Salute 2.0: una nuova definizione di “dato sanitario” nel mondo delle Applicazioni.

di Elisa Rosso

07/07/16

Il “dato sanitario” proprio di ciascun cittadino, qualificato sin dal ’95 (Dir 95/46/CEE) come quel “dato relativo alla salute e alla vita sessuale”, ha finalmente trovato una definizione più precisa con il nuovo Regolamento 679/2016 sulla protezione dei dati personali.

Nella nuova descrizione i «dati relativi alla salute» fanno riferimento ai “dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute”. Così recita l’art 4 punto 15) del recentissimo Regolamento UE che, includendo tutti i dati che in qualche modo rivelano informazioni sullo stato di salute, ha di fatto ampliato la nozione di dato sanitario.

Con l’incessante evoluzione ed implemento delle tecnologie nelle Amministrazioni pubbliche (cloud computing, digitalizzazione, social media, interconnessione di banche dati, pubblicazione automatizzata di dati on line, ecc) si è anche, però, reso necessario un intervento nell’articolazione della tutela dell’area privacy. Alla luce del nuovo Regolamento, infatti, la protezione dei dati personali costituisce il fondamento della progettazione di servizi, programmi e software all’interno di processi aziendali privati, convenzionati e pubblici, nei cui settori tutti gli operatori dovranno dovranno essere attori di una vera rivoluzione culturale dal forte impatto organizzativo, per adeguare le norme di protezione dei dati ai cambiamenti derivanti dalla digitalizzazione.

Quale tipologia di dati, in concreto, debbano essere qualificati come “sanitari” il Regolamento, tuttavia, non lo specifica. Il problema può essere, però, affrontato alla luce del documento rilasciato dal Gruppo di Lavoro 29 (anche WP 29) il 5 Febbraio 2015ⁱ. Nato da una richiesta della Commissione UE diretta a chiarire quando un dato raccolto da una APP debba considerarsi o meno sanitario, il parere risulta essere il corretto strumento per capire come interpretare la nuova nozione di dato sanitario introdotta dal Regolamento, una delle aree più complesse in cui gli Stati membri registrano una grande diversità ed incertezza giuridica. È pacifico che siano tali i dati medici ed i dati sullo stato di salute fisica o mentale che vengono generati in un contesto medico professionale; tuttavia, il dato attinente alla salute trova una appartenenza in una dimensione più ampia rispetto al settore esclusivamente “medico”: pertanto, devono parimenti essere considerati “dati sanitari” tutti quei dati generati da dispositivi o applicazioni utilizzati per una conoscenza sul proprio stato di salute, indipendentemente dalla qualificazione di “dispositivo medico”.

Infatti, sulla base dell’attuale direttiva sulla protezione dei dati, legislatori nazionali, giudici e giuristi sono giunti alla conclusione che rientra nel “dato sanitario” anche quella serie di acquisizioni relative alla salute del soggetto attingibili da differenti contesti informativi, quali, ad esempio: la frattura di un arto (CGCE-caso Lindqvist); l’utilizzo di protesi visive (occhiali e lenti a contatto); consumo di alcol o fumo; i dati sulle allergie comunicati a soggetti privati (come le compagnie aeree) o ad enti pubblici (come le scuole); l’appartenenza ad un gruppo di supporto per patologia (cancro, disturbi dell’alimentazione, dipendenze..). Si evince come gli ambiti dai quali desumere i “dati sanitari” siano ampi e variegati, e vadano da quelli lavorativi professionali (comunicazioni di giorni di malattia al proprio datore di lavoro; richieste per usufruire dei permessi annui retribuiti) a quelli amministrativi (richieste di detrazioni fiscali o altre indennità).

Quindi, la definizione di dato sanitario subisce un arricchimento complesso ed in costante evoluzione. Basti pensare a tutti quegli elementi emergenti dalla misurazione della pressione sanguigna o frequenza cardiaca, indipendentemente dal fatto che il test venga eseguito da medici o da dispositivi e software liberamente disponibili sul mercato commerciale, ed indipendentemente dal fatto che questi dispositivi siano qualificati o meno come dispositivi medici.

A completamento delle suddette definizioni, il Gruppo di lavoro assume esista una categoria di dati personali generati da App sullo stile di vita e dai dispositivi che, in generale, non deve essere considerata come “dati sulla salute” ai sensi dell’articolo 8. Si tratta di dati da cui non possono ragionevolmente essere desunte conclusioni sullo stato di salute del soggetto. Infatti, non tutti i dati raccolti attraverso un’app possono essere qualificati come informazioni significative sullo stato di salute di una persona. Ad esempio, se un’applicazione potesse solo contare il numero di passi durante un singolo percorso effettuato dal soggetto, senza poter combinare questi risultati con altre informazioni da e sullo stesso argomento forniti, ed in assenza di uno specifico contesto medico in cui i dati di app siano utilizzabili, per i dati raccolti non ricorrono le specifiche normative di tutela sulla privacy: si tratta solo di informazioni sanitarie grezze (che hanno un impatto minimo sullo stile di vita) -a condizione che non siano attivi servizi di geolocalizzazione- da cui è impossibile dedurre la conoscenza sullo stato di salute di una persona.

Permangono delle aree grigie dove non è evidente a prima vista se il trattamento di tali dati sia da considerare come il trattamento dei dati sanitari. Questo è in particolare il caso in cui i dati sono trattati per finalità integrative e/o in combinazione con altri dati o ceduti a terzi. Questi tipi di trattamento possono creare rischi, compreso il pericolo di utilizzo sleale basato su dati sullo stato di salute presunto o effettivo di una persona.

Chiaramente, questi tipi di trattamento meritano grande attenzione. Se le informazioni costituiscono dati sanitari, ma vengono “erroneamente” trattati come dati personali “ordinari”, vi è la deprecabile evenienza che l’elevato livello di protezione ritenuto necessario dal legislatore europeo venga compromesso o evaso. Questo rischio vale in particolare per l’ulteriore elaborazione di tali dati a fini di diffusione e di marketing, dato che il modello di business chiave della maggior parte delle applicazioni si fonda sulla pubblicità. Al contrario, quando i dati personali raccolti tramite un’applicazione o un dispositivo rientrano nella qualifica di “sanitario”, le possibilità di ulteriore elaborazione per scopi diversi da quelli per la fornitura di assistenza sanitaria sono molto limitate.

Il danneggiamento della tutela della privacy connesso con il trattamento dei dati sanitari ai sensi dell’articolo 8 deve essere valutato alla luce dei rapidi sviluppi nella tecnologia mobile e portabile. Il rischio, infatti, è che, in combinazione con altri dati, questi possano essere utilizzati per trarre conclusioni sullo stato di salute delle persone interessate che utilizzano dispositivi ed applicazioni, trattandoli in modo diverso, in utile e positivo, ma anche in modo negativo e/o imprevedibile. Con queste applicazioni, non è solo l’utente che raccoglie i dati su sé stesso; frequentemente, l’informazione è (anche) elaborata da un controllore di dati. È fondamentale che i fruitori possano consapevolmente determinare se acconsentire o meno a qualsiasi (ulteriore) utilizzo di dati dai quali si possono trarre conclusioni relative alla loro salute. Per esempio, si pensi alla comunicazione continuativa, tramite un’App, con il proprio curante di cui necessita un paziente diabetico, a cui evidentemente possono attingere altri oltre questi.

Non è quindi sempre così lineare riconoscere se trattasi della lavorazione di “dati sanitari”. Ecco perché è importante fornire una serie di criteri che aiutino a determinare i casi in cui i dati inerenti lo stile di vita debbano essere trattati quali “dati sanitari” ai sensi dell’articolo 8. Si rende pertanto auspicabile un incremento di tutti quegli elementi, deontologici, legislativi e di controllo, a tutela della completa e garante applicazione della legge sulla privacy in una materia così delicata quale la salute del cittadino.