Il tuo sudore non è (sempre) un dato sanitario: cosa cambia con la sentenza UE

Quando un dato sul corpo diventa sanitario? La risposta della Corte UE

Immagina di essere un atleta e di ricevere una sanzione per doping. Il tuo nome e la sostanza rilevata vengono pubblicati. È un dato sanitario? Secondo la Corte di Giustizia UE, non sempre. Con la sentenza C-474/24, i giudici hanno chiarito che la qualifica di 'dato sanitario' dipende dal contesto e dalla finalità del trattamento. Un principio che ha implicazioni profonde per sportivi, piattaforme digitali e aziende.

Featured Snippet Bait: La Corte UE ha stabilito che un dato sul corpo diventa sanitario solo se viene utilizzato per rivelare informazioni sulla salute della persona, non per la sua semplice appartenenza al corpo.

Il caso concreto: sanzioni antidoping e pubblicazione

La vicenda nasce da un ricorso contro la pubblicazione di sanzioni antidoping da parte di un'organizzazione sportiva. La Corte ha distinto tra il dato in sé (es. presenza di una sostanza) e il suo uso: se la pubblicazione serve a fini disciplinari e non a fini medici, non è un dato sanitario. Una lezione importante per chi gestisce dati biometrici o di performance.

Impatto su sport, e-commerce e sanità digitale

Per lo sport, la sentenza significa che le liste di atleti squalificati possono essere pubblicate senza violare il GDPR, a patto che non vengano usate per inferire lo stato di salute. Per l'e-commerce, i dati raccolti da wearable (es. frequenza cardiaca) non sono automaticamente sanitari se usati per personalizzare offerte, ma lo diventano se venduti a compagnie assicurative. Per la sanità digitale, è un monito: il contesto è tutto.

Come gestire le inferenze: linee guida pratiche

La sentenza introduce il concetto di 'inferenza contestuale': un dato può diventare sanitario se combinato con altri elementi. Ad esempio, sapere che un utente ha acquistato integratori per lo sport non è sanitario, ma se l'acquisto è associato a una patologia, lo diventa. Le aziende dovrebbero: 1) documentare la finalità del trattamento; 2) evitare di incrociare dati sensibili senza base giuridica; 3) formare i DPO su queste sfumature.

FAQ