Dossier farmaceutico e protezione dei dati: governance, rischi e compliance GDPR
-
- 7 Agosto 2026
L’evoluzione del ruolo delle farmacie verso modelli di farmacia clinica e di prossimità pone al centro del dibattito giuridico il dossier farmaceutico quale strumento di raccolta, condivisione e analisi dei dati sanitari del paziente finalizzato al miglioramento dell’aderenza terapeutica e alla prevenzione degli errori farmacologici. Con l’aggiornamento delle FAQ del 21 maggio 2026 il Garante per la protezione dei dati personali ha chiarito che il dossier farmaceutico costituisce una sezione del Fascicolo sanitario elettronico (FSE), alimentata dalla farmacia all’atto della dispensazione del medicinale e destinata a confluire tra i servizi dell’Ecosistema dati sanitari (EDS) istituito dal d.m. 31 dicembre 2024.
Questa collocazione sistematica ha conseguenze giuridiche di primo rilievo: la farmacia agisce quale soggetto alimentatore all’interno di un’architettura di titolarità pubblica e multilivello, l’alimentazione del Fascicolo non richiede il consenso dell’assistito mentre la consultazione lo esige, e il diritto di oscuramento esercitato dal paziente si propaga a valle escludendo i dati oscurati tanto dalla consultazione quanto dall’alimentazione dell’EDS. Restano invece soggetti al regime ordinario del GDPR i trattamenti che la farmacia effettua in proprio — schedari clienti, servizi di aderenza terapeutica, presa in carico del paziente cronico, telemedicina — rispetto ai quali essa conserva piena titolarità e i correlati obblighi di base giuridica, informativa, DPIA e sicurezza.
Il tema interseca in modo profondo la disciplina della protezione dei dati personali di categoria particolare ai sensi del Regolamento (UE) 2016/679 (GDPR), il Codice della Privacy (d.lgs. 196/2003 come novellato dal d.lgs. 101/2018), le disposizioni nazionali in materia di FSE introdotte dal d.l. 179/2012 e riformate dalla l. 221/2012 e dal Piano Nazionale di Ripresa e Resilienza (PNRR), nonché le linee di indirizzo e le FAQ del Garante in materia di trattamenti in ambito sanitario. L’analisi rileva che il dossier farmaceutico, pur costituendo un prezioso presidio clinico e di salute pubblica, richiede un’architettura di governance del dato particolarmente robusta, fondata su una corretta perimetrazione dei ruoli, informative trasparenti, misure tecniche e organizzative adeguate e una riflessione approfondita sui flussi di interoperabilità con il FSE, con l’EDS e con le piattaforme di telemedicina.
1. Introduzione e inquadramento generale
Il sistema sanitario italiano è attraversato da una trasformazione profonda che riguarda non soltanto l’organizzazione dei servizi, ma anche il ridisegno delle competenze professionali e dei flussi informativi che connettono i diversi attori della cura. In questo contesto, la farmacia sta progressivamente abbandonando il ruolo di mero dispensatore del farmaco prescritto per assumere quello di presidio clinico di prossimità, interlocutore privilegiato del paziente cronico, punto di raccolta e restituzione di informazioni terapeutiche di rilevanza clinica.
Lo strumento che più di ogni altro incarna questa trasformazione è il dossier farmaceutico: un insieme strutturato di dati relativi alla storia farmacologica del paziente — farmaci prescritti ed erogati, posologia, interazioni, controindicazioni, reazioni avverse — che si costruisce nel tempo in collegamento con il medico di medicina generale e con gli altri operatori sanitari, al fine di garantire continuità terapeutica, ridurre gli errori da politerapia e incrementare l’aderenza alle terapie prescritte. Quest’ultimo aspetto è di particolare rilievo epidemiologico: secondo i dati dell’Organizzazione Mondiale della Sanità, la scarsa aderenza terapeutica nelle malattie croniche è responsabile di un numero molto elevato di ricoveri evitabili e di costi sanitari aggiuntivi stimati in miliardi di euro a livello europeo.
Fino all’aggiornamento delle FAQ del maggio 2026, la dottrina e la prassi tendevano a ricostruire il dossier farmaceutico come un archivio proprio della farmacia, modellato sulla figura del “dossier sanitario” elaborata dal Garante per le strutture sanitarie. Le FAQ hanno invece consolidato una lettura diversa e più netta: il dossier farmaceutico è una sezione del FSE, che la farmacia alimenta al momento della consegna dei farmaci, con la finalità di migliorare la qualità del servizio e favorire il monitoraggio, l’appropriatezza nell’erogazione dei medicinali e l’aderenza alla terapia, contribuendo alla sicurezza del paziente.
Questa precisazione non riduce la complessità del quadro di compliance ma la sposta. La farmacia non è più — o non è più soltanto — il titolare di un proprio archivio sanitario, ma un nodo di un’infrastruttura pubblica nazionale, con responsabilità di correttezza, qualità e sicurezza del dato conferito, e resta al tempo stesso titolare autonomo dei trattamenti che effettua nei propri sistemi gestionali e nell’ambito della farmacia dei servizi. Distinguere con precisione questi due piani è oggi il primo e più importante esercizio di governance richiesto ai DPO del settore.
Sul piano giuridico, il dossier farmaceutico tratta dati sanitari, categoria per definizione “particolare” ai sensi dell’art. 9 GDPR, con tutte le implicazioni che ne derivano in termini di base giuridica, garanzie rafforzate, diritti dell’interessato e obblighi del titolare del trattamento. La farmacia — sia essa una farmacia privata convenzionata, una farmacia pubblica o una farmacia ospedaliera — si trova quindi a dover costruire un’architettura di compliance particolarmente rigorosa, in un contesto normativo che vede sovrapporsi disciplina europea, normativa nazionale, decreti attuativi, provvedimenti e FAQ del Garante e, sempre più, regole relative all’Ecosistema dati sanitari e ai servizi digitali in sanità.
L’obiettivo del presente contributo è offrire un’analisi giuridica sistematica del dossier farmaceutico nell’ottica della protezione dei dati personali, esaminando le basi giuridiche applicabili, la ripartizione dei ruoli privacy, i profili critici connessi all’interoperabilità con il FSE e con l’EDS, le misure tecnico-organizzative richieste dalla disciplina vigente e le implicazioni operative per i DPO e i responsabili della compliance nelle strutture farmaceutiche e sanitarie.
2. Il quadro normativo di riferimento
2.1. La disciplina europea: GDPR e il trattamento dei dati sanitari
Il punto di partenza obbligato è il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, che all’art. 9 qualifica i dati relativi alla salute come categoria speciale di dati personali, il cui trattamento è in linea di principio vietato salvo ricorra una delle condizioni tassativamente previste dal paragrafo 2. Nel contesto del dossier farmaceutico, le condizioni di maggiore interesse sono quelle di cui alle lettere a) (consenso esplicito dell’interessato), h) (trattamento necessario per finalità di medicina preventiva, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali) e i) (trattamento necessario per motivi di interesse pubblico nel settore della sanità pubblica).
La condizione di cui alla lett. h) è quella più frequentemente invocata nel contesto della cura della salute, ed è disciplinata con maggiore dettaglio dall’art. 9, par. 3, GDPR, che richiede che il trattamento sia effettuato da o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell’Unione o degli Stati membri ovvero alle norme stabilite dagli organismi nazionali competenti, oppure da altra persona anch’essa soggetta a un obbligo di riservatezza. È utile sottolineare che, nell’architettura del FSE, la lett. h) opera congiuntamente alla lett. i) e all’art. 9, par. 2, lett. g), là dove il trattamento è imposto o consentito da norme nazionali per finalità di interesse pubblico rilevante: è proprio questa combinazione a spiegare perché l’alimentazione del Fascicolo non sia rimessa al consenso dell’assistito.
Il GDPR impone, in relazione a qualsiasi trattamento ma con particolare intensità per le categorie speciali, l’adozione di misure tecniche e organizzative adeguate ai sensi dell’art. 25 (protezione dei dati fin dalla progettazione e per impostazione predefinita) e dell’art. 32 (sicurezza del trattamento), nonché la valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 ogniqualvolta il trattamento sia “suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche”. Il Considerando 91 GDPR chiarisce che una DPIA è sempre appropriata, tra l’altro, quando si trattano su larga scala dati relativi alla salute.
Le linee guida in materia di DPIA elaborate in sede europea forniscono criteri interpretativi rilevanti: il trattamento sistematico su larga scala di dati sanitari da parte di una rete di farmacie, con funzionalità di profilazione terapeutica e monitoraggio dell’aderenza, risponde a più criteri che rendono la DPIA non solo opportuna ma doverosa.
2.2. La normativa nazionale: Codice Privacy, FSE 2.0, EDS e normativa farmaceutica
Sul piano nazionale, il d.lgs. 196/2003, come modificato dal d.lgs. 101/2018 di adeguamento al GDPR, disciplina il trattamento dei dati personali nell’ordinamento italiano. In materia sanitaria, l’art. 2-septies del Codice Privacy individua le misure di garanzia che il Garante adotta, sentito il Ministero della Salute, identificando le tipologie di dati trattabili, le operazioni eseguibili e le misure tecniche e di sicurezza adottabili.
Il fascicolo sanitario elettronico è disciplinato dal d.l. 179/2012, convertito dalla l. 221/2012, e dalle successive disposizioni attuative, tra cui il d.p.c.m. 178/2015 e, per il modello FSE 2.0, i decreti ministeriali di attuazione. Fra questi assumono oggi rilievo centrale due provvedimenti. Il primo è il d.m. 7 settembre 2023, relativo alla fase di attivazione e alle modalità operative del FSE 2.0, che definisce fra l’altro i profili autorizzativi differenziati in base alla figura professionale e alla finalità della consultazione. Il secondo è il d.m. 31 dicembre 2024, istitutivo dell’Ecosistema dati sanitari, componente del FSE alimentata con i dati e i documenti presenti nel Fascicolo — esclusi quelli oscurati dall’assistito — nonché con quelli resi disponibili dal Sistema Tessera Sanitaria.
Il PNRR ha accelerato la riforma del FSE verso un modello “2.0” che mira all’interoperabilità nazionale e all’integrazione di nuove tipologie documentali, tra cui, appunto, il dossier farmaceutico. La differenza concettuale tra FSE e dossier sanitario resta rilevante sul piano generale — il FSE è alimentato da più soggetti del sistema sanitario ed è accessibile al paziente e ai professionisti autorizzati nell’ambito del rapporto di cura, mentre il dossier sanitario nasce all’interno di una singola struttura — ma, come si dirà, per il dossier farmaceutico le FAQ del maggio 2026 hanno operato una collocazione espressa all’interno del Fascicolo.
Sul piano della disciplina farmaceutica, il d.lgs. 219/2006 di attuazione della direttiva europea sul codice comunitario relativo ai medicinali per uso umano, nonché il d.lgs. 153/2009 in materia di nuovi servizi delle farmacie, costituiscono il riferimento primario per la definizione del ruolo professionale del farmacista e delle attività che la farmacia è legittimata a svolgere. Il d.lgs. 153/2009, in particolare, ha introdotto la cosiddetta farmacia dei servizi, prevedendo che le farmacie possano erogare servizi di secondo livello tra cui la somministrazione di test diagnostici, la partecipazione ad attività di monitoraggio dell’aderenza terapeutica e la collaborazione con i medici di medicina generale nell’ambito delle cure primarie. È in questo quadro che il dossier farmaceutico trova la sua legittimazione funzionale, e in questo quadro si collocano anche i trattamenti che la farmacia effettua in proprio, distinti dall’alimentazione del Fascicolo.
2.3. I provvedimenti e le FAQ del Garante in materia sanitaria
Il Garante per la protezione dei dati personali ha nel tempo adottato numerosi provvedimenti generali e specifici in materia di trattamento di dati sanitari che costituiscono riferimento interpretativo imprescindibile. Tra questi assumono rilievo sistematico le Linee guida in materia di Fascicolo Sanitario Elettronico e di dossier sanitario del 2009 e le successive Linee guida sul dossier sanitario del 2015, nelle quali il Garante ha distinto il dossier sanitario — strumento idoneo a raccogliere le informazioni cliniche del paziente formatesi all’interno di una singola struttura sanitaria nel corso di più rapporti con il medesimo paziente — dal FSE, che ha invece portata multiprovider e valenza nazionale o regionale.
2.3.1. L’aggiornamento delle FAQ del 21 maggio 2026
Il 21 maggio 2026 il Garante ha pubblicato una revisione delle proprie FAQ sul Fascicolo sanitario elettronico, allineandole al d.m. 7 settembre 2023 e al d.m. 31 dicembre 2024. Le novità di maggiore impatto per il settore farmaceutico si collocano su cinque piani, tra loro strettamente connessi.
Il primo, e il più significativo sul piano sistematico, riguarda la qualificazione stessa del dossier farmaceutico. Le FAQ precisano che si tratta di una sezione del FSE aggiornata dalla farmacia al momento della consegna dei farmaci, le cui finalità dichiarate sono il miglioramento della qualità del servizio, il monitoraggio e l’appropriatezza nell’erogazione dei medicinali, l’aderenza alla terapia e, in ultima analisi, la sicurezza del paziente. La farmacia è dunque riconosciuta come nodo attivo della rete sanitaria digitale, non come mero soggetto passivo.
Il secondo piano attiene al consenso, e in particolare alla distinzione — decisiva sul piano operativo — tra alimentazione e consultazione del Fascicolo. Per la sola alimentazione non è richiesto alcun consenso: ogni professionista sanitario, pubblico o privato, che eroga una prestazione contribuisce ad alimentare il FSE in modo automatico, dalla ricetta al referto, dal verbale di pronto soccorso al certificato vaccinale. Per la consultazione, invece, il professionista sanitario che ha in cura il paziente deve aver ricevuto il consenso esplicito dell’assistito, che può essere espresso anche una sola volta. Il Garante chiarisce inoltre che il mancato consenso alla consultazione — o la sua revoca successiva — non pregiudica in alcun modo l’accesso alla prestazione sanitaria: l’unica conseguenza è l’impossibilità, per il personale sanitario, di visionare i dati presenti nel Fascicolo.
Il terzo piano è quello del diritto di oscuramento, che le FAQ definiscono come la garanzia data all’interessato di non rendere visibili i propri dati a tutti i soggetti che possono accedere al FSE per finalità di cura, ovvero soltanto ad alcuni di essi. L’oscuramento può riguardare singoli documenti o intere categorie di dati ed è esercitabile in qualsiasi momento. Per alcune informazioni particolarmente sensibili — sieropositività, uso di sostanze stupefacenti e dipendenze, interruzione volontaria di gravidanza, parto in anonimato — l’invisibilità ai terzi è impostata per impostazione predefinita, spettando all’assistito decidere se e quando renderle accessibili: si tratta di un’applicazione esemplare del principio di privacy by default di cui all’art. 25, par. 2, GDPR.
Il quarto piano concerne la platea dei soggetti abilitati all’accesso e, specularmente, di quelli che ne sono esclusi. L’accesso al FSE è riservato a categorie predeterminate di soggetti, con profili autorizzativi differenziati per figura professionale e finalità della consultazione, e con tracciamento sistematico degli accessi; il cittadino, dal canto suo, può consultare il proprio Fascicolo e sapere chi vi ha avuto accesso. Sono invece esclusi in modo assoluto i periti, le compagnie di assicurazione, i datori di lavoro, le associazioni scientifiche e gli organismi amministrativi anche se operanti in ambito sanitario, nonché il personale medico nell’esercizio di attività medico-legale, come l’accertamento dell’idoneità lavorativa.
Il quinto e ultimo piano riguarda l’Ecosistema dati sanitari, descritto come componente del FSE alimentata con i dati e i documenti presenti nel Fascicolo — esclusi quelli oscurati dall’assistito — nonché con quelli resi disponibili dal Sistema Tessera Sanitaria. Il dossier farmaceutico rientrerà tra i servizi offerti dall’EDS, che estrarrà dal FSE le informazioni relative alle prescrizioni e alle erogazioni farmaceutiche, sempre con esclusione di quelle oscurate dall’assistito. Su richiesta, l’EDS potrà fornire servizi di analisi ed elaborazione dei dati a cittadini, professionisti sanitari, Ministero della Salute, Agenas e Regioni, oltre a consentire l’utilizzo dei dati per finalità di prevenzione, controllo e gestione del sistema sanitario; in ambito di ricerca scientifica medica, biomedica ed epidemiologica, potrà inoltre rendere disponibili dati anonimizzati, accessibili esclusivamente al personale autorizzato del Ministero della Salute, di Agenas e delle Regioni o Province autonome. Il Garante ha peraltro chiarito, coerentemente con il proprio parere sull’EDS, che tali servizi saranno attivabili solo a seguito della completa attuazione del FSE 2.0, tuttora in corso.
2.3.2. Ciò che resta del modello “dossier sanitario”
La riqualificazione operata dalle FAQ non travolge l’intero impianto elaborato dal Garante per il dossier sanitario. I principi di minimizzazione ex art. 5, par. 1, lett. c) GDPR, di selettività delle informazioni raccolte, di granularità dei controlli di accesso e di affidabilità degli audit trail restano pienamente applicabili — e anzi si applicano tanto alla sezione farmaceutica del FSE quanto agli archivi che la farmacia gestisce in proprio.
Resta altresì fermo il principio, più volte ribadito dal Garante, secondo cui il trasferimento di dati sanitari tra strutture diverse — anche nell’ambito di reti di farmacie o di piattaforme di interoperabilità estranee al FSE — richiede una base giuridica autonoma e adeguata, non essendo sufficiente il consenso prestato in un contesto diverso.
2.4. Il contesto NIS2 e la sicurezza delle infrastrutture sanitarie
La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il d.lgs. 138/2024, ha ampliato significativamente il perimetro dei soggetti obbligati alle misure di sicurezza informatica, includendo esplicitamente i soggetti operanti nel settore sanitario tra i soggetti essenziali o importanti a seconda delle dimensioni e del ruolo. Le farmacie ospedaliere e le strutture sanitarie di medie e grandi dimensioni che gestiscono sistemi informativi contenenti dati di salute su larga scala rientrano pertanto nell’ambito di applicazione della NIS2 e sono tenute ad adottare misure di gestione del rischio di cybersicurezza, a notificare gli incidenti significativi all’Agenzia per la Cybersicurezza Nazionale (ACN) e a rispettare i requisiti di sicurezza della catena di approvvigionamento digitale.
La collocazione del dossier farmaceutico all’interno del FSE accentua questo profilo: il gestionale di farmacia non è più un semplice registro delle transazioni, ma l’infrastruttura operativa attraverso la quale un’infrastruttura sanitaria nazionale viene alimentata. La compromissione di un gestionale può quindi tradursi in un rischio di integrità del dato conferito al Fascicolo, con effetti che si propagano ben oltre il perimetro della singola farmacia. La gestione del dossier farmaceutico su piattaforme digitali — in particolare se accessibili via cloud o integrate con sistemi di telemedicina e di prescrizione elettronica — è pertanto soggetta non soltanto agli obblighi GDPR di sicurezza del trattamento ma anche ai requisiti NIS2, creando un duplice livello di compliance che i titolari del trattamento e i loro DPO devono saper gestire in modo coordinato.
3. Analisi giuridica del dossier farmaceutico: struttura, basi giuridiche e governance del dato
3.1. Natura giuridica, ruoli privacy e perimetrazione dei trattamenti
Alla luce delle FAQ del maggio 2026, il dossier farmaceutico deve essere definito come la sezione del Fascicolo sanitario elettronico dedicata alla storia farmacologica dell’assistito, alimentata dalla farmacia al momento della consegna del medicinale e destinata a confluire tra i servizi dell’EDS. Esso raccoglie le informazioni relative alle prescrizioni e alle erogazioni farmaceutiche, con esclusione di quelle oscurate dall’assistito, e ha la funzione di supportare la continuità terapeutica, l’appropriatezza prescrittiva, il monitoraggio dell’aderenza e la sicurezza del paziente.
Questa qualificazione impone di distinguere con rigore tre distinti livelli di trattamento, ai quali corrispondono ruoli privacy e regimi giuridici differenti.
Il primo è quello dell’alimentazione del dossier farmaceutico nel FSE. In questo perimetro la farmacia non determina né le finalità né i mezzi essenziali del trattamento, che sono stabiliti dalla normativa primaria e dai decreti attuativi. La titolarità del FSE è ripartita, secondo il modello delineato dalla disciplina di settore, tra le Regioni e le Province autonome, il Ministero della Salute e gli altri soggetti istituzionali competenti per le rispettive componenti infrastrutturali, mentre la farmacia opera quale soggetto alimentatore, sul quale gravano obblighi di correttezza, esattezza e tempestività del conferimento, di sicurezza del canale di trasmissione e di rispetto delle regole tecniche. Il DPO deve evitare l’errore, tutt’altro che infrequente, di qualificare la farmacia come titolare del dossier farmaceutico tout court: si tratta di una qualificazione che espone a informative errate e a una gestione impropria delle istanze degli interessati, che per i dati del Fascicolo vanno indirizzate ai titolari competenti.
Il secondo attiene alla consultazione del FSE da parte del farmacista. Ove questi, quale professionista sanitario che ha in cura l’assistito, acceda al Fascicolo, opera all’interno del profilo autorizzativo definito dalla disciplina del FSE 2.0 e a condizione che l’assistito abbia prestato il consenso alla consultazione; l’accesso, per parte sua, è tracciato e visibile al cittadino. La farmacia deve garantire che gli accessi avvengano esclusivamente per finalità di cura, da parte di personale autorizzato e istruito ai sensi degli artt. 29 GDPR e 2-quaterdecies del Codice Privacy.
Il terzo, infine, è quello dei trattamenti propri della farmacia, che restano pienamente soggetti al regime ordinario del GDPR con la farmacia quale titolare del trattamento ai sensi dell’art. 4, n. 7. Vi rientrano gli schedari e le anagrafiche cliente, lo storico delle vendite nel gestionale, i programmi di aderenza terapeutica e di presa in carico del paziente cronico, i servizi di telemedicina e telemonitoraggio, le campagne di recall e reminder e i servizi erogati nell’ambito della farmacia dei servizi ex d.lgs. 153/2009. È qui — e non nel Fascicolo — che si collocano gli obblighi più impegnativi di individuazione della base giuridica, informativa, gestione del consenso, DPIA e definizione dei tempi di conservazione.
Qualora i trattamenti propri siano gestiti attraverso una piattaforma informatica di terzi — come avviene nella quasi totalità dei casi — il fornitore della piattaforma si configura come responsabile del trattamento ai sensi dell’art. 4, n. 8, GDPR, e il contratto che lo vincola alla farmacia deve rispettare i requisiti di cui all’art. 28 GDPR, con particolare riguardo alle istruzioni documentate del titolare, alle misure di sicurezza adottate, alla disciplina dei sub-responsabili e alle garanzie di riservatezza del personale autorizzato.
Nel caso di reti di farmacie che condividono dati per finalità proprie — ad esempio nell’ambito di catene nazionali o di programmi di aderenza gestiti a livello di gruppo — può configurarsi una situazione di contitolarità ai sensi dell’art. 26 GDPR, con conseguente obbligo di stipulare un accordo che definisca le rispettive responsabilità e il punto di contatto per l’esercizio dei diritti da parte degli interessati. È bene chiarire che tale contitolarità riguarda esclusivamente i trattamenti propri del gruppo e non si estende in alcun modo alla sezione farmaceutica del FSE, la cui titolarità è determinata dalla legge.
3.2. La base giuridica del trattamento
La determinazione della base giuridica è il primo e più delicato adempimento nella costruzione dell’architettura di compliance, e va condotta separatamente per ciascuno dei tre piani sopra individuati.
Per l’alimentazione del dossier farmaceutico nel FSE, la base giuridica non è il consenso. Il trattamento trova fondamento nelle disposizioni di legge e nei decreti attuativi che disciplinano il Fascicolo, e si colloca nel combinato disposto degli artt. 6, par. 1, lett. c) ed e), e 9, par. 2, lett. g), h) e i), GDPR. Le FAQ del Garante sono esplicite: per la sola alimentazione non è richiesto alcun consenso. Ne discende una conseguenza operativa di grande rilievo pratico, ossia che è scorretto, e potenzialmente fuorviante per il paziente, raccogliere in farmacia un “consenso all’inserimento dei dati nel dossier farmaceutico”. Una simile richiesta lascerebbe intendere l’esistenza di una facoltà di scelta che la normativa non prevede, in violazione dei principi di correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR. Lo strumento che l’ordinamento riconosce all’assistito per governare la visibilità dei propri dati non è il consenso all’alimentazione, ma l’oscuramento.
Per la consultazione del FSE, il consenso esplicito dell’assistito è invece condizione necessaria, come chiarito dalle FAQ. Il consenso può essere espresso una sola volta ed è revocabile in qualsiasi momento; né il diniego né la revoca possono pregiudicare l’accesso alla prestazione sanitaria. La farmacia deve pertanto assicurarsi che il proprio gestionale non consenta la consultazione in assenza di consenso valido e che il personale sia formato sul divieto assoluto di accedere al Fascicolo al di fuori del rapporto di cura in atto.
Per i trattamenti propri della farmacia, infine, la base giuridica va individuata volta per volta. La condizione di cui all’art. 9, par. 2, lett. h) GDPR copre le attività riconducibili alla cura: il farmacista è professionista sanitario soggetto al segreto professionale ai sensi del codice deontologico della Federazione degli Ordini dei Farmacisti Italiani (FOFI) e delle norme di legge applicabili, e le attività di verifica delle interazioni farmacologiche, di controllo dell’aderenza terapeutica e di segnalazione delle reazioni avverse rientrano pienamente nell’esercizio delle sue attribuzioni professionali. Tuttavia, quando il trattamento eccede la gestione immediata del rapporto di cura — si pensi alla partecipazione a programmi di ricerca sull’aderenza, alla condivisione di dati con assicurazioni sanitarie, all’alimentazione di piattaforme di analisi dei consumi farmaceutici o a iniziative di marketing e fidelizzazione — occorre identificare una base giuridica autonoma per ciascuna finalità, che non può considerarsi compatibile con quella originaria di cura ai sensi dell’art. 6, par. 4, GDPR. In queste ipotesi il consenso esplicito ex art. 9, par. 2, lett. a) torna a essere lo strumento naturale, con i requisiti di libertà, specificità, informazione e inequivocabilità e con la garanzia della revocabilità senza pregiudizio nell’accesso alle cure.
Merita infine attenzione il richiamo delle FAQ all’esclusione assoluta di assicurazioni, datori di lavoro, periti e personale medico-legale dall’accesso al Fascicolo. Si tratta di un divieto che non è superabile mediante consenso dell’interessato e che la farmacia deve tenere presente anche nella gestione dei propri archivi: la circostanza che un dato sia stato legittimamente acquisito non abilita a condividerlo con soggetti che la normativa esclude dalla filiera della cura.
3.3. Il principio di accountability e la DPIA
Il trattamento dei dati nell’ambito del dossier farmaceutico richiede che il titolare sia in grado di dimostrare la conformità del trattamento alle norme del GDPR in ossequio al principio di accountability di cui agli artt. 5, par. 2, e 24 GDPR. Non è sufficiente adottare misure tecniche e organizzative adeguate: occorre documentarle, mantenerle aggiornate e sottoporle a revisione periodica.
L’obbligo di condurre una DPIA ai sensi dell’art. 35 GDPR va calibrato sui ruoli. Per il FSE e per l’EDS, le valutazioni d’impatto competono ai titolari istituzionali, e il Garante si è già espresso con propri pareri sui relativi schemi. La farmacia, in quanto soggetto alimentatore, non è tenuta a replicare quella valutazione, ma deve documentare le misure adottate a presidio della correttezza e della sicurezza del conferimento, nonché la gestione degli accessi in consultazione.
Per i trattamenti propri, invece, la DPIA è pienamente esigibile e spesso doverosa: il trattamento sistematico e su larga scala di dati relativi alla salute, la profilazione terapeutica dei pazienti, il monitoraggio dell’aderenza nel tempo e la potenziale condivisione dei dati con altri operatori sanitari sono tutti elementi che configurano un trattamento ad alto rischio. La DPIA deve essere condotta prima dell’avvio del trattamento, periodicamente aggiornata e condivisa con il DPO ai sensi dell’art. 35, par. 2, GDPR.
Il Garante ha pubblicato un elenco dei trattamenti per i quali è prescritta la DPIA ai sensi dell’art. 35, par. 4, GDPR, nel quale i trattamenti di dati sanitari su larga scala sono esplicitamente inclusi. La farmacia o la catena che gestisce programmi di aderenza per una platea significativa di pazienti — anche senza raggiungere le soglie che definiscono la “larga scala” in senso assoluto — è tenuta a valutare attentamente se il trattamento posto in essere presenti caratteristiche di rischio elevato che rendano necessaria la DPIA.
3.4. I diritti dell’interessato e il regime di oscuramento
Uno degli aspetti più delicati della governance del dossier farmaceutico riguarda la gestione dei diritti dell’interessato, e in particolare del diritto di accesso ex art. 15 GDPR, del diritto alla rettifica ex art. 16, del diritto alla cancellazione ex art. 17 e del diritto di opposizione ex art. 21.
Il primo adempimento è di ordine organizzativo e consiste nell’individuare correttamente il destinatario dell’istanza. Per i dati contenuti nel Fascicolo — inclusa la sezione farmaceutica — l’interessato deve rivolgersi ai titolari competenti secondo la disciplina del FSE, e la farmacia ha l’onere di indirizzarlo correttamente anziché rispondere nel merito su dati di cui non è titolare. Per i dati contenuti negli archivi propri della farmacia, l’istanza va invece gestita direttamente e nei termini dell’art. 12 GDPR.
Quanto all’oscuramento, le FAQ del maggio 2026 ne hanno precisato la portata in termini che vale la pena riprendere. Esso consiste nella garanzia data all’interessato di non rendere visibili i propri dati e documenti sanitari e socio-sanitari a tutti i soggetti che possono accedere al FSE per finalità di cura, ovvero soltanto ad alcuni di essi; può riguardare singoli documenti o intere categorie; è esercitabile in qualsiasi momento; ed è impostato per impostazione predefinita per le informazioni relative a sieropositività, dipendenze, interruzione volontaria di gravidanza e parto in anonimato.
L’oscuramento produce inoltre un effetto che le FAQ mettono in luce con chiarezza e che è centrale nell’architettura dell’EDS: i dati oscurati sono esclusi non soltanto dalla consultazione, ma anche dall’alimentazione dell’Ecosistema dati sanitari. La scelta del paziente si propaga dunque a valle, condizionando la disponibilità del dato per i servizi di analisi, per le finalità di programmazione e prevenzione e per la produzione di dataset anonimizzati destinati alla ricerca. Ne discende che il rispetto tecnico dell’oscuramento non è un adempimento formale ma il presidio che assicura la tenuta dell’intero sistema: un difetto di implementazione a monte si traduce in un trattamento illecito che si moltiplica a valle.
Sul piano operativo, la farmacia deve garantire che i propri sistemi non riproducano né rendano nuovamente visibili dati che l’assistito ha oscurato nel Fascicolo, e che l’oscuramento sia rispettato anche nei report, negli estratti e nelle funzionalità di analisi del gestionale. È inoltre opportuno che l’informativa e la formazione del personale chiariscano che l’esercizio dell’oscuramento da parte del paziente non è sindacabile né deve essere scoraggiato, e che un Fascicolo parzialmente oscurato va trattato con la consapevolezza clinica che la storia terapeutica visibile potrebbe non essere completa.
Il diritto alla cancellazione, nel contesto del dossier farmaceutico, si scontra con le esigenze di documentazione che derivano dagli obblighi legali di conservazione dei dati farmaceutici — la normativa vigente prevede periodi minimi di conservazione delle ricette e dei registri di dispensazione — e con le finalità di tutela della salute pubblica. L’art. 17, par. 3, lett. b) e c) GDPR prevede che il diritto alla cancellazione non si applichi nella misura in cui il trattamento sia necessario per l’adempimento di un obbligo legale o per motivi di interesse pubblico nel settore della sanità pubblica, fornendo una base normativa per il mantenimento di alcune informazioni anche a fronte della richiesta dell’interessato. Nel Fascicolo, del resto, lo strumento che consente all’assistito di governare la circolazione del dato non è la cancellazione ma, di nuovo, l’oscuramento.
4. Profili critici: interoperabilità, Ecosistema dati sanitari, intelligenza artificiale e rischi emergenti
4.1. L’integrazione con il FSE 2.0 e l’Ecosistema dati sanitari
Il PNRR ha destinato risorse significative al potenziamento e alla riforma del FSE, con l’obiettivo di costruire un sistema nazionale di documentazione sanitaria interoperabile che consenta a tutti gli operatori del sistema sanitario nazionale — incluse le farmacie — di accedere in modo controllato alle informazioni cliniche dei pazienti e di alimentare il Fascicolo con i propri contributi documentali.
Con le FAQ del maggio 2026 la questione non è più se il dossier farmaceutico debba essere integrato nel FSE, ma come debba essere governata la sua propagazione verso l’EDS. L’Ecosistema, istituito dal d.m. 31 dicembre 2024, è una componente del FSE alimentata con i dati e i documenti presenti nel Fascicolo — esclusi quelli oscurati — e con quelli resi disponibili dal Sistema Tessera Sanitaria. Esso estrarrà dal FSE le informazioni relative alle prescrizioni e alle erogazioni farmaceutiche e le renderà disponibili, su richiesta, per servizi di analisi ed elaborazione a beneficio di cittadini, professionisti sanitari, Ministero della Salute, Agenas e Regioni, oltre che per finalità di prevenzione, controllo e gestione del sistema sanitario. In ambito di ricerca scientifica medica, biomedica ed epidemiologica, l’EDS potrà mettere a disposizione dati anonimizzati, accessibili esclusivamente al personale autorizzato del Ministero della Salute, di Agenas e delle Regioni o Province autonome.
Su questa architettura restano aperte alcune questioni di rilievo.
Va, innanzitutto, segnalata la questione relativa alla “tenuta” dell’anonimizzazione. La qualificazione come “anonimizzati” dei dataset messi a disposizione per la ricerca è la chiave che sottrae quei trattamenti all’ambito di applicazione del GDPR. Si tratta però di una qualificazione da verificare in concreto: i dati di dispensazione farmaceutica sono ad altissima specificità, poiché combinazioni di principi attivi, dosaggi, frequenze e sequenze temporali possono risultare fortemente identificanti anche in assenza di identificativi diretti, specie per patologie rare o per terapie a bassa prevalenza. Il presidio non può essere la sola rimozione degli identificativi, ma richiede tecniche robuste di generalizzazione, soppressione e controllo del rischio di reidentificazione, oltre a misure organizzative sull’accesso ai dataset. È un punto su cui sarà opportuno un chiarimento tecnico ulteriore.
Il Garante si è poi focalizzato sulla sequenza attuativa, chiarendo che i servizi avanzati dell’EDS saranno attivabili solo dopo la completa attuazione del FSE 2.0. La compliance delle farmacie deve dunque essere costruita in modo incrementale e verificata a ogni avanzamento del percorso attuativo: informative, istruzioni al personale e configurazioni dei gestionali che oggi risultano adeguate potrebbero non esserlo al momento dell’attivazione dei servizi EDS.
Ulteriore profilo di rilievo concerne la catena delle responsabilità. In caso di accesso non autorizzato o di trattamento illecito dei dati farmaceutici confluiti nel FSE e poi nell’EDS, infatti, la catena delle responsabilità si allunga: la farmacia che ha alimentato il Fascicolo, la Regione che gestisce la componente regionale, il Ministero della Salute che gestisce l’infrastruttura nazionale, i fornitori tecnologici coinvolti. Ciascuno risponde nel perimetro del proprio ruolo, il che rende essenziale una documentazione puntuale delle rispettive attribuzioni — e, per la farmacia, la capacità di dimostrare la correttezza del proprio conferimento e la tracciabilità dei propri accessi.
Infine, la questione della dimensione europea. Il Regolamento sullo Spazio Europeo dei Dati Sanitari (EHDS) aggiunge un ulteriore livello, destinato a incidere tanto sull’uso primario quanto sull’uso secondario dei dati sanitari e a imporre un raccordo tra le infrastrutture nazionali e quelle europee. L’EDS, per come è concepito, rappresenta la naturale interfaccia italiana verso questo scenario, e le scelte tecniche che oggi vi vengono compiute — in particolare sulla propagazione dell’oscuramento e sulle metodologie di anonimizzazione — condizioneranno la conformità del sistema nazionale al quadro europeo.
4.2. L’impiego di algoritmi e intelligenza artificiale nel monitoraggio dell’aderenza
Le applicazioni più avanzate di farmacia clinica prevedono l’utilizzo di strumenti di intelligenza artificiale per l’analisi dei pattern di dispensazione, l’identificazione dei pazienti a rischio di scarsa aderenza terapeutica e la generazione di raccomandazioni personalizzate per i farmacisti. Questi strumenti trasformano il dato farmaceutico da semplice informazione di transazione in materia prima di una profilazione attiva del paziente.
È importante precisare la collocazione di questi trattamenti: essi si svolgono, di norma, sui sistemi propri della farmacia o su piattaforme di gruppo, e non sulla sezione farmaceutica del FSE, rispetto alla quale la farmacia non ha titolarità né facoltà di elaborazione ulteriore. Ove alimentati con dati acquisiti in consultazione del Fascicolo, essi configurerebbero un trattamento per finalità ulteriori rispetto a quella di cura, privo di base giuridica autonoma. Si tratta di un discrimine che i DPO devono presidiare con particolare attenzione nella configurazione dei gestionali.
Dal punto di vista del GDPR, l’impiego di algoritmi decisionali solleva la questione dell’applicabilità dell’art. 22, che disciplina il processo decisionale automatizzato inclusa la profilazione. La norma vieta in linea di principio le decisioni basate unicamente sul trattamento automatizzato che producono effetti giuridici o incidono in modo analogo significativamente sulla persona. Nel contesto farmaceutico, una raccomandazione algoritmica che porti il farmacista a modificare il proprio comportamento nei confronti del paziente — ad esempio invitandolo a contattare il medico o a soprassedere alla dispensazione di un farmaco — può configurare un effetto significativo e richiede la presenza di un intervento umano autentico nella catena decisionale.
L’AI Act europeo (Regolamento (UE) 2024/1689), entrato in vigore il 1° agosto 2024 con applicazione progressiva, classifica come sistemi ad alto rischio i sistemi di IA utilizzati nel campo della medicina e della farmacia per assistere o prendere decisioni che incidono sulla salute dei pazienti. I sistemi di IA per il monitoraggio dell’aderenza terapeutica e per l’elaborazione dei dati farmaceutici sono pertanto suscettibili di rientrare in questa categoria, con conseguente applicazione degli obblighi in materia di gestione del rischio, qualità dei dati, trasparenza, accuratezza, robustezza e cybersicurezza, supervisione umana, documentazione tecnica e registrazione nei database europei.
La sovrapposizione tra i requisiti GDPR e quelli dell’AI Act — che il Considerando 10 del medesimo regolamento chiarisce essere complementari e non alternativi — crea per i titolari del trattamento un sistema di compliance duale che richiede una gestione integrata e coordinata, idealmente attraverso un framework comune che copra sia i profili di protezione dei dati sia quelli di sicurezza e conformità dei sistemi di IA.
4.3. La sicurezza informatica del dossier farmaceutico: vulnerabilità e rischi
Il dossier farmaceutico, in quanto archivio di dati sanitari di valore elevato, rappresenta un bersaglio particolarmente attraente per gli attacchi informatici. I ransomware che colpiscono le strutture sanitarie — una delle tipologie di incidente più frequenti e gravi nel settore — possono rendere inaccessibile o compromettere l’integrità dei dati, con effetti potenzialmente gravi sulla continuità delle cure. Il furto di dati farmaceutici può essere utilizzato per finalità di discriminazione assicurativa, ricatto, frode o spionaggio industriale.
La collocazione del dossier farmaceutico nel FSE introduce un profilo di rischio ulteriore e specifico, ossia il rischio di integrità del dato conferito. Un gestionale compromesso può alimentare il Fascicolo con dati errati o manipolati, che si propagano al medico curante, agli altri professionisti e, in prospettiva, all’EDS. Rispetto a questo rischio, i controlli di integrità, la firma e la tracciabilità dei conferimenti, la segregazione delle credenziali di cooperazione applicativa e il monitoraggio delle anomalie di alimentazione assumono un rilievo pari, se non superiore, a quello dei controlli di riservatezza.
L’art. 32 GDPR impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio, tenendo conto dello stato dell’arte, dei costi di implementazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche. Nel contesto del dossier farmaceutico tali misure comprendono, senza pretesa di esaustività, la cifratura dei dati in transit e at rest, sistemi di autenticazione forte per l’accesso degli operatori, un controllo granulare degli accessi basato sul principio del need to know, registri degli accessi e audit trail conservati e periodicamente verificati, controlli automatici sul rispetto dell’oscuramento, procedure di backup e ripristino testate e piani di risposta agli incidenti.
La violazione dei dati personali deve essere notificata al Garante ai sensi dell’art. 33 GDPR entro 72 ore dal momento in cui il titolare ne viene a conoscenza, ove la violazione sia suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche. Qualora la violazione sia suscettibile di presentare un rischio elevato, è altresì necessaria la comunicazione agli interessati ai sensi dell’art. 34 GDPR. Le farmacie devono pertanto dotarsi di procedure di data breach management adeguate, che prevedano l’immediata escalation al DPO e ai vertici aziendali, la valutazione del rischio, la predisposizione della notifica e la comunicazione agli interessati. Nel caso di incidenti che coinvolgano l’interfaccia con il Fascicolo, la procedura deve includere anche la tempestiva informazione del titolare competente per il FSE, che potrebbe dover attivare a sua volta i propri obblighi di notifica.
4.4. Il ruolo del DPO nelle strutture farmaceutiche
La nomina del Responsabile della Protezione dei Dati (DPO) è obbligatoria per i soggetti che trattano dati sanitari su larga scala ai sensi dell’art. 37, par. 1, lett. c) GDPR. Le catene e le farmacie che gestiscono programmi strutturati di presa in carico e aderenza per una platea significativa di pazienti rientrano in questa categoria. Anche per le farmacie di medie dimensioni, la complessità del trattamento e la sensibilità dei dati rendono opportuna — anche se non sempre obbligatoria — la nomina di un DPO.
Il DPO delle strutture farmaceutiche deve possedere una conoscenza specialistica non solo della normativa sulla protezione dei dati, ma anche del settore farmaceutico e sanitario, della disciplina del FSE e dell’EDS, delle tecnologie informatiche impiegate nella gestione del dato e dei rischi specifici connessi. Alla luce delle FAQ del maggio 2026, il suo compito prioritario è la corretta perimetrazione dei ruoli: verificare che l’organizzazione non si attribuisca una titolarità che non ha sul Fascicolo, e che al contempo non trascuri quella, piena, che ha sui propri archivi e servizi.
5. Implicazioni operative per DPO e imprese
5.1. La mappatura dei trattamenti e il registro delle attività di trattamento
Il primo adempimento operativo è la mappatura completa dei trattamenti connessi al dato farmaceutico e la loro corretta registrazione nel Registro delle Attività di Trattamento (RAT) di cui all’art. 30 GDPR. Il RAT deve contenere, per ciascun trattamento, le finalità, le categorie di interessati e di dati trattati, le categorie di destinatari, i termini di conservazione e una descrizione generale delle misure di sicurezza adottate.
Alla luce dell’aggiornamento delle FAQ, la mappatura deve essere rivista strutturalmente, distinguendo almeno tre voci. La prima è l’alimentazione del dossier farmaceutico nel FSE, da registrare con indicazione della farmacia quale soggetto alimentatore e della base giuridica normativa. La seconda è la consultazione del FSE per finalità di cura, rispetto alla quale vanno dati evidenza il presupposto del consenso dell’assistito e le misure di tracciamento adottate. La terza, infine, raccoglie i trattamenti propri della farmacia, che vanno articolati per finalità — gestione della dispensazione, servizi di aderenza, telemedicina, farmacovigilanza, ricerca, gestione amministrativa, marketing — ciascuna con la propria base giuridica, le categorie di dati strettamente necessarie e i periodi di conservazione. La mappatura va tenuta aggiornata a ogni modifica rilevante del trattamento, della struttura organizzativa o del quadro attuativo del FSE 2.0.
5.2. La predisposizione delle informative
L’informativa ai sensi degli artt. 13 e 14 GDPR deve essere redatta in modo chiaro, semplice e comprensibile per il paziente, evitando il ricorso a un linguaggio tecnico-giuridico che rende di fatto incomprensibile la comunicazione. Il Garante ha più volte sanzionato titolari che adottavano informative generiche, incomplete o di difficile comprensione.
Le informative in uso presso le farmacie vanno riviste alla luce delle FAQ, con particolare attenzione a quattro profili. Occorre anzitutto distinguere con nettezza alimentazione e consultazione, spiegando che i dati della dispensazione alimentano la sezione farmaceutica del FSE in forza di legge e senza necessità di consenso, e che il consenso è invece richiesto perché i professionisti sanitari possano consultare il Fascicolo. Da ciò discende la necessità di eliminare i consensi impropri: vanno espunti i moduli che richiedono un “consenso al dossier farmaceutico” inteso come consenso all’alimentazione, che oltre a essere superfluo risulta fuorviante. Va poi dato adeguato spazio all’informazione sull’oscuramento, ponendo il paziente in condizione di conoscere il diritto di oscurare singoli documenti o intere categorie di dati, le modalità di esercizio, la revocabilità della scelta e l’esistenza di categorie oscurate per impostazione predefinita. Occorre infine descrivere la propagazione verso l’EDS, rendendo conto del fatto che i dati non oscurati potranno confluire nell’Ecosistema dati sanitari e delle finalità per le quali potranno essere utilizzati, inclusa la messa a disposizione di dataset anonimizzati per la ricerca.
Restano naturalmente necessarie le indicazioni ordinarie: finalità e basi giuridiche dei trattamenti propri, soggetti autorizzati all’accesso, periodi di conservazione, diritti dell’interessato e modalità di esercizio — con chiara indicazione di quali istanze vadano rivolte alla farmacia e quali ai titolari del FSE —, contatti del DPO e diritto di proporre reclamo al Garante.
5.3. La gestione del consenso e del registro dei consensi
Laddove il consenso sia richiesto — per la consultazione del Fascicolo o come base giuridica per trattamenti propri ulteriori rispetto alla cura — la farmacia deve predisporre un sistema di raccolta e gestione che ne garantisca la tracciabilità, la revocabilità in qualsiasi momento e la granularità rispetto alle diverse finalità. Il consenso deve essere distinto per ciascuna finalità e non può essere accorpato in un’unica dichiarazione onnicomprensiva che impedisca al paziente di distinguere le proprie scelte.
Il registro dei consensi deve consentire la verifica immediata, per ciascun paziente, delle finalità per le quali il consenso è stato prestato o revocato, della data e del canale di raccolta. Va inoltre presidiato — sul piano sia tecnico sia formativo — il principio, esplicitato dalle FAQ, secondo cui il diniego o la revoca del consenso alla consultazione non può in alcun modo pregiudicare l’erogazione della prestazione sanitaria: il gestionale non deve consentire di condizionare il servizio alla prestazione del consenso, e il personale deve essere istruito in tal senso.
5.4. La configurazione dei sistemi gestionali
Le FAQ pongono in capo alla farmacia un onere di configurazione dei propri sistemi che merita una trattazione autonoma. Il gestionale deve anzitutto impedire la consultazione del FSE in assenza di consenso valido e registrare ogni accesso in modo tracciabile e riconducibile all’operatore, applicando profili autorizzativi differenziati coerenti con il ruolo del singolo addetto ed evitando il ricorso a credenziali condivise. Deve inoltre rispettare integralmente l’oscuramento, evitando che dati oscurati nel Fascicolo siano visualizzati, esportati o riprodotti in report, estratti o cruscotti, e deve mantenere separati sul piano logico i dati acquisiti in consultazione del FSE — utilizzabili soltanto per la finalità di cura in atto — da quelli trattati per finalità proprie della farmacia. Sul versante opposto del flusso, deve infine garantire l’integrità e la tracciabilità dei conferimenti al Fascicolo, con controlli sulle anomalie di alimentazione.
Questi requisiti vanno tradotti in specifiche contrattuali verso il fornitore del gestionale e verificati in sede di collaudo e di audit periodico.
5.5. I contratti con i fornitori tecnologici
La farmacia che utilizza piattaforme di terzi deve verificare con attenzione che il contratto rispetti i requisiti dell’art. 28 GDPR. In particolare, il contratto deve prevedere che il responsabile del trattamento tratti i dati solo su istruzione documentata del titolare; garantisca che le persone autorizzate abbiano assunto obblighi di riservatezza; adotti tutte le misure di sicurezza richieste dall’art. 32 GDPR; rispetti le condizioni per il ricorso a sub-responsabili; assista il titolare nell’adempimento degli obblighi relativi alla sicurezza, alla notifica delle violazioni e alla conduzione delle DPIA; cancelli o restituisca tutti i dati personali al termine del contratto; e metta a disposizione del titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi.
Alla luce del nuovo assetto, è opportuno integrare i contratti con clausole specifiche sul rispetto tecnico dell’oscuramento, sull’integrità dei conferimenti al FSE, sull’aggiornamento tempestivo del software a ogni evoluzione delle regole tecniche del FSE 2.0 e dell’EDS, e sugli obblighi di informazione reciproca in caso di incidenti che coinvolgano l’interfaccia con il Fascicolo.
La verifica della conformità dei fornitori non si esaurisce al momento della stipula, ma richiede audit periodici e la valutazione delle certificazioni di sicurezza (ISO/IEC 27001, ISO/IEC 27701, SOC 2 e standard equivalenti). Nel contesto NIS2, le farmacie che rientrano nell’ambito di applicazione della direttiva devono altresì garantire la sicurezza della catena di approvvigionamento digitale, il che implica una due diligence approfondita sui fornitori.
5.6. I piani di risposta agli incidenti e la gestione dei data breach
La farmacia deve dotarsi di un piano di risposta agli incidenti di sicurezza che preveda procedure chiare e testate per l’identificazione, il contenimento, la valutazione e la notifica delle violazioni dei dati personali. Il piano deve definire ruoli e responsabilità dei diversi attori coinvolti (DPO, responsabile IT, direzione, legale), i canali di comunicazione interni ed esterni e le tempistiche di intervento.
Particolare attenzione va prestata alla notifica al Garante entro 72 ore: la farmacia deve essere in grado di rilevare la violazione, valutarne la gravità e predisporre la notifica in tempi molto brevi, il che presuppone un sistema di monitoraggio degli eventi di sicurezza adeguato e procedure di escalation ben definite. La notifica tardiva è sanzionata autonomamente, indipendentemente dalla valutazione della violazione in sé. Ove l’incidente coinvolga l’interfaccia con il FSE, il piano deve prevedere l’informazione tempestiva del titolare competente e, per i soggetti in perimetro NIS2, la notifica all’ACN secondo le tempistiche proprie della direttiva.
6. Conclusioni
Il dossier farmaceutico rappresenta uno degli snodi più delicati e promettenti dell’evoluzione del sistema sanitario italiano verso modelli di cura integrata, continuità terapeutica e prevenzione basata sui dati. La sua capacità di ridurre gli errori farmacologici, migliorare l’aderenza terapeutica e valorizzare il ruolo professionale del farmacista lo rende uno strumento di indubbia utilità clinica e di salute pubblica.
L’aggiornamento delle FAQ del 21 maggio 2026 ha dato a questo strumento una collocazione sistematica chiara: il dossier farmaceutico è una sezione del Fascicolo sanitario elettronico, alimentata dalla farmacia all’atto della dispensazione e destinata a confluire tra i servizi dell’Ecosistema dati sanitari. È un chiarimento di grande valore, che dissipa una lunga ambiguità e riconosce alla farmacia un ruolo attivo nella rete sanitaria digitale. Ma è anche un chiarimento che ridistribuisce gli oneri di compliance in modo diverso da quanto molte organizzazioni avevano assunto: meno titolarità sul dato del Fascicolo, più responsabilità sulla qualità, sull’integrità e sulla correttezza del conferimento; meno spazio per il consenso, più centralità per l’oscuramento.
Il messaggio operativo che ne deriva è duplice. Da un lato, occorre correggere gli assetti costruiti sul presupposto di una titolarità piena della farmacia sul dossier farmaceutico: informative da riscrivere, consensi impropri da eliminare, registri dei trattamenti da rivedere, istanze degli interessati da instradare correttamente. Dall’altro, occorre presidiare con rigore tecnico ciò che la farmacia continua a governare in proprio: i sistemi gestionali, i programmi di aderenza, i servizi della farmacia dei servizi, le piattaforme di analisi. È in questo secondo perimetro che si concentrano oggi i rischi maggiori di non conformità.
Le questioni aperte restano numerose e di rilevanza crescente. Viene anzitutto in considerazione la sequenza attuativa, poiché i servizi avanzati dell’EDS saranno attivabili solo dopo il completamento del FSE 2.0, tuttora in corso: la compliance va dunque costruita come processo, non come adempimento una tantum, con verifiche a ogni avanzamento del percorso.
Vi è poi il tema della tenuta dell’anonimizzazione dei dataset destinati alla ricerca. I dati di dispensazione farmaceutica hanno un potenziale identificativo elevato, e la qualificazione di un dataset come anonimo — che ne determina l’uscita dall’ambito del GDPR — deve poggiare su metodologie robuste e verificabili, non su una semplice rimozione degli identificativi diretti. È un tema che meriterebbe un approfondimento tecnico dedicato da parte delle autorità competenti.
Strettamente connessa è la questione dell’effettività dell’oscuramento. La scelta del paziente di rendere invisibili determinati dati deve essere rispettata lungo tutta la catena — consultazione, alimentazione dell’EDS, elaborazioni e dataset di ricerca — e la sua implementazione tecnica è il presidio su cui si regge la fiducia dell’assistito nell’intero sistema. Un difetto a monte si moltiplica a valle.
Su un piano parzialmente diverso si colloca l’introduzione di strumenti di intelligenza artificiale nell’analisi dei dati farmaceutici, che richiede un’analisi sistematica dell’impatto di tali strumenti sui diritti dei pazienti, con particolare riguardo alla trasparenza, alla spiegabilità delle decisioni algoritmiche e alla supervisione umana autentica. L’applicazione progressiva dell’AI Act imporrà alle farmacie e ai loro fornitori un investimento significativo in governance algoritmica, documentazione tecnica e formazione.
Non meno urgente è il tema della sicurezza: la crescente esposizione delle strutture sanitarie agli attacchi informatici rende improcrastinabile un salto di qualità nella gestione della cybersicurezza delle infrastrutture farmaceutiche, in linea con gli obblighi NIS2. La collocazione del dossier farmaceutico all’interno di un’infrastruttura nazionale rende il gestionale di farmacia un componente critico di una catena più ampia, con una responsabilità corrispondentemente maggiore.
Da ultimo, la dimensione europea. Il Regolamento sullo Spazio Europeo dei Dati Sanitari (EHDS) aggiungerà un livello ulteriore di regole sull’uso primario e secondario dei dati sanitari, rispetto al quale l’EDS costituisce la naturale interfaccia italiana, e le scelte tecniche che oggi vengono compiute sull’architettura nazionale condizioneranno la conformità del sistema al quadro europeo.
Per i DPO e i giuristi d’impresa che operano nel settore farmaceutico e sanitario, il messaggio conclusivo è che la compliance in materia di dossier farmaceutico non può essere gestita come un adempimento formale, ma richiede un approccio integrato, sostanziale e continuativo, che tenga insieme la dimensione giuridica, quella tecnologica e quella organizzativa. La prospettiva più interessante, e forse più urgente, resta quella di un dialogo strutturato tra il legislatore, il Garante, l’ACN, le associazioni di categoria delle farmacie, i fornitori di software gestionale e i rappresentanti dei pazienti per la definizione di standard comuni di governance, che consentano di valorizzare le enormi potenzialità cliniche di questo strumento senza sacrificare i diritti fondamentali dei cittadini che ne sono i protagonisti.
