Articolo 9 GDPR: le categorie particolari di dati

Pubblicata il

Copertina: articolo 9 del GDPR
Immagine generata con AI

Alcuni dati dicono cose delicate: salute, dati genetici e biometrici, origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, iscrizione a un sindacato, vita e orientamento sessuale. Il GDPR le chiama categorie particolari e ne vieta l'uso, salvo dieci eccezioni (articolo 9, Regolamento UE 2016/679). Per questo un'AI che riceve dati di pazienti ha regole più strette di una che riceve altri dati.

Trattare le categorie particolari di dati è vietato, salvo dieci eccezioni. Quella per la cura dei pazienti vale solo sotto segreto professionale. Ogni Stato può aggiungere condizioni.

Perché l’articolo 9 del GDPR conta con l’AI?

Perché alcuni strumenti di AI trattano dati sulla salute a ogni uso: un trascrittore di visite, un assistente telefonico, un software che smista le richieste per sintomi. Per uno studio medico, vedi la voce sui dati particolari.

Con l’AI le regole non cambiano. Cambia il percorso del dato: passa anche per il fornitore dello strumento, una mano in più.

Sono dati sulla salute quelli che rivelano lo stato di salute fisica o mentale di una persona, comprese le cure ricevute (articolo 4 del GDPR, punto 15).

Una decisione automatizzata (presa solo da una macchina, con effetti rilevanti sulla persona) non può basarsi su questi dati. Fanno eccezione il consenso esplicito e l’interesse pubblico rilevante previsto dalla legge, sempre con misure a tutela della persona (articolo 22 del GDPR, paragrafo 4).

Violare l’articolo 9 porta alla fascia più alta di sanzioni: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo di un’impresa, se più alto (articolo 83 del GDPR, paragrafo 5).

Casi sanitari: Segretaria virtuale e dati sanitari: dove finisce la mia responsabilità e Medici e collaboratori sanitari: AI, cartella clinica e responsabilità professionale

Quale eccezione dell’articolo 9 del GDPR serve se uno strumento di AI riceve messaggi o registrazioni di pazienti?

Tre domande e le risposte.

Cosa non è il divieto dell’articolo 9 del GDPR?

Non è assoluto: ha dieci eccezioni. Non è l’unico controllo: serve anche una base di liceità dell’articolo 6 del GDPR. Non riguarda solo i medici: un commercialista vede la religione di un cliente nell’otto per mille, un consulente del lavoro l’iscrizione al sindacato in busta paga. E non dice come documentare l’eccezione scelta: lo decide chi tratta i dati.

Paragrafo 1

È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona.

In pratica

Non si possono trattare dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, iscrizione a un sindacato. Vale anche per i dati genetici e per quelli su salute, vita sessuale e orientamento sessuale. I dati biometrici (il volto, le impronte digitali) sono vietati quando servono a identificare una persona in modo univoco. Trattare vuol dire fare qualunque cosa con un dato: raccoglierlo, conservarlo, consultarlo, inviarlo. Conta ciò che il dato rivela: un sintomo nel messaggio di un paziente, la trattenuta sindacale in una busta paga, il volto usato per riconoscere chi entra.

Paragrafo 2

Il paragrafo 1 non si applica se si verifica uno dei seguenti casi: a) l'interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell'Unione o degli Stati membri dispone che l'interessato non possa revocare il divieto di cui al paragrafo 1; b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato; c) il trattamento è necessario per tutelare un interesse vitale dell'interessato o di un'altra persona fisica qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso; d) il trattamento è effettuato, nell'ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l'associazione o l'organismo a motivo delle sue finalità e che i dati personali non siano comunicati all'esterno senza il consenso dell'interessato; e) il trattamento riguarda dati personali resi manifestamente pubblici dall'interessato; f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali; g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato; h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell'Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3; i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell'Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell'interessato, in particolare il segreto professionale; j) il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell'articolo 89, paragrafo 1, sulla base del diritto dell'Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l'essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato.

In pratica

Le eccezioni sono dieci; per uno studio ne contano quattro. La persona ha dato il consenso esplicito, per scopi precisi: è più del consenso ordinario (lettera a). Il trattamento serve a rispettare obblighi o esercitare diritti di lavoro e previdenza, nei limiti fissati dalla legge o da un contratto collettivo e con garanzie adeguate (lettera b), come il consulente del lavoro con le assenze per malattia. Serve a far valere o difendere un diritto in tribunale (lettera f). Serve alla medicina preventiva o del lavoro, alla diagnosi, all'assistenza o alla terapia sanitaria o sociale (lettera h), con la condizione del paragrafo 3. Le altre sei: proteggere la vita di chi non può dare il consenso (c), associazioni senza scopo di lucro con i propri iscritti (d), dati resi chiaramente pubblici dalla persona (e), interesse pubblico rilevante (g), sanità pubblica (i), archivi, ricerca e statistica (j). Rientrare in un'eccezione non basta: serve anche una base di liceità dell'articolo 6 del GDPR, la regola generale sui trattamenti leciti.

Paragrafo 3

I dati personali di cui al paragrafo 1 possono essere trattati per le finalità di cui al paragrafo 2, lettera h), se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell'Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch'essa soggetta all'obbligo di segretezza conformemente al diritto dell'Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti.

In pratica

L'eccezione della cura (lettera h) ha una condizione. I dati devono essere trattati da un professionista tenuto al segreto professionale, o sotto la sua responsabilità. In alternativa, da un'altra persona anche lei tenuta alla segretezza, per legge o per le regole degli organismi nazionali competenti. Se i dati passano per un fornitore esterno, la domanda è come questa condizione resta rispettata.

Paragrafo 4

Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute.

In pratica

Ogni Stato membro può mantenere o aggiungere condizioni e limiti per i dati genetici, biometrici e sulla salute. Le regole italiane stanno nella legge nazionale, che questa pagina non commenta.

Testo verificato su EUR-Lex il 19 settembre 2026. Il GDPR non risulta mai stato modificato da un atto successivo al punto da generare una nuova versione consolidata su EUR-Lex: verifica già riportata nella pagina sull'articolo 22, non ripetuta da questa pagina..