Pnrr e automazione della Sanità - Una lettura in chiave privacy alla luce delle ultime pronunce del Garante
Le novità più rilevanti che porteranno all'efficientamento dell'assistenza sanitaria nazionale attraverso la realizzazione del PNRR, il Piano Nazionale di Ripartenza e Resilienza fortemente voluto dal Governo Draghi che sta portando al restyling dell'intera attività amministrativa
Anagrafe sanitaria nazionale.
Fascicolo sanitario elettronico.
Banca dati ANA realizzata dal Ministero della Salute in accordo con il MEF.
Automazione amministrativa ed estrazione e scambio di dati attraverso l'utilizzo dell'intelligenza artificiale.
Queste le novità più rilevanti che porteranno all'efficientamento dell'assistenza sanitaria nazionale attraverso la realizzazione del PNRR, il Piano Nazionale di Ripartenza e
Resilienza fortemente voluto dal Governo Draghi che sta portando al restyling dell'intera attività amministrativa. Ripartenza che punta alla digitalizzazione all'indomani della pandemia che ha già tentato di realizzare un processo di dematerializzazione forzato dettato dal distanziamento sociale emergenziale (pur senza gestire le problematiche sottese a questa nuova realtà) con riferimento a ricette mediche, cartelle cliniche, certificati vaccinali, referti, certificati medici ed esenzioni.
La strada tracciata dalla dematerializzazione punta a realizzare per ciascun paziente sul territorio nazionale il fascicolo sanitario elettronico, inteso come un fascicolo che contenga tutti i "documenti digitali relativi all'intera storia clinica di una persona generati […] oltre che dalle strutture sanitarie pubbliche, anche da quelle private" cfr. art. 12, comma 1, d.l. n. 179/2012
Indispensabile si rivela, allora, l'intervento del Garante della Privacy volto a operare distinguo circa l'utilizzo dei dati sanitari aggregati provenienti dalle singole ASL regionali.
In particolare, il Garante ha specificato le modalità con le quali deve essere utilizzato il fascicolo sanitario elettronico, atteso che lo stesso è non solo finalizzato a unificare i dati ricevuti e generati relativamente ad una persona, per favorire l'accesso agli stessi per finalità di cura (i.e. diagnosi e riabilitazione), ma anche con finalità di governo sanitario, ovvero nella conduzione di compiti istituzionali in materia di prevenzione e programmazione tecnico sanitaria.
L'emergenza conseguente alla pandemia da Covid-19 ha insegnato l'importanza di esaminare i flussi informativi relativi ai contagi attraverso strumenti di machine learning e di intelligence e oggi è chiaro a tutti noi come solo grazie a questo percorso tecnologico, le strutture sanitarie possano sviluppare sistemi informatici di analisi predittiva per poter approntare una concreta programmazione sanitaria volta a erogare servizi di medicina adeguati ad evitare errori dovuti alla farraginosità della macchina organizzativa e a lavorare in maniera strutturata.
Tuttavia, anche tutta questa "attività" sui dati va condotta in maniera ossequiosa del dettato del GDPR.
Recentemente il Garante della Privacy è intervenuto con due pareri resi nella stessa giornata (lo scorso 24 febbraio 2022) che se a primo acchito paiono discordanti, viceversa sono allineati negli intenti.
In particolare, nel parere reso a fronte della creazione di un gruppo interistituzionale finalizzato a elaborare un modello predittivo idoneo a valutare il fabbisogno della popolazione italiana attraverso la profilazione del rischio sanitario individuale e la suddivisione in classi della popolazione stessa, ha ricordato che vige un generale divieto di trattamento di talune categorie particolari di dati e che in dette categorie rientrano i dati relativi alla salute, i quali possono essere trattati se necessario, "per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato".
Con maggior valenza esplicativa, il Garante ribadisce che il comportamento della Regione che fornisce dati anonimi, già aggregati e indicizzati al Ministero della Salute – pur se in assoluta buona fede – si rivela illegittimo, perché la Regione in qualità di titolare del trattamento dei dati, "prima di procedere al trattamento, avrebbe dovuto verificare la sussistenza di un presupposto giuridico a tal fine idoneo.
Ciò tenuto anche conto del fatto che la Regione partecipava al gruppo di lavoro volto proprio alla elaborazione del decreto attuativo che per legge avrebbe dovuto individuare i trattamenti di dati personali necessari per lo sviluppo di metodologie predittive dell'evoluzione del fabbisogno di salute della popolazione, ivi inclusa l'elaborazione della versione prototipale del modello predittivo."
Non essendosi riscontrato un fine idoneo nella raccolta di dati con finalità predittive senza che fosse stata condotta una preventiva valutazione d'impatto, sono stati violati i principi di liceità, correttezza e trasparenza e, dunque il Garante ha ordinato l'immediata cancellazione dei dati raccolti.
Ciò chiarito dal Garante in ordine alla clusterizzazione senza valutazione d'impatto del contenuto dei data base a disposizione delle Regioni, val la pena ricordare come sempre lo scorso 24 febbraio 2022, il Garante abbia valutato positivamente il subentro dell'ANA (Anagrafe Nazionale degli Assistiti) in luogo delle anagrafi e degli elenchi degli assistiti tenuti dalle singole aziende sanitarie locali, nonché delle anagrafi ed elenchi tenuti dal Ministero della salute relativamente agli assistiti SASN e agli assistiti residenti all'estero.
Detto parere del Garante Privacy è stato reso con riferimento allo schema di DPCM sulla Anagrafe Nazionale degli Assistiti, appunto nell'ottica di rafforzare gli interventi in tema di monitoraggio della spesa del settore sanitario e accelerare il processo di automazione amministrativa. Ebbene, il Garante, pur nell'impossibilità di riconoscere l'ANA come titolare autonomo del trattamento, trattandosi di una banca dati realizzata dal Ministero, per la quale un autonomo titolare dei dati va comunque individuato, ha salutato con favore la realizzazione di tale anagrafe, soprattutto per la possibilità di dar vita alla diffusione del fascicolo sanitario elettronico indicato come obiettivo nel PNRR entro il prossimo 2025.
Il Garante, poi, non ha mancato di far notare che in questi casi la raccolta di dati – priva di elementi identificativi diretti– avrebbe potuto essere effettuata al fine di monitorare i livelli essenziali di assistenza e l'appropriatezza e l'efficacia delle prestazioni di cura erogate al cittadino.
La nuova sanità nazionale, si atteggia dunque come aperta a nuove forme di interscambio e gestione dei dati del paziente in modo da facilitare l'accesso e l'utilizzo degli stessi da parte di terzi autorizzati, laddove ne abbiano bisogno per poter fornire cure all'interessato.
In questo scenario, assume rilevanza sempre maggiore tanto nelle strutture pubbliche quanto in quelle private, la figura del DPO (data protector officer – responsabile protezione dati), che oltre a svolgere una funzione di monitoraggio e controllo, ha altresì autonome capacità organizzative e gestionali per le sue spiccate competenze giuridiche, informatiche, di risk management e di analisi dei processi che lo rendono in grado di osservare, valutare e organizzare la gestione del trattamento dei dati personali, non solo per non incorrere nelle sanzioni comminate dal Garante della privacy, ma anche con lo scopo di controllare che la protezione, la conservazione ed il trattamento dei dati avvengano in un clima di rigorosa prevenzione e adeguata valutazione delle situazioni di rischio, pur in una realtà magmaticamente complessa quale è quella sanitaria.
*a cura dell' Avv. Marco Sebastiano Accorrà e Avv. Alessandra Perrina – MSÀ Law Firm
