La trasmissione dei dati di sorveglianza sanitaria si articola in tre flussi principali: il flusso annuale verso INAIL con dati in forma aggregata e anonima (art. 40, comma 5-sexies, D.Lgs. 81/2008), la relazione sanitaria annuale al datore di lavoro con risultati collettivi non identificabili (art. 40, comma 1) e i referti MALPROF per le malattie professionali, nominativi e da inviare entro 48 ore dalla diagnosi. Al datore di lavoro non vanno mai i referti clinici, ma solo il giudizio di idoneita.
I dati di sorveglianza sanitaria viaggiano su tre flussi principali: il flusso annuale aggregato verso INAIL, la relazione sanitaria annuale al datore di lavoro e i referti MALPROF per le malattie professionali. Quasi tutti riguardano dati aggregati e anonimi, non referti nominativi.
Quando questi report vengono ricostruiti a mano da cartelle sanitarie eterogenee, con fogli di calcolo inviati via email, il rischio è doppio: adempimenti verso gli enti saltati o errati, e violazione della riservatezza di dati sanitari protetti dall’art. 9 del GDPR. In questo articolo trovate la mappa dei flussi previsti dalla normativa, la distinzione tra chi può vedere cosa, gli errori operativi più frequenti e i requisiti che uno strumento di lavoro deve garantire.
Perché la trasmissione dei dati di sorveglianza sanitaria non può restare un processo manuale
Un medico competente che segue più aziende produce ogni anno report sui risultati della sorveglianza, estraendo dati da cartelle sanitarie costruite in anni diversi, spesso in parte cartacee o raccolte in archivi Excel non omogenei. La ricostruzione manuale concentra tre rischi concreti:
- Scadenze saltate: il flusso verso INAIL è annuale, la relazione sanitaria va redatta per ogni azienda seguita, e i referti di malattia professionale devono essere trasmessi entro un termine breve e perentorio dalla diagnosi. Senza un sistema che le presidi, le date dipendono dalla memoria.
- Dati aggregati contaminati: un report “anonimo” ricavato copiando celle da un foglio di calcolo può conservare nominativi in righe nascoste, colonne non filtrate o metadati del file.
- Nessuna traccia delle estrazioni: se l’organismo di vigilanza chiede come è stato prodotto un dato, un processo manuale non lascia log consultabili.
Gli obblighi valgono per studi di ogni dimensione, anche per chi segue una sola azienda cliente. E le responsabilità restano personali: i dati sanitari sono categorie particolari di dati ex art. 9 GDPR, e l’art. 32 impone misure tecniche adeguate al rischio. La dimensione ridotta dello studio non riduce né sanzioni né controlli.
Chi è titolare dei dati della sorveglianza sanitaria e chi non può accedervi
Il medico competente è Titolare autonomo del trattamento dei dati contenuti nella cartella sanitaria e di rischio di ogni lavoratore sottoposto a sorveglianza sanitaria. La cartella è redatta e custodita dal medico, con obbligo di segreto professionale (artt. 25 e 40, D.Lgs. 81/2008).
Al datore di lavoro va consegnato solo il giudizio di idoneità alla mansione specifica, con le eventuali prescrizioni o limitazioni. Mai i referti clinici, mai le diagnosi, mai il contenuto della cartella. Questa separazione definisce quali dati possono uscire dallo studio e verso chi, ed è il perimetro entro cui leggere tutti gli altri flussi di trasmissione.
Il conflitto pratico nasce quando il datore chiede direttamente documentazione clinica, ad esempio in caso di controversia o di verifica. La risposta corretta è già nella struttura digitale del dato: come descritto nella guida alla cartella sanitaria del lavoratore gestita in digitale, la separazione tecnica tra contenuti riservati e contenuti trasmissibili dimostra perché la distinzione non può dipendere dall’attenzione di chi invia, ma deve essere incorporata nel sistema.
Quali flussi di trasmissione dei dati prevede la normativa
Gli adempimenti di trasmissione non sono un unico invio, ma flussi diversi con destinatari, forme e termini diversi.
Il flusso INAIL annuale dei dati aggregati
L’art. 40, comma 5-sexies, D.Lgs. 81/2008 prevede che le informazioni sui dati sanitari dei lavoratori sottoposti a sorveglianza sanitaria, in forma anonima e aggregata, vengano inviate alla INAIL secondo le modalità stabilite dalla Commissione consultiva permanente di cui all’art. 6. La forma aggregata e anonima è un requisito di legge, non un’opzione di stile: un file che contenga nominativi non sarebbe conforme al requisito di forma, anche se l’invio avvenisse nei termini.
Le modalità tecniche di trasmissione (piattaforme, formati, finestre temporali) sono definite da INAIL e dalla Commissione consultiva e possono variare: prima di ogni adempimento verificate le indicazioni aggiornate sui canali ufficiali.
La relazione sanitaria annuale al datore di lavoro
Per ogni azienda con sorveglianza sanitaria, l’art. 40, comma 1, D.Lgs. 81/2008 impone al medico competente di comunicare al datore di lavoro, alla riunione periodica di cui all’art. 35, i risultati anonimi e collettivi della sorveglianza. La relazione descrive andamenti complessivi, ad esempio la distribuzione dei risultati clinici per mansione o per gruppo omogeneo, senza mai rendere identificabili i singoli lavoratori. La documentazione resta disponibile in caso di controllo da parte degli organismi di vigilanza.
I referti MALPROF per le malattie professionali
Il terzo flusso funziona su logica opposta: è nominativo. In caso di sospetta malattia professionale, la normativa prevede la trasmissione di un referto, denominato nella pratica MALPROF, ai fini della tutela assicurativa INAIL del lavoratore, entro un termine breve dalla diagnosi. Qui l’identità del lavoratore è necessaria, perché il flusso attiva la protezione assicurativa individuale.
Le comunicazioni verso SPSAL, ASL e organismi di vigilanza
Gli organismi di vigilanza previsti dal Titolo I del D.Lgs. 81/2008 possono richiedere, nell’esercizio della loro funzione, documentazione ed esibizione dei dati di sorveglianza. In sede di controllo la capacità di produrre report ordinati, datati e verificabili diventa parte della difesa del professionista: un archivio frammentato tra carta e fogli di calcolo rende questa operazione lenta e fallibile proprio quando serve massima precisione.
Dati nominativi, giudizi di idoneità e dati aggregati: cosa può uscire dallo studio
La distinzione decisiva si può riassumere in una tabella:
| Tipo di dato | Destinatario | Forma richiesta |
|---|---|---|
| Cartella sanitaria e di rischio | Nessun flusso di trasmissione all’esterno | Custodia del medico competente ex artt. 25 e 40 D.Lgs. 81/2008 |
| Giudizio di idoneità, limitazioni, prescrizioni | Datore di lavoro | Documento di idoneità senza diagnosi |
| Dati aggregati e anonimi | INAIL, relazione annuale, riunioni periodiche | Aggregati, non riconducibili al singolo |
| Referto MALPROF | INAIL, per la tutela assicurativa | Nominativo, entro un termine breve dalla diagnosi |
Chi confonde i piani commette una violazione GDPR anche rispettando le scadenze INAIL: inviare al datore di lavoro un report che contenga nominativi con relativi esiti clinici resta illecita diffusione di dati sanitari, qualunque sia la buona intenzione amministrativa.
Errori frequenti e rischi operativi nella trasmissione
I fallimenti più comuni non nascono da negligenza deliberata, ma dalla procedura manuale:
- Report ricostruiti a mano: aggregazioni ricavate da Excel eterogenei, compilati in anni diversi e da operatori diversi, con campi non omogenei.
- Invii via email non protetta: file trasmessi su canali senza cifratura e senza controlli di accesso, esposti a intercettazione o inoltro non autorizzato.
- Nessun log delle estrazioni: impossibilità di dimostrare chi ha estratto quali dati, quando e per quale finalità.
- Formati non allineati: strutture dati difformi dalle indicazioni della Commissione consultiva permanente, rigettate o corrette in fretta.
- Allegati sbagliati: giudizio di idoneità trasmesso al datore con referto clinico completo in calce.
Gli ultimi due punti richiedono sostegno strutturale, non attenzione. La gestione automatizzata dello scadenziario delle visite mediche del lavoro riduce l’esposizione sul primo fronte, mentre sulla questione dei log la tracciabilità degli accessi alla cartella clinica richiesta dagli articoli 5 e 32 del GDPR è un requisito normativo che va risolto in fase di scelta dello strumento.
Cosa deve garantire un software per le esportazioni di sorveglianza sanitaria
Un software per la trasmissione dei dati di sorveglianza sanitaria va valutato su requisiti verificabili:
- Aggregazione nativa: filtri e funzioni di anonimizzazione incorporati nell’estrazione, non lasciati alla pulizia manuale del file.
- Export strutturati: produzione di file in formati riutilizzabili (CSV, XLSX) con campi ordinati, non solo stampe o PDF.
- Tracciabilità completa: log di ogni accesso ed estrazione, consultabili in caso di verifica.
- Ruoli differenziati: permessi distinti tra medico competente e staff amministrativo.
- Separazione tecnica netta: barriera architetturale tra il contenuto della cartella del lavoratore e ciò che è visibile al datore di lavoro.
- Hosting conforme: ubicazione dichiarata dei server, backup e misure di sicurezza documentate, secondo gli artt. 5, 25 e 32 del GDPR.
Questi punti traducono in checklist il principio di privacy by design (art. 25 GDPR) applicato al ciclo di vita dei dati di sorveglianza.
Come Medaid supporta la reportistica aggregata del medico competente
Il software per medici competenti dedicato alla sorveglianza sanitaria di Medaid centralizza cartella sanitaria del lavoratore, giudizi di idoneità e scadenziario in un ambiente unico, con reportistica in tempo reale ed esportazioni strutturate. L’estrazione e la preparazione dei report aggregati, pronti per i flussi previsti dalla normativa, sono supportate direttamente dalla piattaforma: i dati non vanno più ricostruiti ogni anno partendo da archivi frammentati.
Resta una precisazione di metodo: modalità e responsabilità dell’invio agli enti competono al medico competente, che verifica sui canali ufficiali INAIL le indicazioni tecniche aggiornate. Il software automatizza la fase di raccolta e formattazione, riducendo i passaggi manuali e lasciando al medico il controllo finale della trasmissione.
Per valutare il percorso nel vostro caso specifico, potete prenotare un colloquio di 30 minuti con il team italiano di Medaid, con sede a Milano: info@medaid.it.
La conformità nella trasmissione come tutela del professionista
Trasmettere correttamente i dati di sorveglianza sanitaria è la parte visibile della qualità del lavoro del medico competente, davanti a INAIL, agli organismi di vigilanza e alle aziende clienti. Un flusso di dati ordinato, aggregato e tracciato protegge la reputazione professionale e rende ogni controllo più semplice da affrontare.
