Regolamento (UE) 2025/327

Regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari

Il regolamento istituisce lo spazio europeo dei dati sanitari (EHDS), con l’obiettivo di rafforzare i diritti delle persone fisiche sui propri dati sanitari elettronici, migliorare la continuità dell’assistenza sanitaria e creare un quadro uniforme per l’uso secondario dei dati a fini di ricerca, innovazione, sanità pubblica, definizione delle politiche e regolazione. Il testo si fonda sugli articoli 16 e 114 TFUE e si inserisce nel più ampio quadro della trasformazione digitale della sanità, tenendo conto della pandemia di COVID-19, della necessità di dati FAIR e della tutela elevata di riservatezza e sicurezza.

Finalità e impianto generale

Il regolamento è costruito attorno a due grandi assi:

• uso primario, cioè l’impiego dei dati per la prestazione di assistenza sanitaria alla persona interessata;
• uso secondario, cioè il riutilizzo dei dati per finalità ulteriori e di interesse pubblico o scientifico.

A livello sistemico, l’atto:

• integra i diritti già previsti dal GDPR;
• impone formati e standard comuni;
• istituisce infrastrutture transfrontaliere europee obbligatorie;
• definisce una governance multilivello con autorità nazionali, organi di coordinamento e comitati UE;
• prevede regole specifiche per i sistemi di cartelle cliniche elettroniche e per le applicazioni per il benessere interoperabili.

Ambito di applicazione e rapporti con altri atti

L’articolo 1 stabilisce che il regolamento si applica ai dati sanitari elettronici personali e non personali, nonché ai sistemi e servizi che ne consentono il trattamento, lo scambio e il riuso. Il testo lascia espressamente impregiudicati numerosi atti dell’Unione, tra cui il GDPR, il regolamento 2018/1725, il regolamento 2022/868 sulla governance dei dati, il regolamento 2023/2854 sui dati, il regolamento 2017/745 sui dispositivi medici, il regolamento 2017/746 sugli IVD, il regolamento 2024/1689 sull’IA, il regolamento 2024/2847 sulla ciberresilienza e la direttiva 2011/24/UE, fatta eccezione per la soppressione dell’articolo 14 a decorrere dal 26 marzo 2031.

Sono esclusi, in particolare:

• i trattamenti fuori dall’ambito del diritto dell’Unione;
• i trattamenti effettuati dalle autorità competenti per finalità di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali.

Uso primario: diritti delle persone fisiche

Il capo II consacra una serie di diritti complementari rispetto al GDPR.

Accesso, download, rettifica e portabilità

Le persone fisiche hanno diritto:

• ad accedere immediatamente, gratuitamente e in formato leggibile ai propri dati sanitari elettronici personali appartenenti alle categorie prioritarie;
• a scaricarne gratuitamente una copia elettronica nel formato europeo di scambio delle cartelle cliniche elettroniche;
• a richiedere la rettifica online dei dati errati;
• a trasmettere i dati a un altro prestatore di assistenza sanitaria, anche in altro Stato membro, senza ostacoli;
• a trasmettere una parte dei dati a un destinatario del settore della sicurezza sociale o del rimborso, in modo unidirezionale.

Inserimento di informazioni e limitazione dell’accesso

Le persone fisiche o i loro rappresentanti possono inserire informazioni nella propria cartella clinica elettronica, ma non modificare i dati forniti dai professionisti sanitari. Possono inoltre limitare l’accesso a tutti o parte dei dati; l’effetto della limitazione deve essere reversibile e gli Stati membri devono fissare norme e garanzie specifiche. È prevista anche la possibilità di ritardare l’accesso a dati sensibili quando necessario per ragioni etiche o di tutela del paziente.

Informazione sugli accessi

Le persone fisiche hanno diritto a conoscere, senza ritardo e gratuitamente, chi ha avuto accesso ai loro dati, quando e quali dati siano stati consultati; le informazioni devono restare disponibili per almeno tre anni.

Diritto di esclusione per l’uso primario

Gli Stati membri possono introdurre un diritto di esclusione dall’accesso ai dati per l’uso primario. Se previsto, deve essere reversibile e accompagnato da garanzie specifiche; in alcuni casi, gli Stati membri possono permettere l’accesso comunque per salvaguardare interessi vitali.

Servizi di accesso, delega e identificazione

Gli Stati membri devono istituire servizi di accesso ai dati sanitari elettronici per le persone fisiche, gratuiti e accessibili anche a persone con disabilità o scarsa alfabetizzazione digitale. Tali servizi devono includere funzionalità di delega, che consentano di autorizzare terzi di fiducia o rappresentanti legali, e meccanismi di reclamo semplici e comprensibili.

Per l’accesso transfrontaliero e per la telemedicina, il regolamento richiede meccanismi di identificazione elettronica interoperabili basati sul regolamento eIDAS (n. 910/2014), con eventuali meccanismi complementari per la corrispondenza dell’identità.

Obblighi dei prestatori di assistenza sanitaria

I prestatori di assistenza sanitaria devono:

• registrare in formato elettronico i dati sanitari rientranti almeno nelle categorie prioritarie;
• mantenere aggiornate le informazioni sull’assistenza prestata;
• utilizzare il formato europeo di scambio delle cartelle cliniche elettroniche per la trasmissione dei dati;
• consentire ai professionisti sanitari di accedere ai dati pertinenti e necessari tramite servizi dedicati.

Il regolamento precisa inoltre che non può essere chiesta alcuna compensazione all’assistito per la condivisione o l’accesso ai dati nell’ambito dell’uso primario.

Governance dell’uso primario e MyHealth@EU

Ogni Stato membro deve designare una o più autorità di sanità digitale con compiti di attuazione, coordinamento, vigilanza, sviluppo tecnico e cooperazione con le autorità di protezione dati e con altri organismi pertinenti.

In parallelo, l’articolo 23 istituisce LaMiaSalute@UE (MyHealth@EU), piattaforma centrale di interoperabilità per lo scambio transfrontaliero dei dati sanitari personali. Gli Stati membri devono designare un punto di contatto nazionale per la sanità digitale, collegarlo agli altri punti di contatto e assicurare il collegamento dei prestatori di assistenza sanitaria e delle farmacie. La Commissione adotta le specifiche tecniche, i controlli di conformità e le regole di sicurezza, riservatezza e protezione dei dati.

Sistemi di cartelle cliniche elettroniche: requisiti e mercato interno

Il capo III disciplina in modo dettagliato i sistemi di cartelle cliniche elettroniche. Tali sistemi devono includere due componenti software armonizzati:

• componente software europeo di interoperabilità;
• componente software europeo di registrazione.

I sistemi possono essere immessi sul mercato o messi in servizio solo se conformi alle prescrizioni del regolamento. Sono previsti:

• obblighi per fabbricanti, importatori e distributori;
• documentazione tecnica;
• scheda informativa;
• dichiarazione di conformità UE;
• marcatura CE;
• ambiente digitale europeo di prova;
• vigilanza del mercato secondo il regolamento 2019/1020.

Il regolamento si applica anche ai fabbricanti di dispositivi medici, IVD e sistemi di IA ad alto rischio quando dichiarano interoperabilità con i componenti armonizzati EHDS, ma lascia impregiudicati i regimi di certificazione propri di quei settori.

Applicazioni per il benessere e banca dati UE

Per le applicazioni per il benessere che dichiarano interoperabilità con i sistemi di cartelle cliniche elettroniche è previsto un sistema di etichettatura obbligatoria, con validità massima di tre anni. La Commissione definisce formato e contenuto dell’etichetta. Inoltre, viene istituita una banca dati UE pubblica per la registrazione dei sistemi di cartelle cliniche elettroniche e delle applicazioni per il benessere etichettate.

Uso secondario: principi generali, categorie di dati e finalità ammissibili

Il capo IV istituisce un meccanismo armonizzato di accesso ai dati sanitari elettronici per l’uso secondario.

Le categorie minime comprendono, tra le altre:

• dati da cartelle cliniche elettroniche;
• dati amministrativi e di rimborso;
• dati su fattori socioeconomici, ambientali e comportamentali;
• dati genetici, epigenomici, genomici e altri dati omici;
• dati da dispositivi medici e app per il benessere;
• dati da registri di malattia, mortalità, medicinali e dispositivi medici;
• dati da sperimentazioni e indagini cliniche;
• dati da biobanche e banche dati associate.

Le finalità ammissibili sono elencate all’articolo 53 e includono:

• sanità pubblica e medicina del lavoro;
• definizione delle politiche e attività regolatorie;
• statistiche;
• istruzione e insegnamento;
• ricerca scientifica, sviluppo e innovazione, compreso l’addestramento e la valutazione di algoritmi di IA;
• miglioramento della prestazione assistenziale sulla base di dati relativi ad altre persone fisiche.

Divieti di utilizzo nell’uso secondario

L’articolo 54 vieta l’utilizzo dei dati per:

• decisioni pregiudizievoli o discriminatorie;
• lavoro, assicurazioni, credito o altri servizi in modo discriminatorio;
• pubblicità e marketing;
• sviluppo di prodotti o servizi dannosi;
• attività contrarie alle disposizioni etiche nazionali.

Sono inoltre vietati la reidentificazione e la messa a disposizione a soggetti non autorizzati.

Titolari dei dati sanitari, organismi di accesso e procedure di autorizzazione

Gli Stati membri designano uno o più organismi responsabili dell’accesso ai dati sanitari, indipendenti e dotati di risorse adeguate. Tali organismi valutano le domande di accesso, rilasciano le autorizzazioni ai dati, monitorano il rispetto delle condizioni, gestiscono i cataloghi delle serie di dati e pubblicano le informazioni rilevanti.

Il procedimento è strutturato in tre fasi:

• domanda di accesso ai dati sanitari (art. 67), con indicazione di finalità, dati richiesti, giustificazione, misure di sicurezza e, se necessario, base per l’eventuale uso di dati pseudonimizzati;
• autorizzazione ai dati (art. 68), rilasciata se ricorrono finalità ammissibili, necessità e proporzionalità dei dati, qualificazione del richiedente, misure tecniche e organizzative, ed eventuali requisiti etici o eccezioni nazionali;
• richiesta di dati sanitari (art. 69), con risposta in forma statistica anonimizzata, senza accesso ai dati sottostanti.

I termini ordinari sono di tre mesi per decidere sull’autorizzazione, prorogabili di altri tre mesi; per gli enti pubblici con mandato in sanità pubblica è prevista una procedura accelerata con termine di due mesi, prorogabile di un mese.

Ambiente sicuro, pseudonimizzazione e ruoli di trattamento

L’accesso ai dati per l’uso secondario avviene solo tramite ambiente di trattamento sicuro, con regole di accesso molto stringenti, registrazione delle attività, auditing e possibilità di scaricare soltanto dati non personali o statistici anonimizzati. Il regolamento chiarisce anche la ripartizione dei ruoli di titolare e responsabile del trattamento tra titolari dei dati, organismi di accesso, titolari affidabili e utenti dei dati.

Diritto di esclusione per l’uso secondario

Le persone fisiche hanno il diritto di escludere in qualsiasi momento, senza motivazione, il trattamento dei propri dati per l’uso secondario. Il diritto è reversibile e deve essere reso effettivo mediante meccanismi accessibili e comprensibili.

Gli Stati membri possono prevedere un’eccezione limitata per finalità di sanità pubblica o ricerca di importante interesse pubblico, purché:

• la domanda provenga da enti pubblici o soggetti che agiscono per conto di autorità pubbliche;
• i dati non siano ottenibili con mezzi alternativi tempestivi ed efficaci;
• siano previste adeguate garanzie nazionali.

Tariffe, sanzioni e tutela dell’adempimento

Il regolamento consente tariffe per la messa a disposizione dei dati, purché siano proporzionate, trasparenti e non discriminatorie. Le tariffe possono coprire i costi di preparazione, consolidamento, pseudonimizzazione, anonimizzazione e fornitura dei dati.

Sono previste misure di enforcement che includono:

• revoca dell’autorizzazione;
• penalità di mora;
• esclusione temporanea fino a cinque anni di utenti o titolari recidivi;
• sanzioni amministrative fino a 10 milioni di euro o al 2 % del fatturato per alcune violazioni, e fino a 20 milioni di euro o al 4 % del fatturato per violazioni più gravi.

HealthData@EU e cooperazione transfrontaliera

L’articolo 75 istituisce DatiSanitari@UE (HealthData@EU), l’infrastruttura transfrontaliera per l’uso secondario. Gli Stati membri designano punti di contatto nazionali per l’uso secondario; la Commissione gestisce la piattaforma centrale e può mettere a disposizione ambienti di trattamento sicuri transfrontalieri. Possono partecipare anche infrastrutture di ricerca, ERIC, EDIC e soggetti analoghi, nonché paesi terzi e organizzazioni internazionali a condizioni di equivalenza e reciprocità.

Cataloghi, qualità dei dati e marchio di qualità

Per rendere accessibili le serie di dati, gli organismi di accesso devono pubblicare cataloghi standardizzati e leggibili meccanicamente. Il regolamento istituisce un marchio di qualità e di utilità dei dati, con elementi relativi alla documentazione, alla qualità tecnica, ai processi di gestione della qualità, alla copertura, ai tempi di accesso e alle modifiche dei dati. La Commissione istituisce anche un catalogo UE che collega i cataloghi nazionali e quelli dei partecipanti autorizzati.

Governance UE: comitato EHDS, forum dei portatori di interessi e gruppi direttivi

Il capo VI istituisce il comitato EHDS, composto da due rappresentanti per Stato membro, uno per l’uso primario e uno per l’uso secondario, con compiti di coordinamento, scambio di buone pratiche e supporto all’attuazione uniforme. È previsto anche un forum dei portatori di interessi e due gruppi direttivi per MyHealth@EU e HealthData@EU, incaricati della gestione operativa delle infrastrutture transfrontaliere.

La Commissione fornisce il segretariato, sviluppa e mantiene le infrastrutture centrali e pubblica relazioni periodiche sui progressi.

Conservazione nell’UE e trasferimenti internazionali

Il regolamento consente agli Stati membri di imporre che i dati sanitari elettronici personali per l’uso primario siano conservati nell’Unione. Per l’uso secondario, gli articoli 87-91 prevedono che conservazione e trattamento avvengano nell’UE, salvo decisione di adeguatezza GDPR.

I trasferimenti verso paesi terzi e organizzazioni internazionali sono disciplinati con particolare cautela, soprattutto per i dati non personali che, in casi sensibili, possono ancora esporre a rischio di reidentificazione. L’accesso di soggetti di paesi terzi è subordinato al principio di reciprocità e alla possibile adozione, da parte della Commissione, di atti di esecuzione che riconoscano l’equivalenza del paese terzo interessato.

Sanzioni, risarcimento e rappresentanza

Il regolamento impone agli Stati membri di stabilire sanzioni effettive, proporzionate e dissuasive per le violazioni non già coperte dalle sanzioni specifiche del testo. Ogni persona fisica o giuridica che subisca un danno materiale o immateriale ha diritto al risarcimento. Le persone fisiche possono anche farsi rappresentare da enti non profit per proporre reclami o esercitare i diritti di reclamo previsti dal regolamento.

Decorrenza e applicazione differita

Il regolamento entra in vigore venti giorni dopo la pubblicazione e si applica, in linea generale, dal 26 marzo 2027. Tuttavia molte disposizioni entrano in vigore gradualmente:

• dal 26 marzo 2029 per le prime categorie prioritarie di dati e alcune disposizioni sull’uso secondario;
• dal 26 marzo 2031 per le altre categorie prioritarie e per il capo III sui sistemi di cartelle cliniche elettroniche;
• alcune disposizioni specifiche sono differite al 26 marzo 2035.

La piena attuazione è accompagnata da relazioni annuali della Commissione sui progressi e da valutazioni mirate entro il 2033 e globali entro il 2035.