Introduzione: la visita che non finisce mai
Entri in uno studio medico. Dodici minuti dopo esci con una ricetta. Hai la sensazione di aver avuto una conversazione privata, protetta da un segreto vecchio di venticinque secoli.
Durante quei dodici minuti, una piattaforma di prenotazione ha registrato il tuo nome, il tuo numero di telefono, la specialità consultata e l'orario. Un gestionale ha creato una riga in un database ospitato chissà dove. Una scheda di prestazione elettronica è partita verso la tua cassa di assicurazione malattia, poi verso la tua mutua. Il tuo passaggio in farmacia ha iscritto il nome della molecola in un fascicolo farmaceutico. Il tuo telefono, rimasto in tasca, ha registrato una posizione a quell'indirizzo — e se la sera prima avevi cercato «sintomi» su un browser ordinario, una concessionaria pubblicitaria ne sa già qualcosa.
Abbiamo già scritto qui sulle tracce dei tuoi pagamenti e su quelle delle tue comunicazioni. I dati sanitari formano un terzo strato, di gran lunga il più sensibile: il GDPR li classifica tra le categorie «particolari» di dati dell'articolo 9, allo stesso titolo delle opinioni politiche o dell'orientamento sessuale. Non scadono, non si ritrattano e raccontano una storia che nessun datore di lavoro, nessun assicuratore, nessun familiare dovrebbe poter leggere per caso.
Questa guida non invita a fuggire dal sistema sanitario — sarebbe assurdo e pericoloso. Propone di sapere chi vede cosa, che cosa impone realmente la legge e quali gesti semplici riducono la superficie di esposizione senza nuocere al tuo percorso di cura.
Mappa: i sette luoghi in cui atterra la tua salute
1. La cartella del professionista
È la base. Il medico è tenuto a conservare una cartella clinica; in pratica, essa vive dentro un software di gestione dello studio. Questi editori ospitano sempre più spesso in modalità «cloud», il che impone in Francia una certificazione HDS (Hébergeur de Données de Santé, ospitante di dati sanitari) rilasciata sotto il controllo dell'Agence du Numérique en Santé. È una vera garanzia tecnica — non una garanzia di tenuta stagna assoluta.
2. L'assicurazione malattia
La scheda di prestazione elettronica trasmette alla tua cassa: identità, professionista, prestazioni codificate, data. I rimborsi compaiono nel tuo account Ameli. Questa base è una delle più ricche d'Europa; i suoi dati pseudonimizzati alimentano il Système National des Données de Santé (SNDS), il cui accesso per la ricerca è disciplinato dalla CNIL e dall'Health Data Hub.
3. La tua mutua o assicurazione integrativa
È l'anello più spesso sottovalutato. Un'assicurazione integrativa riceve, per rimborsare, informazioni di natura medica. Deve conoscere solo ciò che è necessario al calcolo del rimborso, e la CNIL ha ricordato in più occasioni che la raccolta del dettaglio delle patologie da parte degli organismi integrativi è rigidamente limitata. In pratica, la natura della prestazione (visita specialistica, presidio, seduta dallo psicologo) resta molto eloquente.
4. La farmacia e il fascicolo farmaceutico
Ogni erogazione può essere iscritta nel Dossier Pharmaceutique, gestito dall'Ordre national des pharmaciens, per rilevare le interazioni tra farmaci. Utile — e rifiutabile: la sua apertura richiede il tuo consenso e puoi chiederne la chiusura.
5. Mon espace santé
Aperto per impostazione predefinita dal 2022 per tutti gli assicurati, centralizza documenti, referti, ricette. Puoi nascondere un documento a determinati professionisti, rifiutare l'alimentazione automatica o chiudere completamente il servizio. Poche persone sanno che queste tre opzioni esistono.
6. Le piattaforme di prenotazione e di televisita
Non sono professionisti sanitari ma fornitori tecnici (responsabili del trattamento per conto terzi). Sanno chi consulta chi, quando e per quale specialità. Il semplice fatto di prenotare una visita in tossicologia delle dipendenze, in psichiatria o in un centro di screening è di per sé un dato sanitario.
7. Le tue app e i tuoi oggetti connessi
È il buco nero. Un'app di monitoraggio del ciclo mestruale, un tracker del sonno, una bilancia connessa, un diario glicemico: la maggior parte non sono dispositivi medici e non hanno alcun obbligo di hosting certificato. Le loro informative sulla privacy autorizzano spesso la condivisione con «partner» analitici.
Ciò che il segreto medico protegge — e ciò che non protegge
Il segreto professionale è definito dall'articolo L.1110-4 del Code de la santé publique e sanzionato penalmente (articolo 226-13 del Code pénal). È generale e assoluto: copre tutto ciò che il professionista ha visto, sentito o compreso.
Ma protegge le persone, non le infrastrutture. Tre punti ciechi meritano di essere conosciuti:
Il segreto medico non impedisce né la condivisione tra curanti di una stessa équipe di cura, né la trasmissione di dati amministrativi agli organismi pagatori, né le fughe di dati conseguenti a un'intrusione informatica in un sistema ospedaliero.
La condivisione in équipe di cura. I professionisti che partecipano alla tua presa in carico possono scambiarsi le informazioni «strettamente necessarie». Puoi opporti, informazione per informazione.
Gli attacchi informatici. Gli ospedali francesi sono stati colpiti ripetutamente negli ultimi anni, e l'ANSSI pubblica regolarmente bilanci allarmanti sul settore sanitario. Nel 2021, la fuga di risultati di laboratori di analisi riguardanti centinaia di migliaia di persone ha dimostrato che i dati pubblicati non si richiamano mai indietro.
I terzi non curanti. Il datore di lavoro, l'assicuratore del mutuo, il locatore, l'amministrazione sociale: nessuno ha diritto alla diagnosi. Lo stesso medico del lavoro trasmette al datore di lavoro solo un giudizio di idoneità, mai un motivo.
Le richieste abusive: l'elenco di ciò che puoi rifiutare
| Chi chiede | Ciò che può legittimamente ottenere | Ciò che puoi rifiutare |
|---|---|---|
| Datore di lavoro | Un certificato di malattia senza motivo, un giudizio di idoneità | La diagnosi, il nome del medico curante, un certificato dettagliato |
| Assicuratore del mutuo | Un questionario sanitario (regolamentato, con diritto all'oblio) | Un accesso diretto alla tua cartella clinica o a Mon espace santé |
| Mutua | I dati necessari al rimborso | Il dettaglio delle patologie al di fuori della necessità |
| Locatore | Assolutamente nulla | Assolutamente tutto |
| Piattaforma di prenotazione | I tuoi recapiti e il motivo della visita | La creazione di un profilo pubblicitario, il marketing mirato |
| Palestra, personal trainer | Nulla di medico | Il certificato dettagliato, l'accesso ai dati dei tuoi oggetti connessi |
Sulle assicurazioni sui mutui, ricordiamo la loi Lemoine del 2022: eliminazione del questionario sanitario per numerosi mutui immobiliari a determinate condizioni di importo e di età alla fine del rimborso, e riduzione a cinque anni del diritto all'oblio oncologico. Un progresso importante per la privacy che molti mutuatari ancora ignorano.
L'anello debole: il tuo telefono e le tue ricerche
Prima di vedere un medico, si cerca. E questa ricerca precede la diagnosi, talvolta di diverse settimane.
Una ricerca su un sintomo intimo, digitata su un browser ordinario, collegato a un account, su una rete domestica identificabile, è un evento datato e attribuibile. Tre abitudini cambiano radicalmente le carte in tavola:
- Separare il browser «salute» dal resto. Un browser dedicato alle ricerche sensibili, senza account collegato, con un motore che non conserva cronologia legata a un identificativo. Il principio di compartimentazione che approfondiamo altrove su questo sito si applica integralmente anche qui.
- Diffidare del forum pubblico. Descrivere i propri sintomi sotto uno pseudonimo riutilizzato altrove equivale a pubblicare la propria cartella clinica. Uno pseudonimo sanitario dev'essere usa e getta e unico.
- Verificare prima di credere. Le fonti affidabili esistono: Ameli, la Haute Autorité de Santé, Vidal, Santé publique France, l'ANSES per l'alimentazione e le esposizioni ambientali. Per chi desidera un punto di riferimento offline, un dizionario medico familiare in versione cartacea resta sorprendentemente efficace e non trasmette assolutamente nulla a nessuno.
Pensa anche alle notifiche. Un promemoria di assunzione di una terapia che compare in chiaro sulla schermata di blocco, durante una riunione, è una divulgazione. L'impostazione «nascondi il contenuto delle notifiche sensibili» esiste su entrambi i principali sistemi mobili; richiede trenta secondi.
Televisita: la stanza, non soltanto la piattaforma
La televisita ha spostato lo studio medico nel tuo salotto — con le fughe tipiche del salotto.
- L'ambiente parla. Uno sfondo sfocato o neutro evita di mostrare l'interno della tua casa, la presenza di bambini, il tuo tenore di vita. Un divisorio da ufficio pieghevole o un semplice fondale a tinta unita bastano.
- Il suono viaggia. In un appartamento o in un open space, cuffie con riduzione del rumore con microfono direzionale proteggono tanto la tua riservatezza quanto quella dei vicini.
- La fotocamera del portatile è sempre accesa da qualche parte. Un copri-webcam adesivo, da due euro, risolve definitivamente la questione quando la visita è terminata.
- La rete conta. Evitare il Wi-Fi pubblico per una visita medica è buon senso; il 4G/5G del tuo operatore è generalmente preferibile.
Verifica infine che la piattaforma utilizzata sia effettivamente un hosting certificato HDS e che indichi un responsabile della protezione dei dati. Le piattaforme serie lo dichiarano nero su bianco.
App sanitarie: la domanda da porsi prima di installare
Un'app di monitoraggio del ciclo, della fertilità, dell'umore o delle dipendenze raccoglie dati che, in alcuni contesti giuridici esteri, hanno già costituito prova. La questione non è teorica.
Tre criteri di selezione, nell'ordine:
- I dati restano sul dispositivo? Le app che offrono un'archiviazione 100% locale, senza account, senza sincronizzazione, esistono in quasi tutte le categorie. Sono la scelta predefinita ragionevole.
- Esiste un modello economico visibile? Un'app gratuita, senza pubblicità visibile, senza abbonamento, si finanzia per forza in qualche modo. La rivendita di dati aggregati è il modello più diffuso.
- La cancellazione è effettiva? Il GDPR ti riconosce un diritto alla cancellazione. Mettilo alla prova prima di accumulare tre anni di storico.
Per molti usi, l'alternativa analogica resta imbattibile. Un diario cartaceo della pressione arteriosa accanto a uno sfigmomanometro da braccio omologato produce esattamente lo stesso valore medico di un'app connessa, senza account, senza cloud, senza condizioni generali. Il tuo medico legge benissimo una tabella scritta a mano.
I tuoi diritti, concretamente, e come esercitarli
Il GDPR e il Code de la santé publique ti offrono leve reali. Bisogna però attivarle.
Accedere alla tua cartella clinica
Puoi chiedere la comunicazione integrale della tua cartella al professionista o alla struttura, tramite raccomandata, con copia di un documento d'identità. Il termine di legge è di otto giorni (due mesi per le informazioni di oltre cinque anni). Nessun motivo da fornire.
Riprendere il controllo di Mon espace santé
Nel servizio, tre azioni chiave: nascondere un documento a tutti i professionisti, bloccare l'accesso di un professionista identificato, oppure chiudere il profilo. La chiusura non cancella i rimborsi dell'assicurazione malattia, ma elimina la centralizzazione documentale.
Chiudere un fascicolo farmaceutico
Richiesta orale o scritta in farmacia. Il farmacista è tenuto a darvi seguito.
Opporti alla condivisione in équipe di cura
Formulalo esplicitamente, oralmente e poi per iscritto nella cartella: «mi oppongo alla trasmissione di tale informazione a tale professionista». Il rifiuto deve essere tracciato.
Rivolgersi alla CNIL
In caso di raccolta abusiva — mutua che esige una diagnosi, datore di lavoro che pretende un certificato dettagliato, app che rifiuta la cancellazione — il reclamo online presso la CNIL è gratuito e dà luogo a istruttoria.
Anche la carta: l'anello dimenticato
Si proteggono i server e si lasciano in giro le ricette.
Risultati di analisi ricevuti per posta, referti di imaging, moduli di rimborso, foglietti illustrativi: tutto questo si accumula in un cassetto e poi finisce nella spazzatura, intatto, in un sacco trasparente lasciato sul marciapiede. La raccolta differenziata ha reso la perquisizione documentale più facile di quanto sia mai stata.
Un distruggidocumenti a taglio incrociato risolve il problema in pochi secondi per foglio — e serve anche per gli estratti conto e la corrispondenza amministrativa. Per ciò che va conservato (pratiche di patologia cronica, follow-up di lunga durata, radiografie), una cartellina con chiusura riposta fuori dagli spazi comuni è meglio di una pila sulla credenza del salotto.
Infine, un consiglio raramente dato: evita di scrivere un motivo medico nel campo «causale» di un bonifico o di un pagamento. Quella riga sopravvivrà dieci anni in un database bancario che abbiamo già descritto altrove su questo sito.
Un protocollo in dieci punti
- Un browser dedicato, senza account, per ogni ricerca di sintomi.
- Uno pseudonimo unico e usa e getta per qualsiasi forum o gruppo di supporto.
- Notifiche sensibili nascoste sulla schermata di blocco.
- App sanitarie: archiviazione locale per impostazione predefinita, altrimenti nulla.
- Mon espace santé: configurazione attiva, non subita.
- Fascicolo farmaceutico: aperto con cognizione di causa, chiudibile.
- Televisita: sfondo neutro, cuffie, rete controllata, piattaforma HDS.
- Rifiuto documentato delle richieste infondate (datore di lavoro, locatore, mutua).
- Documenti medici distrutti, non gettati.
- Nessun motivo medico in una causale bancaria, nell'oggetto di un'email o in un SMS non protetto.
Conclusione: la riservatezza fa parte della cura
Un paziente che teme che le sue confidenze escano dallo studio dice meno cose al proprio medico. Vale per la salute mentale, le dipendenze, la sessualità, la violenza domestica. La riservatezza non è dunque una preoccupazione periferica da attivisti: è una condizione di qualità della cura, riconosciuta come tale dal legislatore fin dalla loi Kouchner del 2002.
Il paradosso del 2026 è che gli strumenti che rendono più fluido il percorso di cura — piattaforme, app, fascicoli condivisi — sono anche quelli che disperdono l'informazione. La risposta non è né il rifiuto totale né la rassegnazione, ma un uso consapevole: accettare ciò che serve alla cura, rifiutare ciò che serve solo alla raccolta, e sapere in ogni momento dove si trova la copia.
Non devi scegliere tra essere curato bene e restare padrone della tua storia. La legge francese ed europea, su questo terreno preciso, è dalla tua parte. Bisogna però saperla usare.
Fonti e riferimenti: Code de la santé publique (art. L.1110-4, L.1111-7), Code pénal (art. 226-13), GDPR (art. 9), CNIL, Ameli, Haute Autorité de Santé, Agence du Numérique en Santé, Ordre national des pharmaciens, ANSSI, legge n° 2022-270 detta loi Lemoine.
