20 novembre - Gentile Direttore,
ad oggi, tutti i nodi strategici ed innovativi della sanità italiana (Stratificazione della popolazione, Fascicolo Sanitario Elettronico, Ecosistema dei dati Sanitari, Telemedicina, Intelligenza Artificiale) sono alle prese con l’attuazione di quanto richiesto dal Garante privacy per contemperare l’esercizio del diritto alla salute con il diritto alla privacy. Accogliere le richieste del Garante nel nuovo scenario della sanità digitale per prevenirne le osservazioni e interloquire con lo stesso, come opportunamente fa Agenas e il Ministero della Salute, in vista dell’emissione dei provvedimenti regolatori, appare l’unico modo per consentire la messa a terra di strumenti alla base della programmazione della nuova sanità territoriale, progettati dal PNRR, in tempi compatibili con le sue scadenze.
Ci stiamo muovendo verso il potenziamento del FSE e la creazione di un Ecosistema di Dati Sanitari nazionale, necessari ad assicurare la programmazione, il monitoraggio, lo sviluppo, la ricerca e la presa in carico di una Assistenza Territoriale per buona parte fondata sulla telemedicina (strategico, sotto questo profilo, il DM 29 aprile 2022 “Approvazione delle linee guida organizzative contenenti il Modello digitale per l’attuazione dell’assistenza domiciliare”, seguito poi dal DM 77 del 23 maggio 2022) e sulla stratificazione del rischio della popolazione, indispensabile per avviare una medicina predittiva e di iniziativa. Vediamo i vari step nei quali saremo impegnati.

Il Dl 73/2024, convertito in legge 107 del 29 luglio 2024, (cd. decreto sulle liste di attesa) stabilisce che la Piattaforma Nazionale delle liste di attesa, indispensabile strumento di governance, opera in coerenza con il «Modello Nazionale di Classificazione e Stratificazione della popolazione» (MCS), sviluppato nell'ambito del sub-investimento 1.3.2 della Missione 6 - Salute, componente 1 del Piano nazionale di ripresa e resilienza (PNRR) e reso disponibile alle Regioni e alle Province autonome di Trento e di Bolzano, secondo le modalità individuate con decreto del Ministro della salute, da adottare entro trenta giorni dalla data di entrata in vigore del decreto. Il Subinvestimento M6 C2 I 1.3.2, infatti, dedicato alla Infrastruttura tecnologica del Ministero della salute e analisi dei dati, modello predittivo per la vigilanza LEA, prevede, tra l’altro, la costruzione di un potente modello predittivo di simulazione e realizzazione del National Health Prevention Hub.

Il D.L. 34/2020, c.d. Decreto Rilancio, convertito nella legge n. 77/2020, all’art. 7 aveva già posto l’attenzione sulla possibilità di sviluppare modelli predittivi, che consentano la stratificazione della popolazione, il monitoraggio per fattori di rischio e la gestione integrata di patologie croniche e di situazioni complesse. L’adozione di un modello di stratificazione comune su tutto il territorio nazionale è diventato uno degli obiettivi strategici del PNRR che permetterà lo sviluppo di un linguaggio uniforme per garantire equità di accesso ed omogeneità di presa in carico. Tale modello di stratificazione dovrà consentire di individuare interventi appropriati, sostenibili e personalizzati che vengono definiti nel progetto di salute del singolo paziente. La Stratificazione della Popolazione per profili di rischio, presupposto imprescindibile per la medicina di iniziativa, avviene attraverso algoritmi predittivi, che permettono di differenziare le strategie di intervento per la presa in carico degli assistiti sulla base del livello di rischio, di bisogno di salute e consumo di risorse.

Essa è alla base sia della governance descritta dal DM 77/2022, che del PON GOV – Programma Operativo Nazionale Governance “Sostenere la sfida alla cronicità con il supporto dell’ICT”, finanziato dal Fondo Sociale Europeo nell’ambito del “PON Governance e capacità istituzionale 2014-2020”, promosso e realizzato dal Ministero della Salute e da Agenas. La previsione normativa, contenuta nel c.d. decreto liste di attesa, del Modello Nazionale di Classificazione e Stratificazione della popolazione» (MCS), è fondamentale per poter realizzare questo obiettivo, senza più incorrere nei numerosi provvedimenti sanzionatori del Garante Privacy assunti nei confronti di Aziende sanitarie e Regioni.

A tale proposito, il Garante ha più volte ribadito, nell’ambito di provvedimenti sanzionatori, che i trattamenti finalizzati a stratificare la popolazione per sviluppare la medicina di iniziativa necessitano di specifica base giuridica, di consenso specifico e di indicazioni su:
1) i soggetti che possono effettuare il trattamento
2) le operazioni eseguibili
3) l’interesse pubblico rilevante. Il Garante ha precisato, altresì, che il consenso per il FSE non può ritenersi base giuridica idonea per tale tipo di trattamento in ragione del fatto che tra le finalità del FSE non vi è la medicina di iniziativa.

Il possesso dei dati, di per sé, non legittima l’utilizzo degli stessi per una finalità correlata ma differente rispetto a quella per la quale sono stati raccolti. Poiché l’attività di stratificazione riguarda un numero elevato di soggetti vulnerabili è, inoltre, indispensabile, di volta in volta la Valutazione d’impatto (Data Protection Impact Assessment-DPIA), necessaria nel caso di trattamento di “dati sensibili o aventi carattere altamente personale” e di “dati relativi ad interessati vulnerabili”.

Anche la vicenda privacy del FSE, il cui potenziamento e’ previsto dal subinvestimento M6C2 I 1.3.1 Rafforzamento dell’infrastruttura tecnologica e degli strumenti per la raccolta, l’elaborazione, l’analisi dei dati e la simulazione, è stata alquanto complessa. Infatti, dopo un parere favorevole del Garante sul decreto del Ministero della salute del 7 settembre 2023 sul Fascicolo sanitario elettronico (FSE) 2.0 (successivo ad uno negativo), a seguito di una istruttoria dello stesso Garante su tutto il territorio nazionale in merito all’attuazione delle disposizioni di cui al suddetto decreto, è stata inviata una segnalazione al Parlamento e al Governo, in cui è stato rappresentato che molte disposizioni rilevanti sotto il profilo della protezione dei dati contenute nel decreto del 7 settembre 2023 risultavano essere disattese.

Tali difformità, con pesanti disomogeneità regionali, riguardano anche misure e tutele sostanziali quali l’esercizio del diritto di oscuramento dei dati e dei documenti presenti nel FSE, il diritto di poter consultare gli accessi effettuati sul proprio FSE, la possibilità di esprimere consensi specifici per le diverse finalità perseguibili attraverso il FSE 2.0 (cura, prevenzione e profilassi internazionale) e l’attribuzione della titolarità di alcuni trattamenti. A seguito di tale intervento sono state avviate delle interlocuzioni informali tra Garante e Ministero della salute, nell’ambito delle quali è emersa la necessità di prevedere un nuovo decreto che contenesse una fase transitoria “per l’attivazione di tutti i servizi e le funzionalità del FSE con suddivisione in tre fasi, coerenti con le scadenze del PNRR, al fine di tutelare i diritti e le libertà di tutti gli interessati coinvolti nel trattamento dei dati sulla salute effettuate attraverso il FSE 2.0”.

La gradualità consentirà alle Regioni e Province autonome di assicurare il rispetto uniforme dei diritti degli assistiti su tutto il territorio nazionale. Su tale ulteriore decreto il Garante si è pronunciato favorevolmente (parere del 26 settembre 2024), con una serie di tutele da assicurare nelle more della conclusione dell’ultima fase, prevista per il 31 marzo 2026, in concomitanza con la conclusione del progetto previsto dal PNRR.

Il FSE costituisce la fonte di alimentazione dell’Ecosistema Dati Sanitari (EDS), attraverso i dati degli enti del SSN e quelli resi disponibili tramite il sistema Tessera Sanitaria. L’EDS elabora dati per fornire servizi specifici a professionisti sanitari, regioni e cittadini. Il Ministero della salute è titolare del trattamento dei dati raccolti e generati dall’EDS, la cui gestione operativa è affidata ad Agenas. Il decreto del Ministro della salute, con cui sono individuati i contenuti dell’EDS, le modalità di alimentazione, nonché i soggetti che hanno accesso allo stesso, le operazioni eseguibili e le misure di sicurezza idonee ad assicurare i diritti degli interessati, dopo un primo parere negativo da parte del Garante su precedente decreto, in corrispondenza a quello negativo sul FSE, ha registrato, in data 26 settembre 2024, un parere positivo analogo a quello sul FSE a seguito delle modifiche apportate circa le osservazioni pervenute, disponendo che la sua operatività si allinei con quella delle tre fasi di implementazione e utilizzo del FSE.

Il trattamento dei dati tramite l’EDS necessiterà di informativa e consenso specifico da parte degli assistiti, che deve essere espresso in modo chiaro per ciascuna finalità, siano esse legate alla cura, alla prevenzione o alla profilassi. È stato anche previsto l’integrazione del registro dei consensi e delle eventuali revoche, per garantire trasparenza e sicurezza nel trattamento delle informazioni personali. L’informativa ai cittadini sarà potenziata, assicurando che ogni operatore sanitario sia adeguatamente formato sulle disposizioni relative alla relativa alla protezione dei dati, anche al fine di un più efficace rapporto con gli interessati. Solo i soggetti abilitati, previo consenso dell’interessato, potranno accedere all’EDS. È stata confermata l’eccezione di accesso in emergenza per finalità di cura, anche in assenza di un consenso dell’interessato, degli operatori del SSN e dei servizi sociosanitari regionali, nonché degli esercenti le professioni sanitarie.

Il Garante, altresì, ha emanato, a marzo 2024, un “Compendio sul trattamento dei dati personali attraverso piattaforme volte a mettere in contatto medici e pazienti attraverso web e app”. Attraverso le suddette piattaforme possono essere effettuate tre macro tipologie di trattamenti caratterizzati da distinte finalità e basi giuridiche, tutte orientate al principio di privacy by design, ovvero di tutele previste già in fase di progettazione, e di necessaria specifica valutazione d’impatto dei rischi (DPIA) per ogni procedura utilizzata:

1. trattamento volto a offrire un servizio di carattere amministrativo all’utente dietro sua esplicita richiesta. Tale trattamento non può essere ricondotto ai trattamenti per finalità di cura, che possono essere effettuati esclusivamente da un professionista sanitario soggetto al segreto professionale;

2. trattamento dei dati personali dei professionisti sanitari che si avvalgono delle piattaforme per entrare in contatto con possibili pazienti;

3. trattamenti di dati sulla salute dei pazienti -che potrebbero essere venuti in contatto con il professionista sanitario attraverso la piattaforma- eventualmente effettuati dal predetto professionista, in qualità di titolare del trattamento.

Nel settembre 2023 il Garante ha emanato anche il Decalogo per la realizzazione dei Servizi sanitari nazionali attraverso l’Intelligenza Artificiale. Il più importante progetto di IA, in capo ad Agenas, è costituito dalla linea di intervento della Componente 1 “Reti di prossimità, strutture e telemedicina per l’assistenza sanitaria territoriale” della Missione 6 Salute del PNRR, che nasce con lo scopo di rafforzare i servizi e le prestazioni distribuite sul territorio.

La piattaforma di intelligenza artificiale a supporto dell’Assistenza sanitaria primaria nasce con l’obiettivo di facilitare le diagnosi e la cura da parte dei medici impegnati nell’assistenza territoriale, nonché la fruizione dei servizi sanitari territoriali da parte degli assistiti nelle Case di Comunità. È una piattaforma che punta ad essere integrata con la Piattaforma Nazionale di Telemedicina (prevista nell’ambito del sub-investimento 1.2.3 “Telemedicina” del PNRR) e con i sistemi informativi regionali, nell’ottica di prevedere l’uso del FSE. La Piattaforma sarà accessibile anche agli assistiti, attraverso l’app dedicata, sviluppata in modo da permettere a chiunque di avere la massima fruibilità dei servizi delle Case di Comunità (CdC).

In tema di privacy, AGENAS ha dedicato una sezione alla questione nelle sue Linee guida sulla Piattaforma, per allinearla alla normativa europea in materia. L’implementazione della Piattaforma avrebbe dovuto seguire le scadenze del PNRR relative a due Target del Sub-investimento 1.2.2 Centrali operative territoriali: entro giugno 2023 la stipula del contratto per gli strumenti di intelligenza artificiale a supporto dell’assistenza primaria; entro giugno 2026 il completamento degli strumenti di intelligenza artificiale a supporto dell’assistenza primaria. Lo spostamento temporale del primo target è legato alla decisione di AGENAS di sospendere in via cautelativa e temporanea la procedura di dialogo competitivo per la realizzazione della Piattaforma a seguito di un intervento del Garante che chiedeva maggior chiarezza sulla base giuridica dei trattamenti, sulle valutazioni d’impatto degli stessi e sulle modalità attraverso le quali si intenderebbe dare piena attuazione al Decalogo per la realizzazione di servizi sanitari attraverso sistemi di Intelligenza Artificiale.

Successivamente, anche in conseguenza delle sopravvenute evoluzioni tecnologiche, Agenas ha ritenuto opportuno aggiornare i contenuti del Capitolato descrittivo e prestazionale della Piattaforma, prevedendo che la progettazione, realizzazione ed utilizzo della stessa non comporti l’utilizzo di dati personali dei pazienti, consentendosi di superare le criticità sollevate dal Garante. Pertanto, il 1 ottobre 2024 è stata riattivata la III fase di gara.

Preoccupazioni del Garante sono emerse anche in merito allo schema di disegno di legge recante disposizioni e deleghe in materia di intelligenza artificiale (DDL IA, presentato il 20 maggio 2024, che reca la delega legislativa al Governo per l’adeguamento della normativa italiana all’AI Act, approvato dal Parlamento Europeo a marzo 2024). Il DDL IA pone, per l’appunto, parte della sua attenzione al tema sanità, intervenendo con tre specifici articoli e sottolineando il divieto di utilizzare l’IA per procurare ogni tipo di discriminazione di accesso alle cure, incentivando invece la diffusione di strumenti che portino a un’inclusione e a un accesso paritario. Il DDL AI costituirà una base giuridica di riferimento per il trattamento dei dati personali in sanità attraverso l’IA, come richiesto dal Garante della Privacy, che ha espresso sul disegno di legge un parere favorevole condizionato alla necessità di inserire alcune integrazioni.

La posta in gioco è molto alta. La sanità digitale consentirà un diverso approccio di cura e garantirà una maggiore sostenibilità del sistema, ma tutto va realizzato entro le strette tempistiche del PNRR, che ha investito pesantemente sulle nuove tecnologie per creare/attivare sistemi sinora inesistenti o poco utilizzati, come il FSE. In alcuni casi sarà necessario un intervento normativo (da ultimo, il decreto legge 2 marzo 2024 n. 19 sulle “Ulteriori disposizioni urgenti per l’attuazione del Piano nazionale di ripresa e resilienza ”, ha modificato il Codice Privacy in materia di trattamento particolari categorie di dati personali per motivi di interesse pubblico, con esplicito riferimento al FSE). In aggiunta all’aspetto normativo, il lavoro da fare in termini di acquisizione dei consensi, informazione e sensibilizzazione degli utenti che devono rilasciarli, formazione degli operatori sanitari che devono utilizzare i vari strumenti è imponente.

C’è necessità di potenziare la regia a livello nazionale e regionale e di uno sforzo congiunto di tutti gli stakeholders coinvolti, senza il quale sarà difficile arrivare ad una vera transizione digitale nelle tempistiche previste dai progetti digitali del PNRR, che devono, comunque, scontare i tempi necessari alla realizzazione di quanto prescritto dal Garante.

Tiziana Frittelli

© QS Edizioni - Riproduzione riservata