Guida · Nutrizionisti

Privacy e dati sanitari: cosa deve fare il nutrizionista (GDPR, informativa, consenso, software)

Questa guida è per nutrizionisti e dietisti che lavorano in proprio, e per i personal trainer che raccolgono informazioni sulla salute dei clienti. Spiega quali dati sono "dati relativi alla salute", quando il consenso serve davvero, quali documenti devi avere, cosa fare se perdi il telefono e quanto costa sbagliare. Dove la norma è interpretabile, lo diciamo.

Aggiornata al 29 settembre 2026 · 12 minuti di lettura

Perché peso, misure e dieta sono "dati relativi alla salute"

Tratti dati sanitari dal primo modulo di anamnesi. L'art. 4 n. 15 del Regolamento (UE) 2016/679 (GDPR) definisce dati relativi alla salute "i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute". Il considerando 35 include lo stato di salute "passata, presente o futura".

Nel tuo studio rientrano quindi peso, circonferenze, plicometria e composizione corporea; patologie, terapie, esami e referti; allergie e intolleranze; le foto del corpo usate per misurare; e il piano alimentare prescritto, perché rivela la condizione per cui è stato costruito.

Sono "categorie particolari di dati" (art. 9 par. 1), vietate salvo le eccezioni del par. 2. In Italia l'art. 2-septies del d.lgs. 30 giugno 2003, n. 196 (Codice privacy) affida al Garante le misure di garanzia sui dati sanitari e, al comma 8, ne vieta la diffusione: mai un "prima e dopo" pubblicato senza consenso specifico, mai un piano in un gruppo.

Serve il consenso del paziente? Dipende da chi sei e da cosa fai

Per la cura il consenso non serve; per il resto un consenso generico non basta.

Finalità di cura, professionista sanitario. L'art. 9 par. 2 lett. h) consente il trattamento necessario per "diagnosi, assistenza o terapia sanitaria" se i dati sono trattati da un professionista soggetto al segreto (par. 3). Il Garante, nel provvedimento 7 marzo 2019 n. 55 (doc. web 9091942), è esplicito: "il professionista sanitario, soggetto al segreto professionale, non deve più richiedere il consenso del paziente per i trattamenti necessari alla prestazione sanitaria richiesta". Il biologo è professione sanitaria dalla legge 11 gennaio 2018, n. 3 (art. 4); il dietista è "operatore sanitario" dal d.m. 14 settembre 1994, n. 744.

Trattamenti ulteriori: consenso esplicito. L'art. 9 par. 2 lett. a) richiede il "consenso esplicito" per "una o più finalità specifiche". Il provvedimento 55/2019 elenca fuori dalla cura le "App mediche" che raccolgono dati "per finalità diverse dalla telemedicina", la fidelizzazione e le attività promozionali. Serve quindi un consenso separato per ciascuna finalità: app e servizi oltre la cura (promemoria, community), newsletter e offerte, condivisione con un non sanitario come il personal trainer, foto del corpo non indispensabili alla prestazione, testimonianze pubblicate. Il consenso va documentato, è revocabile con la stessa facilità con cui è stato dato (art. 7 par. 1 e 3) e non può essere condizione per la visita (art. 7 par. 4).

Personal trainer. Non è soggetto al segreto dell'art. 9 par. 3, quindi la lett. h) non si applica. Se raccoglie patologie, infortuni, farmaci o composizione corporea, la base è il consenso esplicito (lett. a), scritto e revocabile. La collaborazione fra trainer e nutrizionista funziona solo se è il paziente ad autorizzarla.

Informativa, registro, fornitori: i documenti che devi avere

Tre documenti bastano, purché adattati al tuo studio e non scaricati e dimenticati.

L'informativa (art. 13)

Va consegnata "nel momento in cui i dati personali sono ottenuti": alla prima visita o alla prenotazione online. Contiene: identità e contatti del titolare (tu); finalità e base giuridica di ciascun trattamento (cura: art. 9 par. 2 lett. h; promemoria e marketing: consenso); destinatari (software, commercialista); trasferimenti extra UE; periodo di conservazione o i criteri; diritti dell'interessato, revoca e reclamo al Garante. Il provvedimento 55/2019 la vuole "concisa, trasparente, intelligibile".

Il registro dei trattamenti (art. 30)

L'art. 30 par. 5 esonera le organizzazioni sotto i 250 dipendenti, ma non chi tratta categorie particolari di dati. Il provvedimento 55/2019 chiude il dubbio: "non ricadono nelle ipotesi di esenzione [...] i singoli professionisti sanitari che agiscono in libera professione". Il registro può essere un file (par. 3) e indica per ciascun trattamento finalità, categorie di interessati e di dati, destinatari, termini di cancellazione e misure di sicurezza (par. 1).

I responsabili del trattamento (art. 28)

Chi tratta dati per tuo conto è un responsabile: software gestionale, fornitore di email e cloud, commercialista se vede fatture con dati sanitari, servizio di prenotazione. Con ciascuno serve un contratto scritto, anche elettronico (par. 9), che descriva il trattamento e obblighi il responsabile a trattare i dati solo su tua istruzione, garantire la riservatezza, applicare l'art. 32, avvisarti delle violazioni (art. 33 par. 2), cancellare o restituire i dati a fine servizio e consentirti verifiche (par. 3). Senza questo documento il fornitore non è adatto a uno studio sanitario: è il primo filtro quando scegli un software.

Sui tempi di conservazione il GDPR non fissa un termine (art. 5 par. 1 lett. e) e il provvedimento 55/2019 rinvia alle norme di settore: per la libera professione nutrizionale non ne abbiamo verificata una specifica, quindi fissa un criterio, scrivilo in informativa e registro e confrontalo con il tuo Ordine. Le fatture seguono l'art. 2220 del codice civile: dieci anni.

Sicurezza, DPIA e DPO: cosa è davvero obbligatorio per un singolo studio

Misure di sicurezza (art. 32). La norma prescrive risultati, non strumenti: "riservatezza, integrità, disponibilità e resilienza" dei sistemi, ripristino tempestivo, cifratura dove adeguata, verifica periodica. Per uno studio: dispositivi con codice e cifratura, backup automatico separato, autenticazione a due fattori, software con server in UE. Chi lavora con te tratta i dati solo su tua istruzione (par. 4): regole scritte anche per la segretaria.

DPIA (art. 35). È obbligatoria, tra l'altro, per il trattamento "su larga scala" di categorie particolari di dati (par. 3 lett. b). Il considerando 91 precisa che non è su larga scala il trattamento di "dati personali di pazienti o clienti da parte di un singolo medico, operatore sanitario o avvocato", e che in quei casi la DPIA "non dovrebbe essere obbligatoria". L'elenco del Garante (provvedimento 11 ottobre 2018 n. 467, allegato 1) include però i trattamenti non occasionali di dati di "soggetti vulnerabili", tra cui i "pazienti", e quelli con "tecnologie innovative" se ricorre un altro criterio. Il quadro è interpretabile: nello studio tradizionale la DPIA di regola non è dovuta; con strumenti che analizzano foto o usano intelligenza artificiale, una DPIA breve è la scelta prudente.

DPO (art. 37). Obbligatorio solo per enti pubblici e per chi tratta su larga scala. Il provvedimento 55/2019, sul "singolo professionista sanitario che operi in regime di libera professione a titolo individuale", dice che "non è tenuto alla designazione di tale figura".

Data breach: cosa fare nelle prime 72 ore

Una violazione è "la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso" ai dati (art. 4 n. 12). Casi tipici: telefono smarrito senza cifratura, piano inviato al contatto sbagliato, email con indirizzi in chiaro, account violato.

1. Contieni il danno: blocco remoto, cambio password, richiesta di cancellazione al destinatario errato.
2. Valuta il rischio: con dati sanitari è difficile sostenere che sia "improbabile" (art. 33 par. 1).
3. Notifica al Garante "senza ingiustificato ritardo e, ove possibile, entro 72 ore" dalla scoperta, con la procedura telematica sul sito dell'Autorità, che ha anche uno strumento di autovalutazione.
4. Se il rischio è elevato, comunica la violazione ai pazienti (art. 34 par. 1); non serve se i dati erano cifrati (art. 34 par. 3 lett. a).
5. Annota tutto in un registro delle violazioni, anche quelle non notificate (art. 33 par. 5).

Email, WhatsApp e foto: come comunicare senza esporti

Il piano via WhatsApp è la normalità in molti studi. Non lo vieta una norma specifica che abbiamo potuto verificare, ma l'onere è tuo: devi dimostrare (art. 5 par. 2) che il canale garantisce "un'adeguata sicurezza" (art. 5 par. 1 lett. f) con misure adeguate al rischio (art. 32). Il riferimento più utile sono le Linee guida del Garante sui referti online (19 novembre 2009, doc. web 1679033), scritte per strutture e laboratori ma richiamate anche in sanzioni recenti: documento spedito come allegato "e non come testo compreso nella body part del messaggio", protetto da password o chiave crittografica "rese note agli interessati tramite canali di comunicazione differenti", indirizzo verificato in anticipo.

Regole pratiche:

• Piani, referti e misure in un'app o un portale con accesso autenticato, non in chat. Se proprio via email, PDF con password comunicata a voce o via SMS.
• Mai foto del corpo nella galleria del telefono né in chat: se servono per una misurazione, usa uno strumento che le elabora e non le conserva.
• Email a più pazienti in copia nascosta, meglio una alla volta.
• Telefono di studio con codice, cifratura, cancellazione remota, backup delle chat disattivato.

Minimizzazione (art. 5 par. 1 lett. c): raccogli il dato che serve al piano, non quello che "può tornare utile". Nella visita a distanza la piattaforma entra nel tuo perimetro di sicurezza.

Sanzioni: quanto costa sbagliare, con casi reali

L'art. 83 prevede due scaglioni: fino a 10 milioni di euro o il 2% del fatturato mondiale per le violazioni degli obblighi di titolare e responsabile (artt. 25-39: sicurezza, registro, contratti, data breach); fino a 20 milioni o il 4% per violazioni dei principi, dell'art. 9 e dei diritti degli interessati (par. 5).

Nel caso Bios il Garante ha scritto che un consenso generico all'invio "in formato pdf senza l'utilizzo di password" non esonera dal garantire "un adeguato livello di sicurezza": il paziente non può firmare via i tuoi obblighi. Nel caso Resnati l'errore materiale non è stato scusato: "un più accurato controllo" lo avrebbe evitato.

Checklist in 10 punti per mettersi in regola

I documenti:

1. Informativa art. 13 in una pagina, consegnata alla prima visita e pubblicata sul modulo di prenotazione.
2. Consensi separati per ciascuna finalità ulteriore (promemoria, marketing, foto, trainer), documentati.
3. Registro dei trattamenti art. 30 in un file, con data di istituzione e ultimo aggiornamento.
4. Contratto art. 28 con software, cloud, email, commercialista e chiunque veda dati dei pazienti.
5. Termini di conservazione decisi, scritti e applicati.

La pratica:

1. Dispositivi cifrati con codice, autenticazione a due fattori, backup automatico separato.
2. Piani, referti e misure solo via canale autenticato o PDF protetto, mai in chat aperta.
3. Nessuna foto di pazienti su dispositivi personali; strumenti che non conservano l'immagine.
4. Procedura data breach su un foglio: chi fa cosa nelle prime 24 ore, come si notifica, dove si annota.
5. Istruzioni scritte per i collaboratori (art. 32 par. 4) e un controllo annuale dell'elenco.

Gli errori più comuni

• Far firmare il "consenso privacy" per la visita. Per la cura la base è l'art. 9 par. 2 lett. h). Chiederlo quando non serve confonde il paziente.
• Un solo consenso per tutto. Promemoria, marketing, foto e trainer sono finalità diverse: l'art. 9 par. 2 lett. a) vuole il consenso "per una o più finalità specifiche".
• Niente registro perché "sono da solo". L'esenzione sotto i 250 dipendenti non vale per chi tratta dati sanitari (art. 30 par. 5).
• Software senza contratto art. 28. Se il fornitore non firma, i suoi errori restano tuoi.
• Email in copia palese ai pazienti. Rivela a tutti chi è in cura da te: comunicazione non autorizzata di dati sanitari (art. 5 par. 1 lett. f).

Come ti aiuta Careness

Careness non ti mette in regola al posto tuo, ma toglie di mezzo le parti più delicate. Tu resti titolare del trattamento e Careness è responsabile ai sensi dell'art. 28, con il contratto che la norma richiede. I dati della rilevazione antropometrica da foto stanno su server europei; il volto viene mascherato e la foto originale non viene conservata: il paziente vede un avatar con circonferenze e composizione corporea e tu non accumuli immagini del corpo su nessun dispositivo. Le misurazioni hanno finalità informativa e di supporto, non clinica né diagnostica, e conviene dirlo nella tua informativa. Puoi esportare i dati in formato strutturato in qualsiasi momento, utile per una richiesta di accesso o portabilità. Piani, diario dei pasti e allenamenti passano dall'app del paziente, non da una chat.

Domande frequenti