Il data sharing in sanità: le nuove tecniche di condivisione dei dati relativi alla salute

I dati relativi alla salute consentono di accedere a informazioni cliniche che possono essere utilizzate non solo per la cura del paziente a cui i dati si riferiscono (finalità primaria del trattamento dei dati), ma anche per altre numerose finalità (le c.d. finalità secondarie) quali motivi di pubblico interesse nell’ambito della sanità pubblica e della medicina del lavoro, sorveglianza della sanità pubblica, garanzia di elevati livelli di qualità e sicurezza dell’assistenza sanitaria e di medicinali o dispositivi medici; sostegno nei confronti di enti pubblici o di istituzioni del settore sanitario per lo svolgimento dei loro compiti; produzione di statistiche ufficiali a livello nazionale, multinazionale e dell’Unione; attività d’istruzione; attività di ricerca scientifica; attività di sviluppo e innovazione per prodotti; attività di addestramento, prova e valutazione degli algoritmi, anche nell’ambito di dispositivi medici, sistemi di IA e applicazioni di sanità digitale; erogazione di medicina personalizzata.

In questo contesto, la digitalizzazione è essenziale per estrarre informazioni attendibili dai dati sanitari: supporta gli operatori sanitari nella standardizzazione delle procedure e nell’ottimizzazione dei percorsi clinici, diminuendo i costi.

Basti pensare alla telemedicina: la condivisione, ad esempio, dei parametri clinici raccolti dai dispositivi medici consente il monitoraggio remoto dei pazienti, e permette di eseguire diagnosi tempestive e di verificare e modificare le terapie senza dover ricorrere a consultazioni di persona.

Ma facciamo un passo indietro per inquadrare il contesto in cui ci muoviamo.

Di cosa parliamo quando parliamo di data sharing

Quando parliamo di data sharing facciamo riferimento a una tipologia di trattamento di dati dalla portata oltremodo ampia.

La condivisione dei dati rientra infatti in quel trattamento che l’articolo 4, par. 1, n.2) del GDPR indica come “comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione”.

Il legislatore fornisce questa definizione così estesa perché effettivamente le modalità per condividere i dati sono talmente varie da non poter essere limitate a delle fattispecie specificamente predeterminate.

La Commissione Europea usa la locuzione “condivisione dei dati” come termine generico per indicare che soggetti diversi dal titolare del trattamento originale possono trattare i dati di tale titolare:

• analizzandoli per conto di terze parti e inviando loro i risultati di tali analisi,
• consentendo a terze parti di accedervi all’interno dei propri sistemi
• trasferendo ad esse i dati.

In questo concetto è racchiuso anche il potenziale del data sharing: le molteplici possibilità con cui i dati possono circolare incrementano la distribuzione della conoscenza, la diffusione del sapere e l’accrescimento del patrimonio culturale e scientifico, oltre che economico, della società.

Il nuovo Spazio Europeo dei Dati Sanitari: obiettivi e sfide della proposta Ue

Non a caso, proprio per questo il GDPR rappresenta un punto di rottura con il passato, e disciplina il tema della protezione dei dati in modo molto avanzato, prevedendo un sostanziale bilanciamento tra la tutela dei diritti delle persone fisiche e la libera circolazione dei dati.

Libera circolazione dei dati significa – in concreto – la possibilità giuridica di utilizzarli.

Se nell’era digitale esiste un settore in cui questa possibilità ricopre un ruolo cruciale per la collettività, quello è senza alcun dubbio il settore sanitario.

Il settore dei dispositivi medici data driven

Lo stesso settore dei dispositivi medici, a seguito dell’entrata in vigore dei regolamenti (UE) 2017/745 (MDR)e (UE) 2017/746 (IVDR) è diventato fortemente data driven.

Entrambe le normative richiedono una migliore raccolta dei dati e un maggiore impiego di tecnologie di data analytics e data science per via della aumentata necessità di trattare dati e di farlo tramite metodi all’avanguardia.

Infatti, il monitoraggio delle prestazioni dei dispositivi medici e diagnostici in vitro attraverso il trasferimento di dati quasi in tempo reale è richiesto da entrambi i regolamenti durante l’intero ciclo di vita dei DM, nel quale i device devono essere controllati per verificarne la sicurezza e l’efficacia.

Si pensi, poi, nello specifico, agli obblighi per i fabbricanti in tema di vigilanza e segnalazioni riguardanti incidenti che interessano i dispositivi medici nell’ambito della sorveglianza post-commercializzazione, che comportano la raccolta di dati dei pazienti connessi all’utilizzo dei medical device, a dimostrazione del fatto che la condivisione dei dati è anche una questione di sicurezza.

Al di là degli stringenti dettami normativi, va poi considerato il potenziale dell’utilizzo dei dati nell’ambito della ricerca e sviluppo, per lo svolgimento di survey e ricerche di mercato, fino a quello effettuato per scopi di marketing.

Ma la condivisione dei dati clinici in formato digitale non è a beneficio dei soli addetti ai lavori: le tecnologie sanitarie supportano anche l’empowerment del paziente.

Il data sharing tramite app e dispositivi medici connessi facilita il monitoraggio e la somministrazione di cure ai pazienti al di fuori delle strutture ospedaliere, potenziandone l’autonomia e incrementandone anche la soddisfazione e l’aderenza terapeutica.

Lo European Health Data Space

Per fruire appieno del potenziale dei dati sanitari e rispondere alla necessità di sfruttarli in modo efficiente dal punto di vista delle risorse e dei costi è essenziale l’allineamento delle differenti strategie nazionali attraverso un quadro di governance a livello europeo.

A questa esigenza risponde lo Spazio europeo dei dati sanitari (EHDS) lanciato dalla Commissione europea il 3 maggio 2022 e che permetterà all’UE di compiere un enorme salto qualitativo nella modalità di erogazione delle cure sanitarie in tutta l’Europa: permetterà alle persone di controllare e utilizzare i propri dati sanitari sia nel proprio Paese che in altri Stati membri, promuoverà un vero mercato unico dei servizi e dei prodotti digitali in campo sanitario, e costituirà un quadro normativo per l’utilizzo dei dati relativi alla salute nelle attività di ricerca, innovazione, elaborazione delle politiche e regolamentazione.

Sotto questo ultimo profilo, nel rispetto di condizioni rigorose, i ricercatori, le imprese e le istituzioni pubbliche avranno accesso a grandi quantità di dati sanitari di alta qualità, di importanza cruciale per elaborare terapie salvavita, vaccini o dispositivi medici e per assicurare una migliore accessibilità alle cure sanitarie e sistemi sanitari più resilienti.

L’EHDS è finalizzato, in particolare, a consentire il miglioramento della condivisione e dell’utilizzo dei dati sanitari tramite il superamento degli ostacoli normativi dovuti alle differenti normative nazionali.

Come noto, infatti, il GDPR ha concesso agli Stati membri, di adattare l’applicazione di alcuni aspetti del regolamento al proprio contesto nazionale. Non solo: l’art. 9, par. 4, del GDPR ha consentito agli Stati membri di mantenere o introdurre ulteriori condizioni, comprese limitazioni al trattamento dei dati relativi alla salute.

Sotto questo profilo, dal lavoro condotto nell’ambito dello studio alla base dell’EHDS è emerso che sia le variazioni nell’applicazione della legge sia la legislazione a livello nazionale legata alla sua attuazione hanno portato a una frammentazione della normativa che rende difficile la cooperazione transfrontaliera per la somministrazione delle cure, l’amministrazione dei sistemi sanitari o la ricerca.

Sotto questo profilo di estremo interesse il documento della Commissione Assessment of UE member States’ rules in Health Data in the light of GDPR., anno 2021.

Qualità e interoperabilità dei dati

Affinché il data sharing esprima al meglio il proprio potenziale, oltre alla necessità di superare gli ostacoli normativi si affianca quella di garantire la qualità dei dati.

A ben vedere, si tratta nient’altro che di rispettare il principio di esattezza dei dati previsto dall’articolo 5 del GDPR, dirimente nel settore sanitario più che in qualsiasi altro.

A tal proposito, è interessante analizzare il report del consorzio Digital Health Europe (DHE) a sostegno della comunicazione della Commissione europea sulla trasformazione digitale della salute e dell’assistenza nel mercato unico digitale e della sua iniziativa per uno spazio europeo dei dati sanitari.

Tra le proposte che rivolge alla Commissione Europea e agli Stati membri, DHE indica anche:

• quella di adottare misure per migliorare la qualità dei dati a livello di fornitori di assistenza sanitaria e garantire che i dati provenienti dai dispositivi e/o riportati dai pazienti possano migrare in uno spazio comune di dati sanitari;
• quella di incentivare, sostenere e monitorare la qualità dei dati condivisi, anche attraverso l’adozione di criteri comuni di qualità dei dati e di etichette che i responsabili del trattamento dei dati che forniscono dati all’EHDS sono tenuti a utilizzare e visualizzare quando condividono i dati.

Allo stesso tempo non va sottovalutato che la condivisione stessa dei dati nel mondo digitale di per se stessa perfeziona la data quality.

Si pensi a come il monitoraggio e il confronto delle prestazioni incrementi la coerenza dei dati e riduca gli errori, rendendo la pratica dell’assistenza sanitaria più trasparente e basata sulle evidenze.

La connettività dei dispositivi e l’accesso ai dati in tempo reale contribuiscono poi, velocizzando gli interventi medici, a migliorare le tempistiche di diagnosi grazie a un più ampio accesso ai dati e ad un’analisi più efficace degli stessi.

In questo contesto, l’accesso a dati sanitari accurati e tempestivi consente, inoltre, ai pazienti di gestire in autonomia condizioni croniche monitorando e valutando i propri risultati o adattando le proprie abitudini e il proprio stile di vita.

Se, da un lato, la qualità dei dati è imprescindibile per l’efficacia del loro utilizzo, è altrettanto necessario garantirne l’interoperabilità.

Per farlo, la DHE suggerisce:

• di fornire sostegno allo sviluppo, alla definizione e all’adozione di standard di interoperabilità e di regole di qualità dei dati applicabili ai dati generati da pazienti e cittadini attraverso app, indossabili, sensori e dati complementari non sanitari ma rilevanti per la salute, come i dati sull’inquinamento e sul clima.
• di controllare l’uso e la diffusione degli standard di interoperabilità a livello centrale, ove possibile dal punto di vista legale.
• di garantire la corretta attuazione del diritto alla portabilità dei dati, come previsto dal GDPR, su larga scala.

Accesso ai dati e condivisione sicura

Il rischio sempre in aumento rappresentato dalla costante evoluzione delle minacce ai sistemi informativi utilizzati per la condivisione dei dati rende impossibile trattare il tema del data sharing in maniera separata da quello della sicurezza informatica.

Il report Enisa

Per questo motivo, in occasione del Data Protection Day, la European Union Agency for Cybersecurity (ENISA) ha pubblicato il report “Engineering Personal Data Sharing“.

Il documento parte dal presupposto che garantire il rispetto dei principi di protezione dei dati, come la trasparenza e la minimizzazione, richiede una valutazione molto approfondita e un approccio cauto di implementazione by design.

L’obiettivo di ENISA è quindi descrivere le modalità tramite cui la sicurezza informatica può contribuire nel contesto del data sharing alla protezione dei dati che vengono condivisi tra diversi soggetti, utilizzando soluzioni tecnologiche basate su tecniche di crittografia avanzata.

Il report è di particolare utilità per chi tratta dati relativi alla salute perché contiene casi d’uso specifici per la condivisione di dati nel settore sanitario e della ricerca.

In primis, ENISA ha illustrato i seguenti requisiti:

• Per la diagnosi e il trattamento dei singoli pazienti i dati devono essere in chiaro dal momento che i pazienti devono essere identificabili.
• Gli stessi dati utilizzati per la ricerca medica (eventualmente su larga scala) dovrebbero essere adeguatamente pseudonimizzati, in modo da garantire che la reidentificazione da parte di un ricercatore non sia probabile (a meno che l’utente non fornisca il proprio consenso esplicito per un trattamento non pseudonimizzato, che dovrebbe essere revocabile in qualsiasi momento) e che sia presente la possibilità di rimuovere il collegamento tra due serie di dati diversi per scopi diversi.
• Deve essere garantita la capacità di gestire più fonti di dati del paziente, compresi i dispositivi indossabili e le app.

Riguardo al secondo punto, la possibilità di richiedere il consenso per un trattamento non pseudonimizzato deve essere contemperata, a parere di chi scrive, con il principio di minimizzazione dei dati: trattare in chiaro i dati dei partecipanti a uno studio clinico dovrebbe essere consentito solo se necessario per le finalità della ricerca.

Il report propone poi una sorta di granularità del data sharing, che consiste nell’implementare la condivisione dei dati con il consenso esplicito dell’utente. In altre parole, a nessun destinatario sarebbe consentito l’accesso ai dati sanitari dell’utente a meno che l’utente non lo conceda esplicitamente.

L’esempio che fornisce ENISA è quello di un paziente dotato di un wearable device:

• il dispositivo indossabile è destinato al monitoraggio del glucosio ma raccoglie anche altri parametri clinici come, ad esempio, la pressione sanguigna e i livelli di caffeina;
• i flussi di dati vengono caricati nel cloud per essere condivisi con diversi soggetti (medici, familiari, etc.).

La sfida principale prospettata da ENISA consiste nell’individuare modalità per fare in modo che l’utente possa condividere in maniera selettiva specifici flussi di dati generati dal dispositivo con soggetti determinati.

La crittografia asimmetrica per la condivisione selettiva dei dati

Tale modello di accesso può basarsi non solo sull’identità del destinatario, ma anche su parametri aggiuntivi come il periodo di tempo in cui i dati sono stati generati o la loro tipologia. Ad esempio, a una terza parte potrebbe essere concesso l’accesso solo ai dati corrispondenti agli ultimi tre mesi) e/o a sezioni specifiche del set di dati (ad esempio, le misurazioni della pressione sanguigna).

La tecnica proposta per consentire questa condivisione selettiva dei dati è la crittografia asimmetrica che però presenta dei limiti in termini di praticità ed efficienza.

Infatti, se gli stessi dati devono essere condivisi con più destinatari l’utente dovrebbe condividere gli stessi dati più volte, ciascuno crittografato con la chiave pubblica del destinatario.

Le criticità e come superarle

Questo comporta due criticità:

• la ridondanza, che diventa un problema predominante soprattutto in caso di elevati volumi di dati che vengono costantemente prodotti;
• il fatto che, poichè alcuni destinatari potrebbero non essere noti in anticipo, per ogni nuovo accesso da concedere, sarebbe necessaria una nuova crittografia.

Per superare queste limitazioni il report propone l’utilizzo di due particolari tecniche di criptazione asimmetrica:

• la Attribute Based Encryption (ABE), con cui i dati possono essere crittografati tramite una chiave pubblica ma, allo stesso tempo, contrariamente alla crittografia a chiave pubblica “classica”, possono esserci più chiavi di decifrazione, ognuna delle quali legata a piccole informazioni aggiuntive relative ai dati, chiamate attributi. Le chiavi di decrittazione sono generate da una generica chiave segreta, che deve rimanere privata. Nel caso sopra descritto, i dati dell’utente generati dal suo dispositivo indossabile vengono associati agli attributi specifici ad essi correlati, come la data di origine, il tipo di oggetto, etc. Questi attributi saranno successivamente utilizzati per definire il meccanismo di controllo dell’accesso a questi dati. I dati vengono quindi crittografati e caricati nel cloud. Quando una terza parte richiede l’accesso ai dati di un utente, l’utente crea una politica di accesso per tale parte specificando quali proprietà esatte devono essere soddisfatte dai dati a cui si vuole concedere l’accesso. Una volta che il destinatario (ad es. un medico) riceve questa chiave di decrittazione, sarà in grado di decrittare localmente solo i dati che soddisfano la politica di accesso definita dall’utente, poiché la chiave di decrittazione ABE decritta solo un sottoinsieme dell’insieme di dati.

• La Proxy Re-Encryption che consente di ricifrare un insieme di dati già crittografati da una chiave pubblica a un’altra, senza che il proxy abbia accesso all’insieme di dati non crittografati. Si tratta di un approccio ideale quando l’entità con cui i dati saranno condivisi non è nota al momento della crittografia iniziale o la condivisione deve essere effettuata tramite infrastrutture non affidabili.

Sempre con riferimento al caso d’uso descritto in precedenza, l’utente cripta i propri dati con la propria chiave pubblica e li carica nel cloud. Quando una terza parte, ad esempio il medico, richiede l’accesso ai dati, l’utente genera una cosiddetta chiave di ricrittografia, utilizzando la propria chiave privata e la chiave pubblica del medico. La chiave di ricrittografia può essere inviata al cloud provider, che ora è in grado di crittografare i dati con la propria chiave pubblica. La chiave di ricifratura può essere inviata al provider del cloud, che è ora in grado di trasformare il set di dati crittografato iniziale in un nuovo set di dati crittografato corrispondente alla cifratura attraverso la chiave pubblica del medico. In questo modo, solo il medico può decifrare i dati – e quindi accedere ad essi – utilizzando la sua chiave privata.