Sintesi del parere preliminare del Garante europeo della protezione dei dati relativo allo spazio europeo dei dati sanitari

(Il testo integrale del parere è disponibile in inglese, francese e tedesco sul sito del GEPD www.edps.europa.eu)

(2021/C 99/09)

Testo della sintesi

Il 19 febbraio 2020 la Commissione europea ha presentato la comunicazione «Una strategia europea per i dati». La comunicazione prevede la creazione di uno spazio comune nel settore della salute, in particolare lo spazio europeo dei dati sanitari (European Health Data Space, EHDS), presentato come uno strumento essenziale per la prevenzione, l’individuazione e la cura delle malattie nonché per l’adozione di decisioni basate su evidenze e il miglioramento dell’efficacia, dell’accessibilità e della sostenibilità dei sistemi sanitari.

Sebbene il Garante europeo della protezione dei dati (GEPD) sostenga fermamente gli obiettivi di promuovere lo scambio di dati sanitari e di favorire la ricerca medica, sottolinea altresì la necessità di definire garanzie in materia di protezione dei dati fin dall’inizio della creazione dello spazio europeo dei dati sanitari. Pertanto, con il presente parere preliminare il GEPD mette in evidenza gli elementi essenziali di cui tenere conto in sede di sviluppo dello spazio europeo dei dati sanitari dal punto di vista della protezione dei dati.

Il GEPD chiede l’istituzione di una base giuridica ponderata per le operazioni di trattamento nello spazio europeo dei dati sanitari a norma dell’articolo 6, paragrafo 1, del regolamento generale sulla protezione dei dati (RGPD) e ricorda altresì che tale trattamento deve essere conforme all’articolo 9 dell’RGPD per categorie particolari di dati.

Il GEPD sottolinea inoltre che, considerata la sensibilità dei dati da trattare all’interno dello spazio europeo dei dati sanitari, i confini di ciò che costituisce un trattamento lecito e un ulteriore trattamento compatibile dei dati devono essere cristallini per tutte le parti interessate coinvolte. Pertanto, la trasparenza e la disponibilità pubblica delle informazioni relative al trattamento nello spazio europeo dei dati sanitari saranno fondamentali per rafforzare la fiducia del pubblico nei confronti di detto spazio.

Il GEPD invita inoltre la Commissione a chiarire i ruoli e le responsabilità delle parti coinvolte e a individuare espressamente le categorie precise di dati da mettere a disposizione nello spazio europeo dei dati sanitari. Invita inoltre gli Stati membri a istituire meccanismi per valutare la validità e la qualità delle fonti dei dati.

Il GEPD sottolinea l’importanza di dotare lo spazio europeo dei dati sanitari di un’infrastruttura di sicurezza globale, che comprenda misure organizzative e tecniche all’avanguardia per proteggere i dati immessi in detto spazio. In tale contesto, ricorda che le valutazioni d’impatto sulla protezione dei dati possono essere uno strumento molto utile per determinare i rischi delle operazioni di trattamento e le misure di attenuazione che dovrebbero essere adottate.

Il GEPD raccomanda di prestare particolare attenzione all’uso etico dei dati nel quadro dello spazio europeo dei dati sanitari; a tale fine suggerisce di tenere conto dei comitati etici esistenti e del loro ruolo nel contesto della legislazione nazionale.

Il GEPD è convinto che il successo dello spazio europeo dei dati sanitari dipenderà dall’istituzione di un solido meccanismo di governance dei dati che fornisca sufficienti garanzie di una gestione legittima, responsabile ed etica ancorata ai valori dell’UE, compreso il rispetto dei diritti fondamentali. Il meccanismo di governance dovrebbe disciplinare, quanto meno, i soggetti che saranno autorizzati a mettere i dati a disposizione dello spazio europeo dei dati sanitari, degli utenti di tale spazio, dei punti di contatto nazionali e/o degli organismi di autorizzazione degli Stati membri, oltre che il ruolo delle autorità di protezione dei dati in tale contesto.

Il GEPD è interessato alle iniziative politiche volte a conseguire la «sovranità digitale» e predilige il trattamento dei dati da parte di soggetti che condividono i valori europei, tra cui il rispetto della vita privata e la protezione dei dati. Inoltre, il GEPD invita la Commissione a garantire che le parti interessate che partecipano allo spazio europeo dei dati sanitari, e in particolare i titolari del trattamento, non trasferiscano dati personali a meno che agli interessati i cui dati personali sono trasferiti verso un paese terzo non sia garantito un livello di protezione sostanzialmente equivalente a quello garantito all’interno dell’Unione europea.

Il GEPD invita gli Stati membri a garantire l’effettiva attuazione del diritto alla portabilità dei dati specificamente nello spazio europeo dei dati sanitari, insieme allo sviluppo dei necessari requisiti tecnici. A tale riguardo, ritiene che potrebbe essere necessaria un’analisi delle lacune per quanto riguarda l’esigenza di integrare le garanzie dell’RGPD con altre garanzie normative, previste ad esempio dal diritto della concorrenza o da orientamenti etici.

I. INTRODUZIONE E AMBITO DI APPLICAZIONE DEL PARERE

1. Il 19 febbraio 2020 la Commissione europea («Commissione») ha presentato la comunicazione «Una strategia europea per i dati» ( 1 ) . Tale comunicazione rientrava in un pacchetto di documenti che comprende la comunicazione «Plasmare il futuro digitale dell’Europa» ( 2 ) e il Libro bianco sull’intelligenza artificiale — Un approccio europeo all’eccellenza e alla fiducia ( 3 )

2. Una delle iniziative chiave della strategia europea per i dati («strategia in materia di dati») è la creazione di spazi comuni europei di dati in settori strategici e ambiti di interesse pubblico, che aumenterebbero le possibilità per le autorità pubbliche e le imprese di accedere a dati di alta qualità, stimolare la crescita e una produzione di valore. Più in generale, le varie iniziative della strategia in materia di dati sono in linea con l’ambizione della Commissione di mantenere «(...) l’UE all’avanguardia dell’economia agile basata sui dati, rispettando e promuovendo nel contempo i valori fondamentali che costituiscono i capisaldi delle società europee» ( 4 )

3. Il GEPD ha pubblicato il proprio parere 3/2020 sulla strategia europea per i dati («parere 3/2020») nel giugno 2020 ( 5 ) , dopo una consultazione informale su un progetto di testo da parte della Commissione nel gennaio 2019. Il parere 3/2020 presenta le opinioni del GEPD sulla strategia in materia di dati e affronta in particolare alcuni concetti pertinenti dal punto di vista della protezione dei dati, tra cui il concetto di «bene pubblico», dati aperti, uso dei dati per la ricerca scientifica, intermediari dei dati, altruismo dei dati e condivisione internazionale dei dati.

4. Il GEPD rileva che la sanità elettronica è un settore chiave di interesse pubblico in cui la strategia della Commissione in materia di dati prevede la creazione di uno spazio comune, ossia lo spazio europeo dei dati sanitari. Conformemente alla strategia in materia di dati, lo spazio europeo dei dati sanitari sarà essenziale per la prevenzione, l’individuazione e la cura delle malattie, nonché per l’adozione di decisioni basate su evidenze al fine di migliorare l’efficacia, l’accessibilità e la sostenibilità dei sistemi di assistenza sanitaria ( 6 )

5. Nella sua recente riunione dell’ottobre 2020, il Consiglio europeo ha inoltre accolto con favore «(...) la strategia europea per i dati, che sostiene le ambizioni digitali mondiali dell’UE di costruire una vera economia dei dati europea competitiva, garantendo nel contempo i valori europei e un elevato livello di sicurezza dei dati, protezione dei dati e privacy. Sottolinea la necessità di rendere più facilmente accessibili dati di elevata qualità e di promuovere e consentire una migliore condivisione e messa in comune dei dati, nonché l’interoperabilità. Il Consiglio europeo si compiace della creazione di spazi comuni europei dei dati in settori strategici e in particolare invita la Commissione a dare priorità allo spazio dei dati sanitari, che dovrebbe essere istituito entro la fine del 2021» ( 7 )

6. Sebbene il GEPD sostenga fermamente gli obiettivi di promuovere lo scambio di dati sanitari e di favorire la ricerca su nuove strategie preventive, trattamenti, medicinali e dispositivi medici, sottolinea altresì la necessità di definire fin dall’inizio garanzie in materia di protezione dei dati. Nel contesto della pandemia di COVID-19, l’Unione europea ha sentito più che mai la necessità di applicare pienamente i principi sul trattamento dei dati di cui all’RGDP. In linea con le recenti conclusioni del Consiglio europeo, il GEPD ricorda i diritti fondamentali alla protezione dei dati e alla vita privata e chiede che i principi di protezione dei dati siano integrati nelle future soluzioni di sanità elettronica che saranno presto al centro di tutti i sistemi europei di sanità elettronica. In tale contesto, sottolineiamo che le garanzie in materia di protezione dei dati devono essere integrate nel nucleo del futuro spazio europeo dei dati sanitari, con l’obiettivo di garantire il rispetto dei diritti fondamentali delle persone, compreso quello alla vita privata e alla protezione dei dati personali di cui agli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea («la Carta»).

7. L’obiettivo del presente parere preliminare è contribuire ai lavori della Commissione sul futuro spazio europeo dei dati sanitari, in particolare individuando gli elementi essenziali di cui tenere conto nello sviluppo di detto spazio dal punto di vista della protezione dei dati. Il presente parere preliminare dovrebbe essere letto in combinato disposto con altri pertinenti pareri del GEPD, tra cui il parere sulla strategia europea per i dati ( 8 ) , il parere preliminare sulla ricerca scientifica ( 9 ) , il parere sui dati aperti ( 10 ) , il parere sul Libro bianco della Commissione europea sull’intelligenza artificiale ( 11 ) e quello del GEPD sulla proposta di rifusione della direttiva sul riutilizzo dell’informazione del settore pubblico (ISP) ( 12 ) . È opportuno sottolineare che il presente parere preliminare non pregiudica qualsiasi futuro parere del GEPD che possa essere formulato a norma dell’articolo 42 del regolamento (UE) 2018/1725 sulle prossime proposte legislative della Commissione in materia.

IV. CONCLUSIONI E RACCOMANDAZIONI

Alla luce di quanto sopra, il GEPD formula le raccomandazioni riportate di seguito.

46. Sostiene l’iniziativa volta a creare uno spazio comune europeo dei dati sanitari e ne riconosce il ruolo fondamentale per migliorare l’accesso all’assistenza sanitaria e la qualità della stessa, aiutando le autorità competenti ad adottare decisioni politiche basate su evidenze e sostenendo la ricerca scientifica. Tuttavia, il GEPD chiede l’adozione delle necessarie garanzie in materia di protezione dei dati parallelamente ai lavori per la creazione dello spazio europeo dei dati sanitari.

47. Ricorda che tutte le operazioni di trattamento derivanti dall’istituzione dello spazio europeo dei dati sanitari richiederanno una solida base giuridica conforme al diritto dell’UE in materia di protezione dei dati, in particolare l’articolo 6, paragrafo 1, e l’articolo 9 dell’RGDP per categorie particolari di dati.

48. Ritiene che l’imminente iniziativa legislativa sullo spazio europeo dei dati sanitari dovrebbe mirare altresì a mitigare l’attuale frammentazione delle norme applicabili al trattamento dei dati sanitari e alla ricerca scientifica, mirando in tal modo anche a garantire un utilizzo e un riutilizzo legittimi ed etici dei dati all’interno dello spazio europeo dei dati sanitari.

49. Chiede maggiore chiarezza sui confini di ciò che costituisce un trattamento lecito e un ulteriore trattamento compatibile dei dati per tutte le parti interessate coinvolte nel processo dello spazio europeo dei dati nonché, al contempo, un rafforzamento della trasparenza dei dati trattati rendendo pubbliche le condizioni per il riutilizzo.

50. Ritiene essenziale stabilire norme chiare per gli Stati membri ai fini dell’individuazione dei titolari del trattamento nel contesto dello spazio europeo dei dati sanitari, dinanzi ai quali le persone possano esercitare i propri diritti in materia di protezione dei dati, in linea con la legislazione vigente (RGPD e regolamento 2018/1725).

51. Chiede che i principali soggetti attivi in tale campo e le categorie di dati trattati nell’ambito dello spazio europeo dei dati sanitari siano chiaramente identificati e ritiene fondamentale che le autorità europee per la protezione dei dati siano chiaramente coinvolte nel controllo di quanto sopra e nel rispetto della protezione dei dati.

52. Chiede l’adozione di un’infrastruttura di sicurezza globale, che comprenda misure di sicurezza organizzative e tecniche all’avanguardia per proteggere i dati sensibili immessi nello spazio europeo di dati sanitari.

53. Ricorda il ruolo essenziale delle valutazioni d’impatto sulla protezione dei dati e raccomanda, ove possibile, di rendere pubblici i risultati di tali valutazioni, quale misura per favorire la fiducia e la trasparenza.

54. Chiede l’istituzione di un solido meccanismo di governance dei dati che fornisca sufficienti garanzie di una gestione legittima, responsabile ed etica dei dati trattati nell’ambito dello spazio europeo dei dati sanitari.

55. Preferisce che i dati siano trattati da soggetti che condividono i valori europei, tra cui il rispetto della vita privata e la protezione dei dati.

56. Sostiene fermamente il conseguimento della sovranità dei dati in cui i dati generati in Europa sono convertiti in valore per le imprese e i cittadini europei e trattati conformemente alle norme e ai regolamenti dell’UE.

57. Invita la Commissione a garantire che le parti interessate che partecipano allo spazio europeo dei dati sanitari, e in particolare i titolari del trattamento, non trasferiscano dati personali a meno che agli interessati i cui dati personali sono trasferiti verso un paese terzo non sia garantito un livello di protezione sostanzialmente equivalente a quello garantito all’interno dell’Unione europea.

58. Invita la Commissione a garantire, nella sua proposta legislativa, che gli Stati membri assicurino l’applicazione del diritto alla portabilità dei dati unitamente allo sviluppo dei necessari requisiti tecnici nello spazio europeo dei dati sanitari che consentano agli interessati di esercitare effettivamente tale diritto.

59. Raccomanda di effettuare un’analisi delle lacune per quanto riguarda la necessità di integrare le garanzie del regolamento generale sulla protezione dei dati con altre garanzie normative, previste ad esempio dal diritto della concorrenza o da orientamenti etici.

Bruxelles, 17 novembre 2020 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2020) 66 final, https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:52020DC0066

(2) COM(2020) 67 final, https://ec.europa.eu/transparency/regdoc/rep/1/2020/IT/COM-2020-67-F1-IT-MAIN-PART-1.PDF

(3) COM(2020) 65 final, https://ec.europa.eu/info/sites/info/files/commission-white-paper-artificial-intelligence-feb2020_it.pdf

(4) COM(2020) 66 final https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:52020DC0066, pag. 2.

(5) Parere 3/2020 del GEPD sulla strategia europea per i dati, https://edps.europa.eu/sites/edp/files/publication/20-06-16_opinion_data_strategy_en.pdf

(6) COM(2020) 66 final https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:52020DC0066, pag. 22.

(7) Cfr. https://www.consilium.europa.eu/media/45923/021020-euco-final-conclusions-it.pdf

(8) Parere 3/2020 del GEPD sulla strategia europea per i dati, https://edps.europa.eu/sites/edp/files/publication/20-06-16_opinion_data_strategy_en.pdf

(9) Parere preliminare del GEPD sulla protezione dei dati e la ricerca scientifica, https://edps.europa.eu/sites/edp/files/publication/20-01-06_opinion_research_en.pdf

(10) Parere del GEPD sul «pacchetto dati aperti» della Commissione europea, costituito da una proposta di direttiva che modifica la direttiva 2003/98/CE relativa al riutilizzo dell’informazione del settore pubblico, da una comunicazione sui dati aperti e dalla decisione 2011/833/UE della Commissione relativa al riutilizzo dei documenti della Commissione, https://edps.europa.eu/sites/edp/files/publication/12-04-18_open_data_en.pdf

(11) Parere 4/2020 del GEPD sul Libro bianco della Commissione europea sull’intelligenza artificiale — Un approccio europeo all’eccellenza e alla fiducia, https://edps.europa.eu/sites/edp/files/publication/20-06-19_opinion_ai_white_paper_en.pdf

(12) Parere 5/2018 del GEPD sulla proposta di rifusione della direttiva relativa al riutilizzo dell’informazione del settore pubblico (ISP), https://edps.europa.eu/sites/edp/files/publication/18-07-11_psi_directive_opinion_en.pdf