Il Regolamento (UE) 327/2025 sullo spazio europeo dei dati sanitari (“EHDS”) è già stato molto commentato per le sue interazioni con il GDPR, soprattutto per le innovazioni che introdurrà – dal 2029 – nell’uso secondario di dati sanitari a fini di ricerca scientifica.
Indice degli argomenti
EHDS e DGA: dalle politiche europee alla governance integrata
È noto che nel GDPR i dati sanitari sono oggetto di una protezione rafforzata in quanto sensibili e anche di una “riserva” (all’art. 9.4) che permette agli Stati membri di differenziarsi fra loro nelle regole a loro tutela. Dopo anni in cui il settore sanitario e quello della ricerca hanno sofferto delle differenze nelle normative fra gli Stati membri sui dati sanitari, l’EHDS è stato salutato come il necessario passo avanti verso una maggiore omogeneità.
È indubbio che la relazione EHDS/GDPR sia un tema di notevole rilievo pratico. Tuttavia, è utile considerare un altro rapporto molto stretto dell’EHDS: quello con il Regolamento (UE) 868/2022 (“Data Governance Act” o “DGA”), normativa volta a favorire la condivisione – nel perimetro europeo – di dati sia personali che non personali. Leggere l’EHDS alla luce delle politiche della Commissione UE permette di coglierne alcune componenti “pubblicistiche”, se non “politiche”. L’EHDS potrebbe essere considerato come il ripensamento – propiziato, appunto, dal DGA – del tema “trattamento/circolazione dei dati sanitari” per come era stato affrontato nel GDPR.
Spazi comuni europei: principi fair e cybersicurezza
Nella scorsa legislatura europea, la Commissione UE ha proposto di istituire spazi comuni europei di dati per vari settori, volti a rendere i dati reperibili, accessibili, interoperabili e riutilizzabili («principi FAIR per i dati»), garantendo un elevato livello di cybersicurezza. Secondo il documento di lavoro dei servizi della Commissione sugli spazi dati europei comuni, uno spazio dati europeo comune riunisce infrastrutture dati e quadri di governance pertinenti al fine di facilitare la messa in comune e la condivisione dei dati.
Sicurezza e fiducia come condizioni per la crescita della data economy
La visione dell’Unione Europea che la data economy possa crescere e prosperare solo se i cittadini e le imprese si sentono tranquilli che la condivisione dei loro dati (personali e non personali) non determina rischi. Il DGA si propone, fra l’altro, di incentivare il riutilizzo di dati del settore pubblico “protetti” per varie ragioni, fra cui quella di essere dati personali, o addirittura sensibili. La governance della condivisione dei dati deve essere “a trazione pubblica”, ma deve vedere coinvolti, come facilitatori, appositi corpi intermedi del settore privato. Il riutilizzo di dati protetti del settore pubblico può creare parità di condizioni nella data economy; dunque, far sì che le imprese competano sulla qualità dei servizi e non sulla quantità dei dati che controllano.
Usi primari e secondari dei dati sanitari secondo l’EHDS
L’EHDS ha come perno due possibili usi dei dati sanitari elettronici, e due infrastrutture pubbliche dedicate.
L’uso primario è il trattamento dei dati sanitari elettronici per la prestazione di assistenza sanitaria al fine di valutare, mantenere o ripristinare lo stato di salute della persona fisica cui si riferiscono tali dati, comprese la prescrizione, la dispensazione e la fornitura di medicinali e dispositivi medici, nonché per i pertinenti servizi sociali, amministrativi o di rimborso. L’uso secondario è il trattamento dei dati sanitari elettronici per finalità come la ricerca scientifica nel settore sanitario (inclusi addestramento, prova e valutazione degli algoritmi), la definizione delle politiche e attività regolamentari a sostegno di enti pubblici e istituzioni, l’istruzione e insegnamento nel settore sanitario (diverse dalle finalità iniziali per le i dati sono stati raccolti o prodotti).
L’EHDS si concretizza in due gigantesche infrastrutture pubbliche europee:
- LaMiaSalute@UE (MyHealth@EU), ambienti “affidabili e sicuri” per l’uso secondario
- e DatiSanitari@UE (HealthData@EU), per l’uso secondario.
Dati personali e non personali: una governance integrata
Come il DGA, anche il Regolamento EHDS abbraccia dati personali e dati non personali. L’art. 2.1, lettera b) definisce i «dati sanitari elettronici non personali» come i dati sanitari elettronici diversi dai dati sanitari elettronici personali, compresi sia i dati che sono stati anonimizzati in modo da non riferirsi più a una persona fisica identificata o identificabile («interessato»), sia i dati che non si sono mai riferiti a un interessato.
Anche la definizione dei ruoli del Regolamento EHDS è ricalcata del DGA, mirante a creare – ferme restando le diverse discipline – meccanismi gestionali comuni per i dati personali e per i dati non personali.
Secondo l’art. 2 del DGA è «titolare dei dati» una persona giuridica, compresi gli enti pubblici e le organizzazioni internazionali, o una persona fisica che non è l’interessato rispetto agli specifici dati in questione e che, conformemente al diritto dell’Unione o nazionale applicabile, ha il diritto di concedere l’accesso a determinati dati personali o dati non personali o di condividerli, mentre è «utente dei dati»: una persona fisica o giuridica che ha accesso legittimo a determinati dati personali o non personali e che ha diritto, anche a norma del GDPR in caso di dati personali, a utilizzare tali dati a fini commerciali o non commerciali.
Titolari e utenti dei dati: una definizione funzionale e convergente
Secondo l’art. 2 del Regolamento EHDS è «titolare dei dati sanitari»: una persona fisica o giuridica, un’autorità pubblica, un’agenzia o un altro organismo del settore dell’assistenza sanitaria o delle cure assistenziali, compresi, ove necessario, i servizi di rimborso, nonché una persona fisica o giuridica che sviluppi prodotti o servizi destinati al settore sanitario, dell’assistenza sanitaria o delle cure assistenziali, sviluppi o fabbrichi applicazioni per il benessere, svolga attività di ricerca in relazione al settore dell’assistenza sanitaria o delle cure assistenziali o funga da registro della mortalità, nonché un’istituzione, un organo o un organismo dell’Unione che abbia il diritto o l’obbligo, conformemente al diritto dell’Unione o nazionale applicabile e in qualità di titolare o contitolare del trattamento, di trattare dati sanitari elettronici personali per la prestazione di assistenza sanitaria o cure assistenziali o a fini di sanità pubblica, rimborso, ricerca, innovazione, definizione delle politiche, statistiche ufficiali o sicurezza dei pazienti o a fini di regolamentazione, o la capacità di rendere disponibili dati sanitari elettronici non personali, mediante il controllo della progettazione tecnica di un prodotto e dei servizi correlati, anche in termini di registrazione, fornitura, limitazione dell’accesso o scambio, mentre è «utente dei dati sanitari»: una persona fisica o giuridica, comprese le istituzioni, gli organi o gli organismi dell’Unione, cui è stato concesso l’accesso legittimo ai dati sanitari elettronici ai fini dell’uso secondario in virtù di un’autorizzazione ai dati, di un’approvazione di una richiesta di dati sanitari o di un’approvazione di accesso alla piattaforma HealthData@EU, hub centrale online per l’uso secondario.
Nuove funzioni per gli organismi responsabili dell’accesso ai dati
L’intero sistema di governance dell’uso secondario dei dati sanitari introdotto dall’EHDS trae origine dall’art. 7 del DGA, che affida agli Stati membri il compito di designare organismi competenti per assistere gli enti pubblici che concedono o rifiutano il riutilizzo di dati protetti ai sensi del GDPR da essi detenuti.
Rispetto al DGA, il Regolamento EHDS fa un passo ulteriore. Per consentire un migliore accesso ai dati sanitari e a integrazione dell’articolo 7.2 del DGA, il Regolamento EHDS spinge gli Stati membri ad attribuire agli organismi responsabili dell’accesso ai dati sanitari il potere di prendere essi stessi delle vere e proprie decisioni sull’accesso e sul riutilizzo. Ciò potrebbe tradursi nell’attribuzione di nuovi compiti agli organismi competenti designati dagli Stati membri ai sensi dell’articolo 7.1 del DGA o nella designazione di organismi settoriali esistenti o nuovi come responsabili di tali compiti in relazione all’accesso ai dati sanitari.
L’autorizzazione ai dati come strumento chiave di regolazione
Secondo l’art. 57.1 del Regolamento EHDS, gli organismi responsabili dell’accesso ai dati sanitari dovranno decidere sulle richieste di uso secondario dei dati sanitari in conformità non solo al Regolamento EHDS, ma anche al capo II del DGA (relativo al riutilizzo di categorie di dati protetti detenuti da enti pubblici), incluso
- fornire l’accesso ai dati sanitari elettronici agli utenti dei dati sanitari sulla base di un’autorizzazione ai dati in un ambiente di trattamento sicuro;
- monitorare e sorvegliare il rispetto, da parte degli utenti dei dati sanitari e dei titolari dei dati sanitari, delle prescrizioni di cui al Regolamento EHDS;
- richiedere i dati sanitari elettronici di cui all’articolo 51 ai titolari dei dati sanitari pertinenti sulla base di un’autorizzazione ai dati rilasciata o di una richiesta di dati sanitari approvata.
La dimensione geopolitica dei dati sanitari anonimizzati
D’altronde, gli spazi europei dei dati non servono solo a favorire la circolazione dei dati nel perimetro europeo; fungono anche da inibitore verso il predominio di player non europei nella nostra data economy. La natura “politica” del DGA come leva per la competizione fra mercato europeo ed altri mercati emerge, per esempio, dall’art. 5.13. Tale norma conferisce alla Commissione UE lo specifico potere di limitare, se serve, la circolazione e lo sfruttamento fuori dall’UE di dati appartenenti agli spazi comuni europei di dati, compresi quelli sanitari.
Protezione del valore economico dei dati non personali
Secondo l’art. 5.13 del DGA, appositi atti legislativi dell’Unione Europea possono stabilire che determinate categorie di dati non personali detenuti da enti pubblici siano considerate altamente sensibili, laddove il loro trasferimento a Paesi terzi possa mettere a rischio gli obiettivi di politica pubblica dell’Unione, quali la sicurezza e la salute pubblica, o possa comportare il rischio di una reidentificazione dei dati non personali anonimizzati. Rientrano nella categoria di dati non personali altamente sensibili gli esiti di ricerche su dati sensibili svolti da enti pubblici, non più tali da permettere di identificare persone, ma sensibili per il loro contenuto. Se necessario, la Commissione UE può adottare atti delegati al fine di integrare il DGA stabilendo condizioni particolari applicabili ai trasferimenti verso Paesi terzi di tali dati non personali altamente sensibili. L’impressione è che questa norma non nasca tanto dalla necessità di proteggere i dati personali (per i quali basta il GDPR), ma dalla volontà di proteggere e tenere in Europa il valore delle informazioni per quanto anonimizzate, l’esito dell’analisi dei dati per innovazione e ricerca.
Il rischio di reidentificazione e la tutela dei dati sanitari anonimi
Il Regolamento EHDS riprende e approfondisce questo potere della Commissione UE. Al considerando (92), osserva che determinate categorie di dati sanitari elettronici possono rimanere particolarmente sensibili anche quando sono in formato anonimizzato e dunque non personali e che anche laddove si ricorra alle tecniche di anonimizzazione più avanzate, permane il rischio residuo che esista o possa esistere in futuro una capacità di reidentificazione ulteriore rispetto ai mezzi di cui ci si può ragionevolmente avvalere.
Questo rischio residuo –prosegue il considerando – è presente in relazione alle malattie rare, vale a dire patologie che comportano una minaccia per la vita o la debilitazione cronica e che colpiscono non più di cinque individui su 10 000 nell’Unione, nel quale caso i numeri limitati dei casi riducono la possibilità di aggregare completamente i dati pubblicati al fine di preservare la riservatezza delle persone mantenendo un appropriato livello di dettaglio perché i dati rimangano significativi. Tale rischio residuale può riguardare diverse categorie di dati sanitari e può portare alla reidentificazione degli interessati utilizzando mezzi che vanno oltre quelli di cui ci si può ragionevolmente avvalere.
Esso dipende dal livello di dettaglio, dalla descrizione delle caratteristiche degli interessati, dal numero di persone colpite, ad esempio nei casi dei dati inclusi in cartelle cliniche elettroniche, registri di malattia, biobanche e dati generati dalle persone, dove la gamma delle caratteristiche di identificazione è più ampia, e dall’eventuale combinazione con altre informazioni, ad esempio in zone geografiche molto piccole, o per via dell’evoluzione tecnologica di metodi che non erano disponibili al momento dell’anonimizzazione. Tale reidentificazione rappresenterebbe una seria preoccupazione e metterebbe a repentaglio l’accettazione delle nuove norme sull’uso secondario.
Condizioni per il trasferimento verso paesi terzi
Secondo l’art. 88 del Regolamento EHDS, i dati sanitari elettronici non personali messi a disposizione da organismi responsabili dell’accesso ai dati sanitari a un utente di dati sanitari in un Paese terzo sulla base di un’autorizzazione ai dati rilasciata o di una richiesta di dati sanitari approvata a partecipanti autorizzati in un paese terzo o a un’organizzazione internazionale, e basati sui dati sanitari elettronici di una persona, sono considerati altamente sensibili ai sensi dell’articolo 5.13 del DGA in tutti i casi in cui il loro trasferimento verso Paesi terzi presenti un rischio di reidentificazione attraverso mezzi che vanno oltre quelli di cui è ragionevolmente probabile che ci si avvalga, in particolare alla luce del numero limitato di persone fisiche alle quali tali dati sono relativi, del fatto che sono disperse a livello geografico o degli sviluppi tecnologici previsti nel prossimo futuro. Le misure di tutela nei confronti di queste categorie di dati possono essere specificate dalla Commissione UE appunto in un atto delegato di cui all’art. 5. 13 del DGA.
EDIB e comitato EHDS: coordinamento multilivello tra autorità
Un ulteriore collegamento fra DGA e Regolamento EHDS riguarda il Comitato europeo per l’innovazione in materia di dati (EDIB), istituito dal DGA per favorire il rafforzamento della data economy. L’EDIB è uno dei tanti enti collegiali dell’Unione Europea che si riuniscono alcune volte all’anno, ed è composto dalle ventisette autorità competenti per l’applicazione del DGA nei singoli Stati membri (per l’Italia, da AgID), da sei organizzazioni pubbliche e da sette ulteriori entità di rilievo pubblico. La sua missione è dare supporto alla Commissione UE nel coordinare le pratiche e le politiche nazionali. Secondo l’art. 30 del DGA, uno dei compiti dell’EDIB dovrebbe essere proprio quello di suggerire orientamenti per gli spazi comuni europei di dati (incluso l’EHDS) ossia indicare quadri interoperabili specifici settoriali o intersettoriali, anche ai fini dello sviluppo di nuovi prodotti e servizi, della ricerca scientifica o di iniziative della società civile.
L’EDIB avrà una stabile collaborazione con il Comitato EHDS, introdotto dal Regolamento EHDS e composto da due rappresentanti per Stato membro dell’UE, vale a dire un rappresentante a fini dell’uso primario e uno a fini dell’uso secondario, designati da ciascuno Stato membro dell’UE. Compito principale del Comitato EHDS sarà quello di agevolare la cooperazione e lo scambio di informazioni tra gli Stati membri e la Commissione UE. Il Comitato EHDS redigerà contributi scritti relativi all’applicazione coerente del Regolamento EHDS in tutta l’Unione Europea, tra l’altro aiutando gli Stati membri a coordinare l’uso dei dati sanitari elettronici.
Interoperabilità tra settori e arricchimento dei dati sanitari
Infine, secondo l’art. 75 del Regolamento EHDS, gli Stati membri e la Commissione UE dovranno garantire che DatiSanitari@UE (HealthData@EU) sia interoperabile con altri spazi comuni europei di dati pertinenti ai sensi del DGA e del Data Act. Questa interoperabilità tra il settore sanitario e altri settori come l’ambientale, l’agricolo o il sociale dovrebbe permettere di acquisire ulteriori informazioni sui determinanti della salute.
Auguriamoci che questa complessa stratificazione di organi, poteri e infrastrutture di natura pubblicistica, magari unita a riflessi burocratici nella loro gestione, non vanifichi i buoni propositi per la data economy.
