Protezione dei dati presso la cassa malati

Cosa si intende per protezione dei dati presso la cassa malati?

La protezione dei dati presso la cassa malati comprende tutte le regole che stabiliscono quali dati una cassa può raccogliere su di te, per quale scopo può usarli e a chi può comunicarli. Le casse trattano informazioni particolarmente delicate: diagnosi, trattamenti, medicamenti, degenze ospedaliere, ma anche il reddito in relazione alla riduzione dei premi. Secondo la legge sulla protezione dei dati, i dati sulla salute sono dati personali degni di particolare protezione.

Decisiva è la distinzione tra assicurazione di base e assicurazione complementare:

• Assicurazione di base (LAMal): la cassa svolge un compito pubblico della Confederazione. Per lei valgono le regole sulla protezione dei dati della LAMal, l’obbligo del segreto del diritto delle assicurazioni sociali e la legge sulla protezione dei dati per gli organi federali. Può trattare solo ciò che le serve per i compiti secondo la LAMal.
• Assicurazione complementare (LCA): qui la cassa agisce come assicurazione privata. Valgono la legge sul contratto d’assicurazione e la legge sulla protezione dei dati per i privati. Prima della conclusione del contratto la cassa può porre un questionario sanitario e usare le tue risposte per decidere sull’ammissione.

Anche se le due assicurazioni sono gestite dallo stesso gruppo di casse, giuridicamente si tratta di ambiti separati. I dati dell’assicurazione di base non possono passare semplicemente all’assicurazione complementare.

Da non confondere con la protezione dei dati della cassa è la cartella informatizzata del paziente (CIP). La CIP è una raccolta dei tuoi documenti sanitari. Lì concedi diritti d’accesso a professionisti della salute, cioè a medici, ospedali o farmacie (art. 9 LCIP), non alla tua cassa.

Come funziona

Quali dati la cassa può trattare: la LAMal elenca gli scopi in modo esaustivo, tra cui: controllare l’obbligo d’assicurazione, calcolare e riscuotere i premi, valutare il diritto alle prestazioni e calcolarle, attuare la riduzione dei premi, esercitare il regresso contro terzi responsabili, allestire statistiche, effettuare la compensazione dei rischi e informarti in modo mirato su prestazioni, modelli assicurativi e misure di prevenzione meno costosi.

Cosa figura sulla fattura: medici, ospedali e terapisti devono indicare sulla fattura le diagnosi e le procedure in forma codificata. La cassa può esigere ragguagli supplementari di natura medica. Puoi però esigere che le indicazioni mediche vadano solo al medico di fiducia della cassa. Il medico di fiducia decide in modo indipendente e trasmette all’amministrazione solo le indicazioni necessarie per decidere sulla prestazione, sulla remunerazione, sulla compensazione dei rischi o per motivare una decisione.

Chi altro riceve i dati: i collaboratori della cassa sono soggetti all’obbligo del segreto. La LAMal permette la comunicazione solo a determinati servizi, per esempio ad altre assicurazioni sociali con obbligo legale, ai servizi di statistica in forma anonimizzata, alle autorità penali in caso di crimini o, in singoli casi e su richiesta scritta e motivata, alle autorità d’assistenza sociale, ai tribunali o agli uffici d’esecuzione. In caso di premi non pagati, dopo una diffida rimasta senza esito la cassa può informare le autorità d’assistenza sociale o i servizi cantonali competenti.

Tutti gli altri terzi: i dati personali arrivano ad altri solo se nel singolo caso hai dato il tuo consenso scritto oppure, se questo non è possibile, se si può presumere che la comunicazione sia nel tuo interesse. Questo vale anche per l’assicurazione complementare dello stesso gruppo di casse.

Sicurezza tecnica: le casse devono adottare misure di protezione tecniche e organizzative e allestire regolamenti per il trattamento. Li sottopongono all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e sono accessibili al pubblico.

Base legale

Nell’assicurazione di base la protezione dei dati si fonda su diverse leggi:

• Art. 84 LAMal: gli organi dell’assicurazione malattie possono trattare dati personali, anche degni di particolare protezione, nella misura in cui ne hanno bisogno per i loro compiti secondo la LAMal o la LVAMal. Gli scopi sono elencati al cpv. 1 lett. a–j.
• Art. 84a LAMal: regole esaustive sulla comunicazione di dati ad autorità e ad altri servizi. Secondo il cpv. 5 lett. b i dati personali possono andare ad altri terzi solo se la persona interessata ha dato il suo consenso scritto nel singolo caso, oppure se il consenso non può essere ottenuto e si può presumere che la comunicazione sia nel suo interesse. Cpv. 6: possono essere comunicati solo i dati necessari per lo scopo.
• Art. 84b LAMal: obbligo di adottare misure tecniche e organizzative e di allestire regolamenti per il trattamento, sottoposti all’IFPDT e accessibili al pubblico.
• Art. 42 cpv. 3bis, 4 e 5 LAMal: diagnosi codificate sulla fattura, ragguagli supplementari di natura medica e diritto dell’assicurato di far pervenire le indicazioni mediche solo al medico di fiducia.
• Art. 57 cpv. 5 e 7 LAMal: indipendenza del medico di fiducia; trasmissione all’amministrazione solo nella misura necessaria per la decisione sulla prestazione, la remunerazione, la compensazione dei rischi o la decisione formale.
• Art. 33 LPGA: obbligo del segreto per tutte le persone che partecipano all’esecuzione delle assicurazioni sociali.

Dalla legge sulla protezione dei dati (LPD) valgono in particolare: art. 5 lett. c n. 2 LPD (i dati sulla salute sono degni di particolare protezione), art. 6 LPD (liceità, proporzionalità, vincolo dello scopo, cancellazione quando lo scopo viene meno) e art. 25 LPD (diritto d’accesso, gratuito). Secondo l’art. 18 OPDa l’informazione va fornita entro 30 giorni. Nell’assicurazione di base le casse sono considerate organi federali ai sensi dell’art. 5 lett. i LPD, perché sono incaricate di un compito pubblico della Confederazione.

Esempio: chi può sapere cosa?

Mira, 38 anni, ha presso una cassa sia l’assicurazione di base sia un’assicurazione complementare. Nel 2026 segue un trattamento ambulatoriale, chiede un’assicurazione complementare ospedaliera più elevata e vuole sapere quali dati ha su di lei la cassa.

Cosa significa per te?

• Chiedi informazioni: invia alla cassa una domanda d’informazione scritta. Deve rispondere entro 30 giorni, gratuitamente.
• Chiedi il medico di fiducia: in caso di diagnosi delicate puoi dire alla tua medica che le indicazioni mediche devono andare solo al medico di fiducia.
• Verifica i consensi: nelle offerte e nelle proposte non firmare consensi generici di cui non capisci la portata. L’assicurazione di base la ottieni anche senza consenso; secondo la LAMal la cassa deve ammetterti.
• Confronta senza rivelare dati: i premi li confronti nel calcolatore dei premi senza nome, e-mail o numero di telefono. Come trattiamo i dati lo trovi nella nostra dichiarazione sulla protezione dei dati, il nostro modello d’affari sotto Trasparenza.
• Conosci le casse: gli indicatori delle casse li trovi sotto Casse malati.

Errori frequenti

• Credere che assicurazione di base e complementare condividano automaticamente tutti i dati. Giuridicamente sono ambiti separati. Per la comunicazione serve una base legale o il tuo consenso.
• Firmare consensi senza leggerli. Chi in una proposta dà un consenso generico autorizza, a seconda dei casi, flussi di dati molto ampi.
• Rinunciare all’informazione perché costa. L’informazione è di principio gratuita.
• Rispondere in modo incompleto al questionario sanitario. Non è protezione dei dati, ma una reticenza. L’assicurazione può allora disdire il contratto.

Prepariamo informazioni indipendenti su casse e premi senza dati personali; maggiori dettagli sotto Come calcoliamo.