GDPR per studi odontoiatrici: dati dei pazienti e cartelle cliniche nel 2026
Lettura 7 min · AstraLoop Studio
Il modulo di anamnesi che il paziente compila prima della prima visita, la cartella clinica con la storia dei trattamenti, le radiografie, i piani di cura mai accettati salvati nel gestionale, gli appunti della segretaria su chi va richiamato: tutto questo è dato sanitario, e il GDPR lo tratta come la categoria più delicata che esiste. Non è un dettaglio amministrativo da sistemare a fine anno con il commercialista. È la materia prima con cui lo studio lavora ogni giorno.
Nel 2026 il regolamento di riferimento è sempre lo stesso, il Regolamento UE 2016/679, e non è cambiato da un giorno all'altro. A cambiare è il contesto in cui lo applichi: più software, più promemoria via WhatsApp, più laboratori odontotecnici esterni collegati al gestionale, più richieste di recensioni online. Ogni nuovo strumento digitale che lo studio adotta è anche un nuovo punto in cui i dati dei pazienti possono uscire dal perimetro previsto, e il settore sanitario, odontoiatria inclusa, resta tra quelli su cui il Garante Privacy fa controlli mirati.
Perché la cartella clinica non è un file come gli altri
Il GDPR distingue i dati personali comuni, come nome, indirizzo o email, dai dati relativi alla salute, che rientrano nelle categorie particolari previste dall'articolo 9. Per trattarli servono basi giuridiche più solide, misure di sicurezza più rigorose e, in molti casi, un'informativa e un consenso specifici che vanno oltre il modulo generico scaricato da internet anni fa e mai più riletto.
Per uno studio con una o due poltrone la tentazione è pensare che, essendo piccoli, il problema riguardi altri. Ma la dimensione dello studio non riduce la sensibilità del dato: la cartella clinica di un paziente su cinquanta pesa, dal punto di vista della categoria trattata, esattamente come quella di una clinica con migliaia di pazienti. Per un approfondimento più ampio su come proteggere i dati in un contesto medico, può essere utile leggere anche il nostro articolo sulla sicurezza dei dati negli studi medici.
Gli errori che si vedono davvero, in studio, ogni settimana
- Moduli di anamnesi cartacei lasciati in vista in reception, leggibili da chi passa o da chi aspetta seduto vicino al bancone.
- Cartelle cliniche del gestionale aperte con un unico account condiviso tra segretaria, igienista e titolare: se succede qualcosa, non si risale a chi ha fatto cosa.
- Foto intraorali o del prima e dopo condivise nella chat WhatsApp dello studio o postate sui social senza un consenso scritto specifico, diverso da quello per le cure.
- Promemoria SMS o WhatsApp che riportano il tipo di trattamento, tipo "ti ricordiamo l'appuntamento per l'impianto di domani", su un numero che magari non è più solo del paziente.
- Il laboratorio odontotecnico esterno che riceve impronte e dati del caso senza un accordo di trattamento dati firmato: è un responsabile esterno a tutti gli effetti, non un fornitore qualsiasi.
- Backup del gestionale su una chiavetta USB che gira tra postazioni, o su un cloud generico scelto senza mai chiedersi dove sono fisicamente i server.
Nessuno di questi errori nasce da cattiva fede. Nascono dalla fretta di uno studio che deve gestire l'agenda, i pazienti in sala d'attesa, il telefono che squilla in continuazione, e finisce per mettere la privacy in fondo alla lista delle priorità. Il problema è che, se arriva un controllo o una segnalazione, non conta l'intenzione: contano le misure che erano davvero in atto.
Cosa deve avere in regola uno studio odontoiatrico, concretamente
Non serve trasformarti in un esperto di diritto della privacy. Serve avere, con l'aiuto di chi se ne occupa di mestiere, alcuni elementi in ordine:
- Un'informativa privacy specifica per lo studio odontoiatrico, non un testo generico, che spieghi con chiarezza come vengono trattati i dati sanitari.
- Un consenso distinto tra trattamento sanitario e usi diversi, come l'invio di promemoria, un'eventuale newsletter o l'uso di foto a scopo informativo.
- Un registro dei trattamenti aggiornato, che elenchi gestionale, sistema di backup, eventuale centralino, laboratorio esterno, e chi ha accesso a cosa.
- Accordi di trattamento dati con i fornitori che toccano i dati dei pazienti: laboratorio odontotecnico, software gestionale, eventuale servizio di promemoria via SMS o WhatsApp.
- Un minimo di formazione allo staff su cosa si può dire al telefono e cosa no, perché la voce della segretaria è spesso il punto più esposto di tutto lo studio.
Su quest'ultimo punto vale la pena soffermarsi. La telefonata di chi chiede notizie di un familiare, o chiama chiedendo se il marito ha un appuntamento oggi, è uno dei momenti in cui più facilmente si comunica un dato sanitario a chi non ha titolo per riceverlo. Non per cattiva volontà: perché nessuno ha mai scritto una procedura semplice su come rispondere in quei casi.
Vuoi capire se il tuo studio è davvero in regola con il GDPR, senza doverti trasformare tu in un esperto legale? Parliamone: guardiamo insieme dati, strumenti e procedure dello studio.
Dove il gestionale giusto toglie il problema dalle spalle
Molta della fatica nella gestione GDPR di uno studio non è normativa, è organizzativa: sapere chi ha visto cosa, evitare che i dati vivano su fogli Excel e chat sparse, avere un unico posto dove cartella clinica, agenda e comunicazioni con il paziente restano coerenti e tracciabili. Un gestionale su misura costruito sulle esigenze reali dello studio, con accessi differenziati per ruolo (la segretaria non deve vedere le stesse cose del titolare), un log di chi ha aperto una cartella e quando, e promemoria automatici che non riportano il dettaglio clinico in chiaro, non risolve da solo la parte legale, ma toglie dal tavolo buona parte dei rischi pratici che poi creano problemi veri. Chi ha visto abbastanza gestionali per studi odontoiatrici sa che la differenza tra uno strumento pensato per il settore sanitario e un software generico riadattato si vede proprio qui, nei dettagli di chi può accedere a cosa e quando.
Recensioni, sito e reputazione online: attenzione al dato che scappa
Quando uno studio comincia a curare la propria presenza online, tra sito, recensioni e social, il rischio privacy non sparisce: cambia solo forma. Rispondere a una recensione negativa citando il nome del paziente o il tipo di trattamento eseguito è un problema doppio. È un problema di GDPR, perché diffondi un dato sanitario riconducibile a una persona identificabile. Ed è un problema deontologico, perché la comunicazione sanitaria in Italia è regolata dalla legge: il comma 525 della Legge 145/2018 ammette solo comunicazioni funzionali e informative, non promozionali o suggestive, e la vigilanza spetta al tuo Ordine professionale.
Lo stesso vale per le foto del prima e dopo usate come vetrina: oltre al tema del consenso, il loro impiego come richiamo promozionale è un terreno su cui la normativa sanitaria resta restrittiva. Se hai un dubbio su un caso specifico, il modo più sicuro è chiedere direttamente al tuo Ordine, perché le interpretazioni possono variare. Quello che puoi sempre fare, senza correre rischi, è informare bene sulle prestazioni e sulle specializzazioni dello studio, curare le recensioni online senza mai entrare nel merito clinico dei singoli casi, e rispondere in fretta a chi ti scrive.
Quando conviene farsi seguire da un consulente
Puoi leggere cento articoli come questo e restare comunque con il dubbio se il tuo studio sia davvero in regola. È normale: la normativa privacy si applica in modo diverso a seconda di quanti pazienti gestisci, che strumenti usi, se hai dipendenti o collaboratori esterni, se il laboratorio odontotecnico è interno o esterno. Un consulente privacy che conosce il settore sanitario, insieme a chi ti costruisce gli strumenti digitali (sito, gestionale, sistemi di comunicazione con i pazienti), ti fa risparmiare tempo e ti evita di scoprire un problema quando è già troppo tardi, magari con un controllo del Garante o la segnalazione di un paziente.
Da AstraLoop non facciamo consulenza legale privacy. Costruiamo gli strumenti, come gestionali, siti e sistemi di comunicazione automatizzata con i pazienti, pensandoli fin dall'inizio per rispettare questi vincoli: accessi tracciati, dati sanitari trattati con la cura che meritano, nessuna scorciatoia che espone lo studio a rischi inutili. Se vuoi capire da dove partire per mettere in ordine sia gli strumenti che le procedure dello studio, scrivici: guardiamo insieme cosa hai oggi e cosa ha davvero senso cambiare.
Domande frequenti
Uno studio odontoiatrico ha bisogno del DPO (responsabile protezione dati)?
Dipende da dimensione, numero di pazienti trattati e organizzazione dello studio: non c'è una risposta valida per tutti gli studi allo stesso modo. È una valutazione che va fatta con un consulente privacy, guardando il caso specifico, non applicando una regola generica letta online.
Quanto tempo bisogna conservare le cartelle cliniche di uno studio dentistico?
I tempi di conservazione dipendono da normative e prassi che possono variare, e sbagliare per difetto o per eccesso crea comunque un problema. Prima di fissare una policy interna, verifica i tempi corretti con un consulente privacy o con il tuo Ordine professionale.
Posso mandare promemoria degli appuntamenti via WhatsApp ai pazienti?
Puoi, ma con attenzione: evita di scrivere il tipo di trattamento nel messaggio, verifica di avere un consenso valido per quel canale e assicurati che il numero salvato sia davvero solo del paziente. Un promemoria generico (ti ricordiamo l'appuntamento di domani alle 15) è più sicuro di uno con il dettaglio clinico.
Cosa rischia concretamente uno studio che non è in regola con il GDPR?
Il rischio più immediato è un controllo del Garante Privacy o una segnalazione da parte di un paziente, con le conseguenze che ne derivano. Ma il danno più frequente nella pratica è più semplice: perdere la fiducia di un paziente che scopre che i suoi dati sono stati trattati con leggerezza.
Posso usare le foto prima e dopo dei pazienti per farmi pubblicità?
È un terreno delicato su due fronti insieme: il consenso specifico del paziente da un lato, e le regole sulla comunicazione sanitaria (che vietano toni promozionali o suggestivi) dall'altro. In caso di dubbio su un utilizzo specifico, il modo più sicuro è chiedere al tuo Ordine professionale prima di pubblicare.
Vuoi mettere in ordine dati dei pazienti, cartelle cliniche e strumenti digitali dello studio? Scrivi ad AstraLoop: partiamo da come lavori oggi.