Sunshine Act: Nuovi obblighi di trasparenza nel settore healthcare

Cosa cambia concretamente per imprese, professionisti e organizzazioni sanitarie con l’obbligo di comunicazione al Ministero della Salute e la pubblicazione sul registro “Sanità Trasparente”?

Con la legge 31 maggio 2022, n. 62 (nota come Sunshine Act italiano), il legislatore ha introdotto una disciplina volta a rendere pienamente conoscibili i rapporti di natura economica o di altra utilità intercorrenti tra le imprese “produttrici” e i soggetti operanti nel settore della salute.

Dal punto di vista pratico e operativo, le imprese sono chiamate a recuperare, organizzare, filtrare e trasmettere una mole rilevante di dati oggi frammentata tra contratti, note spese, ordini di procurement, mandati di consulenza e fatture.

La finalità della norma è duplice:

• Garantire trasparenza nei rapporti tra industria e filiera sanitaria;
• Prevenire e contrastare fenomeni corruttivi e potenziali conflitti d’interesse.

1. Perché nasce il Sunshine Act

Il presupposto normativo poggia sul riconoscimento che le relazioni economiche e professionali tra imprese, medici e strutture sanitarie incidono direttamente sui processi decisionali di spesa, acquisto e prescrizione.

Se in passato la trasparenza era affidata prevalentemente all’autoregolamentazione di categoria (come il codice deontologico EFPIA per l’industria farmaceutica), la Legge 62/2022 trasforma questo principio in un obbligo normativo cogente e pubblico. I dati raccolti confluiranno infatti in un database centrale accessibile a chiunque, rendendo tracciabile ogni trasferimento di valore.

2. L’ambito soggettivo: chi è obbligato a comunicare e chi sono i beneficiari?

Uno degli aspetti più complessi della disciplina risiede nell’ampiezza delle definizioni adottate dal legislatore.

Le imprese produttrici

L’art. 2, comma 1, lett. a) qualifica come “impresa produttrice” qualsiasi soggetto che — anche tramite intermediari o società collegate — produca o commercializzi:

• Farmaci, strumenti o apparecchiature mediche;
• Beni o servizi, anche di natura non sanitaria, destinati alla salute umana o veterinaria;
• Eventi congressuali e convegni focalizzati su tali prodotti.

Attenzione all’ecosistema Tech & Digital Health: Il perimetro non riguarda solo farmaceutica e dispositivi medici. Vi rientrano potenzialmente fornitori di servizi IT/cloud per la sanità, sviluppatori di soluzioni basate su intelligenza artificiale, produttori di nutraceutici e chiunque fornisca servizi o utilità economicamente apprezzabili a strutture sanitarie.

I soggetti operanti nella salute (HCP)

Rientrano nella qualifica di HCP (Healthcare Professional) coloro che, indipendentemente dal titolo o inquadramento, operano all’interno di un’organizzazione sanitaria e:

• Hanno responsabilità gestionali o decisionali nell’allocazione delle risorse;
• Intervengono nei processi decisionali relativi a farmaci, dispositivi, beni, ricerca, sperimentazione o sponsorizzazioni.

Le organizzazioni sanitarie (HCO)

Il novero degli Healthcare Organisation (HCO) comprende:

• ASL, Aziende Ospedaliere, Aziende Ospedaliero-Universitarie e IRCCS;
• Strutture private accreditate e non accreditate che erogano prestazioni sanitarie;
• Dipartimenti universitari e istituti di ricerca scientifica;
• Società scientifiche, Ordini professionali e provider accreditati ECM;
• Associazioni di pazienti e fondazioni collegate a tali enti.

La figura dell’Intermediario

La legge prescrive di identificare la persona fisica che ha negoziato i termini dell’accordo o intrattenuto le relazioni operative con il beneficiario per conto dell’impresa.

Poiché la norma specifica che l’intermediario può essere anche un dipendente aziendale, è fondamentale non indicare ruoli apicali per default (es. CEO, General Manager, Direttore Medico) se non hanno gestito l’operazione in prima persona. L’intermediario deve essere il soggetto effettivamente in grado di rispondere e dare conto dell’erogazione in sede di audit o controllo ispettivo.

3. L’ambito oggettivo: quali operazioni e con quali soglie?

L’art. 3 della legge prevede l’obbligo di rendicontazione per convenzioni, erogazioni in denaro, beni, servizi o altre utilità, nonché accordi di consulenza, docenza, partecipazione a comitati scientifici o congressi.

Le soglie minime di segnalazione

Le operazioni sono soggette a obbligo di disclosure al superamento dei seguenti limiti:

Nota: gli accordi di consulenza, docenza o ricerca sono soggetti a comunicazione a prescindere dal valore monetario.

I trasferimenti di valore “non monetari”

La maggiore criticità interpretativa risiede nelle utilità prive di un valore monetario esplicito o immediato. La regola cardine è chiara: se un’impresa trasferisce a un HCP o a un HCO un’utilità economicamente apprezzabile, tale operazione ricade potenzialmente nell’obbligo di segnalazione.

Tra le fattispecie concrete più frequenti da quantificare a valore di mercato troviamo:

• Manutenzioni, tarature e calibrazioni gratuite su parchi macchine ospedalieri;
• Percorsi e piattaforme di formazione on-demand riservate;
• Servizi di traduzione o quote di sottomissione (submission fee) per abstract congressuali;
• Piattaforme software di project management o supporto alla telemedicina;
• Crediti cloud o accesso a potenza computazionale erogati per progetti di ricerca;
• Strumenti di triage diagnostico o algoritmi di supporto decisionale clinico basati su IA concessi in uso.

4. Il registro telematico “Sanità Trasparente”

I dati trasmessi dalle imprese confluiranno sul portale istituzionale “Sanità Trasparente”, gestito dal Ministero della Salute.

• Dati aperti: Il portale sarà consultabile pubblicamente e consentirà il download e l’estrazione massiva delle informazioni in formato open data.
• Conservazione: I dati rimarranno pubblicati e accessibili per 5 anni dalla data di immissione.
• Controllo incrociato: La disponibilità pubblica faciliterà l’incrocio dei dati con bandi di gara, determine pubbliche di affidamento, incarichi di consulenza e sponsorizzazioni congressuali.

L’affidabilità e la qualità del dato inserito diventano un presidio primario di compliance e reputazione aziendale.

5. Il regime sanzionatorio: rischi economici e reputazionali

L’art. 6 della Legge 62/2022 pone la veridicità dei flussi comunicativi sotto la diretta responsabilità dell’impresa produttrice. La vigilanza è affidata al Ministero della Salute con il supporto del Comando Carabinieri per la Tutela della Salute (NAS), dell’Amministrazione Finanziaria e della Guardia di Finanza.

Le sanzioni previste sono particolarmente incisive:

• Omessa dichiarazione: Sanzione pecuniaria fissa di 1.000 euro, aumentata di 20 volte l’importo dell’erogazione non dichiarata.
• Comunicazione di dati falsi o mendaci: Sanzione da 5.000 a 100.000 euro.
• Sanzione reputazionale (Blacklist): Pubblicazione obbligatoria del nominativo dell’impresa sanzionata direttamente sul portale Sanità Trasparente per un periodo non inferiore a 90 giorni.

6. Intersezioni critiche: GDPR e Modello 231

Raccordo con la normativa Privacy (GDPR)

La legge disciplina direttamente il bilanciamento con il Regolamento (UE) 2016/679:

• Consenso presunto: Con la formalizzazione dell’accordo o l’erogazione dell’utilità tra erogatore e ricevente, il consenso di quest’ultimo alla pubblicazione si intende legalmente prestato.
• Informativa trasparenza: Le aziende devono comunque adempiere all’obbligo informativo (art. 5, comma 6), informando formalmente la controparte che i dati identificativi ed economici saranno resi pubblici sul sito del Ministero, garantendo l’esercizio dei diritti di cui agli artt. 15-22 GDPR.

Integrazione nel Modello Organizzativo D.Lgs. 231/2001

Il Sunshine Act incide direttamente sull’efficacia preventiva del Modello 231 rispetto ai reati di:

• Corruzione tra privati (art. 2635 c.c.);
• Corruzione verso pubblici ufficiali o incaricati di pubblico servizio (artt. 318-322 c.p.).

La trasparenza imposta restringe sensibilmente gli spazi di occultamento di dazioni illecite. Per questa ragione, è fondamentale che gli Organismi di Vigilanza (OdV) inseriscano la verifica dei flussi Sunshine Act nei propri piani di audit periodici, e che le aziende integrino apposite procedure nel proprio corpo normativo 231.

7. Stato di attuazione: a che punto siamo?

La Legge 62/2022 è formalmente in vigore; la sua piena efficacia applicativa era subordinata all’infrastruttura tecnologica del portale Sanità Trasparente.

L’infrastruttura è stata sviluppata e resa disponibile per collaudi tecnici e test di caricamento. Il termine per l’avvio formale degli adempimenti scatterà in concomitanza con la pubblicazione del relativo avviso ufficiale in Gazzetta Ufficiale.

Tuttavia, attendere la scadenza formale espone a rischi elevati: gli obblighi retroagiranno sui semestri operativi di riferimento, rendendo indispensabile impostare la raccolta delle evidenze contabili e contrattuali fin da subito.

8. Roadmap operativa: cosa devono fare le imprese oggi

Per minimizzare i rischi operativi e sanzionatori, le aziende devono attivarsi lungo 4 direttrici immediate:

1. Mappatura preliminare dei rapporti: Censire contratti, consulenze, partecipazioni a faculty, board scientifici, donazioni, grant educazionali e accordi di fornitura tecnologica con HCP e HCO.
2. Revisione dei processi interni e procurement: Identificare le fonti informative interne (gestionali ERP, CRM, sistemi note spese, contrattualistica) e istituire filtri procedurali per raccogliere i dati alla fonte.
3. Formalizzazione dei ruoli: Nominare chiaramente i responsabili di processo e mappare con precisione gli “intermediari” operativi per ciascuna operazione.
4. Simulazione e stress-test di disclosure: Eseguire test di caricamento e riconciliazione preventiva per intercettare anomalie o lacune di documentazione prima dell’invio definitivo.