Linee guida n. 79 del 12/02/2026

Linee guida sull’utilizzo dei recapiti telefonici dei pazienti per SMS sugli screening nazionali o regionali

Le linee guida disciplinano l’ulteriore utilizzo dei recapiti telefonici già presenti negli archivi delle aziende sanitarie per inviare SMS informativi relativi a campagne di screening pubbliche, in particolare di prevenzione oncologica. Il documento è rivolto alle aziende sanitarie e agli altri titolari coinvolti nell’organizzazione dei programmi di prevenzione, e si fonda sui principi del GDPR, con attenzione specifica alla compatibilità delle finalità, alla trasparenza e alle garanzie per gli interessati.

Quadro normativo e criteri di valutazione

Il Garante richiama innanzitutto l’art. 5, par. 1, lett. b), GDPR sul principio di limitazione della finalità, secondo cui i dati devono essere trattati in modo non incompatibile con le finalità originarie. Viene valorizzato il considerando 50 del Regolamento, che impone di valutare il nesso tra finalità originaria e ulteriore trattamento, il contesto di raccolta, la natura dei dati, le conseguenze per gli interessati e l’esistenza di garanzie adeguate.

È richiamata anche la sentenza CGUE nella causa C-77/2021, che conferma questi criteri di compatibilità quando il nuovo trattamento non sia basato sul consenso o su un atto legislativo dell’Unione o degli Stati membri. Il Garante collega tali principi alla propria funzione di indirizzo ai sensi dell’art. 57, par. 1, lett. d), GDPR e dell’art. 154-bis, comma 1, lett. a), del Codice privacy.

Ammissibilità dell’uso dei recapiti per gli inviti allo screening

L’Autorità ritiene che il trattamento dei dati strettamente necessario alla promozione dell’adesione a programmi sanitari pubblici di prevenzione possa essere compatibile con la finalità di cura, anche in considerazione delle ragionevoli aspettative degli interessati. Viene tuttavia precisato che l’invio di SMS costituisce un ulteriore uso dei dati di contatto e richiede un bilanciamento tra interesse pubblico alla prevenzione e diritti degli interessati.

Il documento richiama altresì l’art. 9, par. 2, lett. h), e par. 3, GDPR, in relazione ai trattamenti svolti per finalità di diagnosi, assistenza o terapia sanitaria da parte di professionisti soggetti a segreto professionale, affermando che le attività di screening rientrano in tale perimetro.

Rischi specifici evidenziati dal Garante

Il principale rischio identificato riguarda la possibile trasmissione dell’SMS a un numero condiviso da più soggetti, con conseguente rivelazione del fatto che l’interessato ha già ricevuto prestazioni sanitarie dall’azienda sanitaria mittente. Questo può incidere in modo significativo sulla riservatezza, soprattutto quando i recapiti siano associati a prestazioni che comportano dati a maggior tutela di anonimato.

Per questo motivo il Garante richiede misure di garanzia aggiuntive, fondate sui principi di necessità, proporzionalità, trasparenza, protezione dei dati fin dalla progettazione e per impostazione predefinita, nonché sulla limitazione della conservazione e sulla minimizzazione dei dati.

Misure di garanzia richieste

Le aziende sanitarie che intendano usare i recapiti telefonici per gli SMS di promozione agli screening devono adottare le seguenti cautele:

• aggiornare l’informativa, specificando che i dati di contatto forniti per finalità di cura possono essere usati anche, ed esclusivamente, per programmi pubblici di prevenzione, ferma restando la facoltà di opposizione dell’interessato;
• limitare l’uso alle sole campagne di screening previste dalla normativa di settore, nazionale o regionale, e alla sola popolazione target;
• non riutilizzare i dati per finalità ulteriori rispetto all’invito allo screening;
• escludere i recapiti di chi abbia già espresso opposizione a usi diversi da quelli originari;
• utilizzare solo i recapiti di pazienti adulti forniti per finalità di cura, diagnosi e prevenzione, e non per finalità diverse come ricerca scientifica o finalità amministrative;
• non utilizzare i dati raccolti in occasione di prestazioni con maggior tutela di anonimato;
• impiegare solo recapiti verificati quanto a esattezza e attualità, escludendo quelli meno recenti;
• inviare il messaggio da numerazione o alias riconducibile all’azienda sanitaria;
• indicare nel messaggio le modalità con cui l’interessato può consultare l’informativa completa;
• indicare in modo chiaro il diritto di opposizione e le modalità agevoli per esercitarlo;
• istruire i soggetti autorizzati al trattamento sugli specifici profili di protezione dei dati.

Indicazioni pratiche sul contenuto dell’SMS

A fini esemplificativi, il Garante propone un testo di messaggio che informa l’utente che i recapiti telefonici, forniti in passato per finalità di cura, potranno essere utilizzati esclusivamente per informare sui programmi sanitari pubblici di prevenzione dell’azienda. Il messaggio deve inoltre richiamare la disponibilità dell’informativa completa sul sito web aziendale e consentire all’interessato di opporsi con una risposta semplice, ad esempio scrivendo “NO”.

Comunicazioni istituzionali e diffusione

Il provvedimento dispone la trasmissione al Ministero della salute, alle Regioni e Province autonome e alla Conferenza Stato-Regioni, affinché i principi siano resi noti ai titolari del trattamento coinvolti. La finalità è assicurare un’applicazione uniforme delle regole da parte delle aziende sanitarie nell’ambito delle campagne di screening pubbliche.