Trattamento dei dati personali: linee guida per l’utilizzo dei recapiti telefonici dei pazienti presenti negli archivi delle aziende sanitarie per l’invio di sms informativi su campagne di screening

Trattamento dei dati personali: linee guida per l’utilizzo dei recapiti telefonici dei pazienti presenti negli archivi delle aziende sanitarie per l’invio di sms informativi su campagne di screening nazionali o regionali.

Provvedimento del Garante per la protezione dei dati personali n. 79 del 12 febbraio 2026

Con il provvedimento n. 79 del 12 febbraio 2026, il Garante per la protezione dei dati personali ha adottato le “Linee guida circa l’utilizzo dei recapiti telefonici dei pazienti già presenti negli archivi delle aziende sanitarie per l’invio di sms informativi su campagne di screening nazionali o regionali”.

È stato più volte sollevato all’Autorità il tema relativo alla possibilità di utilizzare i recapiti telefonici dei pazienti già presenti negli archivi delle aziende sanitarie per l’invio di SMS informativi alla popolazione target dei programmi di screening, con particolare riferimento a quelli oncologici, al fine di contattare gli interessati con modalità diverse da quelle dell’invito cartaceo trasmesso all’indirizzo postale.

In tali casi, al momento della raccolta originaria dei dati relativi al contatto telefonico, gli interessati potrebbero non essere stati informati della possibilità di utilizzare i dati di recapito anche per finalità di prevenzione. Ciò rende necessario – come sottolineato dall’Autorità – “effettuare un delicato bilanciamento degli interessi pubblici e dei diritti coinvolti dal trattamento in esame alla luce della normativa in materia di protezione dei dati personali”.

In particolare viene in rilievo l’art. 5, par. 1, lette. b) del Regolamento UE 2016/679, che enuncia il principio della «limitazione della finalità», secondo cui i dati personali devono essere raccolti per finalità determinate, esplicite e legittime ed essere trattati in modo che non sia incompatibile con tali finalità.

Al riguardo, il Garante ha richiamato la sentenza CGUE in causa C-77/2021 in tema di trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti e di verificare di compatibilità rispetto alla finalità iniziale, e i principi dalla stessa espressi quali la necessità di tenere conto dell’eventuale esistenza di un nesso tra le finalità per le quali i dati personali sono stati raccolti e le finalità dell’ulteriore trattamento previsto; del contesto in cui i dati personali sono stati raccolti; della natura dei dati personali e delle possibili conseguenze dell’ulteriore trattamento.

Ciò premesso, il Garante ha sottolineato che più volte è stato ritenuto che il trattamento dei dati effettuato per finalità di screening rientrasse nella deroga al divieto di trattamento di cui all’art. 9, par. 2, lett. h) e par. 3 del Regolamento.

Tutto ciò premesso, il Garante ha enunciato le garanzie da adottare nel trattamento originario e nell’ulteriore trattamento dei dati dei pazienti, prevedendo che:

1. l’azienda sanitaria aggiorni le informazioni da fornire agli interessati, al fine di specificare che i dati di contatto forniti in occasione delle prestazioni sanitarie (finalità di cura) possono essere utilizzati anche ed esclusivamente per finalità di promozione all’adesione a programmi sanitari pubblici di prevenzione basati su leggi nazionali e regionali, fermo restando il diritto di opposizione dell’interessato;

2. l’utilizzo dei dati sia limitato all’avvio di campagne di screening previste dalla normativa di settore, con riferimento alla sola popolazione target indicata;

3. i dati di contatto non siano utilizzati per finalità ulteriori;

4. l’uso ulteriore sia subordinato alla mancata opposizione espressa dall’interessato;

5. sia possibile utilizzare solo i dati di contatto di pazienti adulti forniti per finalità di cura, diagnosi e prevenzione e non per altre finalità specifiche;

6. non possano essere utilizzati i dati di contatto rilasciati in occasione di prestazioni sanitarie in cui sono trattati dati a maggior tutela di anonimato;

7. possano essere utilizzati solo i dati di contatto che abbiano superato un vaglio di esattezza e aggiornamento;

8. nel messaggio di invito allo screening siano indicate le modalità con le quali sono fornite le informazioni di cui agli artt. 13 e seguenti del Regolamento (art. 5, par. 1 lett. a) del Regolamento);

9. nel messaggio di invito allo screening sia espressamente indicato il diritto di opposizione all’invio di messaggi di promozione alle campagne di prevenzione e le modalità (agevoli) con cui esercitarlo;

10. è necessario istruire i soggetti autorizzati coinvolti nel predetto trattamento dei dati.

M.S.

(Martina Sinisi)