[ddlpres]

Disposizioni per lo svolgimento di una sperimentazione in materia di utilizzo dei dati sanitari. Onorevoli Senatori . – Il disegno di legge intende adeguare le regole per la gestione dei dati sanitari al fine di favorire l'avanzamento della ricerca scientifica e, in tal modo, il conseguimento di risultati utili per il miglioramento della salute dei cittadini. L'adozione di tali disposizioni dovrebbe avvenire in modo da consentire una sperimentazione delle attività di ricerca basate sui dati sanitari. In particolare, si intendono affrontare, in un ambiente protetto, i limiti posti all'utilizzo dei dati sanitari da parte delle autorità amministrative e di vigilanza e delle strutture di controllo interno alle entità impegnate nella ricerca scientifica (nello specifico, il Data Protection Officer ). Queste disposizioni si propongono di sviluppare uno strumento agile, che permetta di sperimentare anche in sanità trattamenti automatizzati dei dati garantendone la sicurezza. La sperimentazione, infatti, deve tener conto del diritto alla riservatezza, senza pregiudicare le esigenze di celerità, di urgenza, di garanzia di salute del paziente. La procedura utilizzabile per avviare la predetta sperimentazione è quella di sandbox , facendo tesoro dell'esperienza maturata in un altro contesto fortemente disciplinato, quale è quello della finanza. Il modello sandbox non risponde alla logica regola-eccezione, non è pensato per derogare o addirittura per deregolare la materia in oggetto, ma configura soltanto uno spazio controllato e limitato, nel tempo e nello spazio, dove poter sperimentare quale possa essere la migliore soluzione regolativa in un contesto di innovazione digitale. L'obiettivo è quello di permettere la medicina di iniziativa e di prevenzione, garantendo, allo stesso tempo, adeguata protezione dei dati sanitari degli assistiti. Le autorità responsabili del controllo e della gestione dei dati sanitari, tramite la partecipazione alla sandbox , potranno perseguire la ricerca scientifica e, in particolare, testare prodotti e servizi innovativi in costante dialogo e confronto con le autorità di vigilanza, richiedendo anche eventuali deroghe normative nella fase di sperimentazione per poter ottimizzare l'utilizzo di servizi di medicina automatizzati. Non si pregiudicano il diritto alla riservatezza del paziente, né l'anonimato, ma si tutela la salute avverso i ritardi dovuti alla rigidità di applicazione del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, sulla privacy (cosiddetto « GDPR »). Ed invero, in assenza di una sandbox , non sono oggi possibili iniziative a carattere preventivo e terapeutico, in situazioni che richiedono interventi in tempi ristretti per rispondere a condizioni emergenziali o epidemiche per le quali i tradizionali canali di richiesta di autorizzazione a procedere all'uso dei dati sanitari per finalità di ricerca e di salute pubblica non sono adeguati. Si tratta di una condizione già verificatasi durante l'emergenza pandemica da COVID-19 durante la quale per tutelare la salute delle persone si è dovuto ricorrere a soluzioni di emergenza in un contesto privo di norme adeguate ad affrontare la situazione. L'articolo 4, numero 15), del regolamento GDPR prevede che i dati relativi alla salute: « sono i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute ». Più in particolare, il considerando 35 del suddetto regolamento prevede che « Nei dati personali relativi alla salute dovrebbero rientrare tutti i dati riguardanti lo stato di salute dell'interessato che rivelino informazioni connesse allo stato di salute fisica o mentale passata, presente o futura dello stesso. Questi comprendono [...] qualsiasi informazione riguardante, ad esempio, una malattia, una disabilità, il rischio di malattie, l'anamnesi medica, i trattamenti clinici o lo stato fisiologico o biomedico dell'interessato ». Il legislatore europeo ha prestato una specifica attenzione ai dati relativi alla salute e li ha inseriti tra le « categorie particolari di dati personali » per cui, in linea di massima, è vietato il trattamento ai sensi dell'articolo 9, paragrafo 1, del regolamento GDPR. Al paragrafo 2, il regolamento prevede una serie di deroghe al divieto del trattamento dei dati relativi alla salute che, in ambito sanitario, il Garante per la protezione dei dati personali ha ricondotto in genere ai casi per cui: « g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri » (articolo 9, paragrafo 2, lettera g) , del regolamento GDPR) individuati dall'articolo 2- sexies del codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196; « i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell'Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell'interessato, in particolare il segreto professionale » (considerando 54). È il caso, ad esempio, delle emergenze sanitarie conseguenti a sismi e sicurezza alimentare; « h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali (di seguito “finalità di cura”) sulla base del diritto dell'Unione o degli Stati membri o conformemente al contratto con un professionista della sanità ». In particolare, è bene specificare che per le finalità di cura i dati sanitari posso essere trattati esclusivamente da un professionista soggetto al segreto professionale, ovvero sotto la sua responsabilità, o ancora da persone in ogni caso soggette all'obbligo di segretezza (articolo 9, paragrafo 3, del regolamento GDPR e considerando 53; articolo 75 del codice di cui al decreto legislativo n. 196 del 2003). In questa prospettiva, il Garante ha specificato che laddove i trattamenti di dati relativi alla salute non siano strettamente necessari per la finalità di cura di cui alla lettera h) del paragrafo 2 dell'articolo 9, anche se effettuati da professionisti della sanità, il titolare dovrà individuare un'altra base giuridica, ovvero eventualmente il consenso dell'interessato (articoli 6 e 9, paragrafo 2, del regolamento). Appare evidente che una lettura restrittiva della norma non permette alcuna azione di medicina di iniziativa e realmente preventiva, soprattutto in periodi di urgenza di azione, e limita eccessivamente l'azione sanitaria in opposizione con le finalità del diritto europeo (articolo 35 della Carta dei diritti fondamentali dell'Unione europea e articoli 11 e 13 della Carta sociale europea) e con le esigenze di migliorare le cure ai pazienti favorendo, allo stesso tempo, l'attività di ricerca da parte degli istituti clinici pubblici.