Gentile Direttore,
ogni volta che in Italia si parla di Fascicolo Sanitario Elettronico, intelligenza artificiale, interoperabilità, ricerca clinica o condivisione dei dati, la discussione finisce inevitabilmente sulla privacy. È quasi un riflesso condizionato: “Non si può fare per motivi di privacy”, “Attenzione al GDPR”, “C’è il rischio di un data breach”, “Potremmo essere sanzionati”.
La privacy diventa così la spiegazione di ogni ritardo, di ogni rinuncia, di ogni occasione perduta.
Ma siamo davvero sicuri che il problema sia la privacy? O non è piuttosto il modo in cui abbiamo scelto di interpretarla? Esistono, a mio avviso, due modi completamente diversi di leggere la stessa norma.
Il primo che si domanda: Come possiamo utilizzare i dati per curare meglio le persone nel pieno rispetto della loro privacy?
Il secondo si domanda: Cosa dobbiamo evitare di fare per non rischiare di violare la privacy?
La differenza sembra minima, ma in realtà separa due modelli di amministrazione, due culture organizzative e, probabilmente, due idee di Paese. Nel primo modello la protezione dei dati è una componente della qualità delle cure, nel secondo diventa soprattutto una fonte di responsabilità da evitare. È la differenza tra una privacy che abilita e una privacy difensiva.
Quest’ultima rappresenta uno dei fenomeni meno discussi ma più rilevanti della trasformazione digitale italiana. Il paradosso è che, mentre spesso interpretiamo la privacy come una ragione per non condividere i dati, l’Europa sta costruendo un’intera architettura normativa per rendere possibile una maggiore condivisione.
Così come da anni conosciamo la medicina difensiva, oggi assistiamo alla nascita di una privacy difensiva. Non si condividono informazioni per prudenza, si moltiplicano autorizzazioni e passaggi burocratici, si limitano gli accessi anche quando sarebbero pienamente giustificati e si preferisce rinunciare a un progetto piuttosto che assumersi la responsabilità di governarlo.
Il risultato è un sistema che tende a ridurre il rischio amministrativo più che a massimizzare il beneficio per il cittadino.
Eppure il recente rapporto dell’OCSE sull’interoperabilità dei sistemi sanitari[1] racconta una storia molto diversa. Il documento individua come principali ostacoli alla sanità digitale non tanto le norme sulla protezione dei dati, quanto la frammentazione della governance, la carenza di leadership, la scarsa fiducia tra gli attori del sistema e la difficoltà di costruire modelli organizzativi realmente interoperabili e sicuri. La vera sfida quindi è prima di tutto culturale e organizzativa.
È una conclusione che dovrebbe far riflettere perché per anni, e ancora oggi lo facciamo, abbiamo attribuito alla privacy responsabilità che forse appartengono non alle norme che la regolano, ma soprattutto alla nostra incapacità di progettare sistemi capaci di condividere informazioni in modo sicuro. Lo stesso GDPR, del resto, non nasce per impedire la circolazione dei dati, ma nasce per renderla affidabile. Il Regolamento europeo introduce il principio dell’accountability, cioè della responsabilità delle organizzazioni nel progettare trattamenti leciti, proporzionati e sicuri, non impone il blocco dei dati. Chiede soltanto che il loro utilizzo sia governato.
Esiste una differenza sostanziale: bloccare è semplice, governare è molto più difficile.
Ed è precisamente qui che si colloca la privacy by design. Non come un ulteriore adempimento da aggiungere a valle, ma come un criterio di progettazione: concepire fin dall’origine sistemi nei quali l’utilizzo e la circolazione delle informazioni siano già governati secondo criteri di necessità, proporzionalità, sicurezza e responsabilità.
La domanda, quindi, non dovrebbe essere soltanto se un dato possa essere condiviso, ma se abbiamo progettato un sistema capace di condividerlo quando serve, con chi serve e con garanzie adeguate.
Questo approccio richiede una maturità organizzativa che si manifesta prima che il problema si presenti. È, in fondo, il senso più concreto dell’accountability: assumersi oggi la responsabilità di progettare correttamente processi, ruoli e garanzie, per non trovarsi domani a scegliere tra il rischio e la rinuncia.
E, in fondo, non è questa la logica stessa della prevenzione in sanità? Intervenire prima che il problema si manifesti, ridurre i fattori di rischio, costruire condizioni che rendano meno probabile il verificarsi dell’evento avverso.
La privacy by design è, sotto questo profilo, una scelta di responsabilità anticipata. È qui che si misura la distanza dalla privacy difensiva. La prima affronta il rischio progettando sistemi capaci di governarlo; la seconda tende a ridurlo attraverso la rinuncia, la limitazione o il rinvio. Una nasce dalla responsabilità di progettare, l’altra dalla paura di decidere. È, in definitiva, la differenza tra una cultura che reagisce al rischio e una cultura che lo governa.
L’OCSE descrive una prospettiva nella quale i dati seguono il paziente lungo tutto il percorso assistenziale e possono essere riutilizzati, con adeguate garanzie, per la ricerca, la programmazione sanitaria e l’interesse pubblico. L’obiettivo non è dunque ridurre la protezione, ma costruire reti affidabili di dati sanitari fondate sulla fiducia, su standard condivisi, sulla qualità dei dati e su una governance efficace.
Non è un caso, del resto, che l’Unione europea stia andando nella direzione opposta rispetto a una concezione della privacy come semplice limite alla circolazione dei dati. Con lo European Health Data Space[2], l’Europa sta costruendo un quadro comune per rendere possibile una maggiore disponibilità e condivisione dei dati sanitari, sia per la cura delle persone sia per la ricerca e l’innovazione.
La sfida europea non è dunque impedire che i dati circolino, ma creare le condizioni perché possano farlo in modo interoperabile, sicuro e governato. È la stessa logica della privacy by design: non aggiungere la protezione dei dati dopo aver progettato il sistema, ma incorporarla nelle sue regole, nelle sue architetture e nei suoi processi.
In questo senso, l’European Health Data Space rappresenta qualcosa di più di una nuova disciplina europea dei dati sanitari. È, almeno nelle sue ambizioni, un tentativo di affrontare alla radice il problema della frammentazione, costruendo le condizioni perché la condivisione dei dati diventi non un’eccezione da giustificare, ma una possibilità da governare nel pubblico interesse. Eppure in Italia (ben diverso in altri paesi europei) il dato sanitario viene ancora percepito prevalentemente come una fonte di rischio, quando nei sistemi più maturi viene considerato una risorsa strategica, certamente da proteggere, ma soprattutto da utilizzare nell’interesse del paziente.
Un esempio interessante viene dal Lussemburgo, dove la strategia nazionale sui dati collega esplicitamente la valorizzazione e la condivisione sicura delle informazioni alla trasformazione della sanità. L’obiettivo dichiarato è utilizzare l’integrazione dei dati clinici e genomici e gli strumenti di intelligenza artificiale per spostare progressivamente il sistema da un modello prevalentemente reattivo verso uno più proattivo, orientato alla prevenzione, alla diagnosi precoce e alla personalizzazione delle cure. Il dato, in questa prospettiva, non è soltanto qualcosa da proteggere dal rischio: è anche ciò che consente di anticiparlo.
Le conseguenze di un diverso approccio sono enormi perché un medico che non riesce ad accedere tempestivamente alla storia clinica di un paziente dispone di meno informazioni per decidere e un ricercatore che non può utilizzare dati di qualità produrrà meno innovazione, perché un algoritmo di intelligenza artificiale addestrato su dati incompleti sarà inevitabilmente meno affidabile. E così, un decisore pubblico che non dispone di informazioni integrate programmerà peggio i servizi.
L’OCSE ricorda che una piena interoperabilità potrebbe generare benefici economici compresi tra il 2,7% e il 6,6% della spesa sanitaria, grazie alla riduzione degli errori diagnostici, delle duplicazioni di esami, dei tempi di cura, all’accelerazione della ricerca e allo sviluppo dell’intelligenza artificiale applicata alla salute.
Ma la vera posta in gioco non è economica, a mio avviso è culturale e per troppo tempo abbiamo contrapposto in modo errato due valori che non sono affatto alternativi: tutela della privacy e diritto alla salute.
Una sanità capace di condividere dati in modo sicuro protegge meglio entrambe, perché protegge la riservatezza dei cittadini e protegge anche la loro salute.
La domanda, allora, non è se dobbiamo tutelare i dati personali – su questo non esiste alcun dubbio – ma siamo capaci di proteggerli senza impedire che producano conoscenza? Perché il dato sanitario non è soltanto un’informazione individuale, é anche un bene collettivo, se utilizzato con criterio.
Ogni dato raccolto durante una visita, un ricovero, un intervento chirurgico o una terapia rappresenta un frammento di conoscenza che può migliorare la cura del singolo paziente, contribuire alla ricerca scientifica, rendere più efficiente il Servizio sanitario e aiutare a salvare altre vite.
Quindi la privacy deve continuare a difendere la dignità della persona, ma non può trasformarsi, per eccesso di prudenza o per interpretazioni difensive, in un ostacolo alla conoscenza. Perché una società che protegge perfettamente i dati ma rinuncia a utilizzarli per migliorare la salute rischia di fallire entrambe le missioni.
La vera sfida della sanità digitale non è scegliere tra privacy e innovazione, ma costruire un sistema nel quale la fiducia renda possibile entrambe.
È proprio in questa prospettiva che privacy by design e accountability assumono il loro significato più profondo: non come meri principi giuridici, ma come strumenti di responsabilità e di coraggio, attraverso i quali far convivere protezione e utilizzo dei dati, diritti e innovazione, fiducia e condivisione.
È questa, in fondo, la vera ambizione europea: costruire uno spazio digitale per i dati sanitari nel quale la protezione dei diritti e la capacità di utilizzare i dati non siano obiettivi contrapposti, ma parti dello stesso progetto. Un progetto nel quale la fiducia non sia il risultato di una rinuncia alla conoscenza, ma la condizione che rende possibile utilizzarla responsabilmente. Solo allora la privacy tornerà ad essere ciò che il legislatore europeo aveva immaginato: non il limite del progresso, ma la condizione perché il progresso possa essere davvero al servizio della persona.
Angelo Aliquò
Direttore Generale A.O. San Camillo Forlanini – Roma
Claudio Orlando Miele
Privacy Counsel – Luxembourg
[1] https://www.quotidianosanita.it/studi-e-analisi/l-interoperabilit-dei-dati-sanitari-pu-far-risparmiare-fino-al-6-6-della-spesa-sanitaria-ocse-ma-i-sistemi-sono-ancora-troppo-frammentati/
[2] https://health.ec.europa.eu/ehealth-digital-health-and-care/european-health-data-space-regulation-ehds_it
