L’enigma del pensiero aumentato nella sanità digitale e nella sperimentazione clinica

Il presente contributo costituisce una sintesi della relazione tenuta in data 8 maggio 2026 presso l’Università del Salento durante la Conferenza presieduta dal prof. Roberto Caso su “Il regime giuridico dei dati della sperimentazione critica. Privatizzazione della conoscenza vs scienza aperta”

Abstract

Nel contesto della sanità digitale, il regime giuridico della sperimentazione clinica rappresenta uno dei terreni più delicati in cui si manifestano le tensioni del “pensiero aumentato”. Qui si incrociano diritti fondamentali diversi, spesso in (più o meno) apparente tensione tra loro, e un corpus normativo frammentato che richiede un esercizio interpretativo raffinato e sistematico. Viviamo, infatti, immersi in un ecosistema sanitario digitale che assomiglia sempre più a una cattedrale incompiuta: imponente, necessaria, ma costruita con normative sovrapposte, diritti che si intersecano senza un vero disegno architettonico e poteri economici che ne condizionano le fondamenta. Nel cuore di questa cattedrale si colloca oggi la sperimentazione clinica alimentata dall’intelligenza artificiale, un crocevia in cui si incontrano — e spesso si scontrano — diritti fondamentali, interessi pubblici rilevanti e un quadro regolatorio che somiglia a un mosaico irrisolto. Parlare di “pensiero aumentato” significa allora interrogarsi su come l’IA stia trasformando non solo i dati e i documenti, ma soprattutto le decisioni che incidono sulla salute delle persone. E significa farlo con una bussola costituzionale ben salda: gli artt. 2, 3, 31, 32 e 33 della Costituzione, che ancora oggi rappresentano un fondamentale orizzonte interpretativo capace di dare ordine al caos.

Un ecosistema di diritti che si intersecano (e si scontrano)

Nel contesto della sperimentazione clinica digitale convivono almeno tre grandi famiglie di diritti:

– il diritto alla salute (art. 32 Cost.), considerato dalla dottrina come diritto “sovraordinato” perché condizione di esercizio di tutti gli altri[1];

– la libertà della ricerca scientifica (art. 33 Cost.), che non può essere soffocata da un eccesso di vincoli burocratici;

– il diritto alla protezione dei dati personali, rafforzato dal GDPR (Reg. (UE) 2016/679)[2] e radicato negli artt. 2 e 3 Cost., oltre che negli artt. 7 e 8 della Carta dei diritti fondamentali dell’UE.

A questi diritti fondamentali si aggiungono le tutele del diritto d’autore e dei diritti connessi, sempre più rilevanti quando dataset sanitari vengono arricchiti, annotati, trasformati o utilizzati per addestrare modelli di IA.

Il risultato per chi si occupa di sperimentazione clinica in ambito digitale è di doversi confrontare con un reticolato di diritti che non dialogano tra loro in modo ordinato. E, quando i diritti non dialogano, inevitabilmente finiscono per scontrarsi in diverse possibili interpretazioni che generano caos e paralisi nella ricerca.

 

Il labirinto normativo: un rebus che paralizza

Al quadro precedentemente delineato, si sovrappone un vero e proprio “ecosistema normativo digitale” a livello europeo e nazionale. Accanto al GDPR convivono infatti, senza un efficace coordinamento, normative europee che hanno ridisegnato il digitale:

– DGA (Data Governance Act)[3];

– DSA (Digital Services Act)[4];

– DMA (Digital Markets Act)[5];

– eIDAS (electronic Identification Authentication and Trust Services)[6], che in Italia ha peraltro imposto una profonda revisione del Codice dell’Amministrazione digitale (CAD);[7]

– Data Act[8];

– AI Act[9], cui si è affiancata in Italia la Legge 132/2025[10];

– NIS (2) (Network and Information Security);[11].

Queste norme devono, quindi, coordinarsi con le disposizioni di settore:

– MDR (Medical Device Regulation)[12];

– EHDS (European Health Data Space)[13];

– in Italia, le norme su FSE 2.0 e sull’ecosistema dei dati sanitari.[14]

Tale frammentazione normativa ha provocato anche una proliferazione di adempimenti formali associati a pareri, autorizzazioni, linee guida e provvedimenti di varia natura da parte di Agenzie e Authority diverse (EDPB, Garante Privacy, AIFA, Ministero della Salute, ACN, AgID, ENISA, Commissione UE etc.).
Il risultato è una palude amministrativa che rallenta la ricerca, scoraggia l’innovazione e rende difficile persino comprendere chi debba decidere cosa. Abbiamo a che fare con un sistema che sostanzialmente non è un sistema, ma riflette una polverizzazione normativa che rischia appunto di provocare difficoltà interpretative proprio in un settore così sensibile, come quello da cui dipende la nostra salute.

 

Il quasi-oligopolio: i “Sultani del Web” e le Big Pharma

La polverizzazione normativa in precedenza descritta si innesta su un mercato caratterizzato da posizioni dominanti, di “quasi oligopolio”: espressione, da una parte, dei grandi provider IT e delle Big Tech (che possiamo definire “Sultani del Web”) e, dall’altra, le multinazionali farmaceutiche.

Come ammoniva il compianto Giovanni Buttarelli, ex Garante europeo, tale concentrazione di potere rischia di squilibrare il rapporto tra innovazione e tutela dei diritti.

Nel settore sanitario questo fenomeno è – come già evidenziato sopra – duplice:

– i provider IT e le big tech, che controllano infrastrutture, cloud, algoritmi, modelli di IA;

– le case farmaceutiche, che detengono potere economico e informativo.

Questi attori non sono neutri: influenzano standard, tecnologie, modelli di business e persino le scelte normative.  E spesso operano fuori dallo Spazio Economico Europeo, con catene di subfornitura opache e difficili da controllare.

“Nell’era globale i confini sono diventati trasparenti. Non sono caduti, si sono fatti di vetro. Cavi sottomarini con proprietari e giurisdizioni, decisioni di adeguatezza che certificano equivalenze traballanti, brevetti che ridisegnano il potere più di qualsiasi trattato: li attraversiamo ogni giorno senza vederli, finché non proviamo a far valere un diritto. L’Europa ha costruito le regole più sofisticate del mondo, ma regola ciò che non possiede. La via d’uscita non è l’autarchia, ma la costruzione paziente di un’alternativa materiale. Le regole senza infrastrutture sono vetri senza telaio: bellissime, fragilissime, destinate a cadere”, così Adriana Augenti sulla nostra Rivista.

 

Il superamento del consenso e l’uso secondario dei dati sanitari

Nell’articolata situazione in cui ci troviamo, la normativa europea e italiana nell’ambito della sperimentazione clinica sembra riconoscere tendenzialmente che, in presenza di un interesse pubblico rilevante come la tutela della salute, sia possibile da una parte superare il consenso per il trattamento secondario di dati sanitari a fini di ricerca e dall’altra alleggerire le informative, ormai percepite come strumenti inefficaci.

In Italia, questo orientamento emerge chiaramente nella normativa più recente:
– negli artt. 110[15] e 110‑bis[16] del Codice per la protezione dei dati personali,[17] che consentono trattamenti per ricerca e statistica anche senza consenso, con adeguate garanzie.

L’art. 110, in particolare, rende superfluo il consenso in presenza di idonea base giuridica che può essere ben rappresentata da esigenze di ricerca scientifica, specificando che “il consenso non è inoltre necessario quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca”. L’art. 110-bis invece si occupa proprio di “trattamento ulteriore da parte di terzi dei dati personali a fini di ricerca scientifica o a fini statistici”, precisando che il Garante può autorizzare il trattamento ulteriore di dati personali, compresi quelli dei trattamenti speciali di cui all’articolo 9 del Regolamento, a fini di ricerca scientifica o a fini statistici da parte di soggetti terzi che svolgano principalmente tali attività quando, a causa di particolari ragioni, informare gli interessati risulti impossibile o implichi uno sforzo sproporzionato, oppure rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca, a condizione che siano adottate misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato.

L’iter procedurale non è effettivamente immediato e, forse, ci si potrebbe aspettare maggiore coraggio normativo in futuro, anche considerata una certa apertura in tal senso da parte delle Linee Guida 1/2026 dell’EDPB (European Data Protection Board) incentrate proprio sul trattamento dei dati personali per finalità di ricerca scientifica, adottate il 15 aprile 2026 (e in consultazione pubblica fino al 25 giugno 2026).

Le linee guida ricercano un coordinamento con il futuro European Health Data Space (EHDS), il quale prevede un sistema di permessi gestito da autorità pubbliche per consentire alle case farmaceutiche di accedere ai dati sanitari per l’innovazione medica, senza dover richiedere ogni volta il consenso al singolo paziente, naturalmente sotto rigidi controlli di sicurezza e accurate verifiche di compatibilità con la ricerca scientifica che va verificata nella sua autenticità.

– negli artt. 7[18] e 8[19] della Legge 132/2025[20] che favoriscono l’uso secondario dei dati sanitari per finalità di ricerca, IA e sanità pubblica, fondandolo su un interesse pubblico rilevante e su misure di sicurezza come anonimizzazione, pseudonimizzazione e uso di dati sintetici.

L’art. 7 si limita a precisare i principi generali dell’uso dell’IA in sanità, come affidabilità dei dati, trasparenza informativa, non discriminazione e decisione ultima da lasciare sempre all’operatore sanitario. Ma è l’art. 8 ad aprirsi in modo piuttosto importante all’uso dei dati secondari da parte anche di soggetti terzi sia pubblici e sia privati in ambito sanitario, con una serie di garanzie e limitazioni.

È una scelta coraggiosa, ma non priva di rischi perché, senza una governance unitaria, il superamento del consenso può diventare un varco pericoloso. Ed il percorso da portare avanti è senz’altro più agevole quando la sperimentazione è condotta direttamente da soggetti pubblici o IRCCS, pur se occorre riferire che la collaborazione pubblico-privato è ormai ineludibile nel contesto digitale e sanitario.

La società dell’informazione ha effettivamente favorito un “dissolvimento” della netta distinzione tra pubblico e privato. Nella sperimentazione clinica digitale, infatti, operano in stretta sinergia tra loro enti pubblici, ospedali, università, big tech, start‑up, data provider, cloud provider, fornitori di dispositivi medicali e di modelli IA e subfornitori di soluzioni IT e IA.

Una catena di responsabilità lunga, fragile, spesso opaca.  Eppure, tutti questi soggetti concorrono, direttamente o indirettamente, alla tutela della salute pubblica. Per questo, almeno per il mondo IT, dovrebbero essere tutti considerati (e qualificati) come prestatori di servizi essenziali, quindi soggetti a obblighi rafforzati di sicurezza, trasparenza e accountability. È necessaria, ad avviso di chi scrive, una qualificazione pubblicistica dei soggetti terzi che partecipano in diversa misura a processi di digitalizzazione in ambito clinico perseguendo interessi pubblici rilevanti. E non sempre si è giunti a un’omogeneità di approccio in tal senso.

 

Come uscire dal caos? Verso un’unica governance dei dati

Il tentativo del Digital Omnibus[21] di sistematizzare il quadro normativo è apprezzabile, ma insufficiente.  Serve molto di più.

A parere di chi scrive, sarebbe auspicabile l’adozione di un Regolamento organico unico sui dati, presidiato da una sola Autorità nazionale o europea che garantisca coerenza e certezza. Un unico regolamento europeo che disciplini, quindi, in modo organico trattamento, qualità, integrità, conservazione, circolazione controllata, riuso, interoperabilità, trasparenza, apertura algoritmica…etc.

E servirebbe soprattutto – come già riferito – un’unica Authority europea dei dati, capace di coordinare ciò che oggi è disperso tra decine di organismi. Perché oggi tutto – davvero tutto – dipende dai dati, dalla loro qualità, dalla loro integrità, interoperabilità, minimizzazione e portabilità.

In questo l’Italia ha ancora qualcosa da insegnare all’Europa, grazie alla tradizione del CAD, della conservazione digitale e della gestione documentale.

L’IA, in effetti, non può essere considerata un nemico. È semplicemente un incredibile strumento a nostra disposizione che può migliorare diagnosi, terapie, prevenzione, ricerca. Ma è uno strumento che vive di dati: se i dati sono scadenti e usati male, l’IA diventa pericolosa.

Per questo occorre:

– garantire trasparenza delle logiche algoritmiche, non solo delle informative;

– assicurare audit indipendenti dei modelli;

– preservare la tracciabilità dei dataset;

– evitare pertanto che i modelli diventino “scatole nere” inaccessibili;

– qualificare i fornitori di tali soluzioni in ambito clinico.

 

La via d’uscita organizzativa: team interdisciplinari e una nuova alleanza costituzionale

La complessità del digitale in ambito sanitario non può essere affrontata da un’unica figura professionale.  Servono team interdisciplinari composti da:

– DPO (Data Protection Officer);

– Responsabili della conservazione;

– Responsabili della gestione documentale;

– Manager della cybersecurity;

– Manager della trasformazione digitale ;

– Medici;

– Operatori sanitari;

– Data scientist;

– Giuristi esperti di IT e IA.

Solo un dialogo strutturato tra queste competenze può consentire interpretazioni coraggiose, ma rigorosamente ancorate ai principi costituzionali, a tutela effettiva dei pazienti. Occorre, in definitiva, un processo di costituzionalizzazione degli spazi umani nel contesto digitale, facendo leva interpretativa costante su Costituzione, Carta UE e Dichiarazione dei diritti e principi digitali.

Il diritto non può ridursi a mero vincolo burocratico: deve configurarsi come artefice di un ecosistema in cui l’aumento del pensiero attraverso la tecnologia rafforzi, e non diminuisca, l’umanità delle cure e delle decisioni. La salute, infatti, non è un dato, ma un diritto. E i dati sanitari non sono un giacimento da sfruttare, ma un patrimonio da custodire con cura a tutela di nostri diritti fondamentali da bilanciare attraverso la lente accorta del giurista, pur attento all’innovazione digitale.

 

Conclusione: il pensiero aumentato come responsabilità collettiva

L’enigma del pensiero aumentato non riguarda solo l’IA, ma riguarda noi: la nostra capacità di costruire un ecosistema digitale che non tradisca i valori costituzionali, che non si pieghi ai poteri oligopolistici, che non sacrifichi la salute sull’altare dell’efficienza tecnologica.

La sfida è enorme, ma non impossibile.

Servono una visione unitaria, una governance dei dati finalmente coerente e soprattutto una nuova alleanza tra diritto, tecnologia e medicina.

La sperimentazione clinica supportata dall’IA rappresenta una delle frontiere più promettenti e delicate del nostro tempo. Governarla significa assicurare che l’innovazione serva la persona e non la sovrasti. L’Italia, con la sua profonda tradizione giuridica e la sua sensibilità etica, possiede gli strumenti culturali e normativi per contribuire in modo originale a questo necessario “umanesimo digitale” anche in ambito clinico.

 

 

---

NOTE

[1] Così, tra gli altri, Cinzia Piciocchi, in Il diritto alla salute nella Costituzione italiana: l’adempimento di una promessa difficile, pubblicato su Estudios constitucionales versión On-line ISSN 0718-5200, 2022, consultabile qui.

[2] Regolamento UE che si occupa di protezione dei dati personali e della loro libera circolazione in ambienti controllati.

[3] Il Regolamento (UE) 2022/868 disciplina la condivisione e il riutilizzo dei dati personali e non personali all’interno dell’UE.

[4] Il Regolamento (UE) 2022/2065 disciplina i servizi intermediari (piattaforme online, social network, marketplace) imponendo obblighi basati sul rischio e sulle dimensioni.

[5] Il Regolamento (UE) 2022/1925 mira a garantire mercati digitali equi e contendibili, imponendo obblighi severi alle grandi piattaforme online (“gatekeeper”) per limitare pratiche anticoncorrenziali e favorire così l’innovazione.

[6] Il Reg. (UE) 910/2014, aggiornato recentemente con il Reg. (UE) 2024/1183 (eIDAS2), armonizza l’identificazione elettronica e i servizi fiduciari nell’Unione Europea.

[7] Il CAD è contenuto nel decreto legislativo 82/2005, profondamente rivisitato, tra gli altri, con i decreti legislativi 26 agosto 2016, n. 179 e 13 dicembre 2017, n. 217.

[8] Il Regolamento (UE) 2023/2854 introduce norme armonizzate sull’accesso equo ai dati e sul loro utilizzo all’interno dell’Unione Europea.

[9] Il Regolamento (UE) 2024/1689, universalmente noto come AI Act, è il primo quadro giuridico completo al mondo per la governance dell’intelligenza artificiale.

[10] Prima normativa nazionale organica sull’IA, che integra l’AI Act con principi costituzionali, disposizioni settoriali (inclusa la sanità) e deleghe al Governo

[11] La Direttiva (UE) 2022/2555 è la normativa europea volta a garantire un livello elevato e comune di cybersicurezza in tutta l’Unione. Sostituisce la precedente Direttiva NIS del 2016 per rispondere alla crescente minaccia degli attacchi cyber.

[12] Il Regolamento (UE) 2017/745 disciplina i dispositivi medici all’interno dell’Unione Europea, sostituendo le precedenti direttive (93/42/CEE e 90/385/CEE).

[13] Il Reg. (UE) 2025/327 istituisce uno spazio europeo comune per i dati sanitari, distinguendo uso primario e secondario.

[14] Normativa italiana su FSE 2.0 e ecosistema dati sanitari (D.Lgs. 179/2016 e s.m.i.).

[15] Art. 110 (Ricerca medica, biomedica ed epidemiologica)

1. Il consenso dell’interessato per il trattamento dei dati relativi alla salute, a fini di ricerca scientifica in campo medico, biomedico o epidemiologico, non è necessario quando la ricerca è effettuata in base a disposizioni di legge o di regolamento o al diritto dell’Unione europea in conformità all’articolo 9, paragrafo 2, lettera j), del Regolamento, ivi incluso il caso in cui la ricerca rientra in un programma di ricerca biomedica o sanitaria previsto ai sensi dell’articolo 12-bis del decreto legislativo 30 dicembre 1992, n. 502, ed è condotta e resa pubblica una valutazione d’impatto ai sensi degli articoli 35 e 36 del Regolamento. Il consenso non è inoltre necessario quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale. Nei casi di cui al presente comma, il Garante individua le garanzie da osservare ai sensi dell’articolo 106, comma 2, lettera d), del presente codice.
2. In caso di esercizio dei diritti dell’interessato ai sensi dell’articolo 16 del regolamento nei riguardi dei trattamenti di cui al comma 1, la rettificazione e l’integrazione dei dati sono annotati senza modificare questi ultimi, quando il risultato di tali operazioni non produce effetti significativi sul risultato della ricerca.

[16] Art. 110-bis (Trattamento ulteriore da parte di terzi dei dati personali a fini di ricerca scientifica o a fini statistici).

1. Il Garante può autorizzare il trattamento ulteriore di dati personali, compresi quelli dei trattamenti speciali di cui all’articolo 9 del Regolamento, a fini di ricerca scientifica o a fini statistici da parte di soggetti terzi che svolgano principalmente tali attività quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca, a condizione che siano adottate misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, in conformità all’articolo 89 del Regolamento, comprese forme preventive di minimizzazione e di anonimizzazione dei dati.
2. Il Garante comunica la decisione adottata sulla richiesta di autorizzazione entro quarantacinque giorni, decorsi i quali la mancata pronuncia equivale a rigetto. Con il provvedimento di autorizzazione o anche successivamente, sulla base di eventuali verifiche, il Garante stabilisce le condizioni e le misure necessarie ad assicurare adeguate garanzie a tutela degli interessati nell’ambito del trattamento ulteriore dei dati personali da parte di terzi, anche sotto il profilo della loro sicurezza.
3. Il trattamento ulteriore di dati personali da parte di terzi per le finalità di cui al presente articolo può essere autorizzato dal Garante anche mediante provvedimenti generali, adottati d’ufficio e anche in relazione a determinate categorie di titolari e di trattamenti, con i quali sono stabilite le condizioni dell’ulteriore trattamento e prescritte le misure necessarie per assicurare adeguate garanzie a tutela degli interessati. I provvedimenti adottati a norma del presente comma sono pubblicati nella Gazzetta Ufficiale della Repubblica italiana.
4. Non costituisce trattamento ulteriore da parte di terzi il trattamento dei dati personali raccolti per l’attività clinica, a fini di ricerca, da parte degli Istituti di ricovero e cura a carattere scientifico, pubblici e privati, in ragione del carattere strumentale dell’attività di assistenza sanitaria svolta dai predetti istituti rispetto alla ricerca, nell’osservanza di quanto previsto dall’articolo 89 del Regolamento.

[17] Codice contenuto nel decreto legislativo 196/2023, come modificato dal decreto legislativo 101/2018 che contiene le disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679.

[18] Art. 7 (Uso dell’intelligenza artificiale in ambito sanitario e di disabilità)

1. L’utilizzo di sistemi di intelligenza artificiale contribuisce al miglioramento del sistema sanitario, alla prevenzione, alla diagnosi e alla cura delle malattie, nel rispetto dei diritti, delle libertà e degli interessi della persona, anche in materia di protezione dei dati personali.
2. L’introduzione di sistemi di intelligenza artificiale nel sistema sanitario non può selezionare e condizionare l’accesso alle prestazioni sanitarie secondo criteri discriminatori.
3. L’interessato ha diritto di essere informato sull’impiego di tecnologie di intelligenza artificiale.
4. La presente legge promuove lo sviluppo, lo studio e la diffusione di sistemi di intelligenza artificiale che migliorano le condizioni di vita delle persone con disabilità, agevolano l’accessibilità, la mobilità indipendente e l’autonomia, la sicurezza e i processi di inclusione sociale delle medesime persone anche ai fini dell’elaborazione del progetto di vita di cui all’articolo 2, comma 1, lettera n), del decreto legislativo 3 maggio 2024, n. 62.
5. I sistemi di intelligenza artificiale in ambito sanitario costituiscono un supporto nei processi di prevenzione, diagnosi, cura e scelta terapeutica, lasciando impregiudicata la decisione, che è sempre rimessa agli esercenti la professione medica.
6. I sistemi di intelligenza artificiale utilizzati in ambito sanitario e i relativi dati impiegati devono essere affidabili, periodicamente verificati e aggiornati al fine di minimizzare il rischio di errori e migliorare la sicurezza dei pazienti.

[19] Art. 8 (Ricerca e sperimentazione scientifica nella realizzazione di sistemi di intelligenza artificiale in ambito sanitario)

1. I trattamenti di dati, anche personali, eseguiti da soggetti pubblici e privati senza scopo di lucro, dagli Istituti di ricovero e cura a carattere scientifico (IRCCS), di cui al decreto legislativo 16 ottobre 2003, n. 288, nonché da soggetti privati operanti nel settore sanitario nell’ambito di progetti di ricerca a cui partecipano soggetti pubblici e privati senza scopo di lucro o IRCCS, per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di intelligenza artificiale per finalità di prevenzione, diagnosi e cura di malattie, sviluppo di farmaci, terapie e tecnologie riabilitative, realizzazione di apparati medicali, incluse protesi e interfacce fra il corpo e strumenti di sostegno alle condizioni del paziente, salute pubblica, incolumità della persona, salute e sicurezza sanitaria nonché studio della fisiologia, della biomeccanica e della biologia umana anche in ambito non sanitario, in quanto necessari ai fini della realizzazione e dell’utilizzazione di banche di dati e modelli di base, sono dichiarati di rilevante interesse pubblico in attuazione degli articoli 32 e 33 della Costituzione e nel rispetto di quanto previsto dall’articolo 9, paragrafo 2, lettera g), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016.
2. Ai medesimi fini, fermo restando l’obbligo di informativa in favore dell’interessato, che può essere assolto anche mediante un’informativa generale messa a disposizione nel sito web del titolare del trattamento e senza ulteriore consenso dell’interessato ove inizialmente previsto dalla legge, è sempre autorizzato l’uso secondario di dati personali privi degli elementi identificativi diretti, anche appartenenti alle categorie indicate all’articolo 9 del regolamento (UE) 2016/679, da parte dei soggetti di cui al comma 1, salvi i casi nei quali la conoscenza dell’identità degli interessati sia inevitabile o necessaria al fine della tutela della loro salute.
3. Negli ambiti di cui al comma 1 o per le finalità di cui all’articolo 2-sexies, comma 2, lettera v), del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, è sempre consentito, previa informativa all’interessato ai sensi dell’articolo 13 del regolamento (UE) 2016/679, il trattamento per finalità di anonimizzazione, pseudonimizzazione o sintetizzazione dei dati personali, anche appartenenti alle categorie particolari di cui all’articolo 9, paragrafo 1, del medesimo regolamento (UE) 2016/679. È consentito altresì il predetto trattamento finalizzato allo studio e alla ricerca sui gesti atletici, sui movimenti e sulle prestazioni nell’attività sportiva in tutte le sue forme, nel rispetto dei principi generali di cui alla presente legge e dei diritti di sfruttamento economico dei dati relativi alle attività agonistiche che spettano a chi le organizza.
4. L’Agenzia nazionale per i servizi sanitari regionali (AGENAS), previo parere del Garante per la protezione dei dati personali, tenendo conto di standard internazionali e dello stato dell’arte e della tecnica, può stabilire e aggiornare linee guida per le procedure di anonimizzazione di dati personali, di cui al comma 3, e per la creazione di dati sintetici, anche per categorie di dati e finalità di trattamento.
5. I trattamenti di dati di cui ai commi 1 e 2 devono essere comunicati al Garante per la protezione dei dati personali con l’indicazione di tutte le informazioni previste dagli articoli 24, 25, 32 e 35 del regolamento (UE) 2016/679, nonché con l’indicazione espressa, ove presenti, dei soggetti individuati ai sensi dell’articolo 28 del medesimo regolamento (UE) 2016/679, e possono essere avviati decorsi trenta giorni dalla predetta comunicazione se non sono stati oggetto di provvedimento di blocco disposto dal Garante per la protezione dei dati personali.
6. Restano fermi i poteri ispettivi, interdittivi e sanzionatori del Garante per la protezione dei dati personali.

[20] Legge 23 settembre 2025, n. 132 contenente disposizioni e deleghe al Governo in materia di intelligenza artificiale.

[21] Proposta di regolamento omnibus digitale. Essa comprende una serie di modifiche tecniche a un ampio corpus di legislazione digitale, selezionate per fornire un aiuto immediato alle imprese, alle pubbliche amministrazioni e ai cittadini e per stimolare la competitività. Si tratta di un primo passo per ottimizzare l’applicazione del codice digitale. L’obiettivo immediato è garantire che il rispetto delle norme abbia un costo inferiore, realizzi gli stessi obiettivi e porti di per sé un vantaggio competitivo alle imprese responsabili (così da questo link).