Un IRCCS che avvii oggi un progetto di ricerca per lo sviluppo di un sistema diagnostico basato su intelligenza artificiale deve stabilire, prima di trattare il primo dato, quale disciplina governa quel trattamento. Non trova una risposta: ne trova quattro, e non si parlano.
Il provvedimento del Garante n. 146 del 5 giugno 2019 detta prescrizioni sui dati genetici costruite attorno al consenso.
L’art. 8 della legge 23 settembre 2025, n. 132 autorizza l’uso secondario senza consenso ulteriore, previa comunicazione al Garante.
Le infrastrutture nazionali — il fascicolo sanitario elettronico, disciplinato dal decreto del Ministero della salute 7 settembre 2023 e modificato dal decreto 30 dicembre 2024, e l’Ecosistema dati sanitari, istituito con decreto 31 dicembre 2024 e modificato dal decreto 8 luglio 2025 — hanno ciascuna la propria logica di alimentazione e di accesso.
E il regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari sovrappone a tutto questo un diritto di esclusione dall’uso secondario, applicabile dal 26 marzo 2029 e, per i dati genomici, dal 26 marzo 2031.
Quattro logiche di legittimazione diverse — consenso, informativa senza consenso, autorizzazione amministrativa, opposizione ex post — sullo stesso dato e in capo allo stesso titolare. Il punto che interessa qui non è che il quadro sia disordinato. È che il disordine non sospende l’obbligo: qualcuno deve decidere, adesso, quale regime si applica, e deve poter spiegare perché.
Che cosa autorizza davvero l’art. 8, e che cosa non prevede
L’art. 8 della legge 132/2025 dichiara di rilevante interesse pubblico, in attuazione degli articoli 32 e 33 della Costituzione e nel rispetto dell’art. 9, paragrafo 2, lettera g), del GDPR, i trattamenti eseguiti da soggetti pubblici e privati senza scopo di lucro, dagli IRCCS e da soggetti privati del settore sanitario che partecipino a progetti di ricerca con i primi. Il perimetro soggettivo è chiuso: il privato che non collabora con un ente pubblico, un ente senza scopo di lucro o un IRCCS resta fuori.
È chiuso, però, anche il perimetro oggettivo, e su questo si legge meno. Le finalità sono elencate in modo puntuale — prevenzione, diagnosi e cura delle malattie, sviluppo di farmaci, terapie e tecnologie riabilitative, realizzazione di apparati medicali, salute pubblica, incolumità della persona, studio della fisiologia, della biomeccanica e della biologia umana — e la qualificazione di rilevante interesse pubblico opera «in quanto necessari ai fini della realizzazione e dell’utilizzazione di banche di dati e modelli di base».
Un progetto non ricade nella norma per il solo fatto di impiegare intelligenza artificiale in ambito sanitario: deve essere strumentale a quelle basi.
Il comma 2 stabilisce che, fermo l’obbligo di informativa — assolvibile anche mediante informativa generale pubblicata sul sito del titolare — e senza ulteriore consenso ove inizialmente previsto dalla legge, è sempre autorizzato l’uso secondario di dati personali privi degli elementi identificativi diretti, anche particolari, salvi i casi in cui la conoscenza dell’identità sia inevitabile o necessaria per la tutela della salute degli interessati.
L’art. 8 non introduce un diritto di opposizione. Chi lo legge come un meccanismo di opt-out attribuisce alla norma una garanzia che la norma non contiene.
La distinzione non è nominalistica. L’art. 4, comma 3, della stessa legge enuncia, tra i princìpi in materia di informazione e riservatezza, il diritto dell’utente di opporsi ai trattamenti autorizzati dei propri dati personali.
Ma l’art. 8 non costruisce alcun canale per esercitarlo, né indica termini, modalità o effetti. Il titolare che descriva ai propri interessati un «meccanismo di opposizione ex art. 8» sta documentando una garanzia che dovrà poi dimostrare di aver effettivamente predisposto.
La clausola sospesa del provvedimento 146/2019
Il provvedimento n. 146/2019 è comunemente descritto come la norma che continua a esigere il consenso per i dati genetici, anche per l’uso secondario. La lettura è troppo piatta, e proprio nel punto che qui rileva.
Il punto 4.5 delle Prescrizioni relative al trattamento dei dati genetici, allegate al provvedimento, elenca quattro ipotesi in cui il consenso è necessario.
La quarta è il trattamento per finalità di ricerca scientifica e statistica «non previste dalla legge o da altro requisito specifico» ai sensi dell’art. 9 del GDPR. Il punto 4.11.3 consente, in assenza di consenso, la conservazione e l’ulteriore utilizzo per ricerca dei campioni e dei dati raccolti a fini di tutela della salute quando la ricerca sia prevista dal diritto dell’Unione, dalla legge o, nei casi previsti dalla legge, da regolamento.
L’art. 8 della legge 132/2025 è, per costruzione, esattamente una previsione di legge fondata su un requisito specifico ai sensi dell’art. 9, paragrafo 2, lettera g). All’interno del suo perimetro, dunque, l’ipotesi che attiva l’obbligo di consenso al punto 4.5, n. 4 non ricorre. Non perché la norma del 2019 sia stata superata, ma perché la sua stessa formulazione ne subordina l’operatività all’assenza di una base normativa che oggi esiste.
Il ragionamento vale però per quella sola ipotesi, e conviene dirlo prima che lo dica un altro. Il n. 3 del medesimo punto 4.5 richiede il consenso per «i trattamenti effettuati mediante test genetici, compreso lo screening, a fini di ricerca», e non lo subordina all’assenza di una previsione di legge: la clausola «non previste dalla legge» qualifica il solo n. 4. Il punto 4.11.1 lo ribadisce in via autonoma.
Cade l’obbligo di consenso per l’uso secondario di dati genetici già raccolti. Non cade per la ricerca che quei dati li produce, eseguendo test sugli interessati.
Restano poi pienamente applicabili le prescrizioni su custodia e sicurezza (punto 4.2), sulla necessità di un progetto di ricerca redatto secondo gli standard del pertinente settore disciplinare e sulla separazione dei dati identificativi dai campioni e dalle informazioni genetiche già al momento della raccolta (punto 4.11): non dipendono dalla base giuridica prescelta. La conclusione operativa è più precisa di quella corrente: cade un obbligo di consenso, non l’impianto di garanzie.
Va aggiunto un dato che incide su ogni citazione del provvedimento. Il testo del 2019 è stato modificato dal provvedimento del Garante n. 66 del 13 febbraio 2025, pubblicato nella Gazzetta Ufficiale n. 55 del 7 marzo 2025, che ha riscritto la lettera bb) del punto 4.11.3 sostituendo la consultazione preventiva del Garante ex art. 36 del GDPR con il rinvio all’art. 110, comma 1, seconda parte, del Codice, a seguito della novella introdotta dall’art. 44, comma 1-bis, della legge 29 aprile 2024, n. 56.
Chi richiama il provvedimento nella versione originaria cita un testo non più integro. E chi lo tratta come assetto stabile trascura l’art. 21 del d.lgs. 101/2018: quel provvedimento produce effetti fino all’adozione, per le parti di pertinenza, delle regole deontologiche e delle misure di garanzia previste dagli articoli 2-quater e 2-septies del Codice. È una disciplina transitoria che dura da sette anni.
Il regolamento europeo non cancella il consenso sui dati genetici
Il regolamento (UE) 2025/327 è stato pubblicato nella Gazzetta ufficiale dell’Unione europea del 5 marzo 2025.
L’art. 105 fissa l’applicazione generale al 26 marzo 2027 e differisce il capo IV — quello sull’uso secondario — al 26 marzo 2029, con ulteriore slittamento al 26 marzo 2031 per alcune categorie elencate all’art. 51, paragrafo 1, tra cui, alla lettera f), i dati genetici, epigenomici e genomici umani. Per un istituto che lavori su dati genomici la data rilevante non è quindi il 2029, ma il 2031.
Sarebbe comunque un errore leggere il differimento come una dilazione. Il considerando 52 chiarisce che, una volta operativo il meccanismo, gli Stati membri non potranno più mantenere né introdurre, in forza dell’art. 9, paragrafo 4, del GDPR, ulteriori condizioni — comprese limitazioni e disposizioni che richiedano il consenso — per il trattamento a fini di uso secondario dei dati sanitari elettronici personali a norma del regolamento.
Quell’inciso finale conta quanto il resto della frase, e va letto insieme all’eccezione che lo accompagna: restano ferme le misure più rigorose e le garanzie supplementari introdotte a livello nazionale per tutelare la sensibilità e il valore di taluni dati.
L’art. 51 la traduce in una previsione espressa: gli Stati membri possono introdurre misure più rigorose e garanzie supplementari proprio per i dati che ricadono, tra le altre, nella lettera f) del paragrafo 1 — i dati genetici, epigenomici e genomici umani — dandone notifica alla Commissione.
Il regime nazionale di consenso sui dati genetici non è destinato a cadere con il regolamento europeo. È destinato a cambiare fondamento e a diventare oggetto di notifica.
È una differenza operativa, non teorica. Se il regime di consenso del 2019 — o ciò che ne resterà dopo l’adozione delle misure di garanzia ex art. 2-septies — dovrà reggersi sull’art. 51 anziché sulla clausola di apertura del GDPR, la domanda che l’ordinamento italiano dovrà affrontare prima di quelle date non è se il consenso sopravviva, ma chi lo qualifichi come misura più rigorosa, con quale atto e con quale notifica. Nessuno dei due passaggi risulta oggi avviato.
Il considerando 54 delinea a sua volta il diritto di esclusione: esercitabile senza obbligo di motivazione e riconsiderabile in qualsiasi momento, con possibilità per gli Stati membri di prevedere meccanismi di superamento per finalità strettamente legate all’interesse pubblico, riservati a utenti che siano enti pubblici e giustificati caso per caso.
Chi progetta oggi un’infrastruttura di ricerca destinata a operare oltre quelle date sta compiendo scelte di architettura dei dati che quella disciplina renderà vincolanti.
Il termine di centoventi giorni fissato dall’art. 9 della legge 132/2025 per il decreto del Ministro della salute — la sede in cui il coordinamento potrebbe essere compiuto in via generale — è scaduto il 7 febbraio 2026; alla data di redazione il decreto non risulta adottato.
Il disallineamento non è un vuoto: è un’esposizione concentrata
La rappresentazione corrente descrive la sovrapposizione tra regimi come un vuoto di coordinamento tra ordinamenti. È una lettura che rassicura, e che sbaglia il bersaglio. I quattro regimi convergono verso la stessa autorità.
L’art. 8, comma 5, subordina l’avvio dei trattamenti a una comunicazione al Garante contenente tutte le informazioni previste dagli articoli 24, 25, 32 e 35 del GDPR, oltre all’indicazione espressa, ove presenti, dei soggetti individuati ai sensi dell’art. 28; i trattamenti possono iniziare decorsi trenta giorni, se non è intervenuto un provvedimento di blocco. Il comma 6 conferma i poteri ispettivi, interdittivi e sanzionatori dell’Autorità.
La violazione delle prescrizioni del provvedimento del 2019 è sanzionata, ai sensi dell’art. 21, comma 5, del d.lgs. 101/2018, secondo l’art. 83, paragrafo 5, del GDPR. E per il tempo in cui il regolamento europeo sarà applicabile, il considerando 65 mantiene ferma la competenza esclusiva delle autorità di controllo istituite dal GDPR sull’applicazione delle sue disposizioni all’uso secondario.
Il titolare che sbaglia regime non cade tra due ordinamenti. Risponde alla stessa scrivania, con lo stesso massimale sanzionatorio.
Dove si colloca la decisione
La comunicazione prevista dall’art. 8, comma 5, non è un adempimento di trasmissione. È il momento in cui la scelta del regime diventa documentata e opponibile, e il termine di trenta giorni è l’unica finestra in cui l’Autorità può intervenire prima che il trattamento inizi. Un fascicolo che non espliciti perché si applica l’art. 8 anziché il regime di consenso non presenta una lacuna argomentativa: presenta una lacuna documentata, davanti al soggetto che dovrà valutarla.
Quattro verifiche precedono quella comunicazione, e vanno tracciate. Se il progetto rientri nel perimetro del comma 1, tanto soggettivo — con particolare attenzione ai progetti misti pubblico-privato — quanto oggettivo, sotto il profilo della strumentalità rispetto a banche di dati e modelli di base.
Se i dati siano effettivamente privi di elementi identificativi diretti, qualificazione che per i dati genomici richiede una motivazione tecnica e non una dichiarazione.
Se la ricerca comporti l’esecuzione di test genetici sugli interessati, ipotesi che resta governata dal consenso, e quali prescrizioni del provvedimento 146/2019 — nel testo vigente dopo la modifica del 2025 — si applichino comunque a prescindere dalla base giuridica. E se le scelte di architettura e di conservazione reggano il passaggio al regime europeo del 2029 e, per i dati genomici, del 2031.
Nessuna di queste è una questione interpretativa astratta. Sono decisioni che l’organizzazione prende comunque, ogni volta che avvia un progetto: la sola variabile è se le prenda in modo esplicito e ricostruibile, oppure per inerzia.
Il coordinamento tra questi regimi arriverà, in qualche forma, dal decreto ministeriale atteso o dall’attuazione nazionale del regolamento europeo. Ma arriverà dopo che i progetti sono stati avviati, i dataset costruiti e le architetture consolidate. Il titolare che attende quel coordinamento non sta rinviando una decisione: la sta già prendendo, nella forma meno difendibile, quella che non lascia traccia.
>> Leggi anche:
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
