[ddlpres]

È importante sottolineare che all'interno dei percorsi di prevenzione si può compiere una medicina di iniziativa e convocare il paziente per controlli sanitari, una medicina di attesa, ossia se il paziente si presenta presso lo studio medico o l'istituto di cura si possono fare i relativi controlli e una medicina di opportunità nel caso in cui il paziente si presenta per determinati motivi e si coglie l'occasione per effettuare ulteriori controlli. In ciascuna fase è applicato un diverso tipo di medicina. La più efficace è proprio la medicina di iniziativa, perché riesce a seguire le tempistiche necessarie per il follow-up o a contattare i pazienti, che non sono consapevoli del loro bisogno di salute. La medicina preventiva, inoltre, per essere realmente efficace deve permettere che il paziente venga contattato o richiamato e, banalmente, essere inserito in elenchi con possibilità di richiamo. Affinché il paziente possa essere inserito in una determinata lista c'è bisogno di una valutazione dei suoi dati sanitari, che non necessariamente si ha il diritto di analizzare, e questo limita fortemente le possibilità degli istituti di ricerca e cura. I termini prevenzione e iniziativa, del resto, possono parzialmente sovrapporsi. È evidente la necessità di anticipare il bisogno di salute del paziente, realizzata anche attraverso la correlazione ed elaborazione dei dati relativi alle condizioni di salute dei pazienti di un determinato territorio per ottenere una stratificazione degli stessi pazienti in profili di rischio. Nel GDPR, il legislatore pone una particolare attenzione al trattamento automatizzato dei dati personali che possa sfociare in decisioni che sono proprie della macchina e non dell'uomo. L'articolo 22 ribadisce come principio generale che l'interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida allo stesso modo significativamente sulla sua persona. Tale disposizione non si applica quando la decisione: a) sia necessaria per la conclusione o l'esecuzione di un contratto tra l'interessato e un titolare del trattamento, oppure b) sia autorizzata dal diritto dell'Unione o degli Stati membri cui è soggetto il titolare del trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell'interessato, oppure c) si basi sul consenso esplicito dell'interessato. Al di fuori di tali ipotesi si pone l'articolo 22, paragrafo 4, del GDPR che, come principio generale, vieta la profilazione dei dati sanitari. La stessa, eccezionalmente, può avvenire se: c'è un consenso esplicito dell'interessato; va perseguito un interesse pubblico rilevante nell'ambito della sanità pubblica; il titolare (o responsabile) abbia adottato idonee e adeguate misure di sicurezza per tutelare i diritti, le libertà e i legittimi interessi del paziente. Se un titolare (o responsabile) decide di usare i dati sanitari dei pazienti per attività di profilazione, allora questi deve concedere agli interessati il diritto di rinunciare all'attività (il cosiddetto diritto di « opt-out ») e di revocare il consenso. In ogni caso, il titolare (o responsabile) sarà onerato dell'obbligo di adottare idonee misure di sicurezza che garantiscano all'interessato la tutela dei propri diritti e delle libertà fondamentali. Rileva, come esempio esemplificativo, il caso in cui il Garante per la protezione dei dati personali nel dicembre 2022 ha sanzionato tre ASL friulane che, attraverso l'uso di algoritmi, avevano classificato gli assistiti in relazione al rischio di avere o meno complicanze in caso di infezione da COVID-19. Secondo l' Authority , le aziende sanitarie avevano elaborato i dati presenti nelle banche dati aziendali per attivare, nei confronti degli assistiti, opportuni interventi di medicina di iniziativa e individuare per tempo i percorsi diagnostici e terapeutici più idonei. In particolare, l'istruttoria, avviata in seguito alla segnalazione di un medico, ha verificato che le aziende sanitarie avevano trattato i dati dei pazienti senza fornire agli interessati l'informativa prevista per legge. Il Garante, in questi provvedimenti, fornisce un'interpretazione della medicina di iniziativa stabilendo che questa è ulteriore e autonoma rispetto alle ordinarie attività di cura e prevenzione per poi affermare che non rientra nelle finalità del fascicolo sanitario elettronico (FSE), nelle quali sono previste la prevenzione, la diagnosi e la cura. Eppure, Agenas chiarisce (DM 77) che « La sanità di iniziativa è un modello assistenziale di gestione delle malattie croniche fondato su un'assistenza proattiva all'individuo dalle fasi di prevenzione ed educazione alla salute fino alle fasi precoci e conclamate della condizione morbosa. » La sanità o medicina di iniziativa è, quindi, un modello assistenziale che riguarda la prevenzione e la gestione (la cura) delle malattie croniche. È certamente vero che non è menzionata esplicitamente tra le finalità del FSE ma può rientrare nelle voci prevenzione, diagnosi e cura. Dopo l'affermazione di tale orientamento da parte del Garante ed in assenza di una sandbox sui dati sanitari, la salute dei pazienti è a rischio. Attualmente è in discussione l' European Health Data Space (EHDS), una proposta di regolamento del Parlamento europeo e del Consiglio sullo spazio europeo dei dati sanitari, che potrebbe giungere alla fine del suo lungo iter legislativo non prima della primavera 2024. Si propone di introdurre disposizioni, norme e prassi comuni, infrastrutture e un quadro di governance per l'uso primario e secondario dei dati sanitari elettronici e in particolare: favorire il controllo dell'utente sui propri dati sanitari; regolamentare l'uso dei dati sanitari ai fini di miglioramento dell'erogazione delle prestazioni di assistenza sanitaria, ricerca, innovazione e definizione di politiche comuni; consentire all'Unione europea di sfruttare appieno il potenziale offerto da uno scambio, un uso e un riutilizzo sicuri e protetti dei dati sanitari. Dal quadro sommariamente descritto emerge che già oggi il diritto eurounitario segna una chiara traiettoria nell'impiego dei dati sanitari, pur garantendone la protezione, sulla base di piattaforme tecnologiche compliance by design . Tuttavia, come già accaduto per il GDPR sulla sperimentazione clinica, l'Italia è ben lontana da una applicazione coerente con le finalità perseguite dal legislatore europeo. Un'iniziativa legislativa coerente con le finalità del diritto europeo e con le esigenze di migliorare le cure ai pazienti favorendo l'attività di ricerca da parte di istituti di ricerca pubblici e privati deve confrontarsi: con la prassi applicativa e considerare che anche le fonti primarie sono spesso interpretate alla luce dei precedenti delle autorità amministrative e giurisdizionali, senza contare le strutture di controllo (DPO) collocate all'interno dei predetti istituti, primo vero limite all'impiego dei dati sanitari; con lo sviluppo tecnologico, che ha subito una profonda accelerazione negli ultimi anni, e che pertanto offre soluzioni che non sono neppure contemplate dalle autorità, né tantomeno lo possono essere dalla legge;