativo che richiede strumenti in grado di rendere visibili e gestibili le dinamiche quotidiane del trattamento dei dati.

DBMedica dispone di un sistema permessi granulare con oltre 55 permessi configurabili, che consente di assegnare a ogni utente esattamente le funzionalità necessarie al suo ruolo — niente di più. Un receptionist può gestire gli appuntamenti senza poter accedere alle cartelle cliniche; un medico può vedere solo i pazienti della propria agenda senza visualizzare i dati degli altri professionisti. Questo controllo granulare è la risposta tecnica al principio di minimizzazione dell’accesso che il Garante verifica nelle ispezioni.

Sul fronte dei consensi, DBMedica integra un sistema di gestione delle informative GDPR che documenta in anagrafica lo stato di ogni consenso: quale informativa è stata firmata, quando, se è ancora valida. In caso di ispezione, la struttura può dimostrare in pochi secondi la base giuridica di ogni trattamento.

Richiedi una demo gratuita di DBMedica per vedere come il sistema di permessi e la gestione dei consensi possono mettere la tua struttura in una posizione solida rispetto alle verifiche del Garante.

patient experience

NIS2 2026: gli obblighi di cybersecurity per poliambulatori

Il D.Lgs. 138/2024 ha recepito in Italia la direttiva europea NIS2 (Network and Information Security), estendendo gli obblighi di sicurezza informatica al settore sanitario privato. Poliambulatori, centri medici specialistici e strutture private di dimensione media che gestiscono dati sanitari digitali rientrano nell’ambito di applicazione. Le scadenze operative partono già dal 2026.

Cosa prevede la direttiva NIS2

La direttiva europea 2022/2555 (NIS2), recepita in Italia con il D.Lgs. 138/2024, introduce obblighi strutturati di gestione del rischio informatico per le organizzazioni che operano in settori considerati critici o importanti per il funzionamento del Paese. La sanità è esplicitamente inclusa tra questi settori.

L’impianto della NIS2 si basa su due pilastri:

  • Misure di sicurezza tecniche e organizzative, che coprono crittografia, controllo degli accessi, backup, risposta agli incidenti, sicurezza della supply chain IT.
  • Obbligo di notifica degli incidenti significativi all’autorità nazionale competente (il CSIRT Italia, gestito dall’ACN — Agenzia per la Cybersicurezza Nazionale), entro 24 ore dalla rilevazione di un incidente grave.

Chi è coinvolto nel settore sanitario privato

La NIS2 non riguarda il singolo medico in libera professione né il piccolo studio monoprofessionale. I soggetti coinvolti sono le organizzazioni che superano determinate soglie dimensionali:

  • Soggetti importanti: strutture con 50-249 dipendenti o fatturato tra 10 e 50 milioni di euro annui
  • Soggetti essenziali: strutture con 250 o più dipendenti o fatturato superiore a 50 milioni di euro annui

Nella pratica, poliambulatori multi-specialistici strutturati, centri diagnostici privati, gruppi medici associati con più sedi e strutture private accreditate con il SSN che operano su larga scala rientrano frequentemente nella prima categoria. Le strutture più grandi (ospedali privati, grandi cliniche) nella seconda.

Chi non supera queste soglie non è soggetto direttamente agli obblighi NIS2, ma rimane comunque tenuto al rispetto del GDPR per la protezione dei dati sanitari.

Le scadenze del 2026

Registrazione ACN (già scaduta il 28 febbraio 2026): i soggetti già identificati come rientranti nella NIS2 dovevano confermare o aggiornare la loro registrazione sulla piattaforma ACN entro il 28 febbraio 2026. I soggetti di nuova identificazione che ancora non si sono registrati devono procedere il prima possibile.

Notifica degli incidenti (operativa dal 15 gennaio 2026): dal 15 gennaio 2026 è pienamente operativo il regime obbligatorio di notifica al CSIRT Italia degli incidenti informatici significativi, entro 24 ore dalla rilevazione.

Implementazione misure di sicurezza: gli obblighi tecnici e organizzativi devono essere assolti entro 18 mesi dalla notifica ufficiale di inserimento nell’elenco dei soggetti NIS da parte di ACN.

Cosa fare in pratica

Le strutture sanitarie private che rientrano nell’ambito NIS2 devono affrontare un percorso di adeguamento articolato:

  1. Verificare se si rientra nell’ambito. Il primo passo è una valutazione interna basata su numero di dipendenti e fatturato annuo. Se si supera una delle due soglie per la categoria “soggetti importanti”, la struttura è soggetta alla NIS2.
  2. Completare la registrazione ACN. La piattaforma di registrazione dell’Agenzia per la Cybersicurezza Nazionale è il punto di ingresso formale nel regime NIS2. Le strutture già identificate che non hanno ancora completato il rinnovo 2026 devono farlo urgentemente.
  3. Effettuare una gap analysis. Confrontare lo stato attuale della sicurezza informatica della struttura con i requisiti NIS2: crittografia dei dati a riposo e in transito, autenticazione multi-fattore, segregazione degli accessi, backup e test di ripristino, procedure di incident response.
  4. Adeguare i sistemi e i processi. Gli interventi tipici includono: aggiornamento delle politiche di accesso ai sistemi informativi, implementazione di sistemi di monitoraggio degli eventi di sicurezza, formalizzazione dei piani di continuità operativa e disaster recovery, verifica dei fornitori IT (supply chain security).
  5. Formare il personale. La NIS2 include tra le misure obbligatorie la formazione sulla cybersecurity per chi ha accesso a sistemi critici, incluso il personale amministrativo che gestisce dati di pazienti.

Perché il settore sanitario è un obiettivo privilegiato

I dati sanitari sono tra le informazioni più sensibili e preziose sul mercato criminale. Una cartella clinica contiene dati anagrafici, condizioni di salute, terapie, dati di pagamento — un profilo completo della persona che vale molto di più di un semplice numero di carta di credito. Le strutture sanitarie, spesso sotto pressione operativa e con sistemi IT non aggiornati, sono un bersaglio frequente di ransomware e data breach.

Adeguarsi alla NIS2 non è solo un obbligo normativo: è una risposta concreta a un rischio reale che, in caso di incidente, può comportare l’interruzione dell’operatività clinica, sanzioni amministrative fino all’1,4% del fatturato annuo globale (per soggetti importanti), e un grave danno reputazionale verso i pazienti.

Come DBMedica contribuisce alla sicurezza dei dati sanitari

Un gestionale medico è uno dei sistemi più critici nella catena di protezione dei dati sanitari: aggrega le informazioni cliniche di tutti i pazienti, gestisce gli accessi di operatori con ruoli diversi e produce i documenti che alimentano il FSE. DBMedica è stato progettato tenendo conto di questo ruolo:

Crittografia dei dati clinici a riposo

Le cartelle cliniche digitali in DBMedica sono crittografate a riposo. I dati delle cartelle non sono accessibili in chiaro nemmeno a chi avesse accesso diretto al database, un requisito fondamentale per qualsiasi struttura che debba dimostrare conformità agli obblighi di protezione dei dati.

Sistema di permessi granulare

DBMedica implementa un sistema di controllo degli accessi con oltre 55 permessi configurabili e ruoli personalizzabili. Ogni utente del sistema — medico, segretario, responsabile amministrativo, operatore di cassa — vede e può fare solo ciò che la struttura ha esplicitamente autorizzato. Questo riduce drasticamente la superficie di esposizione: un operatore di segreteria non può accedere alle cartelle cliniche se non abilitato, e un medico non può esportare i dati contabili se non autorizzato.

Gestione multi-sede con configurazione separata

Per le strutture multi-sede che rientrano nella NIS2, DBMedica gestisce ogni sede come un’entità con configurazione indipendente: utenti, permessi, listini e dati sono separati per sede. Questo favorisce una corretta segmentazione dei dati e degli accessi, principio cardine della sicurezza NIS2.

L’adeguamento è un investimento, non solo un costo

Le strutture che si adeguano alla NIS2 non lo fanno solo per evitare sanzioni: costruiscono un’infrastruttura più resiliente, riducono il rischio di interruzioni operative causate da attacchi informatici e rafforzano la fiducia dei pazienti nella gestione dei propri dati. Richiedi una demo gratuita di DBMedica per scoprire come il gestionale contribuisce alla sicurezza e alla conformità della tua struttura sanitaria.

centralino ai comunicazioni telefoniche

Ricetta bianca dematerializzata: cosa cambia nel 2026 per gli specialisti

Dal 1° gennaio 2025 la ricetta bianca — quella con cui il medico prescrive farmaci a carico del paziente, non del Servizio Sanitario Nazionale — deve essere emessa in formato elettronico. Non è più una possibilità in più accanto al foglio cartaceo: è l’obbligo introdotto dalla Legge di Bilancio 2025 (L. 207/2024, art. 1, comma 317). In questa guida vediamo cosa cambia in concreto per lo specialista privato, come si emette la ricetta bianca dematerializzata, la novità 2026 sulle ripetibili e dove si ferma il portale ministeriale e dove inizia il gestionale. Se stai già cercando lo strumento per tenere in ordine cartelle e prescrizioni, vai al gestionale per studio medico di DBMedica.

Cosa cambia dal 2025: la ricetta bianca diventa obbligatoriamente elettronica

Le ricette rosse (farmaci a carico del SSN) sono digitali da oltre un decennio. Le ricette bianche, con cui si prescrivono i farmaci pagati dal cittadino, sono rimaste cartacee molto più a lungo. La ricetta bianca dematerializzata era già operativa dal 2022 sul portale Sistema Tessera Sanitaria, ma solo come alternativa alla carta.

La Legge di Bilancio 2025 ha chiuso il regime transitorio: la prescrizione dematerializzata è ora lo standard permanente del sistema prescrittivo nazionale, e la ricetta bianca elettronica diventa la regola per tutti i medici che prescrivono farmaci non a carico del SSN — liberi professionisti, specialisti privati e odontoiatri compresi. Il riferimento normativo è il comma 317 dell’articolo 1 della legge.

Come si emette la ricetta bianca dematerializzata

La ricetta bianca elettronica si emette sul portale del Sistema Tessera Sanitaria, gestito dal Ministero dell’Economia e delle Finanze. Il processo è questo:

  • il medico accede al portale Sistema TS con le proprie credenziali SPID o CIE (Carta d’Identità Elettronica);
  • inserisce il codice fiscale del paziente, il farmaco (denominazione o principio attivo, dosaggio, numero di confezioni) e le indicazioni;
  • il sistema genera un numero di ricetta elettronica (NRE) e un promemoria, che il paziente può esibire in farmacia in formato digitale o su carta;
  • il farmacista legge il numero, eroga il farmaco e chiude la ricetta nel sistema.

Le specifiche tecniche e i riferimenti normativi aggiornati sono pubblicati sulla pagina ufficiale del Sistema TS dedicata alla ricetta elettronica. La parte tecnica dell’emissione è a carico del portale ministeriale, non del gestionale dello studio: è un punto importante, perché chiarisce cosa deve fare davvero il software di uno studio (lo vediamo più avanti).

La novità del 2026: ricette ripetibili valide fino a 12 mesi

Dal 1° febbraio 2026 è cambiata la validità delle ricette dematerializzate ripetibili. Per le terapie croniche il medico può emettere una ricetta valida fino a 12 mesi, con erogazione di una confezione alla volta da parte del farmacista: prima il limite era di 6 mesi. È una semplificazione concreta per i pazienti cronici, che non devono più tornare dallo specialista solo per rinnovare la prescrizione. Per il medico significa configurare correttamente, al momento dell’emissione, il numero di erogazioni previste e la periodicità.

L’obbligo vale anche per chi lavora solo in privato?

È la domanda più frequente tra gli specialisti che operano esclusivamente in regime privato, senza alcun rapporto con il SSN. La risposta pratica è sì. In un chiarimento di gennaio 2026, ANDI ha confermato l’obbligo di dematerializzazione per gli odontoiatri, pur segnalando che permangono interpretazioni diverse sul caso del libero professionista puro. La posizione consigliata agli iscritti è chiara: adottare la ricetta digitale come prassi standard per tutti i pazienti, sia per conformarsi all’obbligo ormai consolidato, sia per evitare contestazioni.

Per gli specialisti privati di ogni branca — cardiologi, ortopedici, dermatologi, ginecologi — la situazione è la stessa: la dematerializzazione è l’indirizzo normativo, e gli strumenti per rispettarla sono già disponibili e funzionanti.

Cosa fare adesso: la checklist per lo studio

  • Attiva l’accesso al Sistema TS. Se non hai ancora le credenziali per il sistema prescrittivo, verifica SPID o CIE e l’abilitazione al portale. La procedura è gratuita.
  • Fai delle prove prima dei pazienti. Inserisci ricette di test e verifica la generazione del numero di ricetta, così arrivi in visita già pratico.
  • Prepara i pazienti, soprattutto gli anziani. Spiega che riceveranno un codice o un promemoria da mostrare in farmacia, al posto del foglio: evita confusione all’accettazione.
  • Tieni traccia delle prescrizioni in cartella. Documentare ogni prescrizione nel gestionale, collegata alla visita, dà uno storico completo e ti fa rispondere con precisione in caso di follow-up.
  • Verifica la procedura per le ripetibili a 12 mesi per i tuoi pazienti cronici.

Dove finisce il portale e dove serve il gestionale

La ricetta bianca dematerializzata la si emette sul portale Sistema TS: nessun gestionale la sostituisce. Il software dello studio serve prima e dopo quel passaggio, ed è lì che si vede la differenza tra lavorare in ordine e rincorrere i documenti. DBMedica è un software gestionale medico in cloud per studi e centri medici, che tiene insieme agenda, cartella clinica, fatturazione e Sistema TS. Sul fronte prescrizioni fa tre cose concrete.

Uno storico prescrittivo dentro la cartella clinica

Nella cartella clinica digitale il medico registra tutte le terapie prescritte al paziente — farmaci, esami, fisioterapia — con data, descrizione e note. Ne nasce uno storico completo, collegato alla visita, indipendentemente dal canale con cui la ricetta è stata emessa. Quando il paziente torna, hai davanti cosa gli è già stato prescritto, senza cercarlo tra fogli e portali diversi.

Le richieste di esami pronte per il paziente

Oltre ai farmaci, DBMedica gestisce le richieste di esami: il medico compila la richiesta e il paziente riceve il documento in PDF, valido sia per i laboratori interni al poliambulatorio sia per le strutture esterne. Anche queste restano agganciate alla cartella del paziente.

Le ricette SSN, per chi lavora anche in convenzione

Discorso a parte per le ricette rosse a carico del SSN, che seguono i sistemi regionali e non il portale delle bianche. Per gli studi convenzionati, DBMedica emette le ricette SSN dematerializzate nelle regioni supportate — Lombardia, Emilia-Romagna e Marche — registrandole direttamente nel sistema. È una funzione distinta dalla ricetta bianca, utile a chi si muove su entrambi i canali.

Domande frequenti sulla ricetta bianca dematerializzata

La ricetta bianca cartacea è ancora valida nel 2026?

Il formato elettronico è la regola. Per garantire la continuità del servizio, in fase di transizione le farmacie possono ancora erogare farmaci a fronte di ricette cartacee, ma l’indirizzo è la dematerializzazione: lo studio che non si è ancora attrezzato deve farlo.

Serve un gestionale per emettere la ricetta bianca elettronica?

No: l’emissione avviene sul portale Sistema TS con credenziali SPID o CIE. Il gestionale serve a tenere traccia delle prescrizioni nella cartella clinica, collegarle alla visita e avere lo storico del paziente sempre a portata.

Come si accede al portale Sistema TS per le ricette?

Con identità digitale SPID o CIE. I riferimenti e le specifiche tecniche aggiornate sono pubblicati sulla pagina normativa del Sistema TS.

Quanto dura una ricetta ripetibile nel 2026?

Dal 1° febbraio 2026 le ricette dematerializzate ripetibili per terapie croniche possono valere fino a 12 mesi, con una confezione erogata alla volta. Prima il limite era di 6 mesi.

Un adempimento tra tanti: tienili insieme

La ricetta bianca digitale non arriva da sola: si somma a Sistema TS, fattura elettronica, FSE 2.0 e agli altri adempimenti che uno studio deve gestire ogni giorno. Averli in un solo posto, invece che in dieci portali diversi, è ciò che riduce gli errori e il tempo perso. Guarda il gestionale per studio medico di DBMedica e richiedi una demo gratuita: cartella clinica, prescrizioni, richieste di esami e fatturazione configurati sul tuo studio, in una sessione dedicata.

1 2 3 4 5 6