Nel panorama dell’European Health Data Space (EHDS) la questione più delicata è rappresentata da chi, e come, decide se una specifica richiesta di riuso dei dati sanitari sia legittima. La risposta è affidata agli Health Data Access Bodies (HDAB), organi incaricati di trasformare le categorie normative generali in decisioni concrete, motivate e proporzionate. Questo ruolo, seppur definito da linee guida non vincolanti, è cruciale per garantire che la “gelosia dei dati” si trasformi in una condivisione regolata, capace di conciliare ricerca, innovazione, interesse pubblico e tutela della proprietà intellettuale.

Il contesto normativo di riferimento

L’EHDS definisce con precisione il perimetro dell’uso secondario dei dati sanitari. L’articolo 53 elenca sei finalità per le quali l’accesso può essere autorizzato:

Al contempo, l’articolo 54 elenca gli usi vietati, tra cui decisioni discriminatorie o dannose, attività di advertising o marketing e lo sviluppo di prodotti o servizi potenzialmente lesivi per individui, salute pubblica o società.

Linee guida di TEHDAS2: gli strumenti operativi

TEHDAS2 ha pubblicato due documenti fondamentali:

Pur non avendo forza di legge, queste linee guida costituiscono una base di riferimento per gli HDAB, traducendo il regolamento in criteri applicabili ai casi reali.

Da principi generali a decisioni concrete

Il passaggio dall’enunciazione di principi a decisioni operative è più complesso di quanto il testo normativo possa suggerire. Il regolamento fornisce concetti generali, successivamente dettagliati da atti di esecuzione e linee guida, ma il quadro rimane incompleto di fronte a richieste specifiche. È nella valutazione di casi concreti che gli HDAB devono confrontarsi con situazioni non perfettamente riconducibili ai casi previsti, richiedendo un’analisi accurata e contestuale.

Richieste chiaramente ammissibili o proibite

È relativamente semplice identificare usi chiaramente consentiti, come uno studio epidemiologico finalizzato a migliorare la salute pubblica, o usi esplicitamente vietati, come l’utilizzo dei dati per determinare premi assicurativi più elevati. In questi casi la decisione dell’HDAB è quasi automatica: autorizzazione per gli usi ammessi e rifiuto per quelli proibiti.

I casi intermedi: la sfida dell’HDAB

La difficoltà maggiore riguarda i casi intermedi, dove la finalità dichiarata può essere mista o contiene elementi commerciali. Una ricerca può perseguire un obiettivo scientifico legittimo ma prevedere anche una forte componentistica commerciale. La stessa richiesta può combinare più finalità, ad esempio ricerca scientifica e miglioramento dell’erogazione dell’assistenza. L’HDAB non può limitarsi a verificare la presenza formale di una finalità consentita; deve comprendere l’effettivo utilizzo dei dati, valutare la coerenza e la proporzionalità rispetto all’obiettivo dichiarato e verificare l’assenza di usi proibiti.

Interesse pubblico versus natura del richiedente

L’articolo 53(1)(a)-(c) riserva alcune finalità (salute pubblica, definizione di politiche, attività regolatorie, statistiche ufficiali) agli organismi pubblici e alle istituzioni dell’Unione. Tuttavia, non si crea una gerarchia automatica che favorisca i richiedenti pubblici rispetto a quelli privati. Per la ricerca e l’innovazione, il regolamento riconosce l’accesso a soggetti pubblici, privati, non profit e singoli ricercatori, a condizione che il risultato contribuisca all’interesse generale della società.

Ricerca universitaria e innovazione privata

Una ricerca svolta da un’università non garantisce automaticamente un beneficio maggiore rispetto a un progetto industriale, così come l’assenza di interessi commerciali non rende per sé legittimo un progetto potenzialmente dannoso. La valutazione dipende dal risultato atteso: sviluppo di nuovi farmaci, dispositivi o servizi sanitari migliorati e più accessibili costituiscono un beneficio per la società, indipendentemente dalla natura del richiedente.

Intelligenza artificiale: la finalità conta più della tecnologia

Nel caso dell’intelligenza artificiale, il regolamento specifica che il training, il testing e la valutazione di algoritmi rientrano nella ricerca scientifica solo se soddisfano le finalità e le condizioni dell’articolo 53. Pertanto, la semplice presenza di AI non è, di per sé, un criterio sufficiente per approvare o rifiutare la richiesta; è la finalità dell’uso che determina la legittimità.

Quando il rifiuto è obbligatorio

Il quadro normativo è chiaro in alcune situazioni di rifiuto:

Un esempio lampante è la proposta di utilizzare dati sanitari per determinare condizioni assicurative più sfavorevoli, uso espressamente proibito dall’articolo 54.

Valutazione dei rischi e possibilità di mitigazione

La maggior parte delle richieste, tuttavia, presenta elementi di incertezza piuttosto che violazioni evidenti. Le linee guida TEHDAS2 invitano gli HDAB a considerare non solo la finalità dichiarata, ma anche il contenuto complessivo della domanda e gli eventuali chiarimenti forniti dal richiedente. La presenza di potenziali criticità non giustifica automaticamente un rifiuto; al contrario, è necessario valutare:

In pratica, la decisione non è binaria. Una richiesta può essere accettata con condizioni restrittive, riducendo la portata dell’accesso o imponendo obblighi aggiuntivi.

Procedura operativa dell’HDAB

Secondo le linee guida operative, il processo di valutazione prevede le seguenti fasi:

    • ricezione della domanda completa, comprensiva di progetto, finalità, metodologie e misure di sicurezza;
    • verifica preliminare della conformità alla lista delle finalità consentite e dei divieti;
    • analisi del rischio relativo a proprietà intellettuale, segreti commerciali e diritti dei soggetti dati;
    • richiesta di chiarimenti o documentazione aggiuntiva al richiedente, se necessario;
    • valutazione delle misure proposte per mitigare eventuali rischi (es. anonimizzazione, crittografia, limitazioni d’uso);
    • formulazione di una decisione motivata, con eventuali condizioni o rigetti;
    • comunicazione al richiedente e, se autorizzata, rilascio dei dati secondo i formati e i protocolli stabiliti.

Tempistiche, scadenze e possibili contestazioni

Le normative prevedono scadenze definite per la risposta dell’HDAB, al fine di garantire certezza giuridica e operatività per i richiedenti. Tuttavia, la pressione per rispettare questi termini può entrare in conflitto con la necessità di una valutazione approfondita, specialmente nei casi più complessi. In caso di decisione negativa, il richiedente ha diritto a una motivazione dettagliata e può avviare una procedura di ricorso, sollevando ulteriori questioni di interpretazione giuridica e di bilanciamento tra interessi pubblici e privati.

Conclusioni: la centralità del giudizio equilibrato

Il ruolo degli HDAB nell’EHDS è fondamentale per tradurre principi astratti in pratiche operative. La loro capacità di valutare in modo equilibrato, proporzionato e trasparente le richieste di riuso dei dati sanitari determina la reale attuabilità dell’obiettivo di una sanità europea più aperta e innovativa. Solo attraverso decisioni ben motivate, che tengano conto sia delle finalità consentite che dei rischi potenziali, sarà possibile conciliare la tutela dei diritti individuali con le esigenze di ricerca, innovazione e salute pubblica.