L’entrata in vigore del Regolamento (UE) 2025/327, istitutivo dello European Health Data Space (EHDS), pone agli Stati membri una questione che non si esaurisce nell’adozione delle necessarie misure nazionali di completamento. Il regolamento europeo si inserisce, infatti, in sistemi nazionali caratterizzati da differenti livelli di maturità nella disciplina e nella governance dei dati sanitari.
La Finlandia rappresenta, sotto questo profilo, un caso di particolare interesse. A differenza di ordinamenti nei quali il concetto di uso secondario dei dati sanitari deve essere introdotto o profondamente ristrutturato, la Finlandia dispone già dal 2019 di una disciplina organica in materia, fondata sull’Act on the Secondary Use of Health and Social Data e sull’istituzione di Findata quale autorità specializzata nel rilascio dei permessi per l’utilizzo secondario dei dati.
La questione finlandese non è pertanto quella di costruire ex novo un sistema di accesso ai dati sanitari per finalità di ricerca, innovazione e governo del sistema sanitario, ma quella di adattare un’architettura nazionale già esistente alle nuove regole europee, preservandone, ove possibile, gli elementi funzionali e intervenendo sugli aspetti che l’EHDS modifica o armonizza.
Questo rende l’esperienza finlandese particolarmente significativa anche in prospettiva comparata: il caso mostra come l’implementazione dell’EHDS possa essere affrontata non attraverso una sostituzione integrale della disciplina nazionale, ma mediante un processo di coordinamento, revisione e progressiva interoperabilità.
Il punto di partenza: la disciplina finlandese sul secondary use
La Finlandia ha adottato nel 2019 l’Act on the Secondary Use of Health and Social Data (552/2019), con l’obiettivo di consentire il trattamento sicuro ed efficace dei dati registrati nell’ambito delle attività sociali e sanitarie per finalità ulteriori rispetto a quelle originarie, comprese ricerca, statistica, attività di indirizzo e supervisione.
La scelta legislativa finlandese si caratterizza quindi per avere anticipato alcuni degli elementi che oggi costituiscono il nucleo del Capo IV dell’EHDS: individuazione di finalità di uso secondario, disciplina dell’accesso ai dati, autorizzazione amministrativa, sicurezza del trattamento e concentrazione delle funzioni di governance presso un’autorità specializzata.
In tale contesto è stata istituita Findata, operativa dal 2019, quale autorità nazionale competente per il rilascio dei permessi relativi all’utilizzo secondario dei dati sanitari e sociali. La stessa Findata sottolinea come la Finlandia sia stata tra i primi Stati membri dell’Unione a dotarsi di una specifica autorità per i permessi di accesso ai dati sanitari.
Il dato più rilevante, sotto il profilo istituzionale, è quindi la presenza di una struttura amministrativa già dedicata alla gestione dell’accesso ai dati, elemento che riduce la necessità di creare ex novo un modello organizzativo in occasione dell’EHDS.
L’EHDS come evoluzione, non come sostituzione integrale
Il Regolamento (UE) 2025/327 introduce un quadro comune europeo per l’utilizzo e lo scambio dei dati sanitari elettronici. Per quanto riguarda l’uso secondario, il regolamento amplia e armonizza le categorie di dati, le finalità ammissibili e le condizioni di accesso, prevedendo un sistema nel quale gli Health Data Access Bodies (HDAB) assumono un ruolo centrale.
Il modello europeo presenta quindi numerosi punti di contatto con il sistema finlandese già esistente.
La stessa Findata evidenzia che l’EHDS è, sotto diversi profili, simile all’attuale disciplina finlandese, ma introduce anche modifiche rilevanti: tra queste, l’ampliamento delle categorie di dati, nuove modalità di gestione delle richieste, la possibilità di richieste transfrontaliere, l’integrazione con l’infrastruttura europea HealthData@EU, nuovi obblighi di trasparenza e un rafforzamento dei poteri sanzionatori.
Ne deriva una prima considerazione di carattere generale: l’EHDS non impone necessariamente alla Finlandia di abbandonare il proprio modello, ma richiede di verificarne la compatibilità con un insieme di regole europee direttamente applicabili e progressivamente armonizzate.
È precisamente in questo passaggio che si colloca l’attuale attività legislativa finlandese.
La strategia normativa finlandese
Il Ministero finlandese degli Affari Sociali e della Salute ha avviato nel 2024 un procedimento legislativo specificamente dedicato al completamento nazionale delle disposizioni dell’EHDS relative all’uso secondario dei dati e alle sanzioni.
Secondo il progetto governativo attualmente in preparazione, la Finlandia intende adottare una nuova legge nazionale complementare all’EHDS, accompagnata dalla modifica di alcune disposizioni già esistenti. Il progetto prevede, in particolare, interventi sull’Act on the Secondary Use of Health and Social Data e sulla legislazione relativa al trattamento dei dati dei clienti nei servizi sanitari e sociali. L’entrata in vigore delle nuove disposizioni è attualmente prevista per il 1° gennaio 2027.
La scelta è giuridicamente significativa.
La Finlandia non sembra orientarsi verso un unico atto normativo sostitutivo dell’intera disciplina precedente. Al contrario, l’approccio è quello della normativa complementare, attraverso la quale vengono mantenute le strutture nazionali esistenti e vengono introdotti gli adattamenti necessari a garantire la coerenza con il regolamento europeo.
Si tratta di un modello di particolare interesse per gli Stati membri che dispongono già di una disciplina nazionale articolata.
Findata e il futuro ruolo di Health Data Access Body
Uno degli aspetti più rilevanti riguarda la governance.
Nel sistema finlandese esiste già Findata, autorità specializzata nell’autorizzazione dell’uso secondario dei dati. Nel progetto di attuazione dell’EHDS, è previsto che Findata assuma il ruolo di coordinating Health Data Access Body e di national contact point per l’EHDS in Finlandia.
La scelta presenta una chiara logica di continuità istituzionale: l’autorità che già possiede competenze, infrastrutture e conoscenze specifiche in materia di accesso ai dati viene posta al centro della nuova governance europea.
La stessa Findata ha evidenziato, tuttavia, che l’assunzione di tali funzioni richiederà adeguate risorse umane, finanziarie e tecnologiche.
Questo elemento è particolarmente importante perché dimostra che l’implementazione dell’EHDS non è soltanto una questione di tecnica legislativa. La designazione formale di un HDAB deve essere accompagnata da una effettiva capacità amministrativa e infrastrutturale.
La riforma della disciplina nazionale sul secondary use
Parallelamente al processo di implementazione dell’EHDS, la Finlandia ha già modificato la propria disciplina nazionale sul secondary use.
Dal 1° maggio 2026 sono entrate in vigore modifiche significative all’Act on the Secondary Use of Health and Social Data, riguardanti, tra l’altro, le procedure per i permessi e le modalità di accesso, combinazione e comunicazione dei dati. Una delle principali innovazioni consiste nel passaggio da un modello prevalentemente centralizzato a un modello ibrido e decentralizzato: l’accesso ai dati può, in determinate circostanze, essere richiesto direttamente ai singoli data controller, mentre Findata mantiene il proprio servizio centralizzato per determinate categorie di richieste.
La riforma assume particolare rilievo se letta alla luce dell’EHDS, poiché mostra che la Finlandia non sta semplicemente aspettando l’applicazione del regolamento europeo, ma sta già riadattando il proprio sistema nazionale.
Si tratta, tuttavia, di un processo non lineare.
Il rapporto tra secondary use e ricerca clinica
Uno degli aspetti più interessanti dell’esperienza finlandese riguarda proprio la delimitazione del rapporto tra la disciplina generale del secondary use e la ricerca clinica.
A decorrere dal 1° gennaio 2026, le modifiche legislative finlandesi hanno escluso dal campo di applicazione dell’Act on the Secondary Use of Health and Social Data i dati disciplinati dalla legislazione specifica in materia di sperimentazioni cliniche di medicinali, dispositivi medici e ricerca medica. Tali dati possono comunque essere trattati in ambienti conformi ai requisiti previsti dalla disciplina sul secondary use o trasferiti ad altri ambienti, purché siano rispettati tutti i requisiti normativi applicabili.
La distinzione è rilevante perché evidenzia un principio che può essere trasposto anche nell’analisi italiana: non tutto il trattamento di dati utilizzati nella ricerca costituisce automaticamente “secondary use” ai sensi della disciplina generale.
La qualificazione dell’attività, la base giuridica, la disciplina settoriale applicabile e la finalità del trattamento continuano ad assumere un ruolo centrale.
La stessa riforma finlandese prevede tuttavia un’ipotesi di interazione tra i due ambiti: la disciplina sul secondary use può tornare ad applicarsi, ad esempio, quando dati provenienti da registri vengono combinati con una ricerca clinica relativa a soggetti che non hanno prestato il consenso, come può avvenire nel caso di dati relativi a familiari o soggetti di controllo.
Questo rappresenta un interessante esempio di delimitazione funzionale tra discipline diverse, piuttosto che di semplice sovrapposizione.
L’infrastruttura tecnologica come componente dell’attuazione
Un ulteriore elemento caratterizzante il modello finlandese è l’attenzione rivolta alle infrastrutture.
Attraverso il progetto FinHITS, finanziato anche dall’Unione europea e previsto per il periodo 2023-2027, la Finlandia sta sviluppando l’infrastruttura necessaria a sostenere l’uso secondario dei dati e la futura partecipazione allo European Health Data Space.
Il progetto comprende, tra l’altro, lo sviluppo di un nuovo servizio elettronico per le richieste di accesso ai dati, il rafforzamento del catalogo delle risorse informative, l’evoluzione degli ambienti sicuri di trattamento e la realizzazione del collegamento con l’infrastruttura europea HealthData@EU.
Questo profilo conferma un dato essenziale: l’attuazione dell’EHDS non può essere ridotta alla sola modifica della legislazione nazionale.
Il diritto di accesso ai dati deve essere accompagnato dalla capacità tecnica di rendere tale accesso effettivamente possibile, sicuro, tracciabile e interoperabile.
La consultazione degli stakeholder e la costruzione della normativa
Il percorso finlandese presenta inoltre una significativa dimensione partecipativa.
Nel giugno 2026 il Ministero degli Affari Sociali e della Salute ha sottoposto alla consultazione degli stakeholder una bozza di proposta governativa relativa all’attuazione nazionale delle disposizioni EHDS sull’uso secondario. La proposta affronta, tra gli altri aspetti, le procedure di autorizzazione, il ruolo delle autorità e i diritti degli interessati.
Findata ha partecipato al processo formulando osservazioni sulla proposta e sostenendo, tra l’altro, l’inclusione dei dati sociali, l’introduzione di un sistema centralizzato di domanda e gestione dei permessi e l’allineamento dei requisiti relativi ai dataset, alla sicurezza delle informazioni e alle tariffe con la disciplina nazionale esistente.
La consultazione ha inoltre evidenziato alcune questioni ancora aperte, tra cui la gestione dell’opt-out dei cittadini e la sua possibile centralizzazione attraverso MyKanta.
L’esperienza finlandese dimostra quindi come la fase di implementazione dell’EHDS sia anche una fase di scelta delle soluzioni organizzative nazionali, entro gli spazi lasciati dal regolamento europeo.
10. Un modello di implementazione “per continuità”
Dall’analisi del percorso finlandese emerge un modello che può essere definito di continuità regolatoria e istituzionale.
La Finlandia disponeva già di:
una disciplina legislativa sul secondary use;un’autorità specializzata per i permessi;procedure di accesso ai dati; ambienti sicuri per il trattamento;un sistema di governance dei dati sanitari;esperienza nella gestione amministrativa delle richieste di accesso.
L’EHDS non determina quindi la necessità di costruire integralmente un nuovo sistema, ma richiede di allineare e ampliare quello esistente.
La strategia sembra articolarsi su tre direttrici:
continuità normativa, attraverso il mantenimento della disciplina nazionale integrata con nuove disposizioni;
continuità istituzionale, attraverso il ruolo attribuito a Findata quale futuro HDAB coordinatore e punto di contatto nazionale;
continuità infrastrutturale, attraverso l’adeguamento progressivo dei sistemi e degli ambienti tecnologici alla dimensione europea.
Un modello rilevante anche per l’Italia?
Il confronto con l’Italia deve essere effettuato con cautela, poiché i due ordinamenti presentano strutture istituzionali e normative differenti.
Tuttavia, l’esperienza finlandese evidenzia alcuni profili che possono risultare utili anche nel contesto italiano.
Il primo riguarda la necessità di partire dalla mappatura delle discipline già esistenti, anziché considerare l’EHDS come un quadro normativo completamente separato.
Il secondo riguarda la distinzione tra governance del dato e finanziamento della ricerca. Nel modello finlandese, l’autorità responsabile dell’accesso ai dati è distinta dagli enti che utilizzano i dati per le proprie attività. Questo consente di mantenere separati il finanziamento o lo svolgimento della ricerca e la decisione amministrativa sull’accesso ai dati.
Il terzo riguarda il rapporto tra disciplina generale dell’uso secondario e discipline settoriali, come quelle relative alla ricerca clinica. L’esperienza finlandese mostra l’importanza di definire con precisione quando una determinata attività ricade nella disciplina EHDS e quando, invece, continua a essere regolata da una normativa speciale.
Per l’Italia, questo approccio potrebbe essere particolarmente utile nell’analisi dei processi di ricerca finanziati dal Ministero della Salute. La questione non sarebbe infatti quella di trasformare l’amministrazione che finanzia la ricerca in un’autorità di accesso ai dati, ma di verificare che la disciplina dei programmi di ricerca sia coerente con il nuovo sistema europeo.
Conclusioni
Il caso finlandese mostra che l’attuazione dell’EHDS può essere letta come un processo di integrazione progressiva tra un sistema nazionale preesistente e un nuovo quadro europeo armonizzato.
La Finlandia non parte da zero. Dispone già di una legislazione specifica sul secondary use e di un’autorità dedicata, Findata. Le riforme adottate nel 2025 e nel 2026 e il progetto legislativo attualmente in preparazione mostrano tuttavia che anche un sistema nazionale particolarmente avanzato deve essere significativamente adattato per rispondere ai nuovi requisiti europei.
Il dato forse più significativo è che l’implementazione non si esaurisce nell’adozione di una nuova legge. Essa coinvolge contemporaneamente normativa, autorità, procedure, infrastrutture, sicurezza, interoperabilità e rapporti con i soggetti che producono e utilizzano i dati.
In questa prospettiva, l’esperienza finlandese suggerisce che la domanda da porsi nell’attuazione nazionale dell’EHDS non dovrebbe essere soltanto «quali nuove norme dobbiamo adottare?», ma anche «quali strutture e discipline già esistenti possono essere mantenute, quali devono essere modificate e come devono essere coordinate con il nuovo sistema europeo?».
È proprio nella risposta a questa seconda domanda che si colloca, probabilmente, una delle principali sfide dell’attuazione nazionale dell’EHDS.