Mission creep / Abuso dei dati

Con trasparenza, responsabilità e audit come principi operativi del GDPR, le sfide che si presentano per il coinvolgimento dei pazienti e i dati dei pazienti nel contesto sanitario, soprattutto per garantire che non si verifichino fenomeni di "mission creep" o uso improprio dei dati, sono le seguenti:

1. Consenso informato esplicito e giustificazione – A causa della natura sensibile delle informazioni personali, i pazienti devono essere pienamente informati e dare esplicitamente il proprio consenso alla divulgazione delle proprie informazioni personali. I professionisti sanitari e medici devono ottenere il consenso informato esplicito dal paziente per ogni occasione in cui i dati potrebbero essere utilizzati. Ciò può influire sulla fluidità delle operazioni, sulla flessibilità e sull'efficienza.
2. Conformità della catena di approvvigionamento – La conformità è essenziale in ogni fase del ciclo di vita della catena di approvvigionamento sanitario. Se la conformità non è soddisfacente o non può essere dimostrata, ciò può interrompere la catena di approvvigionamento sanitario e causare costi e oneri aggiuntivi.
3. Rischi di divulgazione non autorizzata – Quando i dati dei pazienti devono essere condivisi con altre parti, può sorgere il rischio di divulgazione non autorizzata, e la privacy del paziente potrebbe essere compromessa se dati specifici possono essere visualizzati. Questo rischio, ad esempio, è qualcosa che deve essere protetto anche con la condivisione più ampia dei dati dei pazienti, in conformità con il European Health Data Space.
4. Problemi di sicurezza – Con una condivisione più ampia dei dati dei pazienti, i rischi per la sicurezza possono aumentare se i sistemi che proteggono i dati non sono aggiornati (ad esempio).
5. Pressioni di conformità – Quando tutte le istituzioni sanitarie sono coinvolte nel trattamento dei dati dei pazienti, le istituzioni che affrontano carenze di personale (ad esempio), o che non riescono a nominare un Responsabile della Protezione dei Dati qualificato, sono a rischio di non conformità a causa delle pressioni di conformità.

Il GDPR contiene disposizioni estese riguardanti il trattamento dei dati personali, sotto le quali sono inclusi anche i dati dei pazienti. I vari attori coinvolti nel trattamento dei dati hanno obblighi specifici imposti loro dal GDPR, in particolare l'obbligo di ottenere il consenso informato dai pazienti. Si prevede che, a causa di queste disposizioni estese, le violazioni dei dati personali, il "mission creep" o l'uso improprio dei dati si verificherebbero qualora non vengano rispettate tali disposizioni specifiche.

In aggiunta al GDPR, l'EHDS, che è l'ultima iniziativa del GEPD e del Supervisore Europeo della Protezione dei Dati (EDPS), promuove la condivisione dei dati in uno spazio comune, coinvolgendo uno scambio sicuro, sicuro e riutilizzo dei dati sanitari. L'EHDS espande l'uso dei dati sanitari elettronici per fornire assistenza sanitaria all'individuo da cui tali dati sono stati raccolti (uso primario) e per migliorare la ricerca, l'innovazione, la formulazione delle politiche, la sicurezza del paziente, la medicina personalizzata, le statistiche ufficiali o le attività normative (uso secondario). Tuttavia, c'è una considerazione limitata dell'uso improprio dei dati o del "mission creep" nell'EHDS.

Principi del GDPR – Articolo 5

Il GDPR contiene sei principi chiave che devono essere seguiti da tutti i titolari del trattamento per quanto riguarda il trattamento dei dati. Ciò si applica anche ai dati dei pazienti. I cinque principi per il trattamento dei dati sono di seguito indicati e devono essere rigorosamente seguiti dai titolari del trattamento per evitare l'uso improprio dei dati o il "mission creep", con particolare attenzione al "limite di finalità".

I dati personali devono essere:

1. trattati in modo lecito, corretto e trasparente nei confronti dell'interessato (“lealtà, correttezza e trasparenza”);
2. raccolti per finalità determinate, esplicite e legittime e non trattati ulteriormente in modo incompatibile con tali finalità; il trattamento successivo a fini di archiviazione nel pubblico interesse, per scopi di ricerca scientifica o storica o per scopi statistici non è considerato incompatibile con le finalità iniziali, in conformità con l'Art. 89(1) (“limitazione delle finalità”);
3. adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”);
4. esatti e, se necessario, aggiornati; devono essere adottati tutti i provvedimenti ragionevoli per garantire che i dati personali inesatti, in relazione alle finalità per cui sono trattati, siano cancellati o rettificati senza indugi (“esattezza”);
5. conservati in una forma che consenta l'identificazione degli interessati per un periodo di tempo non superiore a quello necessario per le finalità per le quali i dati personali sono trattati; i dati personali possono essere conservati per periodi più lunghi, a condizione che siano trattati esclusivamente per finalità di archiviazione nel pubblico interesse, per scopi di ricerca scientifica o storica o per scopi statistici, in conformità con l'Art. 89(1), e siano attuate le misure tecniche e organizzative appropriate per salvaguardare i diritti e le libertà degli interessati (“limitazione della conservazione”);
6. trattati in modo da garantire una sicurezza adeguata dei dati personali, inclusa la protezione contro il trattamento non autorizzato o illecito e contro la perdita, la distruzione o il danneggiamento accidentale, mediante l'uso di misure tecniche o organizzative appropriate (“integrità e riservatezza”).

Definizioni dei dati dei pazienti – Articoli 4(13) e 4(15); e circostanze in cui i dati dei pazienti possono essere trattati o condivisi – Articolo 9

Compiere con la specifica del GDPR riguardo alle circostanze in cui i dati dei pazienti possono essere trattati è necessario per garantire che non avvengano abusi dei dati o “mission creep”. Nel GDPR, i dati dei pazienti possono essere considerati dati sensibili. Ciò comprende i “dati relativi alla salute” e i “dati genetici” definiti negli Articoli 4(15) e 4(13) del GDPR. È vietato trattare (incluso la condivisione) questi dati dei pazienti, salvo in circostanze limitate.

Le circostanze limitate in cui i dati dei pazienti possono essere trattati o condivisi sono indicate nell'Articolo 9 del GDPR (paragrafi 1 e 2), come segue: 

• Il trattamento di dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza a sindacati, e il trattamento di dati genetici, dati biometrici per identificare univocamente una persona fisica, dati relativi alla salute o dati relativi alla vita sessuale o orientamento sessuale di una persona fisica è vietato.
• Il paragrafo 1 non si applica se una delle seguenti condizioni è soddisfatta:

1. l'interessato ha fornito il consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo che la legislazione dell'Unione o degli Stati membri preveda che il divieto di cui al paragrafo 1 non possa essere revocato dall'interessato;
2. il trattamento è necessario per adempiere agli obblighi e per esercitare diritti specifici del titolare del trattamento o dell'interessato nel settore del diritto del lavoro, della sicurezza sociale e della protezione sociale, in quanto autorizzato dalla legislazione dell'Unione o degli Stati membri o da un accordo collettivo secondo la legge di uno Stato membro, che preveda garanzie adeguate per i diritti fondamentali e gli interessi dell'interessato;
3. il trattamento è necessario per proteggere gli interessi vitali dell'interessato o di un'altra persona fisica quando l'interessato è incapace di dare il proprio consenso fisico o legalmente;
4. il trattamento è effettuato nell'ambito delle legittime attività di una fondazione, associazione o di un altro ente senza scopo di lucro con finalità politiche, filosofiche, religiose o sindacali, e a condizione che il trattamento riguardi esclusivamente i membri o ex membri dell'ente o persone che abbiano contatti regolari con esso in relazione alle sue finalità e che i dati personali non siano comunicati all'esterno dell'ente senza il consenso degli interessati;
5. il trattamento riguarda dati personali che sono manifestamente resi pubblici dall'interessato;
6. il trattamento è necessario per l'instaurazione, l'esercizio o la difesa di diritti legali o ogniqualvolta i tribunali agiscano nel loro ambito giurisdizionale;
7. il trattamento è necessario per motivi di interesse pubblico sostanziale, sulla base della legislazione dell'Unione o degli Stati membri, che sia proporzionato agli scopi perseguiti, rispetti l'essenza del diritto alla protezione dei dati e preveda misure adeguate e specifiche per salvaguardare i diritti fondamentali e gli interessi dell'interessato;
8. il trattamento è necessario per scopi di medicina preventiva o occupazionale, per la valutazione della capacità lavorativa del dipendente, per diagnosi mediche, per la fornitura di cure sanitarie o assistenza sociale o trattamento, o per la gestione di sistemi e servizi sanitari o sociali sulla base della legislazione dell'Unione o degli Stati membri o in conformità a un contratto con un professionista sanitario, e soggetto alle condizioni e garanzie di cui al paragrafo 3;
9. il trattamento è necessario per motivi di interesse pubblico nel settore della salute pubblica, come la protezione contro gravi minacce transfrontaliere per la salute o per garantire elevati standard di qualità e sicurezza delle cure sanitarie e dei medicinali o dispositivi medici, sulla base della legislazione dell'Unione o degli Stati membri, che preveda misure adeguate e specifiche per salvaguardare i diritti e le libertà dell'interessato, in particolare il segreto professionale;
10. il trattamento è necessario per scopi di archiviazione nel pubblico interesse, scopi di ricerca scientifica o storica, o per scopi statistici, in conformità con l'Art. 89(1), sulla base della legislazione dell'Unione o degli Stati membri, che sia proporzionata agli scopi perseguiti, rispetti l'essenza del diritto alla protezione dei dati e preveda misure adeguate e specifiche per salvaguardare i diritti fondamentali e gli interessi dell'interessato.

Conoscenze critiche dei diritti dei pazienti ai sensi del GDPR

Una conoscenza approfondita dei diritti attribuiti ai pazienti ai sensi del GDPR è essenziale per garantire che i pazienti siano sempre pienamente informati non solo sui loro diritti in ambito sanitario, ma anche sui loro diritti disponibili per la protezione dei propri dati ai sensi del GDPR. Su richiesta dei pazienti, il titolare del trattamento deve soddisfare la richiesta dei pazienti. I principali diritti dei pazienti ai sensi del GDPR sono i seguenti (Forum Europeo dei Pazienti, n.d.):

Le interazioni con gli enti regolatori sono specificamente disciplinate dalle disposizioni sia del GDPR che dell'EHDS. Oltre al ruolo generale del EDPB, il Capitolo 6 del GDPR descrive il ruolo dell'autorità indipendente di vigilanza, che è uno o più enti pubblici in ciascun Stato membro incaricati di monitorare l'applicazione effettiva del GDPR. Queste autorità indipendenti di vigilanza sono il primo punto di contatto nazionale per i titolari del trattamento dei dati o i responsabili del trattamento, ecc. (Art. 57 GDPR). Tra le altre cose, i compiti dell'autorità di vigilanza indipendente includono “gestire i reclami presentati da un interessato, o da un ente, organizzazione o associazione ai sensi dell'Articolo 80 e indagare, nei limiti del necessario, sull'oggetto del reclamo e informare il reclamante sui progressi e sull'esito dell'indagine entro un periodo ragionevole, in particolare se è necessario un ulteriore approfondimento o coordinamento con un'altra autorità di vigilanza” (Art. 57(1)(f) GDPR). Questa è probabilmente la manifestazione più vicina a ciò che potrebbe comportare il "mission creep" o l'abuso dei dati, dove le interazioni con i regolatori diventano quindi necessarie.

Sotto l'EHDS, oltre al ruolo generale dell'EDPB e dell'EDPS, le interazioni con i regolatori coinvolgerebbero i collegamenti con l'Autorità Nazionale per la Salute Digitale di ciascuno Stato membro (Art. 22 della proposta di Regolamento EHDS). Vi è una certa sovrapposizione nel ruolo di quest'ultima, con il ruolo delle Autorità Indipendenti di Vigilanza sotto il GDPR (Art. 51). I dettagli specifici dei compiti, delle responsabilità e dei poteri delle Autorità Nazionali per la Salute Digitale e delle Autorità di Vigilanza si trovano rispettivamente negli Articoli 22-26 della proposta di Regolamento EHDS e negli Articoli 51-58 del GDPR. La loro organizzazione come autorità distinte o come un'unica autorità nazionale dipenderà da ciascuno Stato membro.

Pubblicazione: 19/06/2023

Ultimo aggiornamento: 22/08/2024

Autore: 

Pin Lean Lau, Assistant Professor in Bio-Law, Brunel Law School, Brunel University London

Revisione: 

Aurélie Mahalatchimy, Responsabile EuroGCT del Work Package 4, UMR 7318 DICE CERIC, Aix-Marseille Università, CNRS, Aix-en-Provence, Francia

Traduzione:

Victoria Burakova-Lorgnier, Giurista, UMR 7318 DICE CERIC, Aix-Marseille Università, Aix-en-Provence, Francia nell'aprile 2025