Il 3 maggio 2022 la Commissione Europea ha presentato una proposta legislativa sullo Spazio europeo dei dati sanitari, anche nota come European Health Data Space o (EHDS). Si tratta di una proposta che proviene da un più ampio progetto di riforma europea che mira a considerare la ‘Data Economy’ come un nuovo ambito normativo, e volto a regolare i dati come una risorsa economica.

La proposta rappresenta un importante avanzamento per la regolamentazione della condivisione dei dati, che in ambito sanitario è particolarmente complicato. Allo stesso tempo, la proposta comporta nuovi cambiamenti dal punto di vista legislativo, poiché dovrà allinearsi con il GDPR o altre normative settoriali. Questo articolo descrive i punti maggiormente discussi nel dibattito europeo ad un anno dalla pubblicazione della proposta.

Obiettivi e aspetti principali della proposta

L’EHDS si prepone di istituire lo spazio europeo dei dati sanitari prevedendo diposizioni, norme, prassi comuni, infrastrutture e un quadro di governance per l’uso primario e secondario dei dati sanitari elettronici. Con le norme relative all’utilizzo primario dei dati sanitari elettronici mira a regolare l’effettuale trattamento dei dati sanitari elettronici personali per la prestazione di servizi sanitari relativi lo stato di salute della persona fisica. Con le norme relative all’utilizzo secondario di dati sanitari elettronici mira a facilitare una prassi di ‘condivisione di dati’ o ‘data sharing’ tra diverse entità nell’ambito sanitario e di cura.

Gli obiettivi principali previsti dal regolamento consistono nel rafforzamento dei diritti per l’uso primario dei dati sanitari elettronici, le circostanze relative all’uso secondario dei dati sanitari elettronici, l’istituzione di norme in materia di sistemi di cartelle cliniche elettroniche e wellness device, nonché di infrastrutture transfrontaliere obbligatorie per l’uso primario e secondario dei dati.

Il regolamento si applicherà ai diversi attori nel panorama della condivisione dei dati. L’ambito di applicazione include i titolari e responsabili del trattamento (alle condizioni d cui all’Articolo 2(3) della proposta), i fabbricanti e ai fornitori di sistemi di cartelle cliniche elettroniche e di applicazioni per il benessere, agli utenti dei dati ai quali i titolari dei dati dell’Unione mettono a disposizione dati sanitari elettronici.

Rafforzamento dei diritti sul controllo dei dati sanitari

Il regolamento si prepone di rafforzare i diritti delle persone fisiche in relazione alla disponibilità ed il controllo dei loro dati sanitari elettronici. Ad esempio, l’Articolo 3 contiene una lista di diritti in relazione all’uso primario dei dati sanitari elettronici, come il diritto di accesso o di ottenere una copia elettronica dei dati. Gli operatori sanitari che avranno accesso ai dati sanitari elettronici delle persone fisiche in cura presso di loro dovranno garantire che i dati sanitari elettronici delle persone assistite siano aggiornati con informazioni relative ai servizi sanitari prestati (Articolo 4 proposta EHDS). Gli Stati membri saranno chiamati ad istituire un’autorità di sanità digitale responsabile del monitoraggio di questi dritti e meccanismi e che dovrà garantire la corretta applicazione dei medesimi diritti.

Uso secondario dei dati sanitari elettronici

Il cuore del regolamento risiede nel Capo IV, che disciplina l’uso secondario dei dati sanitari elettronici. Il capo include una lista di categorie minime di dati che possono essere utilizzati nell’uso secondario e ne elenca specificamente le finalità (Articoli 33-34 proposta EHDS). In alcuni casi il regolamento vieta espressamente di trattare dati sanitari elettronici per uso secondario. Ad esempio, è vietato quando l’accesso ai dati comporta l’adozione decisioni pregiudizievoli per una persona fisica anche al fine di escluderle dal beneficio di un contratto di assicurazione o di modificare i loro contributi e premi assicurativi; oppure per svolgere attività pubblicitarie o di marketing rivolte a professionisti sanitari, organizzazioni sanitarie o persone fisiche (Articolo 35 proposta EHDS). Sono presenti norme in materia di governance e meccanismi per l’uso secondario dei dati sanitari elettroni. Tra queste, viene richiesto agli Stati membri l’istituzione di uno o più organismi responsabili dell’accesso ai dati sanitari, i quali dovranno decidere in merito alle domande di accesso ai dati oltre ad una serie di ulteriori garanzie e meccanismi.

Sistemi di cartelle cliniche elettroniche e wellness device

Con l’EHDS vengono introdotte nuove regole per i sistemi di cartelle cliniche elettroniche, che introduce nuovi requisiti essenziali di sicurezza e interoperabilità. Tramite queste regole, si auspica che le cartelle cliniche elettroniche saranno compatibili tra sistemi e in questo modo la trasmissione dei dati sarà facilitata. Vengono inoltre inserite alcune norme per l’etichettatura volontaria delle applicazioni per il benessere (wellness device), affinché si possa dimostrare l’interoperabilità la conseguente condivisione dei dati delle stesse con i sistemi di cartelle cliniche elettroniche.

I punti di discussione nel dibattito europeo

Uno degli aspetti più discussi riguarda il futuro rapporto tra l’EHDS e le esistenti normative in materia di dati, come ad esempio il Data Governance Act e il GDPR. In un recente articolo, Shabani e Yilmaz hanno commentato che potranno esserci tensioni per l’uso secondario dei dati personali per quanto riguarda la base giuridica del trattamento, l’altruismo dei dati ed il consenso (GDPR, e DGA).

La complessa interazione della proposta EHDS con le altre normative in materia di dati

La proposta di regolamento menziona tra le basi giuridiche per l’uso secondario il pubblico interesse, medicina preventiva, o ricerca scientifica – lasciando invece poco spazio al consenso dell’interessato (Considerando 37 proposta EHDS, con riferimento ai dati clinici per la ricerca, l’innovazione, la definizione di politiche, la sicurezza dei pazienti o la cura di altre persone fisiche).

Il rapporto della Commissione del Parlamento UE per l’ambiente, la sanità pubblica e la sicurezza alimentare (ENVI) ha identificato questa mancanza e ha proposto un emendamento al testo proposto della Commissione Europea. Al fine di rafforzare la possibilità per gli interessati nel controllo dei loro dati, l’emendamento propone che persone abbiano la possibilità di fare opt-out nel caso di uso secondario di dati personali. Sullo stesso punto ha espresso preoccupazione anche la società civile. Secondo European Digital Rights (EDRi), l’opt-out porrebbe indebitamente l’onere della conoscenza, comprensione e decisione sulle persone assistite, che si troverebbero a dover scegliere nelle situazioni più vulnerabili di malattia e altri problemi di salute. Il Position Paper di EDRi pertanto si spinge oltre proponendo che si dia la possibilità di fare opt-in anziché opt-out.

Ambito e definizione di dati sanitari elettronici personali

Alcuni stakeholder hanno osservato che la definizione di dati sanitari elettronici personali è troppo ampia. L’associazione di consumatori BEUC ha ad esempio criticato l’Articolo 2(2)(a) che definisce il termine ‘dati sanitari elettronici’ (di seguito riportata come: “dati relativi alla salute e i dati genetici quali definiti nel regolamento (UE) 2016/679, nonché i dati relativi a determinanti della salute o i dati trattati nell’ambito della prestazione di servizi di assistenza sanitaria, che sono trattati in formato elettronico”).

Secondo BEUC, tale definizione sarebbe eccessivamente ampia. In particolare, il riferimento a i dati relativi a determinanti della salute aprirebbe l’ambito di applicazione dell’EHDS a tutti i tipi e categorie di dati socio-demografici (come nutrizione, reddito, solvibilità, abitazioni e consumi energetici) che sarebbe invece preferibile non includere per garantire un maggiore allineamento con la nozione di dati relativi alla salute di cui al GDPR.

Le finalità per le quali è possibile trattare i dati sanitari elettronici per l’uso secondario

Un altro aspetto particolarmente complesso e dibattuto riguarda le finalità per le quali è possibile trattare i dati sanitari elettronici per l’uso secondario, disciplinato all’Articolo 34 della proposta. Uno studio commissionato dalla Commissione per l’industria, la ricerca e l’energia (ITRE) ha evidenziato che l’elenco delle finalità consentite è molto ampio, mentre l’elenco delle pratiche vietate potrebbe essere troppo rigido. Interessante anche il punto di vista accademico di Hildebrandt, la quale ricorda che è da sempre difficile monitorare il trattamento ulteriore dei dati. Pertanto, nonostante i divieti e le finalità specificamente elencate, la supervisione da parte delle autorità indipendenti sarà altrettanto difficile nel contesto dell’EHDS e della condivisione dei dati sanitari.

Accuracy e interoperabilità delle applicazioni per il benessere

Nel luglio 2022, l’European Data Protection Board (EDPB) e l’European Data Protection Supervisor (EDPS) hanno pubblicato una opinione congiunta sulla proposta di regolamento EHDS. Tra le varie questioni sollevate, l’opinione ha criticato il Capo III della proposta EHDS. Secondo EDPS e EDPB, il trattamento dei dati attraverso le applicazioni per il benessere comporta rischi reali per la privacy, soprattutto quando avviene un incrocio con altri dati. In tal caso, potrebbe sorgere il rischio di trattamenti iniqui basato su stato di salute presunto o effettivo di una persona che potrebbe avvenire se i dati non sono qualitativi e le inferenze non sono accurate. Il regolamento non stabilisce con chiarezza chi dovrebbe valutare la validità e qualità di quei dati una volta forniti dagli individui nelle cartelle cliniche elettroniche. Alla luce di queste criticità, EDPS-EDPB hanno suggerito di escludere dall’applicazione del Capo IV del Regolamento (disciplinante l’uso secondario di dati sanitari elettronici) le applicazioni per il benessere.

Altri aspetti del dibattito

Ulteriori aspetti del dibattito riguardano il ruolo degli organismi responsabili dell’accesso ai dati sanitari. Lo studio ITRE ha suggerito che potrebbe essere inutile o improduttivo assegnare troppi compiti a tali organismi. Ulteriori preoccupazioni riguardano il coordinamento delle autorità sanitarie digitali con le autorità di protezione dei dati esistenti o la possibile frammentazione tra diversi Stati Membri UE. Infine, alcuni studi hanno criticato la mancanza di coinvolgimento delle persone assistite nella stesura della proposta EHDS. A fronte di questa mancata considerazione, la proposta EHDS è stata criticata per non aver sufficienti previsioni relativamente al problema di digital divide e pertanto potrebbe esacerbare (anziché diminuire) le esistenti ineguaglianze digitali.

Conclusioni

La proposta di regolamento sullo spazio europeo dei dati sanitari va accolta con favore. Mira a stabilire un framework giuridico ad hoc (e quindi maggiore certezza giuridica) per la condivisione dei dati sanitari. Nei prossimi mesi, tuttavia, rimarranno alcuni nodi da sciogliere, tra cui la base giuridica ed il consenso dell’interessato, interoperabilità e qualità dei dati e aspetti specifici dell’uso secondario di dati sanitari elettronici.