Ivano Pecis | DPO/RPD — Privacy Specialist UNI CEI EN 17740:2024, CIPP/E | I&P Partners, Milano
Novembre 2026
LA RISPOSTA BREVE
L’art. 8 della legge 132/2025 consente a enti pubblici, enti privati senza scopo di lucro, IRCCS e imprese che partecipano ai loro progetti di riusare dati sanitari privi di identificativi diretti per la ricerca su sistemi di IA: senza nuovo consenso, con informativa anche generale, dopo una comunicazione al Garante. Non prevede un opt-out e non coordina gli altri regimi.
IN SINTESI
- Il perimetro è chiuso: un’impresa del settore sanitario rientra solo se partecipa a un progetto con un ente pubblico, un ente senza scopo di lucro o un IRCCS.
- Dati privi di identificativi diretti non significa dati anonimi: restano dati personali e il GDPR si applica per intero.
- L’art. 8 non costruisce un canale di opposizione. Un’informativa che promette un «opt-out ex art. 8» descrive una garanzia che la norma non contiene.
- Nel perimetro dell’art. 8 il consenso del provvedimento 146/2019 cade per il riuso di dati genetici già raccolti; resta per la ricerca che esegue test genetici.
- La comunicazione al Garante (art. 8, comma 5) è il punto in cui la scelta del regime diventa documentata: decorsi trenta giorni senza blocco, il trattamento può iniziare.
Sullo stesso dato sanitario insistono oggi quattro discipline: le prescrizioni del Garante per la protezione dei dati personali sui dati genetici (provvedimento n. 146 del 5 giugno 2019), l’art. 8 della legge 23 settembre 2025, n. 132, le regole di alimentazione e accesso delle infrastrutture nazionali (fascicolo sanitario elettronico ed Ecosistema dati sanitari) e, dal 2029, il Regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari (EHDS). Nessuna norma dice come combinarle.
La sede del coordinamento generale sarebbe stata il decreto del Ministro della salute previsto dall’art. 9 della stessa legge. Il termine per adottarlo è scaduto il 7 febbraio 2026 e, a oggi, il decreto non risulta adottato. Le domande che seguono restano quindi al titolare, progetto per progetto.
Che cosa autorizza l’art. 8 della legge 132/2025?
L’art. 8 dichiara di rilevante interesse pubblico, ai sensi dell’art. 9, paragrafo 2, lettera g), del Regolamento (UE) 2016/679 (GDPR), i trattamenti per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di intelligenza artificiale in ambito sanitario, in quanto necessari a realizzare e utilizzare banche di dati e modelli di base. Le finalità ammesse sono larghe: prevenzione, diagnosi e cura, sviluppo di farmaci e terapie, apparati medicali, salute pubblica, studio della biologia umana anche fuori dall’ambito sanitario.
Il comma 2 è la parte operativa. È sempre autorizzato l’uso secondario di dati personali privi degli elementi identificativi diretti, comprese le categorie particolari dell’art. 9 GDPR, con un’informativa che può essere generale e pubblicata sul sito del titolare e «senza ulteriore consenso dell’interessato ove inizialmente previsto dalla legge». Fanno eccezione i casi in cui conoscere l’identità degli interessati sia inevitabile o necessario per tutelarne la salute. Il comma 3 consente inoltre, previa informativa, i trattamenti volti ad anonimizzare, pseudonimizzare o sintetizzare i dati.
Un punto va fissato subito. Dati privi di identificativi diretti non sono dati anonimi. Sono, di regola, dati pseudonimizzati, quindi dati personali: il GDPR si applica per intero.
Chi rientra nel perimetro dell’art. 8?
Soggetti pubblici, soggetti privati senza scopo di lucro, Istituti di ricovero e cura a carattere scientifico (IRCCS) e, solo nei progetti di ricerca a cui questi partecipano, soggetti privati che operano nel settore sanitario. Il perimetro è chiuso. Un’impresa che sviluppa da sola un modello diagnostico non può invocare l’art. 8. La stessa impresa, partner di un progetto con un IRCCS, può farlo per quel progetto e nei limiti delle sue finalità.
Nei progetti misti la verifica è sostanziale. Bisogna ricostruire chi decide finalità e mezzi di ciascun trattamento, perché da lì dipendono i ruoli ai sensi degli artt. 26 e 28 GDPR. E da quei ruoli dipende chi firma la comunicazione al Garante, e che cosa ci scrive.
L’art. 8 prevede un diritto di opposizione (opt-out)?
No. Autorizza l’uso secondario e chiede un’informativa, ma non costruisce un canale di opposizione: non ne indica termini, modalità né effetti. Il diritto di opporsi ai trattamenti autorizzati compare all’art. 4, comma 3, della stessa legge, tra i princìpi in materia di informazione e riservatezza, come contenuto che le comunicazioni sui trattamenti connessi all’IA devono rendere conoscibile.
La conseguenza pratica si vede nell’informativa. Il titolare che vi descrive un «meccanismo di opposizione ex art. 8» documenta una garanzia che la norma non prevede. Da quel momento dovrà dimostrare di averla predisposta: chi riceve la richiesta, entro quale termine, che cosa accade ai dati già confluiti nel dataset o nel modello.
Il GDPR non prevede già un diritto di opposizione per la ricerca?
Sì, ed è l’obiezione più seria a quanto appena detto. L’art. 21, paragrafo 6, del GDPR riconosce all’interessato il diritto di opporsi, per motivi connessi alla sua situazione particolare, ai trattamenti a fini di ricerca scientifica svolti con le garanzie dell’art. 89, paragrafo 1. Lo esclude però quando il trattamento è necessario per l’esecuzione di un compito di interesse pubblico.
L’obiezione sposta la questione, non la chiude. Se il titolare tratta in esecuzione di un compito di interesse pubblico, l’opposizione dell’art. 21, paragrafo 6, può non operare affatto. Se fonda il trattamento su una base diversa, opera con i suoi presupposti: non è un opt-out libero, perché richiede motivi legati alla situazione dell’interessato. In entrambi i casi la qualificazione va fatta prima e scritta nell’informativa, con la fonte giusta.
È una lettura mia, e ha un limite. La legge non collega in modo espresso la dichiarazione di «rilevante interesse pubblico» dell’art. 8 alla nozione di compito di interesse pubblico. Il decreto dell’art. 9 sarebbe stato la sede per chiarirlo; in sua assenza, il titolare deve prendere posizione e motivarla.
Il consenso per i dati genetici del provvedimento 146/2019 vale ancora?
Dipende da che cosa fa la ricerca. Il punto 4.5 delle prescrizioni sui dati genetici, nell’allegato al provvedimento n. 146/2019, richiede il consenso in quattro ipotesi. Qui ne contano due.
La quarta riguarda le «finalità di ricerca scientifica e statistica non previste dalla legge o da altro requisito specifico» ai sensi dell’art. 9 GDPR. L’art. 8 è una previsione di legge fondata sull’art. 9, paragrafo 2, lettera g): nel suo perimetro l’ipotesi non ricorre. Lo conferma il punto 4.11.3, che già ammette, senza consenso, la conservazione e l’uso per ricerca dei dati genetici raccolti per la tutela della salute quando la ricerca è prevista dalla legge.
La terza riguarda invece i trattamenti effettuati mediante test genetici, screening compreso, a fini di ricerca. Qui il consenso resta, e il punto 4.11.1 lo ribadisce in modo autonomo. L’art. 8 autorizza il riuso di dati che esistono già. Non autorizza a produrne di nuovi sottoponendo gli interessati a un test.
Nel perimetro dell’art. 8 il consenso non serve per riusare dati genetici già raccolti. Serve ancora per raccoglierne di nuovi con un test.
Restano comunque le prescrizioni che non dipendono dalla base giuridica: custodia e sicurezza (punto 4.2), progetto di ricerca redatto secondo gli standard del settore e, quando la ricerca richiede di identificare gli interessati, separazione dei dati identificativi da campioni e informazioni genetiche fin dalla raccolta (punto 4.11). E va citato il testo vigente: la lettera bb) del punto 4.11.3 è stata modificata dal provvedimento del Garante n. 66 del 13 febbraio 2025.
Cosa cambia con lo spazio europeo dei dati sanitari (EHDS)?
Il Regolamento (UE) 2025/327 applica le regole sull’uso secondario (capo IV) dal 26 marzo 2029 e, per alcune categorie di dati tra cui quelli genomici, dal 26 marzo 2031. L’art. 71 introduce un diritto di esclusione: esercitabile in qualsiasi momento, senza motivazione, reversibile, attraverso un meccanismo che ogni Stato membro deve rendere accessibile. È l’opt-out che l’art. 8 non contiene. Ma ha un’altra fonte, un altro calendario, e riguarda l’uso secondario che passa per i canali del regolamento: autorizzazioni e richieste di dati.
Sui dati genetici il regolamento non fa cadere, da solo, il regime nazionale di consenso. Il considerando 52 chiude, per l’uso secondario disciplinato dal regolamento, la possibilità di mantenere o introdurre condizioni nazionali ai sensi dell’art. 9, paragrafo 4, del GDPR, consenso compreso. L’art. 51, paragrafo 4, però consente agli Stati membri misure più rigorose e garanzie supplementari per i dati genetici, epigenomici e genomici, per gli altri dati omici, per i dati delle applicazioni per il benessere e per quelli delle biobanche, con notifica alla Commissione.
Il consenso sui dati genetici può quindi durare oltre il 2029, ma su un fondamento diverso e solo se il legislatore sceglie di conservarlo. La norma lo permette, non lo impone. Chi progetta oggi un’infrastruttura di ricerca destinata a funzionare dopo quella data sta già facendo scelte di architettura e conservazione che quel regime renderà vincolanti.
Chi risponde se si sceglie il regime sbagliato?
Il titolare, e sempre davanti al Garante. L’art. 8, comma 6, fa salvi i poteri ispettivi, interdittivi e sanzionatori dell’Autorità. La violazione delle prescrizioni del provvedimento 146/2019 è sanzionata, per l’art. 21, comma 5, del d.lgs. 10 agosto 2018, n. 101, secondo l’art. 83, paragrafo 5, del GDPR. Quando l’EHDS sarà applicabile, l’art. 65 del regolamento affiderà alle autorità di controllo del GDPR anche la vigilanza sul diritto di esclusione, con sanzioni fino agli importi dell’art. 83.
Dal 2029 si aggiungeranno gli organismi responsabili dell’accesso ai dati sanitari, con poteri sanzionatori propri (artt. 63 e 64 del regolamento). Sul trattamento dei dati personali, però, l’interlocutore resta lo stesso. Quattro discipline non coordinate, quindi, e per la protezione dei dati un’unica autorità con lo stesso sistema sanzionatorio. Il disallineamento non distribuisce la responsabilità tra ordinamenti. La lascia tutta al titolare.
Cosa deve contenere la comunicazione al Garante dell’art. 8, comma 5?
Le informazioni previste dagli artt. 24, 25, 32 e 35 GDPR (responsabilità del titolare, protezione dei dati fin dalla progettazione, sicurezza, valutazione d’impatto) e l’indicazione espressa degli eventuali responsabili del trattamento ai sensi dell’art. 28. Il trattamento può iniziare decorsi trenta giorni dalla comunicazione, se il Garante non ne ha disposto il blocco.
Letta come un invio, è un adempimento. Letta per quello che produce, è il primo atto in cui il titolare scrive, davanti all’autorità che dovrà valutarla, quale regime ha scelto e perché. Una comunicazione che non spiega perché si applica l’art. 8 e non il regime di consenso, o perché i dati sono davvero privi di identificativi diretti, lascia la lacuna nel fascicolo dell’Autorità. E i trenta giorni sono l’unica finestra in cui il trattamento può essere fermato prima di cominciare.
Quali verifiche fare prima di inviare la comunicazione?
| Verifica | Riferimento | Dove resta traccia |
| Il soggetto e il progetto rientrano nel perimetro del comma 1? Nei progetti misti, chi è titolare di che cosa? | Art. 8, c. 1, L. 132/2025; artt. 26 e 28 GDPR | Atto di avvio del progetto; accordi tra i partner |
| I dati sono davvero privi di identificativi diretti? Per i dati genomici serve una motivazione tecnica, non una dichiarazione. | Art. 8, c. 2, L. 132/2025; art. 4, n. 5, GDPR | DPIA; documentazione tecnica della pseudonimizzazione |
| Il progetto prevede test genetici sugli interessati? | Provv. 146/2019, punti 4.5 n. 3 e 4.11.1 | Protocollo di ricerca; modulistica di consenso |
| Quali prescrizioni del provv. 146/2019 restano applicabili, nel testo vigente? | Punti 4.2 e 4.11; provv. 66/2025 | Progetto di ricerca; misure di sicurezza |
| L’informativa indica un diritto di opposizione che esiste, con la sua fonte? | Art. 4, c. 3, L. 132/2025; art. 21, par. 6, GDPR | Informativa generale sul sito |
| Architettura e conservazione reggono il passaggio all’EHDS? | Reg. (UE) 2025/327, artt. 51 e 71 | DPIA; piano di conservazione |
Nessuna di queste verifiche è teorica. Sono decisioni che l’ente prende comunque, ogni volta che avvia un progetto; cambia solo se le prende in modo ricostruibile. Il decreto dell’art. 9 o l’attuazione nazionale dell’EHDS arriveranno con i dataset già costruiti e i modelli già addestrati. Chi aspetta il coordinamento normativo per decidere ha già deciso, senza averlo scritto.
I&P Partners svolge la funzione di DPO per enti sanitari ed enti di ricerca. L’analisi estesa del coordinamento tra i quattro regimi è pubblicata su Altalex. Leggi l’articolo su Altalex
Ivano Pecis
DPO/RPD — Privacy Specialist UNI CEI EN 17740:2024, CIPP/E
I&P Partners — Milano | ivano.pecis@partnerprivacy.it