Sapere
Dove si trovano i dati dei vostri pazienti e come sono protetti. Sul server, nel cloud, su una chiavetta USB, nella vostra posta elettronica, sul telefono di un collaboratore.
Conformità nLPD · Cibersicurezza
Proteggete i dati dei vostri pazienti. È un obbligo legale.
Dal 1° settembre 2023 la nuova legge federale sulla protezione dei dati (nLPD) vi rende personalmente responsabili della sicurezza dei dati dei vostri pazienti. Questa guida vi spiega i vostri obblighi e le misure concrete da mettere in atto.
LA SITUAZIONE IN SVIZZERA
Perché il vostro studio è interessato
I ciberattacchi non prendono di mira solo le grandi aziende. Gli attacchi di massa colpiscono anche gli studi medici e dentistici: può bastare un solo clic su una falsa e-mail.
- 64'733Ciberincidenti segnalati all'UFCS nel 2025
- 2Attacchi in un anno contro il Groupe 3R, rete radiologica della Svizzera romanda
- 5 settimaneIl tempo impiegato da Vidymed per recuperare gran parte dei suoi dati
- 250'000CHF di multa massima (nLPD)
Fonti: rapporto annuale 2025 dell'Ufficio federale della cibersicurezza (UFCS), comunicati del Groupe 3R (aprile 2025 e aprile 2026) e di Vidymed (dicembre 2024 e gennaio 2025).
Responsabilità personale Le multe della nLPD colpiscono le persone fisiche, non l'azienda, e solo le violazioni intenzionali, il più delle volte su querela. In uno studio dentistico è in genere il titolare o il dirigente a essere interessato. Il termine di prescrizione è di 5 anni (art. 66 LPD).
CIÒ CHE ESIGE LA LEGGE
I vostri 3 obblighi fondamentali
La nLPD non vi chiede di diventare informatici. Vi chiede di sapere, di reagire e di dimostrare.
Notificare
Se una violazione della sicurezza dei dati comporta verosimilmente un rischio elevato per i pazienti, l'IFPDT deve essere informato quanto prima (art. 24 LPD). I pazienti interessati devono essere informati se la loro protezione lo esige o se l'IFPDT lo richiede.
Dimostrare
Su richiesta, dovete poter provare di aver adottato le misure tecniche e organizzative necessarie: documentazione, contratti, formazioni, registro delle attività di trattamento.
DATI DEGNI DI PARTICOLARE PROTEZIONE
Quali dati sono protetti nel vostro studio?
Uno studio dentistico tratta ogni giorno dati sulla salute, che sono dati personali degni di particolare protezione ai sensi dell'art. 5 lett. c LPD e sono soggetti a regole più severe. Anche gli altri dati personali dello studio richiedono una protezione accurata.
Dati sulla salute
Radiografie, CBCT, foto intraorali, diagnosi, piani di trattamento, prescrizioni, antecedenti medici, moduli d'anamnesi, note cliniche, corrispondenza con altri professionisti.
Impronte e modelli digitali
Impronte dentali digitali, impronte ottiche, modelli 3D: sono dati sulla salute, quindi degni di particolare protezione (art. 5 lett. c n. 2). Sarebbero dati biometrici (n. 4) solo se servissero a identificare una persona in modo univoco.
Dati amministrativi
Numeri AVS, date di nascita, recapiti, consensi, dati dell'assicurazione LAMal e delle assicurazioni complementari.
Corrispondenza e fatturazione
Scambi di e-mail con i pazienti, ordini ai laboratori, fatture, estratti assicurativi, storico dei pagamenti.
MISURE CONCRETE
Ciò che dovete mettere in atto
Ogni punto qui sotto è descritto in dettaglio nella guida di riferimento, scaricabile gratuitamente in fondo alla pagina.
Posta elettronica sicura
Ogni comunicazione che contiene dati dei pazienti deve passare da una posta elettronica con crittografia end-to-end. Gmail, Hotmail, Bluewin e WhatsApp non sono conformi per i dati medici.
Aggiornamenti
Tutte le postazioni devono funzionare con un sistema operativo ancora supportato dal produttore. Il supporto di Windows 10 è terminato nell'ottobre 2025. Anche i software dentali e i browser devono essere aggiornati.
Backup 3-2-1
3 copie dei vostri dati, su 2 supporti diversi, di cui 1 fuori dallo studio, e idealmente una copia scollegata o immutabile. Il ripristino deve essere testato regolarmente, almeno una volta all'anno. Il vostro fornitore di servizi informatici deve mettere in atto e documentare questa strategia.
Crittografia dei dischi
BitLocker (Windows) e FileVault (macOS) devono essere attivati su tutte le postazioni e su tutti i server. Un computer rubato senza crittografia espone immediatamente tutti i dati dei pazienti.
Password e autenticazione a due fattori
Almeno 12 caratteri, conservate in un gestore di password sicuro. L'autenticazione a due fattori (2FA) deve essere attivata su tutti gli accessi critici: posta elettronica, software gestionale, accesso remoto.
Rete Wi-Fi separata
La rete dello studio (postazioni, server, stampanti) deve essere fisicamente separata dalla rete ospiti destinata ai pazienti. Un dispositivo infetto sulla rete ospiti non deve poter raggiungere i vostri dati.
Accesso remoto sicuro
Gli strumenti gratuiti di accesso remoto lasciati sempre in attesa (TeamViewer, AnyDesk) rappresentano un rischio importante. Una VPN professionale o una soluzione RMM gestita dal vostro fornitore sono le alternative conformi.
Protezione EDR
Un antivirus da solo, di cui nessuno segue gli avvisi, lascia passare gli attacchi nuovi. Una soluzione EDR (Endpoint Detection and Response), sorvegliata da un professionista, rileva le minacce tramite l'analisi comportamentale e permette di reagire.
Gestione degli accessi degli utenti
Un account nominativo per ogni collaboratore, principio del privilegio minimo, disattivazione immediata alla partenza. Nessun account condiviso.
Contratto con il responsabile del trattamento (art. 9 LPD)
Un contratto è obbligatorio con qualsiasi fornitore che tratta dati dei pazienti per conto dello studio: fornitore di servizi informatici, fornitore di hosting cloud, fiduciaria. È meglio metterlo per iscritto, per poterlo provare. Senza contratto, rivalersi in caso di problemi è molto più difficile, e affidare intenzionalmente dati senza rispettare queste regole è punibile, a querela di parte, con una multa fino a CHF 250'000.
Formazione del personale
Gli errori umani sono all'origine di una parte significativa delle violazioni dei dati. La formazione del personale (phishing, password, procedura d'urgenza, segreto professionale) deve svolgersi almeno una volta all'anno.
Assicurazione cyber
Anche con un buon livello di sicurezza, il rischio zero non esiste. Un'assicurazione cyber copre i costi dell'intervento d'urgenza, la perdita di fatturato e le spese di notifica in caso di incidente.
IN CASO DI INCIDENTE
Le 6 tappe d'urgenza
Se sospettate un attacco o una fuga di dati, i primi minuti sono decisivi. Seguite queste tappe nell'ordine.
Isolare
Staccare il cavo di rete, disattivare il Wi-Fi. Non spegnere la postazione: si distruggerebbero le prove.
Chiamare il vostro fornitore IT
Prima di tutto il vostro fornitore di servizi informatici. Se non è raggiungibile: l'UFCS tramite incidents@ncsc.ch o report.ncsc.admin.ch.
Documentare
Fotografare gli schermi, annotare l'ora esatta, elencare le postazioni e i dati potenzialmente colpiti.
Non pagare il riscatto
Raccomandazione ufficiale della Confederazione. Pagare non garantisce nulla e finanzia le reti criminali.
Valutare
Sono coinvolti dati dei pazienti? Se il rischio per i pazienti è verosimilmente elevato, o non può essere escluso rapidamente, la notifica all'IFPDT è obbligatoria; in caso di ransomware, questo rischio va presunto secondo le circostanze.
Notificare all'IFPDT
Tramite databreach.edoeb.admin.ch, quanto prima (art. 24 LPD).
L'IFPDT non fa irruzione nel vostro studio. Legge la vostra notifica, verifica che abbiate reagito correttamente e può chiedere precisazioni. La regola d'oro: notificare presto è meglio che non notificare.
CASI REALI
Attacchi nella Svizzera romanda, non solo in televisione
| Incidente | Data | Conseguenze |
|---|---|---|
| Groupe 3R, Réseau Radiologique Romand (20 centri, 7 cantoni) | Aprile 2025 e aprile 2026 | Due attacchi ransomware, dati dei pazienti rubati; riscatto rifiutato, dati pubblicati nel 2026 |
| Vidymed, Losanna ed Epalinges | Dicembre 2024 | Informatica sospesa, ritorno alla carta; gran parte dei dati ripristinata cinque settimane dopo |
Quanto costa un attacco Giorni, a volte settimane, di lavoro a ritmo ridotto: da Vidymed ci sono volute cinque settimane per recuperare gran parte dei dati. A ciò si aggiungono il ripristino dei sistemi, l'informazione dei pazienti e la perdita della loro fiducia.
CONTATTI D'URGENZA
Numeri e portali da conservare
| Ente | Ruolo | Contatto |
|---|---|---|
| UFCS | Segnalazione di un ciberattacco | incidents@ncsc.ch · report.ncsc.admin.ch |
| IFPDT | Notifica di una violazione della sicurezza dei dati | +41 58 462 43 95 (lun-ven 10:00-12:00) · databreach.edoeb.admin.ch |
| Polizia cantonale | Furto di materiale, denuncia | 117 |
RISORSE GRATUITE
Documenti da scaricare
Tutti i documenti qui sotto sono gratuiti e liberamente scaricabili. Sono pensati per essere utilizzati direttamente nel vostro studio.
- DS1
Guida nLPD & Cibersicurezza
Guida di riferimento completa. 17 capitoli, checklist, glossario, FAQ.
- DS2
Scheda riflessi - Incidente di sicurezza
Procedura d'urgenza. Fronte-retro, da stampare e affiggere nello studio.
- DS3
Modello - Politica di sicurezza
Politica interna completa con attestazione di presa di conoscenza.
- DS4
Modello - Attestato di formazione
Modulo con argomenti da spuntare, da conservare nel fascicolo del personale.
- DS5
Modello - Procedura d'incidente (collaboratori)
Le 6 tappe e i contatti d'urgenza. Da consegnare a ogni collaboratore.
- DS6
Modello - Regole per il personale temporaneo
Documento di una pagina per stagisti, sostituti e collaboratori esterni.
- DS7
Modello - Contratto con il responsabile del trattamento (generico)
Contratto ai sensi dell'art. 9 LPD per qualsiasi fornitore che tratta dati dei pazienti per conto dello studio.
- DS8
Registro delle attività di trattamento
Inventario strutturato di tutti i trattamenti di dati dello studio.
- DS9
Informativa sulla protezione dei dati dei pazienti
Informazione ai pazienti sul trattamento dei loro dati personali.
- DS10
Modello - Risposta a una richiesta d'accesso
Lettera tipo per rispondere alle richieste d'accesso dei pazienti (art. 25 LPD).
- DS11
Modulo di documentazione dell'incidente
Modulo interno per documentare ogni incidente di sicurezza.
Uso libero Questi documenti sono forniti a scopo informativo ed educativo. Non costituiscono una consulenza legale. Adattateli alla situazione specifica del vostro studio e rivolgetevi a un giurista specializzato per qualsiasi domanda relativa alla nLPD.
Avete bisogno di accompagnamento per la vostra conformità?
DentalSystems Sàrl accompagna gli studi dentistici della Svizzera romanda in materia di cibersicurezza, conformità nLPD e infrastruttura informatica.
DentalSystems Qualità, Sicurezza, Trasparenza
Quiz - nLPD & Cibersicurezza
Note sulla guida
Note legali e condizioni d'utilizzo
Questo documento è stato redatto da DentalSystems Sàrl a scopo informativo e di sensibilizzazione. Non costituisce una consulenza legale. Le informazioni contenute in questo documento sono aggiornate a ottobre 2026 e possono cambiare in seguito a modifiche legislative e regolamentari.
Per qualsiasi questione giuridica relativa alla nLPD, al RGPD o alla protezione dei dati in ambito medico, rivolgetevi a un giurista specializzato.
Questa versione italiana è una traduzione; fa fede la versione francese.
Proprietà intellettuale
Questo documento è di proprietà esclusiva di DentalSystems Sàrl. L'insieme del suo contenuto (testi, struttura, impaginazione ed elementi grafici) è protetto dal diritto d'autore conformemente alla legge federale sul diritto d'autore e sui diritti di protezione affini (LDA, RS 231.1).
Uso autorizzato
La guida e la scheda riflessi possono essere liberamente scaricate, stampate e diffuse all'interno di uno studio dentistico o di una struttura medica, senza modifiche e con l'indicazione del loro autore (DentalSystems Sàrl). I modelli (da DS3 a DS11) possono essere modificati e utilizzati a nome dello studio, anche nei confronti dei suoi pazienti, dei suoi collaboratori e dei suoi fornitori, senza mantenere le nostre diciture.
Usi vietati
Salvo accordo scritto preventivo di DentalSystems Sàrl, è vietato vendere questi documenti, anche modificati, o metterli a disposizione di terzi per il download (siti di download, piattaforme di condivisione, rivenditori).
Limitazione di responsabilità
Questi documenti sono forniti gratuitamente, a titolo informativo. Nei limiti consentiti dal diritto svizzero, DentalSystems Sàrl non risponde delle conseguenze del loro utilizzo; questa limitazione non si applica in caso di dolo o di colpa grave. L'utente resta responsabile del loro adattamento alla propria situazione. Non sostituiscono né un audit professionale né una consulenza legale.
DentalSystems Sàrl
Thomas Alvino, Tecnico IT
www.dentalsystems.ch | talvino@dentalsystems.ch | +41 77 245 48 44
© 2026 DentalSystems Sàrl. Tutti i diritti riservati.