Il Regolamento (UE) 2025/327, sullo spazio europeo dei dati sanitari, è in vigore dal 26 marzo 2025, venti giorni dopo la pubblicazione in Gazzetta Ufficiale dell’Unione Europea del 5 marzo 2025. Adottato l’11 febbraio 2025 sulla base degli articoli 16 e 114 TFUE, è il primo spazio dati settoriale che l’Unione porta dalla strategia del 2020 a un regolamento direttamente applicabile, e modifica la Direttiva 2011/24/UE e il Regolamento (UE) 2024/2847.

Contesto

L’iter parte dalla proposta COM(2022) 197 del 3 maggio 2022 e si chiude quasi tre anni dopo. Il testo affronta un problema concreto: in Europa i dati sanitari di un cittadino restano confinati nel sistema che li ha generati. Chi finisce in ospedale fuori dal proprio Stato membro non ha garanzia che il referto arrivi a chi lo cura; un gruppo di ricerca che voglia studiare una patologia su scala continentale deve negoziare l’accesso dataset per dataset, autorità per autorità. Lo spazio europeo dei dati sanitari (EHDS, European Health Data Space) dà a entrambi gli scenari una cornice unica, ma tiene i due usi sotto regimi distinti.

Quella distinzione è la chiave di lettura del Regolamento. Il primary use è l’uso dei dati per curare la singola persona; il secondary use è il riuso per ricerca, innovazione, statistica, policy pubblica e attività regolatorie. Capi, infrastrutture e scadenze cambiano da un ambito all’altro, e tenere separati i due usi chiarisce buona parte degli equivoci nati nel dibattito sul testo.

Primary use

Sul primary use il Regolamento agisce su due fronti. Verso il cittadino riconosce un diritto di accesso elettronico immediato e gratuito ai propri dati sanitari, un diritto di portabilità verso provider e Stati membri diversi, e i diritti di rettifica, di oscuramento di documenti specifici e di consultazione del registro degli accessi. Alcuni esistono già — il Fascicolo Sanitario Elettronico italiano prevede oscuramento e taccuino — ma qui diventano un obbligo armonizzato e azionabile in tutta l’Unione.

Verso provider e fabbricanti il testo introduce obblighi tecnici. I provider devono alimentare i sistemi nazionali con i contenuti previsti in formato interoperabile. I fabbricanti di sistemi EHR (Electronic Health Record) devono sottoporre i prodotti a una valutazione di conformità rispetto ai requisiti essenziali fissati dal Regolamento, con uno schema che ricalca la logica della marcatura europea già nota a chi lavora con i dispositivi medici. Le app di benessere che trattano dati sanitari rientrano in un regime di etichettatura volontaria.

L’infrastruttura per lo scambio transfrontaliero è MyHealth@EU, nata come progetto su base volontaria nell’ambito della Direttiva 2011/24/UE e ora obbligo di partecipazione per tutti gli Stati membri. Il perimetro parte dalle categorie prioritarie — patient summary e prescrizione elettronica — e si allarga via via a immagini, risultati di laboratorio e lettere di dimissione.

Architettura del secondary use

Il Capo IV, dedicato al secondary use, è la parte tecnicamente più densa e quella che ha generato più tensione in negoziato. Il meccanismo ruota attorno a quattro elementi.

Il primo è l’Health Data Access Body (HDAB), l’autorità che ogni Stato membro deve istituire. Riceve le richieste, le valuta, rilascia o nega il data permit con decisione motivata e appellabile, e mette a disposizione i dati. Non consegna copie: lavora attraverso il secondo elemento, gli ambienti sicuri di elaborazione (secure processing environments), infrastrutture in cui il richiedente analizza i dati senza poterli estrarre e ne ricava solo risultati aggregati. È una scelta architetturale che sposta il modello dal trasferimento del dato al calcolo presso il dato, con conseguenze dirette su come vanno progettate le pipeline di analisi.

Il terzo elemento è il perimetro. Il Regolamento elenca le categorie di dati riusabili — dati da EHR, registri di patologia e mortalità, dati di ricerca clinica, biobanche, dati genomici e omici, dati da dispositivi, dati da app di benessere — e gli scopi ammessi, che comprendono la ricerca di interesse pubblico, la valutazione delle tecnologie sanitarie e le attività regolatorie. Specularmente fissa gli usi vietati: decisioni che danneggiano l’interessato, esclusione da coperture assicurative, marketing, schemi di prezzo a danno del paziente.

Il quarto è HealthData@EU, l’infrastruttura federata che collega gli HDAB nazionali e tiene un catalogo europeo dei dataset. Federata, non centralizzata: i dati restano presso i nodi nazionali e l’interoperabilità la garantisce il livello di connessione, non un repository unico.

Punto critico

Il rapporto con il Regolamento (UE) 2016/679 (GDPR) è il punto in cui si misura la tenuta dell’impianto. L’EHDS non sostituisce il GDPR e non crea basi giuridiche nuove: il primary use resta ancorato all’articolo 9(2)(h) GDPR per le finalità di cura, il secondary use poggia sugli articoli 9(2)(i) e 9(2)(j). Quello che l’EHDS aggiunge sono le procedure operative — chi decide, in quanto tempo, in quale ambiente.

La cerniera tecnica è il ruolo dell’HDAB. Chi richiede un data permit non diventa titolare del trattamento ai sensi del GDPR: opera in un ambiente controllato dall’autorità, su dati pseudonimizzati, senza la capacità di re-identificare gli interessati. Ne discende un vincolo progettuale preciso. Se l’analisi richiede dati identificabili, l’EHDS non è la strada; se può vivere di dati pseudonimizzati in ambiente confinato, allora il secure processing environment va trattato come requisito di sistema fin dall’inizio, non come un adattamento successivo. La qualità della pseudonimizzazione e la robustezza dei controlli di estrazione diventano il terreno su cui si decide la conformità, ed è proprio qui che un’autorità nazionale rilascia o nega il permesso.

Implicazioni

Il calendario è scaglionato e va letto come una sequenza di scadenze tecniche, non come una data sola. L’entrata in vigore è del 26 marzo 2025; la maggior parte delle disposizioni si applica dal 26 marzo 2027; il Capo IV sul secondary use, con HDAB e HealthData@EU operativi, si applica dal 26 marzo 2029; per alcune categorie — immagini mediche, risultati di test, lettere di dimissione lato secondary use — l’obbligo dei data holder slitta al 26 marzo 2031.

In Italia l’innesto avviene sul percorso del FSE 2.0, già in parte allineato sul primary use grazie al Gateway FSE e all’adesione a MyHealth@EU avviata sotto la Direttiva 2011/24/UE. Il lavoro più consistente è sul secondary use: istituire un HDAB nazionale o una struttura federata con articolazioni regionali, costruire gli ambienti sicuri di elaborazione, allineare le governance esistenti. I vendor di cartella clinica e gestionali dovranno affrontare la valutazione di conformità dei sistemi EHR, con ricadute su capitolati di gara e roadmap di prodotto.

Limiti

Il Regolamento è una cornice, non una specifica tecnica. I dettagli che contano per chi implementa — i profili di scambio, le terminologie obbligatorie, i requisiti puntuali dei secure processing environment, i requisiti essenziali dei sistemi EHR — sono rinviati ad atti di esecuzione e atti delegati della Commissione, che alla data di scrittura non sono ancora adottati. Gli standard candidati emersi nei lavori preparatori e nelle attività MyHealth@EU — FHIR, l’International Patient Summary, terminologie come SNOMED CT e LOINC — indicano una direzione, non sono obblighi cristallizzati nel testo. Finché gli atti di esecuzione non fissano i profili, chi pianifica lo fa su un perimetro provvisorio, ed è questa l’incognita principale dei prossimi due anni.

https://eur-lex.europa.eu/eli/reg/2025/327/oj/eng https://eur-lex.europa.eu/legal-content/EN/HIS/?uri=CELEX:32025R0327 https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52022PC0197 https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng https://eur-lex.europa.eu/eli/dir/2011/24/oj/eng https://www.noze.it/insights/ehds-regolamento-2025-327/

Immagine di copertina: L’edificio Berlaymont a Bruxelles, sede della Commissione europea, con la bandiera dell’Unione Europea sulla facciata vetrata — foto di Euro Pictures, CC BY 2.0 — https://commons.wikimedia.org/wiki/File:Berlaymont_building_2022.jpg