Se la privacy frena l’innovazione della Salute: tre esempi di cattive pratiche

Privacy e sanità, odi et amo. In Italia, come in altri Paesi europei, non è sempre facile coniugare le spinte all’innovazione della salute con le rigide regole in materia di protezione dei dati (personali e sensibili, soprattutto) vigenti. Digitalizzare i processi e i sistemi informativi in sanità è indispensabile: tuttavia, la strong digitization sanitaria è vista con particolari timori da legislatori, regolatori, Garanti. Timori in parte fondati, beninteso, ma a volte eccessivi, tradotti in norme o interpretazioni ultra-restrittive e a forte rischio di rivelarsi un “freno a mano tirato” contro l’interesse stesso dei pazienti.

Farò di seguito qualche esempio, da avvocato che si occupa della materia ma cercando di evitare un linguaggio troppo “legalese”, a beneficio di tutti.

Primo esempio di freno: la limitazione alla circolazione internazionale dei dati sanitari, operata in diversi Paesi UE dalle rispettive Autorità; in Italia ci pensò, nel 2009, il Garante Privacy con le Linee guida su Fascicolo e Dossier Sanitario Elettronico. Nelle citate Linee guida, vincolanti per chiunque operi un trattamento, il Garante intese subordinare il legittimo trasferimento di dati contenuti in FSE o DSE fuori dall’Unione Europea al solo consenso dell’interessato o alla necessità di salvaguardare la vita o l’incolumità fisica di un terzo. In sostanza, la nostra Autorità escluse, implicitamente, l’applicabilità delle altre condizioni di liceità del trasferimento all’estero di dati, pur previste dalla legge e, a monte, dalla direttiva 95/46/CE (ad esempio, non si potrebbe far valere l’adozione delle Standard Model Clause approvate con decisioni della Commissione UE, per l’export extra-UE di dati contenuti in FSE o DSE). Questo approccio sembra poco compatibile – a parere di chi scrive – con il fatto che banche dati “vive” e complesse come certi estesi Dossier Sanitari Elettronici hanno bisogno di tecnologie di cloud computing per essere gestite al meglio, e che sempre più spesso i servizi cloud sono forniti da grandi imprese multinazionali, con data center e centrali di assistenza tecnica certamente non limitati al solo territorio europeo (anche per ragioni di continuità operativa, disaster recovery e cybersecurity). Negare la possibilità di adottare questi sistemi, in assenza di un improbabile consenso da ottenersi idealmente da parte di ciascun interessato, potrà anche essere giusto in linea di principio e di “timore”, ma è anche un po’ negare la realtà e con essa i tempi attuali (che corrono a prescindere dalle norme).

Altro limite territoriale: tutte le pubbliche amministrazioni rientranti nell’ambito di applicazione del Codice dell’Amministrazione Digitale (quindi anche quelle sanitarie) devono assicurare la materiale conservazione dei dati e delle copie di sicurezza sul territorio nazionale, a norma dell’art. 9.2 del DPCM 3 dicembre 2013. Qui non si tratta di un divieto all’export, a ben vedere, ma comunque di un obbligo di tenere i dati anche in Italia: con aggravi di costi non banali, per duplicare i sistemi di gestione delle basi di dati, nel caso si avesse un fornitore cloud, per ipotesi, tedesco o francese.

Secondo esempio di freno: assistiamo alla limitazione all’adozione di sistemi di FSE che possano giovarsi di “capillarizzazioni” create ad hoc da singoli soggetti (o gruppi di soggetti) del servizio sanitario. Mi spiego meglio. Seguendo un’interpretazione molto rigida – se vogliamo, l’esatto contrario del principio liberale per cui tutto quanto non vietato dalla legge va considerato permesso, mentre qui vale l’interpretazione del divieto in assenza di esplicita previsione normativa primaria – si considera che l’unico FSE possibile in Italia sia quello costituito su infrastruttura informatica pubblica regionale o nazionale, come previsto dall’art. 12 del DL 178/2012. Ma ben sappiamo che quelle infrastrutture sono ancora di alto livello, come “bronchi senza bronchioli”, e che invece un FSE evoluto potrebbe consentire prestazioni sanitarie per via telematica straordinariamente innovative ma necessitanti di “plug-in” e “derivazioni da FSE” mirate caso per caso. E in tutti questi casi servirebbe poter arruolare fornitori tecnologici specializzati, diversi da quelli “ufficiali” e generali delle Regioni e dello Stato. Per nostra parziale fortuna, il Garante Privacy intervenne, a livello interpretativo, contemplando – nelle nuove Linee Guida sul Dossier Sanitario del 2015 – la legittimità di sistemi simili ad FSE e a DSE, ma diversi e non esplicitamente scolpiti nella legge, per l’attuazione della Riforma Balduzzi con riferimento all’assistenza integrata sui territori. Se il Garante non avesse operato almeno questa apertura interpretativa autentica, c’è da pensare che la riforma sarebbe stata da applicarsi a mezzo di piccioni viaggiatori scambiati tra MMG, PLS, Aziende sanitarie, specialisti sui territori; con buona pace degli assistiti.

Terzo esempio di freni a mano tirati: nel DPCM attuativo del Fascicolo Sanitario Elettronico, di un annetto fa, si sono introdotte previsioni discutibili (letteralmente, che reputo suscettibili di critica e discussione, anche alla luce del nuovo Regolamento Privacy Europeo). Innanzitutto, si prevede che le informazioni contenute nel FSE possano essere utilizzate – nei drammatici casi di prestazioni di emergenza o igiene pubblica, o per rischio grave, imminente e irreparabile per la salute e l’incolumità fisica dell’interessato – solo se l’interessato ha a monte dato il consenso alla consultazione dei suoi dati nel FSE per fini di prestazione sanitaria. La cosa è certamente dovuta al fatto che, in generale, il legislatore italiano scelse un approccio estremamente restrittivo sul punto nel Codice Privacy, escludendo la trattabilità diretta, pura e semplice – cioè senza giri alla ricerca di consensi di parenti e congiunti ecc. – di dati sanitari per salvaguardare vita o incolumità fisica dell’interessato stesso, senza recepire ai tempi le ben più elastiche e snelle regole contenute nella direttiva 95/46/CE (che riferivano tale possibilità non solo alla salvaguardia di un terzo, ma anche a quella dell’interessato, tout court). Nel nuovo Regolamento Privacy europeo si ribadisce la strada diretta, pura e semplice, di legittimità del trattamento di dati sulla salute in caso di salvaguardia della vita o dell’incolumità non solo di terzi ma anche degli stessi interessati, pur lasciando margine di restrizione ai singoli Stati Membri proprio per l’ambito sanitario: perché non cogliere l’occasione e semplificarci un po’ la vita, in vista dell’avvento del Regolamento UE, emendando gli artt. 26 e 82 del Codice Privacy e anche gli artt. 7 e 14 del DPCM FSE? Nel medesimo DPCM c’è un’altra “poison pill” e riguarda le elaborazioni dei dati contenuti nel FSE: all’art. 9 comma 2 si chiarisce che “il FSE può prevedere anche servizi di elaborazione di dati, relativi a percorsi diagnostico-terapeutici, limitatamente all’assistito preso in cura, per supportare al meglio i processi di prevenzione, diagnosi, cura e riabilitazione. Tali elaborazioni non devono comportare la generazione di ulteriori dati e documenti che alimentano il FSE”. Ma come, viene da commentare, nell’era dei Big Data – che possono essere utilissimi anche in sanità e generano normalmente informazioni nuove post-analisi – vietiamo che i risultati delle elaborazioni confluiscano nel FSE? E’ davvero interesse di ognuno di noi, come cittadino e come assistito, non avere dati nuovi nel FSE, frutto di elaborazioni avanzate, in assoluto? Non sarebbe stato meglio imporre un obbligo di nuova informativa a favore degli assistiti, consentendo loro di scegliere se e quali newborn data mantenere nel proprio FSE? A mio avviso, sì.

Morale della favola: anche la privacy e la protezione dei dati andrebbero ricalibrate, saggiamente, per agevolare l’evoluzione del sistema sanitario italiano. Diversamente, come si suole dire, rischieremmo di far riuscire perfettamente l’operazione (giuridica) e al contempo di far morire – si spera solo in via di metafora – il paziente.