Hosting di dati sanitari per psicologi: HDS e GDPR

Il sito di My International Therapy, la sua dashboard per i terapeuti e i relativi dati sono ospitati da Amazon Web Services (AWS), nella regione Europa (Stoccolma, Svezia). Nella sua pagina pubblica, AWS dichiara di detenere la certificazione HDS (in francese «hébergeur de données de santé», quadro di riferimento versione 2) per le sei attività del quadro di riferimento e indica Stoccolma tra le regioni coperte. La certificazione riguarda il fornitore di hosting, non My International Therapy.

Questa pagina è rivolta a psicologi, psicoterapeuti e terapeuti che vogliono sapere come vengono ospitati i dati dei loro pazienti. L’HDS è una certificazione francese e non è un obbligo in Italia. La pagina spiega che cos’è l’HDS, quali regole contano in Italia al suo posto, che cosa comprende l’hosting di My International Therapy e come può verificare da sé un fornitore di hosting. Offre informazioni generali e non sostituisce una consulenza legale.

Che cos’è la certificazione HDS

HDS sta per «hébergeur de données de santé», il termine francese per un fornitore di hosting di dati sanitari. L’articolo L.1111-8 del Codice della sanità pubblica francese disciplina l’hosting dei dati personali sanitari raccolti in occasione di prevenzione, diagnosi, cura o assistenza sociale e socio-sanitaria, quando avviene per conto di chi produce tali dati o del paziente. Chi ospita questi dati in formato digitale deve disporre di un certificato di conformità rilasciato da un organismo di certificazione accreditato. Il quadro di riferimento in vigore, la «versione 2», è stato approvato con il decreto del 26 aprile 2024 e pubblicato nella Gazzetta ufficiale francese il 16 maggio 2024. La procedura è descritta sul sito dell’Agenzia francese per la salute digitale (ANS).

Le sei attività del quadro di riferimento

Il quadro di riferimento distingue sei attività di hosting. Un fornitore è certificato per tutte o per una parte di esse:

messa a disposizione e manutenzione dei siti fisici;
messa a disposizione e manutenzione dell’infrastruttura hardware;
messa a disposizione e manutenzione dell’infrastruttura virtuale;
messa a disposizione e manutenzione della piattaforma di hosting delle applicazioni;
amministrazione ed esercizio del sistema informativo che contiene i dati sanitari;
backup esternalizzato.

Che cosa la certificazione non copre

La certificazione riguarda il fornitore di hosting e il suo perimetro. Non certifica un software, uno studio o un terapeuta. Il gestore di una piattaforma che si appoggia a un fornitore certificato resta responsabile dell’uso che fa di quell’infrastruttura, e il terapeuta resta responsabile dei dati dei pazienti ai sensi del GDPR. AWS lo ricorda: secondo il suo modello di responsabilità condivisa, ogni cliente valuta i propri obblighi.

L’HDS vale in Italia?

L’HDS è diritto francese. La normativa italiana non impone di scegliere un fornitore di hosting certificato HDS, e nelle nostre ricerche non abbiamo trovato un obbligo nazionale equivalente. Per uno studio in Italia contano il GDPR, il Codice in materia di protezione dei dati personali, i chiarimenti del Garante per la protezione dei dati personali e il segreto professionale.

Il certificato ha comunque un’utilità: è una prova verificabile pubblicamente che un fornitore rispetta un quadro di riferimento rigoroso per i dati sanitari. Se assiste pazienti in Francia o vi ha una sede, conviene verificare anche se si applica il diritto francese. Lo chiariscono l’ANS, l’autorità francese per la protezione dei dati (CNIL) o un consulente legale. Per quanto ne sappiamo, nessun organismo ufficiale ha chiarito espressamente come l’obbligo HDS riguardi psicologi e psicoterapeuti.

Le regole che contano in Italia

GDPR: dati relativi alla salute (articoli 4 e 9)

Secondo l’articolo 4, punto 15, del GDPR, i dati relativi alla salute sono quelli attinenti alla salute fisica o mentale di una persona. Una psicoterapia riguarda la salute mentale e rientra in questa definizione. L’articolo 9 vieta in linea di principio il trattamento di tali dati e lo consente per finalità di cura quando è effettuato da un professionista soggetto al segreto professionale (articolo 9, paragrafo 2, lettera h, e paragrafo 3).

Per il suo fornitore di hosting o per il suo software gestionale significa: un contratto con il responsabile del trattamento (articolo 28), un registro delle attività di trattamento (articolo 30) e misure di sicurezza adeguate al rischio (articolo 32).

Il provvedimento del Garante n. 55 del 2019

Nel provvedimento del 7 marzo 2019, n. 55, dedicato ai chiarimenti sull’applicazione della disciplina sul trattamento dei dati relativi alla salute in ambito sanitario, il Garante ha chiarito che il professionista sanitario soggetto al segreto professionale non deve più richiedere il consenso del paziente per i trattamenti necessari alla prestazione sanitaria richiesta, sia che operi come libero professionista sia che lavori in una struttura. Il chiarimento riguarda la base giuridica del trattamento, non la scelta del fornitore di hosting: per quest’ultima valgono gli obblighi di sicurezza e di nomina del responsabile.

Segreto professionale

Il segreto professionale non cambia con il fornitore scelto. Per gli psicologi viene in rilievo l’articolo 622 del codice penale (rivelazione di segreto professionale) e l’articolo 11 del Codice deontologico degli psicologi italiani. Come si applicano alla sua attività, lo verifichi con il suo Ordine professionale o con un consulente legale.

Dove sono ospitati i suoi dati con My International Therapy

Amazon Web Services, regione Europa (Stoccolma)

Il sito di My International Therapy, la dashboard dei terapeuti e i loro dati sono ospitati da Amazon Web Services nella regione Europa (Stoccolma), in Svezia, quindi nell’Unione europea. Nella sua pagina pubblica sull’HDS, AWS dichiara di detenere la certificazione HDS versione 2 per le sei attività e colloca Stoccolma tra le regioni dello Spazio economico europeo idonee a tutte e sei. Precisa che le attività 1, 2 e 6 (siti fisici, infrastruttura hardware, backup esternalizzato) richiedono un’archiviazione esclusivamente all’interno di tale spazio. Le note legali del sito indicano l’entità contraente del fornitore di hosting.

Che cosa comprende l’hosting

il database e i dischi sono cifrati a riposo e il database non è accessibile pubblicamente;
il sito e la dashboard sono serviti in HTTPS;
ogni notte vengono eseguiti backup automatici, conservati per sette giorni;
le azioni di amministrazione dell’account di hosting sono tracciate;
i terapeuti accedono con una password e possono aggiungere, facoltativamente, una chiave di sicurezza (WebAuthn).

Che cosa fa la dashboard

La dashboard riunisce il profilo pubblico del terapeuta, l’agenda e le disponibilità, la prenotazione online da parte del paziente, la videoconsulenza con un link di seduta firmato e senza registrazione, una scheda per ogni paziente con note private che il paziente non vede mai, la messaggistica, i pagamenti e le fatture. I pazienti dispongono di uno spazio proprio per prenotare, seguire i propri appuntamenti e scrivere al proprio terapeuta. Per scoprire la piattaforma, consulti l’elenco dei terapeuti oppure si unisca a noi come terapeuta.

Che cosa questa pagina non dice

La certificazione HDS riguarda il fornitore di hosting. My International Therapy non si presenta come «certificato HDS».
Alcuni servizi accessori, come la videoconsulenza, il pagamento online o l’invio delle e-mail di notifica, si appoggiano ad altri fornitori. Non sono coperti dalla certificazione del fornitore di hosting e questa pagina non descrive dove sono ospitati.
L’hosting si trova in Svezia, non in Francia, e AWS fa parte di un gruppo statunitense. Secondo la pagina pubblica di AWS, la versione 2 del quadro di riferimento rafforza i requisiti di trasparenza sui sub-responsabili e sulla possibile esposizione a normative non europee.

Come verificare un fornitore di hosting

Che scelga My International Therapy o un altro strumento, la verifica richiede pochi minuti.

Chieda al fornitore il nome esatto del soggetto che ospita i dati, l’entità che contrae con lei e il luogo in cui i dati sono archiviati.
Si faccia consegnare il contratto di nomina a responsabile del trattamento ai sensi dell’articolo 28 del GDPR e chieda l’elenco dei sub-responsabili.
Verifichi che il contratto preveda un obbligo di riservatezza per il personale del fornitore.
Se il fornitore si presenta come conforme all’HDS, cerchi l’entità indicata nell’elenco pubblico dei fornitori certificati dell’ANS. Controlli la versione del quadro di riferimento (versione 2.0), le attività coperte e l’organismo di certificazione. Se il nome indicato nel contratto non compare, chieda quale entità del gruppo è certificata.
La dicitura «conforme HDS» su un software ha significato solo se il fornitore di hosting o il produttore compare nell’elenco dell’ANS.

Domande frequenti

Che cos’è la certificazione HDS?

È il certificato di conformità che in Francia deve avere chi ospita in formato digitale dati personali sanitari raccolti in occasione di prevenzione, diagnosi, cura o assistenza sociale e socio-sanitaria (articolo L.1111-8 del Codice della sanità pubblica francese). Lo rilascia un organismo di certificazione accreditato sulla base di un quadro di riferimento approvato con decreto.

Uno psicologo in Italia deve usare un fornitore di hosting certificato HDS?

L’HDS è diritto francese e la normativa italiana non impone questo obbligo. Per il suo studio valgono il GDPR, il Codice in materia di protezione dei dati personali, i chiarimenti del Garante e il segreto professionale. Se assiste pazienti in Francia o vi ha una sede, chiarisca la situazione anche con l’ANS, la CNIL o un consulente legale.

Quali regole si applicano ai dati sanitari in Italia?

Il GDPR, in particolare gli articoli 4, 9, 28, 30 e 32, il Codice in materia di protezione dei dati personali e i provvedimenti del Garante. Nel provvedimento n. 55 del 2019 il Garante ha chiarito che il professionista sanitario soggetto al segreto professionale non deve chiedere il consenso del paziente per i trattamenti necessari alla prestazione richiesta.

Dove sono ospitati i dati di My International Therapy?

Presso Amazon Web Services, nella regione Europa (Stoccolma), in Svezia. AWS dichiara nella sua pagina pubblica di detenere la certificazione HDS versione 2 per le sei attività, con Stoccolma tra le regioni idonee.

My International Therapy è certificato HDS?

La certificazione HDS riguarda il fornitore di hosting, Amazon Web Services, non My International Therapy. La piattaforma utilizza quell’hosting e non si presenta come certificata HDS.

Come verifico un fornitore di hosting di dati sanitari?

Chieda il nome esatto del soggetto che ospita i dati e il luogo di archiviazione, si faccia consegnare il contratto di nomina a responsabile del trattamento ai sensi dell’articolo 28 del GDPR e verifichi l’obbligo di riservatezza. Se il fornitore si presenta come conforme all’HDS, lo cerchi nell’elenco pubblico dell’ANS.

La certificazione HDS sostituisce il GDPR?

No. L’HDS riguarda il fornitore di hosting. Il GDPR si applica in aggiunta al terapeuta come titolare del trattamento: la deroga dell’articolo 9 per le finalità di cura, il contratto con il responsabile del trattamento (articolo 28), le misure di sicurezza (articolo 32) e il registro delle attività di trattamento (articolo 30).

Esiste una certificazione equivalente fuori dalla Francia?

L’HDS è una particolarità francese. Negli altri Paesi dell’Unione europea si applica il GDPR insieme alle norme nazionali. In Italia sono il Codice in materia di protezione dei dati personali e i provvedimenti del Garante.

Fonti ufficiali

Per i terapeuti

È un terapeuta e vuole saperne di più sulla piattaforma? Consulti l’elenco dei terapeuti oppure si unisca a My International Therapy.

Hosting di dati sanitari per psicologi e terapeuti: HDS, GDPR e regole in Italia