Legge di bilancio 2026: cosa cambia per telemedicina, dati sanitari e privacy

La telemedicina non è più un terreno sperimentale, né un’appendice di emergenza del Servizio sanitario nazionale. È diventata, ormai dal dopo lockdown, una infrastruttura giuridica e tecnologica stabile, destinata a incidere in modo strutturale sull’organizzazione dell’assistenza sanitaria, sulle modalità di erogazione delle prestazioni e, soprattutto, sul trattamento di una delle categorie di dati personali più delicate previste dall’ordinamento europeo: i dati relativi alla salute.
La legge di bilancio 2026 interviene in questo scenario con misure specifiche dedicate alla sanità digitale e alla telemedicina, stanziando risorse e rafforzando il ruolo di coordinamento nazionale. Tuttavia, come spesso accade, l’intervento finanziario precede – o quantomeno non accompagna in modo sistematico – una riflessione giuridica approfondita sulle implicazioni in materia di protezione dei dati personali, sicurezza informatica e diritti fondamentali dei pazienti.
L’obiettivo di questo contributo è analizzare in modo critico il rapporto tra telemedicina e privacy alla luce delle misure introdotte dalla manovra di bilancio 2026, collocandole all’interno del quadro normativo vigente: Regolamento (UE) 2016/679, Codice privacy italiano, disciplina settoriale sanitaria, interventi del Garante per la protezione dei dati personali e prospettive europee, a partire dallo Spazio europeo dei dati sanitari. In materia di cybersicurezza, abbiamo organizzato il corso Linee guida per la governance dei dati e dell’intelligenza artificiale. Abbiamo anche pubblicato la seconda edizione del Formulario commentato della privacy, disponibile su Shop Maggioli e su Amazon

1. La telemedicina come trattamento sistematico di dati sanitari su larga scala

Ogni discorso serio sulla telemedicina deve partire da un dato giuridico, troppo spesso rimosso nel dibattito pubblico: la telemedicina è, prima di tutto, un trattamento sistematico e continuativo di dati sanitari.
Non si tratta di un trattamento accessorio o occasionale, ma di un ecosistema complesso che coinvolge:

• dati anamnestici;
• dati clinici correnti;
• parametri vitali rilevati da dispositivi medici;
• immagini diagnostiche;
• informazioni su terapie, farmaci, esiti e follow-up;
• metadati relativi a tempi, luoghi, modalità di accesso alle prestazioni.

Tutti questi dati rientrano nella categoria dei dati particolari ex art. 9 GDPR, il cui trattamento è, in linea di principio, vietato, salvo il ricorrere di specifiche condizioni di liceità. Nel contesto della sanità pubblica, la base giuridica è normalmente individuata:

• nell’interesse pubblico rilevante in ambito sanitario;
• nella necessità di garantire diagnosi, assistenza o terapia;
• negli obblighi legali cui è soggetto il titolare del trattamento.

Questo assetto normativo comporta una conseguenza precisa: la telemedicina non può mai essere progettata come un mero servizio tecnologico, ma deve essere strutturata fin dall’origine come trattamento ad alto rischio, soggetto a obblighi rafforzati di accountability. In materia di cybersicurezza, abbiamo anche pubblicato la seconda edizione del Formulario commentato della privacy, disponibile su Shop Maggioli e su Amazon

2. Le misure della legge di bilancio 2026: cosa prevedono

La legge di bilancio 2026 introduce misure dedicate alla sanità digitale e alla telemedicina, con particolare riferimento al ruolo di coordinamento nazionale e alla necessità di rendere omogenei i servizi sul territorio.
In particolare, viene previsto uno stanziamento di risorse a favore di Agenas, finalizzato al potenziamento e al coordinamento dei servizi di telemedicina, nonché al supporto delle Regioni nell’implementazione delle piattaforme e dei modelli organizzativi.
Accanto a questo, la manovra prevede interventi – quantitativamente più limitati – in materia di interoperabilità dei sistemi sanitari, con l’obiettivo di favorire l’integrazione tra:

• servizi di telemedicina;
• Fascicolo sanitario elettronico;
• infrastrutture nazionali di scambio dati;
• futuri assetti europei dello Spazio dei dati sanitari.

Il dato che emerge è chiaro: il legislatore finanziario riconosce la telemedicina come infrastruttura strategica, ma concentra l’intervento prevalentemente su profili organizzativi e tecnologici, lasciando sullo sfondo – ancora una volta – la questione della governance dei dati e della protezione dei diritti degli interessati.

3. Privacy e telemedicina: non un vincolo, ma un presupposto di legittimità

Nel dibattito pubblico, la privacy viene spesso rappresentata come un ostacolo all’innovazione. Nel contesto della telemedicina, questa narrazione è non solo errata, ma pericolosa.
La protezione dei dati personali non è un “vincolo esterno” alla sanità digitale: è il presupposto giuridico che consente la legittimità del trattamento. Senza un impianto solido di garanzie, la telemedicina rischia di diventare un sistema tecnicamente efficiente ma giuridicamente fragile.
Il GDPR impone, in questo ambito, una serie di obblighi non negoziabili:

• privacy by design e by default: i sistemi devono essere progettati per trattare solo i dati necessari e con il massimo livello di protezione;
• valutazione d’impatto sulla protezione dei dati (DPIA): obbligatoria per trattamenti su larga scala di dati sanitari;
• misure di sicurezza adeguate al rischio, che nel caso della sanità è strutturalmente elevato;
• trasparenza verso gli interessati, anche quando il trattamento non si fonda sul consenso;
• chiara individuazione di ruoli e responsabilità tra titolari e responsabili del trattamento.

Nel contesto della telemedicina pubblica, questi obblighi ricadono su una pluralità di soggetti: Ministero della salute, Regioni, aziende sanitarie, fornitori tecnologici, piattaforme, provider cloud. La complessità organizzativa non attenua la responsabilità giuridica: la moltiplica.

4. Il ruolo del Garante privacy e la Piattaforma nazionale di telemedicina

Un passaggio fondamentale, spesso sottovalutato, è rappresentato dall’intervento del Garante per la protezione dei dati personali in relazione alla Piattaforma nazionale di telemedicina, sviluppata nell’ambito del PNRR.
Il Garante ha espresso un parere favorevole, ma condizionato all’introduzione di specifiche misure di garanzia, tra cui:

• obbligo di DPIA preventiva;
• cifratura dei dati;
• sistemi avanzati di monitoraggio e logging;
• tracciabilità degli accessi;
• limitazione rigorosa dei privilegi degli operatori;
• segregazione dei dati;
• misure di sicurezza rafforzate contro accessi abusivi e data breach.

Questo intervento chiarisce un punto essenziale: la telemedicina è un’infrastruttura critica, non solo dal punto di vista sanitario, ma anche sotto il profilo della sicurezza nazionale e della tutela dei diritti fondamentali.

Potrebbero interessarti anche:

• Telemedicina, libertà di prestazione dei servizi e riparto delle competenze tra UE e Stati membri
• Spazio europeo dei dati sanitari (EHDS): gli adempimenti per aziende e privati

5. Interoperabilità, FSE e nuovi rischi sistemici

La legge di bilancio 2026 insiste sul tema dell’interoperabilità, considerata – a ragione – un obiettivo strategico. Tuttavia, dal punto di vista della protezione dei dati, l’interoperabilità non è un valore neutro.
Ogni interoperabilità amplia:

• il numero dei soggetti che accedono ai dati;
• i punti di scambio;
• le superfici di attacco;
• il rischio di utilizzi impropri o eccedenti le finalità.

L’integrazione tra telemedicina e Fascicolo sanitario elettronico, se non governata con criteri rigorosi, può trasformarsi in un moltiplicatore di rischio, soprattutto in assenza di:

• controlli granulari sugli accessi;
• separazione delle finalità;
• politiche di conservazione differenziate;
• audit periodici indipendenti.

La protezione dei dati, in questo contesto, non può limitarsi alla conformità formale: deve diventare architettura di sistema.

6. Sicurezza informatica e resilienza: il nodo irrisolto

La sanità è uno dei settori più colpiti da attacchi informatici. La telemedicina, per definizione, amplia l’esposizione delle infrastrutture sanitarie, introducendo dispositivi, connessioni remote, flussi continui di dati.
La legge di bilancio 2026, pur riconoscendo l’importanza della sanità digitale, non affronta in modo sistematico il tema della resilienza cyber, che resta affidato a strumenti frammentari: strategie nazionali, linee guida, interventi ex post.
Dal punto di vista giuridico, questo crea una tensione evidente con l’art. 32 GDPR, che impone misure di sicurezza adeguate “tenendo conto dello stato dell’arte”. Nella sanità digitale, lo stato dell’arte non è opzionale: è un obbligo giuridico

7. Conclusioni: telemedicina sì, ma non a qualsiasi costo

La telemedicina rappresenta una straordinaria opportunità per il sistema sanitario italiano. Può migliorare l’accesso alle cure, ridurre le disuguaglianze territoriali, rendere più efficiente la gestione delle cronicità.
Ma questa opportunità ha un prezzo giuridico preciso: un livello elevato e strutturale di tutela dei dati personali.
La legge di bilancio 2026 segna un passo in avanti sul piano del riconoscimento politico e finanziario della sanità digitale, ma lascia aperte questioni cruciali:

• la sufficienza delle risorse rispetto alla complessità dei rischi;
• la maturità delle governance regionali;
• la reale integrazione tra innovazione tecnologica e protezione dei diritti;
• la capacità di prevenire, e non solo gestire, gli incidenti.

In definitiva, la telemedicina potrà diventare un pilastro credibile del Servizio sanitario nazionale solo se sarà trattata per ciò che è davvero: un trattamento ad altissimo impatto sui diritti fondamentali, che richiede rigore giuridico, competenza tecnica e una visione della privacy non come freno, ma come infrastruttura di fiducia.

Formazione in materia per professionisti

Linee guida per la governance dei dati e dell’intelligenza artificiale
Un ciclo di quattro incontri per tradurre le norme su AI e protezione dei dati in procedure operative concrete. Dalla definizione delle policy alla costruzione del reporting e delle linee guida interne, il webinar offre ai professionisti della compliance strumenti immediatamenti applicabili:
• Basi giuridiche e accountability documentale: principi applicabili ai trattamenti tipici dell’ufficio legale, distinzione fra esigenze legali, difensive e operative, mappatura end-to-end del flusso “revisione clausole contrattuali” ed errori frequenti con relative contromisure.
• Criteri e controllo dei risultati: accettazione dei risultati di analisi e AI, registrazione dei casi d’uso e delle verifiche, esempi pratici di analytics.
• KPI, reporting e governance del dato: definizione e monitoraggio degli indicatori, progettazione di dashboard efficaci e policy interne per garantire tracciabilità e qualità dei dati.
• Integrazione AI e workflow aziendale: collegamento dell’AI con l’ecosistema aziendale, flusso “review automatizzata delle clausole” e linee guida “Uso dati e AI nell’ufficio legale”.
>>>Per info ed iscrizione<<<

Ti interessano questi contenuti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!