Ogni foto scattata a un paziente in uno studio dentistico — che sia una radiografia, un'immagine intraorale o uno scatto per una simulazione estetica — non è un semplice file. È un dato sanitario, soggetto a un regime di tutela rafforzata secondo il GDPR. Capire cosa comporta questa classificazione è il primo passo per usare qualsiasi strumento fotografico o digitale in studio senza rischi.
Le foto sono dati sanitari? Cosa dice l'art. 9
L'articolo 9 del GDPR (Regolamento UE 2016/679) classifica i dati relativi alla salute come "categorie particolari di dati personali", soggette a una protezione più elevata rispetto ai dati personali comuni. Una fotografia rientra in questa categoria quando può essere associata alle condizioni di salute di una persona identificabile — condizione che si verifica sistematicamente per le foto cliniche scattate in uno studio dentistico, incluse quelle utilizzate per simulazioni estetiche.
Non è necessario che la foto contenga il nome del paziente: è sufficiente che permetta di risalire alle sue condizioni di salute, o che sia associata alla sua scheda clinica, per rientrare nella normativa.
Il trattamento di questi dati è vietato salvo specifiche basi giuridiche previste dalla legge — tra cui, per uno studio dentistico, la necessità di fornire assistenza sanitaria e il consenso esplicito del paziente per usi ulteriori (come il marketing o la comunicazione).
Cosa serve per essere in regola
Alcuni elementi sono imprescindibili per qualsiasi studio che tratta immagini cliniche dei pazienti:
Titolarità del trattamento. Lo studio dentistico è, a tutti gli effetti, il titolare del trattamento dei dati dei propri pazienti. Questa responsabilità non è delegabile integralmente a un consulente esterno, nemmeno a un eventuale DPO (Data Protection Officer).
Consenso informato specifico. Il consenso clinico (che autorizza il trattamento sanitario) e il consenso privacy (che legittima il trattamento dei dati personali) sono due cose distinte e vanno gestiti con documenti e procedure separate. Per l'uso di foto in strumenti digitali — inclusi i simulatori AI — serve un consenso esplicito che indichi chiaramente lo scopo del trattamento.
Minimizzazione dei dati. Il principio cardine del GDPR prevede che si raccolgano e si trattino solo i dati strettamente necessari allo scopo. Per un simulatore estetico, questo significa non conservare l'immagine oltre il tempo necessario alla generazione della simulazione, salvo diversa indicazione esplicita del paziente.
Sicurezza nella condivisione. Se le foto vengono condivise con laboratori odontotecnici o altri professionisti esterni, devono essere trasmesse in modo sicuro (canali criptati, password) e, quando possibile, in forma pseudonimizzata.
Come funziona con strumenti AI come SmAIl
L'introduzione di uno strumento AI che elabora foto dei pazienti non cambia la sostanza degli obblighi normativi — li applica a un nuovo contesto tecnologico. I punti da verificare con qualsiasi fornitore di software AI per la simulazione estetica sono:
- Assenza di archiviazione permanente non necessaria. L'immagine dovrebbe essere elaborata in tempo reale e non conservata su server esterni oltre la sessione attiva, salvo scelta esplicita dello studio.
- Localizzazione dei server. I dati dovrebbero essere trattati su infrastrutture conformi al GDPR, preferibilmente all'interno dell'Unione Europea.
- Disponibilità di una Data Processing Agreement (DPA). Quando il fornitore del software tratta dati per conto dello studio, è necessaria una DPA firmata che definisca ruoli, responsabilità e misure di sicurezza.
- Trasparenza verso il paziente. L'informativa privacy dello studio dovrebbe menzionare esplicitamente l'uso di strumenti di simulazione digitale, in linguaggio chiaro e accessibile.
Uno studio che verifica questi quattro punti con il proprio fornitore può adottare strumenti AI di simulazione senza aggiungere rischi di compliance significativi rispetto alla normale gestione di foto cliniche.
Errori comuni da evitare
Alcuni comportamenti ricorrenti espongono lo studio a rischi evitabili: pubblicare sul sito o sui social foto di pazienti riconoscibili senza una liberatoria scritta specifica; inviare immagini cliniche a laboratori tramite canali non sicuri (email non criptate, messaggistica generica); considerare il consenso raccolto per finalità cliniche come automaticamente valido anche per l'uso in strumenti di marketing o simulazione; non verificare se il fornitore di un software AI offre garanzie contrattuali (DPA) sul trattamento dei dati.
FAQ
Serve un DPO per usare un simulatore AI?
Non necessariamente. La nomina di un DPO è obbligatoria in casi specifici (ad esempio trattamento sanitario su larga scala). Uno studio dentistico di dimensioni standard, con gestione ordinaria dei dati dei propri pazienti, generalmente non ricade in questo obbligo — ma è comunque buona pratica valutare la supervisione di un DPO se lo studio ha più sedi o gestisce volumi elevati di dati sanitari.
Le foto vengono archiviate dal software?
Dipende dal fornitore. Uno strumento conforme alle buone pratiche dovrebbe elaborare l'immagine in tempo reale senza archiviazione permanente non necessaria — è un punto da verificare esplicitamente prima di adottare qualsiasi software.
Posso condividere le foto con il laboratorio odontotecnico?
Sì, ma solo se il paziente è stato informato di questo utilizzo tramite l'informativa privacy, e la trasmissione avviene attraverso canali sicuri. È buona pratica, quando possibile, condividere le immagini in forma pseudonimizzata.