MyHealth@EU diventa operativo: il Regolamento di esecuzione (UE) 2026/2083 fra contitolarità degli Stati membri, ruolo di responsabile della Commissione e disciplina degli incidenti significativi

Abstract

Il Regolamento di esecuzione (UE) 2026/2083 del 18 settembre 2026 dà attuazione all’articolo 23, paragrafi 4 e 8, del Regolamento (UE) 2025/327 sullo Spazio europeo dei dati sanitari, disciplinando la piattaforma centrale di interoperabilità MyHealth@EU per lo scambio transfrontaliero dei dati sanitari elettronici personali. L’atto definisce i servizi centrali forniti dalla Commissione, il catalogo dei requisiti e le specifiche tecniche approvate dal gruppo direttivo, le procedure di autorizzazione, i controlli di conformità e i test tecnici, la notifica degli incidenti significativi entro ventiquattro ore e — profilo di maggiore interesse per il lettore professionale — l’articolazione per legge delle responsabilità dei punti di contatto nazionali quali contitolari ai sensi del Regolamento (UE) 2016/679 e degli obblighi della Commissione quale responsabile ai sensi del Regolamento (UE) 2018/1725. Si sostiene in questa sede che l’atto costituisce un modello di contitolarità “legale” multilaterale con impatti immediati sull’organizzazione del punto di contatto nazionale italiano e, per riflesso, sui titolari sanitari che alimentano il Fascicolo sanitario elettronico, ben prima delle scadenze del 2029 e del 2031.

Premessa

In premessa va detto che l’atto qui esaminato non è un provvedimento isolato, ma un tassello di attuazione di una architettura normativa già definita a monte. Il Regolamento (UE) 2025/327, comunemente designato come Regolamento sullo Spazio europeo dei dati sanitari, distingue l’uso primario dei dati sanitari elettronici personali — quello funzionale all’erogazione dell’assistenza sanitaria alla persona interessata — dall’uso secondario, orientato alla ricerca, all’innovazione, alla definizione delle politiche pubbliche e alle attività regolatorie. L’infrastruttura MyHealth@EU appartiene interamente al primo ambito: è la piattaforma centrale di interoperabilità attraverso la quale, per l’appunto, i punti di contatto nazionali per la sanità digitale si scambiano le categorie prioritarie di dati sanitari elettronici indicate dall’articolo 14 del medesimo Regolamento, secondo il formato europeo di scambio delle cartelle cliniche elettroniche di cui all’articolo 15.

Il Regolamento di esecuzione (UE) 2026/2083, adottato il 18 settembre 2026 e pubblicato nella Gazzetta ufficiale dell’Unione europea del 21 settembre 2026, trova la propria base giuridica nell’articolo 23, paragrafi 4 e 8, del Regolamento (UE) 2025/327. Si tratta dunque di un atto di esecuzione in senso proprio: non innova il quadro sostanziale, ma ne fissa le condizioni uniformi di applicazione, come chiarisce il considerando 19 laddove precisa che l’assegnazione dei ruoli di contitolari ai punti di contatto nazionali e di responsabile alla Commissione discende già dall’articolo 23 del Regolamento di base, mentre l’atto di esecuzione si limita a dettagliarne responsabilità e obblighi.

Il perimetro dell’analisi che segue è circoscritto a tre profili. Il primo è strutturale e riguarda l’assetto di governance della piattaforma: chi fa cosa, con quali procedure di approvazione e con quali conseguenze in caso di non conformità. Il secondo è propriamente di protezione dei dati e concerne la configurazione della contitolarità determinata per legge ai sensi dell’articolo 26, paragrafo 1, del Regolamento (UE) 2016/679 e la traduzione degli obblighi del responsabile del trattamento in un atto giuridico vincolante ai sensi dell’articolo 28, paragrafo 3, del medesimo Regolamento e dell’articolo 29 del Regolamento (UE) 2018/1725. Il terzo è di sicurezza e concerne il raccordo, per nulla scontato, fra la nozione di incidente significativo mutuata dalla Direttiva (UE) 2022/2555 e gli obblighi di notifica della violazione dei dati personali di cui agli articoli 33 e 34 del Regolamento (UE) 2016/679.

Restano fuori dal perimetro, se non per cenni funzionali, i profili relativi all’uso secondario dei dati sanitari, alla certificazione dei sistemi di cartella clinica elettronica e al rapporto fra Spazio europeo dei dati sanitari e Regolamento (UE) 2024/1689 sull’intelligenza artificiale: materie contigue, che meritano trattazione autonoma.

Il quadro normativo di riferimento

La disciplina europea di base

L’articolo 23 del Regolamento (UE) 2025/327 incarica la Commissione di istituire MyHealth@EU quale piattaforma centrale di interoperabilità per lo scambio transfrontaliero delle categorie prioritarie di dati e di eventuali categorie aggiuntive. La medesima disposizione designa i punti di contatto nazionali per la sanità digitale come contitolari del trattamento e la Commissione come responsabile. Trattasi di una scelta normativa significativa, perché sottrae la qualificazione dei ruoli alla valutazione caso per caso — quella che l’EDPB, nelle proprie linee guida sui concetti di titolare e responsabile, ancora al criterio fattuale della determinazione di finalità e mezzi — e la fissa direttamente in una fonte di rango regolamentare.

Il considerando 20 del Regolamento di esecuzione esplicita la logica sottostante: poiché gli obblighi del responsabile devono essere stabiliti in un contratto o altro atto giuridico vincolante, e poiché le responsabilità rispettive dei contitolari possono essere determinate dal diritto dell’Unione, l’atto di esecuzione assolve entrambe le funzioni. In sostanza, il Regolamento sostituisce due strumenti negoziali — il data processing agreement e il joint controllership arrangement — con una disciplina di fonte legale, uniforme e non derogabile dalle parti. In termini più pragmatici, i punti di contatto nazionali non negoziano fra loro il riparto di responsabilità né negoziano con la Commissione le clausole di nomina a responsabile: entrambi gli assetti sono già scritti negli articoli 15 e 16 dell’atto in commento.

Il considerando 21 conferma che il trattamento resta soggetto, secondo i rispettivi ambiti di applicazione, al Regolamento (UE) 2016/679 e al Regolamento (UE) 2018/1725. La distinzione non è meramente formale: i punti di contatto nazionali, in quanto organismi degli Stati membri, operano sotto il GDPR e sotto la vigilanza delle autorità nazionali di controllo; la Commissione, in quanto istituzione dell’Unione, opera sotto il Regolamento (UE) 2018/1725 e sotto la vigilanza del Garante europeo della protezione dei dati. Il medesimo considerando qualifica inoltre il trattamento svolto dai punti di contatto nazionali come compito di interesse pubblico loro assegnato dal Regolamento (UE) 2025/327, il che, per quanto di stretto interesse in questa sede, orienta verso la base giuridica dell’articolo 6, paragrafo 1, lettera e), del GDPR, combinata con le deroghe al divieto di trattamento delle categorie particolari di dati previste dall’articolo 9, paragrafo 2, in particolare alle lettere h) e i).

Il Garante europeo della protezione dei dati è stato consultato ai sensi dell’articolo 42, paragrafo 1, del Regolamento (UE) 2018/1725 e ha reso le proprie osservazioni formali il 18 maggio 2026, come dà atto il considerando 25 e al quale si rinvia per la consultazione puntuale.

La continuità con l’infrastruttura preesistente

Il considerando 2 chiarisce che MyHealth@EU non nasce su terreno vergine. L’infrastruttura si innesta sull’architettura e sui processi sviluppati per la eHealth Digital Service Infrastructure istituita dalla Decisione di esecuzione (UE) 2019/1765, che consentiva agli Stati membri lo scambio su base volontaria di profili sanitari sintetici, prescrizioni elettroniche e dispensazioni elettroniche. La differenza sostanziale è il passaggio dalla volontarietà all’obbligatorietà: ciò che era cooperazione facoltativa diventa adempimento regolamentare, con tempistiche scadenzate e meccanismi sanzionatori di tipo tecnico — la sospensione dello scambio — anziché di tipo pecuniario.

Di tale continuità l’articolo 18 trae una conseguenza operativa rilevante. I punti di contatto nazionali per la sanità elettronica che abbiano scambiato dati attraverso l’infrastruttura preesistente prima del 26 marzo 2029 e che siano stati designati punti di contatto nazionali per la sanità digitale ai sensi dell’articolo 23, paragrafo 2, del Regolamento (UE) 2025/327 possono proseguire lo scambio nel quadro di MyHealth@EU e sono considerati conformi ai requisiti di autorizzazione iniziale. Si tratta, in sostanza, di un riconoscimento del pregresso: l’ente che ha già dimostrato la capacità di connettersi alla piattaforma centrale non ripete il controllo di conformità iniziale per i servizi già in produzione. Va detto che la deroga è circoscritta ai servizi effettivamente in esercizio e non esonera dai controlli periodici quinquennali né dalle autorizzazioni successive agli aggiornamenti maggiori.

Il raccordo con la disciplina sulla cibersicurezza

L’articolo 2, punti 4 e 5, dell’atto in commento opera un rinvio definitorio di notevole interesse sistematico. La nozione di “incidente” è quella dell’articolo 6, punto 6, della Direttiva (UE) 2022/2555, mentre l'”incidente significativo” è quello di cui all’articolo 23, paragrafo 3, della medesima Direttiva. Si tratta di un rinvio a definizioni, non di una estensione dell’ambito di applicazione soggettivo della NIS2: il punto di contatto nazionale non diventa soggetto essenziale o importante per effetto di questo rinvio, ma adotta i medesimi criteri qualificatori per individuare gli eventi che attivano l’obbligo di notifica interna alla rete MyHealth@EU.

La scelta appare, allo scrivente, coerente con l’esigenza di evitare la proliferazione di tassonomie parallele. Il settore sanitario è peraltro già ricompreso fra i settori ad alta criticità dell’allegato I della Direttiva (UE) 2022/2555 e, nell’ordinamento italiano, del decreto legislativo 138/2024, sicché molti soggetti della filiera sanitaria applicano già quei criteri. In termini più concreti, l’ente che gestisce il punto di contatto nazionale dovrà mappare una sola volta la nozione di incidente significativo e utilizzarla per due catene di notifica distinte: quella verso l’Agenzia per la cybersicurezza nazionale, ove ricorrano i presupposti soggettivi della disciplina NIS, e quella verso il presidente del gruppo direttivo, la Commissione e i punti di contatto nazionali interessati, prevista dall’articolo 13 dell’atto in commento.

Alla sicurezza dei sistemi della Commissione si applica, per espressa previsione dell’articolo 17 e del considerando 22, la Decisione (UE, Euratom) 2017/46 sulla sicurezza dei sistemi di comunicazione e informazione nella Commissione europea. Anche qui la tecnica è quella del rinvio a un corpo normativo preesistente, evitando la costruzione di un regime di sicurezza ad hoc.

Il profilo dell’interoperabilità del settore pubblico

Il considerando 26 dà atto che il Regolamento introduce requisiti vincolanti per servizi pubblici digitali transfrontalieri ai sensi del Regolamento (UE) 2024/903, il cosiddetto Interoperable Europe Act, e che è stata pertanto condotta una valutazione di interoperabilità, la cui relazione è pubblicata sul portale Interoperable Europe. Il dato merita segnalazione perché costituisce uno dei primi esempi documentati di applicazione dell’obbligo di valutazione di interoperabilità a un atto della Commissione in materia sanitaria: un precedente che, secondo il parere di chi scrive, potrà essere utilmente richiamato dagli enti pubblici italiani chiamati a svolgere analoghe valutazioni per i propri servizi transfrontalieri.

L’architettura della piattaforma e i servizi centrali

L’articolo 3 elenca i quattro servizi che la Commissione mette a disposizione: una implementazione di riferimento del software per i punti di contatto nazionali, un servizio terminologico centrale, una rete di comunicazione sicura e un servizio di configurazione centrale. La costruzione merita attenzione perché il regime giuridico dei quattro servizi non è omogeneo.

L’implementazione di riferimento e il servizio terminologico centrale sono facoltativi: il punto di contatto nazionale “può” utilizzarli. Ove scelga soluzioni alternative, queste devono essere conformi al catalogo dei requisiti e alle specifiche tecniche. Trattasi di una libertà di mezzi vincolata nel risultato, che riflette la diversità delle architetture nazionali esistenti. In termini più pragmatici, lo Stato membro che abbia già investito in una propria piattaforma non è costretto a dismetterla, ma si assume l’onere di dimostrarne la conformità in sede di controllo.

La rete di comunicazione sicura e il servizio di configurazione centrale sono invece obbligatori: il punto di contatto nazionale “utilizza” la rete per lo scambio dei dati e il servizio di configurazione per rendere disponibili i propri dati di configurazione alla Commissione e agli altri punti di contatto. La logica è evidente sul piano funzionale: la fiducia reciproca nella rete presuppone un canale unico e un registro di configurazione condiviso, e non tollererebbe soluzioni idiosincratiche.

L’articolo 3, paragrafo 5, attribuisce agli Stati membri la responsabilità della traduzione e della mappatura dei sistemi di codifica e dei set di valori, con obbligo di mantenerli aggiornati. Il paragrafo 6 precisa che il funzionamento delle infrastrutture e dei servizi nazionali a supporto della rete resta di responsabilità dei punti di contatto nazionali. Emerge così una linea di demarcazione netta fra quanto è centrale e quanto è nazionale, che ha riflessi diretti sull’imputazione della responsabilità in caso di malfunzionamento o di violazione dei dati: l’errore di mappatura semantica — poniamo, la traduzione impropria di un codice di allergia o di un principio attivo — è, sul piano della titolarità, riconducibile allo Stato membro e non alla Commissione.

Catalogo dei requisiti, specifiche tecniche e gestione del cambiamento

L’articolo 4 costruisce il catalogo dei requisiti come atto di soft law tecnico a efficacia vincolante mediata. La Commissione lo redige e lo mantiene in cooperazione con il gruppo direttivo istituito dall’articolo 95, paragrafo 1, del Regolamento (UE) 2025/327; il catalogo deve contenere almeno la descrizione dei casi d’uso implementati, i requisiti per l’implementazione dello scambio e i quadri e le procedure per i test, i controlli di conformità, l’operatività e il monitoraggio degli incidenti. Le specifiche tecniche sono proposte dalla Commissione sulla base del catalogo. Entrambi sono approvati dal gruppo direttivo.

Il meccanismo presenta un profilo di interesse per il giurista: il contenuto materiale degli obblighi cui i punti di contatto nazionali devono conformarsi non è fissato nel Regolamento, ma in documenti tecnici adottati da un organismo di governance composto dagli Stati membri. Si è di fronte a una delega tecnica a valle di un atto di esecuzione, temperata dalla circostanza che l’organo approvante è espressione degli Stati membri medesimi e che le specifiche devono essere coerenti con il formato europeo di scambio delle cartelle cliniche elettroniche, oggetto di distinto atto di esecuzione ai sensi dell’articolo 15, paragrafo 1, del Regolamento (UE) 2025/327.

La gestione delle modifiche, disciplinata dall’articolo 6, distingue release maggiori e minori secondo le definizioni dell’articolo 2. È maggiore la versione non retrocompatibile con la precedente o che abbia un impatto sostanziale sullo scambio dei dati; è minore ogni altra versione. Il considerando 10 chiarisce la ratio: correzioni di difetti, chiarimenti redazionali e modifiche che non introducono nuove funzionalità né incidono sulla capacità delle implementazioni esistenti di scambiare dati senza modifiche seguono la procedura semplificata.

Per le modifiche maggiori la proposta può essere presentata dalla Commissione su richiesta di cinque o più membri del gruppo direttivo oppure di propria iniziativa, e deve contenere la descrizione delle modifiche, la giustificazione, il calendario di attuazione e la release maggiore che le recepisce. Il gruppo direttivo approva modifiche, calendario e release; una volta approvati, Commissione, punti di contatto nazionali e partecipanti autorizzati sono tenuti a implementarli. La soglia dei cinque proponenti è, secondo il parere di chi scrive, un filtro ragionevole contro la frammentazione delle proposte, ma introduce un elemento di rigidità per lo Stato membro isolato che rilevi una criticità: la via residua è quella di convincere la Commissione ad agire di propria iniziativa.

Il regime autorizzatorio, i controlli di conformità e i test tecnici

Il cuore operativo dell’atto è nel combinato disposto degli articoli da 7 a 12. La Commissione gestisce, per conto del gruppo direttivo, quattro procedure autorizzatorie: l’avvio dello scambio, la prosecuzione dopo un aggiornamento all’ultima release maggiore, la prosecuzione dopo un controllo di conformità operativo e la gestione degli incidenti significativi. La decisione spetta al gruppo direttivo, con facoltà per il punto di contatto nazionale di chiedere il riesame in caso di diniego.

I controlli di conformità e i test tecnici hanno oggetto distinto. Il controllo di conformità, ai sensi dell’articolo 8, paragrafo 2, individua rilievi su sicurezza, riservatezza e protezione dello scambio di dati sanitari elettronici personali attraverso MyHealth@EU. Il test tecnico, ai sensi del paragrafo 3, valuta lo scambio transfrontaliero fra punti di contatto e la sua conformità alle specifiche tecniche. In entrambi i casi i rilievi sono classificati come “minori”, “medi” o “critici” secondo i livelli di conformità definiti nei quadri di riferimento contenuti nel catalogo.

La distinzione, in prospettiva pratica, corrisponde a quella fra un audit di sistema di gestione e un collaudo funzionale: il primo verifica la tenuta dei presidi organizzativi e di sicurezza, il secondo l’effettiva capacità di dialogo fra le componenti. L’esperienza applicativa dei sistemi di gestione insegna che la seconda verifica è più facilmente superabile della prima, perché il funzionamento tecnico è dimostrabile con evidenze puntuali mentre l’adeguatezza dei presidi organizzativi richiede documentazione stratificata nel tempo.

Il termine per la reazione ai rilievi è stringente: l’articolo 8, paragrafo 5, impone la trasmissione alla Commissione di un piano d’azione entro quindici giorni lavorativi dalla ricezione delle informazioni sui rilievi, indipendentemente dal loro livello. Anche il rilievo minore, dunque, genera un obbligo formale di pianificazione. Successivamente, a piano attuato, il punto di contatto nazionale lo notifica alla Commissione, che valuta le evidenze e decide sulla chiusura dei rilievi. La Commissione comunica regolarmente al gruppo direttivo i rilievi aperti: si crea in tal modo un meccanismo di pressione reputazionale fra pari, tipico delle reti di fiducia, che integra e rafforza il vincolo giuridico.

Quanto alla frequenza, l’articolo 9 prevede il controllo prima dell’avvio dello scambio, poi ogni cinque anni dall’ultimo controllo, nonché in via straordinaria quando la Commissione ritenga sussistere un rischio critico per la sicurezza, la riservatezza o la protezione dei dati. Il considerando 13 esplicita che il controllo ad hoc può essere attivato ove vi siano motivi di sospettare una violazione dei requisiti. Va detto che la cadenza quinquennale, per un’infrastruttura che tratta dati relativi alla salute su scala continentale, potrebbe apparire ampia; il correttivo risiede per l’appunto nel controllo straordinario e nell’autorizzazione richiesta a ogni aggiornamento maggiore, che produce nei fatti una verifica più frequente.

Le conseguenze del diniego sono disciplinate dagli articoli 11 e 12 in termini pressoché speculari: il gruppo direttivo adotta misure di mitigazione, che possono includere la sospensione temporanea dello scambio; il punto di contatto nazionale deve chiudere i rilievi che hanno causato la sospensione, ottenere l’autorizzazione e ripristinare lo scambio, previo — nel caso dell’aggiornamento — allineamento all’ultima release maggiore. I termini sono precisi: l’autorizzazione per l’aggiornamento va ottenuta non oltre un mese prima della scadenza del calendario di attuazione; quella successiva al controllo di conformità operativo non oltre due mesi dalla ricezione dell’esito.

Appare chiaro allo scrivente che la sospensione dello scambio costituisce la vera sanzione del sistema. Non è pecuniaria, ma incide direttamente sulla continuità assistenziale transfrontaliera dei cittadini dello Stato membro interessato: il paziente che si trovi all’estero non vedrà reso disponibile il proprio profilo sanitario sintetico, e la sua prescrizione elettronica non sarà dispensabile. Il costo politico e reputazionale di tale misura è, presumibilmente, superiore a quello di molte sanzioni amministrative.

La disciplina degli incidenti significativi

L’articolo 13 costruisce una catena di notifica a tempi molto compressi. Il punto di contatto nazionale, o la Commissione ove rilevi, notifica al presidente del gruppo direttivo, alla Commissione e a ogni punto di contatto nazionale interessato non appena possibile e comunque entro ventiquattro ore dalla conoscenza dell’incidente significativo. La Commissione, d’intesa con il presidente del gruppo direttivo, gestisce l’incidente. Il punto di contatto colpito, e ove necessario il gruppo direttivo, adottano le misure di mitigazione, che possono includere la sospensione temporanea dello scambio. Il ripristino avviene previa approvazione del gruppo direttivo, non appena possibile dopo la risoluzione. Entro un mese dalla notifica iniziale è dovuta una relazione al gruppo direttivo contenente almeno la descrizione dettagliata dell’incidente con gravità e impatto, il tipo di minaccia o la causa radice probabile e le misure di mitigazione già adottate e in corso.

Il termine di ventiquattro ore richiede una lettura attenta in rapporto agli altri obblighi gravanti sul medesimo soggetto. Nell’impianto della Direttiva (UE) 2022/2555, recepita in Italia con il decreto legislativo 138/2024, il soggetto essenziale o importante trasmette un preallarme entro ventiquattro ore e una notifica entro settantadue ore dalla conoscenza dell’incidente significativo. Nell’impianto del Regolamento (UE) 2016/679, il titolare notifica la violazione dei dati personali all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro settantadue ore. Le tre catene hanno destinatari, presupposti e contenuti diversi ma possono attivarsi contestualmente a fronte del medesimo evento.

In termini più pragmatici: un accesso non autorizzato al nodo nazionale che comporti esfiltrazione di profili sanitari sintetici potrebbe integrare, in un colpo solo, un incidente significativo ai fini dell’articolo 13 dell’atto in commento, un incidente significativo ai fini della disciplina NIS e una violazione di dati personali ai fini degli articoli 33 e 34 del GDPR, con obbligo di comunicazione agli interessati ove il rischio per i diritti e le libertà sia elevato. La procedura interna di gestione degli incidenti deve pertanto essere costruita in modo da alimentare tre flussi distinti da un’unica istruttoria, evitando sia il ritardo dovuto alla ricerca del destinatario competente sia l’incoerenza fra versioni diverse dei medesimi fatti — incoerenza che, nell’esperienza dei procedimenti ispettivi, costituisce essa stessa un elemento di criticità.

Va segnalato che l’articolo 13 non menziona le autorità di controllo della protezione dei dati fra i destinatari della notifica: la notifica alle autorità resta disciplinata dall’articolo 15, paragrafo 1, lettera h), che rinvia agli articoli 33 e 34 del GDPR. Le due catene sono dunque parallele e non alternative, e l’adempimento dell’una non esaurisce l’altra.

La contitolarità dei punti di contatto nazionali

L’articolo 15 enumera le responsabilità dei punti di contatto nazionali in qualità di contitolari. La prima è l’istituzione di un punto di contatto dotato di casella di posta funzionale per le comunicazioni fra contitolari e fra contitolari e responsabile. Segue l’obbligo di coordinamento reciproco in seno al gruppo direttivo per fornire istruzioni coordinate alla Commissione quale responsabile, e di trasmissione delle istruzioni attraverso il gruppo direttivo, come concordato con gli altri contitolari.

Questa è, secondo il parere di chi scrive, la soluzione tecnicamente più delicata dell’intero atto. L’articolo 28, paragrafo 3, lettera a), del GDPR presuppone che il responsabile tratti i dati soltanto su istruzione documentata del titolare. Con una pluralità di contitolari pari al numero degli Stati membri, l’istruzione individuale sarebbe ingestibile e potenzialmente contraddittoria. La canalizzazione attraverso il gruppo direttivo risolve il problema pratico, ma introduce un tema teorico non banale: il singolo contitolare che dissenta dall’istruzione collettiva resta comunque responsabile, verso i propri interessati e verso la propria autorità di controllo, di un trattamento eseguito secondo un’istruzione che non condivide. Non si ha evidenza, nel testo dell’atto, di un meccanismo formale di opting out o di riserva; la via residua sembra quella della richiesta di riesame delle decisioni del gruppo direttivo, prevista però soltanto per i dinieghi di autorizzazione.

Le lettere successive dell’articolo 15, paragrafo 1, distribuiscono gli adempimenti classici. L’informativa agli interessati è responsabilità dei contitolari, ai sensi degli articoli 13 e 14 del GDPR. Il riscontro alle richieste di esercizio dei diritti è parimenti loro, con un meccanismo di inoltro: il contitolare che riceva una richiesta esulante dalle proprie responsabilità la trasmette al contitolare competente e ne informa l’interessato. Si tratta di una precisazione utile, che evita il rimpallo, ma che non deroga all’articolo 26, paragrafo 3, del GDPR, per il quale l’interessato può esercitare i propri diritti nei confronti di ciascun contitolare: il contitolare adito non può limitarsi a dichiararsi incompetente, deve inoltrare e informare.

Quanto alle misure di sicurezza, la lettera f) impone l’adozione e la documentazione di misure organizzative, fisiche e logiche appropriate, con due specificazioni espresse: gli autorizzati devono essere soggetti a un adeguato obbligo legale di riservatezza o essersi impegnati alla riservatezza; e gli scambi di dati personali attraverso MyHealth@EU devono essere registrati sistematicamente in log che tengano traccia dell’identità degli attori coinvolti, delle categorie di dati personali e delle finalità dello scambio. L’obbligo di logging, in termini più concreti, significa che il nodo nazionale deve conservare una tracciatura idonea non solo a fini forensi, ma anche a fini di riscontro all’interessato che eserciti il diritto di accesso o che voglia verificare chi abbia consultato i propri dati all’estero — funzione, quest’ultima, che il Regolamento (UE) 2025/327 valorizza nella parte relativa al controllo della persona fisica sui propri dati.

Le lettere g) e h) costruiscono un obbligo di mutua assistenza nella gestione degli incidenti e delle violazioni: i contitolari si notificano reciprocamente e notificano alla Commissione i rischi per la sicurezza, gli incidenti di sicurezza collegati alle operazioni di trattamento, le violazioni dei dati personali con le probabili conseguenze e la valutazione del rischio per i diritti e le libertà, nonché ogni violazione delle garanzie tecniche od organizzative. La lettera i) prevede infine la cooperazione nello svolgimento delle valutazioni d’impatto ai sensi dell’articolo 35 del GDPR, ove necessario.

Il paragrafo 2 completa il quadro con una clausola di leale collaborazione: il contitolare che necessiti di informazioni da un altro contitolare per adempiere agli obblighi degli articoli 33 e 34 del GDPR invia una richiesta specifica alla casella funzionale, e l’altro contitolare “si adopera al meglio per fornire tali informazioni”. La formula dell’obbligo di mezzi, e non di risultato, è realistica ma lascia scoperta l’ipotesi del contitolare inadempiente: il termine di settantadue ore dell’articolo 33 del GDPR corre comunque, e la mancanza di informazioni dal partner estero non costituisce di per sé giustificazione del ritardo, potendo al più fondare la notifica in fasi successive prevista dall’articolo 33, paragrafo 4.

Gli obblighi della Commissione quale responsabile

L’articolo 16 traduce in dodici lettere il contenuto tipico di un atto di nomina a responsabile, con la precisazione iniziale che la Commissione può ricorrere a terzi quali sub-responsabili. Si noti che l’atto non prevede il meccanismo dell’autorizzazione preventiva, specifica o generale, del titolare di cui all’articolo 28, paragrafo 2, del GDPR e all’articolo 29, paragrafo 2, del Regolamento (UE) 2018/1725: l’autorizzazione è, per così dire, incorporata nella fonte legale. Trattasi di una deroga rilevante rispetto alla prassi contrattuale corrente, che i contitolari nazionali dovranno rappresentare correttamente nelle proprie informative e nei propri registri dei trattamenti.

Gli obblighi sostanziali riguardano l’istituzione e il mantenimento del servizio centrale di comunicazione sicura, la sua configurazione per consentire scambi sicuri, affidabili ed efficienti, le misure di facilitazione dell’interoperabilità con i contitolari, e il trattamento su sola istruzione dei contitolari salvo obbligo di legge, con dovere di informazione preventiva salvo divieto per rilevanti motivi di interesse pubblico. È altresì previsto l’obbligo — corrispondente all’articolo 28, paragrafo 3, ultimo comma, del GDPR — di informare immediatamente i contitolari qualora la Commissione ritenga che un’istruzione violi le disposizioni applicabili in materia di protezione dei dati.

La lettera e) impone misure di sicurezza adeguate ai rischi, documentate in un piano di sicurezza mantenuto aggiornato. L’elencazione include una procedura di valutazione del rischio per identificare e stimare le minacce potenziali, l’obbligo di riservatezza degli autorizzati — con richiamo espresso all’articolo 17 dello Statuto dei funzionari di cui al Regolamento (CEE, Euratom, CECA) n. 259/68 —, misure di sensibilizzazione di personale e contraenti, misure tecniche e organizzative contro l’accesso non autorizzato, garanzie di integrità delle informazioni trasmesse, misure di blocco degli accessi non autorizzati provenienti dal dominio dei punti di contatto nazionali, cifratura dei dati trasportati all’interno del servizio centrale e misure di sicurezza fisica comprensive del controllo degli accessi ai locali, della tenuta di un registro dei visitatori e dell’accompagnamento delle persone esterne da parte di personale autorizzato.

Merita segnalazione la previsione sulla cifratura dei dati trasportati: l’atto la impone in termini di obbligo incondizionato, senza il consueto temperamento del “ove appropriato” che caratterizza l’articolo 32, paragrafo 1, lettera a), del GDPR. Del pari significativa è la previsione di misure di blocco degli accessi non autorizzati provenienti dal dominio dei punti di contatto nazionali: la Commissione, in sostanza, è tenuta a presidiare la rete anche contro condotte anomale originate dai nodi nazionali, il che riconosce implicitamente che il rischio non è soltanto esterno.

Le lettere successive prevedono una procedura di gestione del cambiamento con informazione ai contitolari sulle modifiche che possano incidere sulla comunicazione con le infrastrutture nazionali o sulla loro sicurezza, il monitoraggio in tempo reale delle prestazioni con produzione di statistiche e tenuta di registrazioni, e procedure di audit e riesame articolate nella verifica della corrispondenza fra misure attuate e piano di sicurezza, nel controllo periodico dell’integrità dei file di sistema, dei parametri di sicurezza e delle autorizzazioni concesse, nel monitoraggio per rilevare le violazioni della sicurezza, nell’attuazione delle modifiche per mitigare le debolezze esistenti, nella definizione di una procedura di gestione degli incidenti di sicurezza con schema di segnalazione ed escalation e nell’informazione ai contitolari interessati.

La lettera i) prevede la pubblicazione sul sito della Commissione delle informative ai pazienti sul trattamento dei dati personali in MyHealth@EU, dopo che il contenuto è stato concordato dai contitolari. Si tratta di una forma di informativa a rete, che presuppone il coordinamento redazionale fra ventisette soggetti: soluzione ragionevole per garantire uniformità, ma che non esonera il singolo contitolare dall’obbligo di informativa nazionale ai sensi degli articoli 13 e 14 del GDPR, previsto dall’articolo 15, paragrafo 1, lettera d).

Le ultime lettere riguardano il supporto ai contitolari mediante informazioni sul servizio centrale per l’adempimento degli obblighi di cui agli articoli da 32 a 36 del GDPR, la cancellazione di tutti i dati personali a seguito della cessazione dello scambio con certificazione al titolare salvo obbligo legale di conservazione, e la messa a disposizione delle informazioni necessarie a dimostrare la conformità, con consenso ad audit indipendenti, ispezioni e riesami sulle misure di sicurezza anche su richiesta dei titolari, fatte salve le condizioni conformi al Protocollo n. 7 sui privilegi e sulle immunità dell’Unione europea allegato al Trattato sul funzionamento dell’Unione europea.

Quest’ultimo inciso merita attenzione. Il diritto di audit del titolare sul responsabile, sancito dall’articolo 28, paragrafo 3, lettera h), del GDPR, incontra qui il limite delle immunità dell’Unione, che proteggono in particolare l’inviolabilità dei locali e degli archivi. Non si ha evidenza, nel testo, delle modalità concrete di composizione fra le due esigenze; appare plausibile che la prassi si orienti verso audit documentali e verso l’utilizzo di relazioni di revisione indipendenti, secondo un modello già diffuso nei rapporti con fornitori di servizi cloud di rilevanti dimensioni.

Profili critici e questioni interpretative aperte

Un primo profilo attiene alla effettiva sostenibilità della contitolarità multilaterale. La dottrina e la prassi delle autorità hanno più volte segnalato che la contitolarità funziona quando i contitolari sono pochi e le rispettive sfere sono chiaramente delimitate. Qui i contitolari sono potenzialmente ventisette, più i partecipanti autorizzati di cui all’articolo 24, paragrafi 2 e 3, del Regolamento (UE) 2025/327 cui l’articolo 1, paragrafo 2, estende mutatis mutandis larga parte della disciplina. Il rischio, secondo il parere di chi scrive, non è tanto quello del vuoto di responsabilità — l’articolo 15 è sufficientemente analitico — quanto quello della diluizione: la responsabilità formalmente ripartita fra tutti tende, nella pratica dell’accertamento, a concentrarsi sul soggetto più prossimo all’interessato, ossia sul punto di contatto nazionale dello Stato di residenza.

Un secondo profilo riguarda il rapporto fra il trattamento nella piattaforma e il trattamento a monte, nei sistemi sanitari nazionali. L’articolo 14 limita il trattamento in MyHealth@EU alle categorie prioritarie di dati per uso primario di cui all’articolo 14, paragrafo 1, primo comma, del Regolamento (UE) 2025/327, alle categorie aggiuntive di cui al terzo comma della medesima disposizione e ai dati personali necessari per gestire la piattaforma, compresa la gestione dell’help desk. La delimitazione è chiara sul piano oggettivo, ma non affronta il tema della qualità e della completezza dei dati a monte: il profilo sanitario sintetico che il nodo nazionale trasmette è quello che il sistema sanitario nazionale ha prodotto, e la contitolarità sulla trasmissione non assorbe la titolarità dell’ente sanitario che ha generato il dato. L’interessato che lamenti l’inesattezza di un dato trasmesso all’estero dovrà, in concreto, rivolgersi al titolare originario per la rettifica ai sensi dell’articolo 16 del GDPR, e il punto di contatto nazionale dovrà essere attrezzato per instradare correttamente la richiesta.

Un terzo profilo concerne la tempistica. Il Regolamento si applica dal 26 marzo 2027, mentre gli obblighi di scambio decorrono dal 26 marzo 2029 per profili sanitari sintetici, prescrizioni e dispensazioni elettroniche, e dal 26 marzo 2031 per studi di diagnostica per immagini e relative relazioni, risultati di esami medici, inclusi quelli di laboratorio e altri risultati diagnostici con relative relazioni, e lettere di dimissione. Il divario biennale fra applicabilità dell’atto di esecuzione e obbligatorietà dello scambio non è un periodo di franchigia: è il tempo in cui devono essere svolti i controlli di conformità iniziali, i test tecnici e le procedure autorizzatorie. Chi ritenesse di poter iniziare i lavori nel 2028 si troverebbe, verosimilmente, a comprimere in pochi mesi un percorso di verifica che l’atto disegna come articolato.

Un quarto profilo, di natura più sistematica, riguarda la mancata considerazione esplicita dei riflessi sull’uso di sistemi di intelligenza artificiale nei flussi alimentati da MyHealth@EU. Il Regolamento non se ne occupa, il che è corretto sul piano del perimetro dell’atto di esecuzione; resta tuttavia che i dati scambiati confluiscono in sistemi nazionali nei quali possono essere impiegati strumenti di supporto alla decisione clinica qualificabili come sistemi ad alto rischio. Il coordinamento fra i due corpi normativi resta affidato all’interprete e, presumibilmente, a futuri strumenti di indirizzo.

Adempimenti per DPO e organizzazioni

Sul piano operativo, il primo passaggio che si suggerisce è la ricognizione del perimetro soggettivo: occorre stabilire, per ciascuna organizzazione, se essa sia il punto di contatto nazionale per la sanità digitale, un partecipante autorizzato ai sensi dell’articolo 24, paragrafi 2 e 3, del Regolamento (UE) 2025/327, oppure un titolare sanitario a monte che alimenta i flussi senza essere parte della rete. Le tre posizioni generano obblighi profondamente diversi e la confusione fra esse è, nell’esperienza applicativa, la principale fonte di adempimenti mal calibrati. Al titolare sanitario a monte non si applicano gli articoli 15 e 16 dell’atto in commento, ma si applica il dovere di garantire che i dati conferiti al fascicolo siano esatti, aggiornati e correttamente codificati, perché è su quel patrimonio informativo che opera lo scambio transfrontaliero.

Da questa ricognizione discende la revisione del registro dei trattamenti ai sensi dell’articolo 30 del GDPR. Per il punto di contatto nazionale occorrerà iscrivere un trattamento autonomo relativo allo scambio transfrontaliero, indicando la contitolarità determinata per legge, la Commissione quale responsabile, le categorie di dati corrispondenti all’articolo 14 dell’atto, i destinatari costituiti dai punti di contatto nazionali degli altri Stati membri e la base giuridica costituita dal compito di interesse pubblico combinato con le pertinenti deroghe dell’articolo 9, paragrafo 2, del GDPR. Si ritiene opportuno che il registro dia atto espressamente del fondamento legale della contitolarità, richiamando l’articolo 23 del Regolamento (UE) 2025/327 e l’articolo 15 del Regolamento di esecuzione, per evitare che in sede ispettiva venga richiesto un accordo di contitolarità che, per l’appunto, non deve essere stipulato.

Segue la valutazione d’impatto sulla protezione dei dati, che l’articolo 15, paragrafo 1, lettera i), dell’atto richiama espressamente in termini di cooperazione fra contitolari. Trattandosi di trattamento su larga scala di categorie particolari di dati, ricorre il presupposto dell’articolo 35, paragrafo 3, lettera b), del GDPR, oltre ai criteri dell’elenco delle tipologie di trattamento soggette a valutazione d’impatto adottato dal Garante per la protezione dei dati personali. La valutazione dovrà considerare, fra i rischi specifici, l’esposizione derivante dalla moltiplicazione dei punti di accesso, la dipendenza dalla qualità delle mappature semantiche e l’ipotesi di indisponibilità prolungata del servizio, che nel settore sanitario ha conseguenze non soltanto informative.

Sul piano organizzativo interno, occorre procedere all’istituzione della casella funzionale prescritta dall’articolo 15, paragrafo 1, lettera a), assegnandone il presidio a una struttura e non a una persona fisica, con procedure di presa in carico, di tracciamento e di escalation, e con copertura oraria proporzionata ai termini di ventiquattro ore previsti dall’articolo 13. La casella non è un mero recapito: è il canale attraverso il quale transitano le richieste di informazioni fra contitolari ai fini degli articoli 33 e 34 del GDPR, e la sua gestione negligente si tradurrebbe in ritardi imputabili.

Parallelamente si impone la revisione della procedura di gestione degli incidenti, che deve essere riscritta per contemplare l’attivazione simultanea di flussi distinti: la notifica interna alla rete MyHealth@EU entro ventiquattro ore, la notifica all’autorità di controllo competente ai sensi dell’articolo 33 del GDPR, l’eventuale comunicazione agli interessati ai sensi dell’articolo 34 e, ove ricorrano i presupposti soggettivi del decreto legislativo 138/2024, le comunicazioni verso l’Agenzia per la cybersicurezza nazionale. Si suggerisce l’adozione di una matrice di qualificazione unica dell’evento, che classifichi l’incidente una sola volta secondo i criteri dell’articolo 23, paragrafo 3, della Direttiva (UE) 2022/2555 e ne derivi automaticamente gli obblighi attivati, evitando valutazioni divergenti fra funzioni diverse della medesima organizzazione. Alla matrice va affiancata la relazione a un mese prevista dall’articolo 13, paragrafo 5, il cui contenuto minimo — gravità, impatto, tipo di minaccia o causa radice, misure adottate e in corso — suggerisce di predisporre fin d’ora un modello standard.

Di rilievo centrale è la predisposizione del sistema di logging conforme all’articolo 15, paragrafo 1, lettera f), punto ii), che impone la registrazione sistematica degli scambi con indicazione dell’identità degli attori coinvolti, delle categorie di dati e delle finalità. Si ritiene che la conservazione debba essere definita con un periodo di retention esplicito, motivato in relazione alle finalità di accountability e di riscontro ai diritti degli interessati, e che i log debbano essere protetti contro la modifica e l’accesso non autorizzato, trattandosi essi stessi di dati che rivelano informazioni sulla salute per via indiretta. La prassi di audit suggerisce che la tracciatura sia progettata fin dall’inizio in modo da essere interrogabile per soggetto interessato e non soltanto per sistema, altrimenti il riscontro a una richiesta di accesso diventa materialmente oneroso.

Va poi curata la revisione delle informative, sia sul piano dei contenuti sia su quello del coordinamento. L’informativa nazionale deve dare conto della trasmissione transfrontaliera, della contitolarità e delle modalità di esercizio dei diritti, raccordandosi con l’informativa pubblicata dalla Commissione ai sensi dell’articolo 16, lettera i), il cui contenuto è concordato fra i contitolari. Si suggerisce di predisporre un testo modulare, che rinvii per gli aspetti comuni al testo concordato e sviluppi in modo specifico gli aspetti nazionali, così da ridurre il rischio di disallineamento a ogni aggiornamento.

Sul versante della sicurezza è necessaria la mappatura delle misure rispetto al catalogo dei requisiti, con predisposizione anticipata delle evidenze documentali che saranno richieste nel controllo di conformità. Poiché il controllo verte su sicurezza, riservatezza e protezione dello scambio, e poiché i rilievi sono classificati in tre livelli con obbligo di piano d’azione entro quindici giorni lavorativi, si ritiene prudente costruire fin d’ora un fascicolo di conformità permanente, aggiornato in continuo, anziché ricostruire la documentazione in prossimità del controllo. La medesima documentazione servirà, prevedibilmente, per le verifiche periodiche quinquennali e per le autorizzazioni successive agli aggiornamenti maggiori.

Occorre inoltre presidiare la gestione del cambiamento tecnico, istituendo un raccordo stabile fra la funzione che partecipa al gruppo direttivo, la funzione informatica e il responsabile della protezione dei dati. Le release maggiori comportano obblighi di implementazione entro calendari approvati e la necessità di ottenere l’autorizzazione non oltre un mese prima della scadenza del calendario: si tratta di scadenze che devono entrare nella pianificazione ordinaria e non essere gestite in emergenza. Il responsabile della protezione dei dati, per parte sua, dovrà valutare se la singola release incida su elementi rilevanti della valutazione d’impatto, imponendone il riesame ai sensi dell’articolo 35, paragrafo 11, del GDPR.

Va altresì definita la procedura di instradamento delle richieste degli interessati, in attuazione dell’articolo 15, paragrafo 1, lettera e). La procedura deve prevedere la verifica della competenza, l’inoltro al contitolare pertinente attraverso la casella funzionale e l’informazione all’interessato, con tracciamento dei tempi. Si suggerisce di curare in modo particolare l’ipotesi della rettifica, che richiede il coinvolgimento del titolare sanitario a monte, e quella della limitazione del trattamento, che in un contesto di continuità assistenziale pone problemi di sicurezza clinica meritevoli di valutazione congiunta con le funzioni sanitarie.

Per le organizzazioni che intendano qualificarsi come partecipanti autorizzati ai sensi dell’articolo 24, paragrafi 2 e 3, del Regolamento (UE) 2025/327, va considerato che l’articolo 1, paragrafo 2, dell’atto estende loro, mutatis mutandis, l’articolo 7 salvo il paragrafo 1, lettera a), e gli articoli da 8 a 13, e che i controlli di conformità e i test tecnici possono coprire requisiti aggiuntivi specificamente rilevanti per essi. L’ingresso nella rete comporta dunque un onere di conformità sostanzialmente equivalente a quello dei nodi nazionali, con l’ulteriore incertezza dei requisiti aggiuntivi, la cui definizione è rimessa alla prassi.

Infine, si suggerisce la verifica della posizione ai fini della disciplina nazionale sulla cibersicurezza, accertando se l’ente rientri fra i soggetti essenziali o importanti individuati ai sensi del decreto legislativo 138/2024 e, in caso affermativo, allineando le misure di gestione del rischio già adottate in quella sede con i requisiti del catalogo. Un allineamento ben condotto consente economie significative, perché larga parte dei presidi richiesti coincide; un disallineamento, per converso, produce duplicazioni documentali che la prassi di audit tende a rilevare come indice di scarsa maturità organizzativa.

Conclusioni

Il Regolamento di esecuzione (UE) 2026/2083 chiude una fase e ne apre un’altra. Chiude quella della cooperazione volontaria nello scambio transfrontaliero dei dati sanitari, avviata con la Decisione di esecuzione (UE) 2019/1765, e apre quella dell’obbligo giuridicamente sanzionato, sia pure con sanzioni di tipo tecnico-operativo anziché pecuniario. La transizione è gestita con prudenza: l’articolo 18 riconosce il pregresso, l’applicazione differita al 26 marzo 2027 e le scadenze del 2029 e del 2031 scaglionano lo sforzo, il meccanismo delle release consente un’evoluzione tecnica ordinata.

Restano questioni aperte di rilievo non secondario. La prima riguarda l’efficacia reale del coordinamento fra contitolari attraverso il gruppo direttivo: il modello presuppone una capacità di deliberazione tempestiva che dovrà essere verificata alla prova dei fatti, specie nelle situazioni di crisi in cui l’istruzione al responsabile deve essere formata in tempi brevissimi. La seconda concerne il raccordo fra la catena di notifica interna alla rete e le catene di notifica esterne verso le autorità di controllo e le autorità di cibersicurezza: il testo non offre indicazioni di coordinamento e la composizione è rimessa alle procedure interne di ciascun nodo, con rischio di prassi divergenti fra Stati membri. La terza attiene al diritto di audit dei contitolari sulla Commissione, temperato dal Protocollo n. 7: sarà la prassi a definire quali modalità di verifica risultino compatibili con le immunità dell’Unione e sufficienti a soddisfare l’esigenza di accountability dei titolari.

Una quarta questione, di natura più generale, riguarda la posizione dell’interessato. L’articolo 26, paragrafo 3, del GDPR gli consente di rivolgersi a ciascun contitolare, ma l’esercizio effettivo dei diritti in un contesto di ventisette contitolari e di un responsabile istituzionale richiede strumenti di orientamento che l’atto in commento non fornisce e che dovranno, verosimilmente, essere sviluppati a livello nazionale. La continuità assistenziale transfrontaliera è un obiettivo di indubbio valore, ma la sua realizzazione non può risolversi in una diluizione della tutela individuale.

Per l’ordinamento italiano, il banco di prova sarà l’allineamento fra l’infrastruttura del Fascicolo sanitario elettronico, l’Ecosistema dati sanitari e il punto di contatto nazionale designato, con il connesso adeguamento delle misure di garanzia per il trattamento dei dati relativi alla salute previste dall’articolo 2-septies del decreto legislativo 196/2003. Non si ha evidenza, alla data, di atti di indirizzo nazionali specificamente dedicati all’attuazione del Regolamento di esecuzione: il monitoraggio delle iniziative del Ministero della salute, dell’Agenzia per l’Italia digitale e del Garante per la protezione dei dati personali appare pertanto raccomandabile nei prossimi mesi.

Riferimenti normativi

• Trattato sul funzionamento dell’Unione europea (TFUE), Protocollo (n. 7) sui privilegi e sulle immunità dell’Unione europea
• Regolamento (CEE, Euratom, CECA) n. 259/68 del Consiglio (Statuto dei funzionari)
• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2018/1725
• Direttiva (UE) 2022/2555 (NIS2)
• Regolamento (UE) 2024/903 (Interoperable Europe Act)
• Regolamento (UE) 2024/1689 (AI Act)
• Regolamento (UE) 2025/327 (Spazio europeo dei dati sanitari)
• Regolamento di esecuzione (UE) 2026/2083 della Commissione del 18 settembre 2026
• Decisione di esecuzione (UE) 2019/1765 della Commissione
• Decisione (UE, Euratom) 2017/46 della Commissione
• Decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
• Decreto legislativo 4 settembre 2024, n. 138
• Osservazioni formali del Garante europeo della protezione dei dati (EDPS) del 18 maggio 2026 sul progetto di regolamento di esecuzione della Commissione relativo a MyHealth@EU