Piattaforma nazionale di telemedicina: il DM 19 novembre 2025 e il trattamento dei dati

L’architettura: una piattaforma, due livelli

L’art. 2 istituisce presso Agenas (Agenzia nazionale per i servizi sanitari regionali) la Piattaforma nazionale di telemedicina, articolata in due livelli. La titolarità dell’Infrastruttura nazionale di telemedicina (INT) è di Agenas, che la gestisce. La titolarità delle Infrastrutture regionali di telemedicina (IRT) spetta alle regioni e alle province autonome.

Le IRT sono il livello in cui la telemedicina si svolge. Offrono i servizi informatici per i cinque servizi minimi definiti dal decreto: televisita, teleconsulto, teleconsulenza, teleassistenza e telemonitoraggio. Sono ambienti collaborativi in cloud conformi al regolamento ACN sulle infrastrutture digitali della pubblica amministrazione. Un punto spesso frainteso riguarda la conservazione: l’art. 12, comma 2, stabilisce che le IRT non conservano i dati e i documenti generati durante le prestazioni. Referti, relazioni e piani di telemonitoraggio vengono conferiti dalle strutture al Fascicolo sanitario elettronico (FSE) e all’Ecosistema dati sanitari (EDS). Le IRT conservano per dodici mesi solo i dati di autenticazione e di accesso ai servizi.

La INT svolge due funzioni. Offre alle IRT servizi abilitanti, cioè standard e componenti comuni. Per questa funzione non tratta dati personali (art. 3, comma 1 e art. 4, comma 1). Quando due regioni diverse devono scambiarsi dati, un modulo della INT assicura l’interoperabilità senza meccanismi di persistenza (art. 3, comma 5). La seconda funzione è il monitoraggio: Agenas estrae dati dall’EDS ed elabora indicatori.

Le finalità del monitoraggio sono elencate dall’art. 2, comma 5: indicatori sull’erogazione dei servizi, valutazione delle tecnologie sanitarie (HTA, Health Technology Assessment) dei dispositivi medici, raggiungimento dei target del PNRR, proposta delle tariffe. Nel parere del 12 marzo 2026 sul modello di informativa delle IRT il Garante ha chiesto chiarimenti proprio su questo comma. L’Autorità ha rilevato che il testo definitivo modifica le finalità di Agenas rispetto alla versione esaminata nel 2025 e ha auspicato un rapido intervento interpretativo, per chiarire che la congiunzione “anche” non ne amplia la portata.

Le basi giuridiche

Le premesse del decreto indicano le basi giuridiche dei due livelli. Per le IRT sono l’art. 9, par. 2, lett. g) e h), GDPR, cioè i motivi di interesse pubblico rilevante e le finalità di cura, insieme all’art. 2-sexies, comma 2, lett. t) e u), del Codice in materia di protezione dei dati personali. Per la INT sono l’art. 9, par. 2, lett. g), GDPR e l’art. 2-sexies, comma 2, lett. v), del Codice.

Il consenso compare in un punto diverso. L’art. 3, comma 6, prevede che le IRT della regione di erogazione consentano l’erogazione dei servizi di telemedicina “previo consenso dell’assistito”. A mio avviso si tratta del consenso alla modalità di erogazione della prestazione, che si colloca nella relazione di cura. La base giuridica dei trattamenti resta quella indicata dal decreto. Il paziente può rifiutare la televisita e chiedere la visita in presenza. La struttura non deve raccogliere un consenso al trattamento dei dati ai sensi dell’art. 6 o dell’art. 9, par. 2, lett. a), GDPR.

Chi è titolare di cosa

L’art. 6, comma 1, riguarda le strutture sanitarie pubbliche, private accreditate e private autorizzate, i medici convenzionati con il SSN (Servizio sanitario nazionale) e gli esercenti le professioni sanitarie “anche al di fuori del SSN” che prendono in cura l’assistito. Accedono alla IRT con SPID o CIE e sono titolari dei trattamenti per finalità di cura. L’art. 13, comma 3, precisa che il decreto non modifica i ruoli già stabiliti per il FSE dal decreto 7 settembre 2023. Il decreto non si occupa dei fornitori tecnologici delle singole strutture. Per loro valgono le regole generali del GDPR, a partire dall’accordo ex art. 28 con chi tratta dati per conto della struttura.

Informativa, diritti e registrazione degli accessi

L’art. 10 prevede due informative. Una riguarda i trattamenti della piattaforma e in particolare della INT, anche integrando l’informativa del FSE 2.0 e dell’EDS. L’altra riguarda le IRT, è fornita dalle regioni ed è pubblicata sul portale dedicato. Per assicurare contenuti uniformi Agenas predispone un modello con le regioni, previo parere del Garante. Il parere favorevole sul modello è arrivato il 12 marzo 2026 (registro dei provvedimenti n. 157).

L’art. 11 separa l’esercizio dei diritti. Per i dati di autenticazione e accesso ai servizi della IRT l’interessato esercita i diritti di accesso, rettifica e limitazione degli artt. 15, 16 e 18 GDPR. I diritti sui dati clinici generati in telemedicina e conferiti al FSE si esercitano sul fascicolo, secondo l’art. 9 del decreto FSE 2.0. L’art. 14 impone la registrazione di ogni autorizzazione, accesso e generazione di documenti sulle IRT, con data, ora, servizio e identificativo di chi opera. L’assistito può consultare queste registrazioni.

Misure di sicurezza

L’art. 15 richiede ai titolari misure adeguate al rischio secondo gli artt. 25 e 32 GDPR, differenziate per IRT e INT secondo l’allegato 4. Il comma 2 elenca misure minime precise, fra cui:

Il comma 6 prevede sessioni di formazione per gli utilizzatori, con attenzione anche al rischio di errato inserimento dei dati per omonimia. Il comma 7 impone a ogni titolare di informare tempestivamente gli altri titolari coinvolti in caso di incidente, così che ciascuno possa valutare gli obblighi di notifica e comunicazione degli artt. 33 e 34 GDPR.

Cosa cambia per strutture e professionisti

Il decreto disciplina la piattaforma pubblica, cioè le prestazioni di telemedicina rese nell’ambito del SSN attraverso le IRT (art. 4, comma 2). Una struttura accreditata o un medico convenzionato che eroga televisite per il SSN entra direttamente nel suo perimetro. I punti operativi sono cinque.

Il primo è il ruolo: la struttura è titolare dei trattamenti per finalità di cura svolti tramite la IRT e risponde della loro correttezza. Il secondo è il FSE: i documenti di telemedicina elencati dall’art. 7, come il referto della televisita, la relazione del teleconsulto, il piano e i report di telemonitoraggio, entrano nei contenuti del fascicolo. Le strutture devono conferirli rispettando i requisiti di qualità del decreto FSE 2.0. Il terzo è l’informativa: quella della struttura deve essere coerente con le informative della piattaforma e richiamare il conferimento al FSE. Il quarto è la valutazione d’impatto: la DPIA della struttura deve descrivere i propri trattamenti di telemedicina, compresi i dispositivi usati per il telemonitoraggio e i fornitori coinvolti. Il quinto sono gli accessi del personale: autenticazione con identità digitale, profili per ruolo e formazione.

A mio avviso il decreto non riguarda la telemedicina offerta privatamente, fuori dal SSN, su piattaforme scelte dalla struttura, perché disciplina i servizi erogati attraverso le IRT nell’ambito del SSN (art. 4, comma 2). In quel caso valgono il GDPR, il Codice e le Indicazioni nazionali per l’erogazione di prestazioni in telemedicina approvate con l’accordo Stato-Regioni del 17 dicembre 2020. Le misure dell’art. 15 restano comunque un buon riferimento per valutare l’adeguatezza della propria piattaforma.

Il calendario

I servizi di estrazione dell’EDS relativi alla telemedicina sono a regime dal 30 settembre 2025 (art. 9). L’integrazione dei documenti di telemedicina nel FSE doveva essere messa a regime entro il 30 giugno 2026 (art. 7, comma 3). Dal 1° luglio 2026 Agenas riceve le risorse per la gestione operativa della INT (art. 18). L’art. 17 sospende infine i trattamenti della piattaforma per finalità diverse da diagnosi, cura e riabilitazione previsti dalle linee guida del 2022, fino a un loro aggiornamento da adottare previo parere del Garante.

Conclusioni