Sicurezza informatica per studi medici e dentistici: obblighi e rischi reali

Studi medici, dentistici e fisioterapici trattano dati sanitari: per il GDPR sono “categorie particolari di dati” e vanno protetti con misure tecniche e organizzative adeguate come backup, accessi controllati, sistemi aggiornati. Vediamo cosa significa in concreto e cosa si rischia.

Uno studio medico è, a tutti gli effetti, una piccola impresa che custodisce informazioni tra le più delicate in assoluto: diagnosi, referti, immagini diagnostiche, storia clinica dei pazienti. Questo lo rende speciale due volte: per la legge, che pretende protezioni rafforzate, e per i criminali informatici, che considerano i dati sanitari tra i più redditizi da rubare o bloccare.

Il GDPR (articolo 9) classifica i dati sulla salute come “categorie particolari”: il loro trattamento è ammesso solo con garanzie precise, e l’articolo 32 impone misure di sicurezza adeguate al rischio elevato che, per definizione, hanno i dati di questa natura.
In caso di violazione scattano gli obblighi di notifica al Garante entro 72 ore e, se il rischio per i pazienti è alto, di comunicazione ai pazienti stessi.

Non è teoria: il Garante Privacy interviene regolarmente in ambito sanitario, sia su grandi strutture sia su singoli professionisti, con sanzioni che dopo un attacco si sommano al danno subito. Dopo la violazione di un sistema sanitario regionale, ad esempio, le sanzioni complessive ai soggetti coinvolti hanno superato i 400.000 euro. La logica dell’Autorità è costante: subire un attacco può capitare, non avere misure adeguate no.

Secondo l’Agenzia per la Cybersicurezza Nazionale, nei primi nove mesi del 2025 gli eventi informatici contro il settore sanitario italiano sono cresciuti di circa il 40% rispetto allo stesso periodo del 2024; dal 2023 la sanità italiana subisce in media più di 4 attacchi al mese, e circa la metà ha avuto un impatto concreto sui servizi. Il Rapporto Clusit 2026 conferma la tendenza, con attacchi al settore in crescita anche a livello globale.

Fanno notizia i casi grandi,  come il furto di 1,5 terabyte di dati, analisi mediche comprese, sottratti nel 2024 a una nota rete di laboratori e pubblicati nel dark web, ma il fenomeno riguarda anche i piccoli studi: gli osservatori di settore segnalano vulnerabilità crescenti proprio negli strumenti quotidiani di uno studio moderno, dalla radiologia digitale agli scanner intraorali fino ai gestionali di studio, sempre più connessi e quindi sempre più esposti.

Facciamo un esempio concreto, da studio dentistico. Segui da anni un paziente con una patologia in evoluzione: hai le radiografie che documentano il percorso, il registro di quello che è stato fatto, il piano di cura. Se un ransomware cripta l’archivio e il backup non c’è, o era collegato agli stessi sistemi, quel patrimonio sparisce. Le conseguenze si sommano:

• Cliniche: senza storico, la continuità delle cure si interrompe; esami da rifare, decisioni prese al buio.
• Economiche: agenda ferma per giorni, prestazioni da ripetere a tue spese, ore di lavoro per ricostruire l’archivio — quando è possibile.
• Legali: notifica al Garante, comunicazione ai pazienti, possibile responsabilità per non aver protetto adeguatamente i dati.
• Di fiducia: comunicare a centinaia di pazienti che i loro dati sanitari sono stati violati è il messaggio più difficile che uno studio possa dover mandare.

• Backup automatico, separato e provato: la copia dei dati clinici deve vivere fuori dalla portata dei sistemi di studio, con verifiche periodiche di ripristino.
• Protezione professionale su ogni postazione, incluse quelle collegate ai dispositivi diagnostici.
• Doppia verifica sugli accessi a gestionale, posta e servizi cloud dello studio.
• Account personali e permessi minimi: ogni operatore con il proprio accesso, ciascuno solo ai dati che gli servono.
• Sistemi aggiornati e supportati: software di studio e sistemi operativi entro il ciclo di vita del produttore.
• Un referente tecnico raggiungibile: in caso di violazione, le 72 ore per la notifica passano in fretta.

Queste misure sono la declinazione, per il settore sanitario, delle protezioni di base che ogni piccola impresa dovrebbe avere: le trovi nella guida alla cybersecurity per piccole aziende. LandWeb affianca studi medici e dentistici dell’area Prato, Firenze e Pistoia (e di tutta la Toscana) con sopralluoghi in sede, verifica dei backup e adeguamento GDPR: veniamo noi da te, parlando la lingua dello studio, non quella dei tecnici.