“Privacy e salute: complementarietà e non antagonismo”. Così si apriva l’introduzione, ad opera dell’avvocato Guido Scorza, di un volume del 2022 riguardante la gestione dei dati in sanità. È una frase che ricordo bene, perché mi colpì profondamente: strideva in modo evidente con la percezione diffusa tra noi ricercatori ed operatori sanitari, secondo cui la normativa privacy stava – e sta tuttora – rallentando in maniera significativa il progresso scientifico.
È cambiato qualcosa negli ultimi tre anni?
Temo molto poco. Partiamo dalla norma cardine. Il regolamento generale sulla protezione dei dati (Gdpr) è davvero uno strumento efficace per la tutela dei dati particolari in ambito sanitario? Continuo ad avere seri dubbi al riguardo. Le mie perplessità maggiori, tuttavia, riguardano la scelta tutta italiana di irrigidire ulteriormente il quadro regolatorio attraverso una normativa nazionale – il decreto legislativo 101/2018 – caratterizzata da un’impostazione ancora più complessa, se non apertamente bizantina. Si tratta di un impianto normativo che, nonostante alcune semplificazioni introdotte successivamente, finisce per rendere la gestione dei dati nella ricerca un sistema complessivamente inefficiente, talvolta persino irrazionale. E, mi si consenta, non necessariamente più etico.
È davvero una forma di tutela ricontattare, a distanza di anni, i genitori di un bambino guarito – magari da una patologia oncologica – per chiedere l’autorizzazione a riutilizzare dati già correttamente raccolti nel corso del percorso clinico-assistenziale, al solo fine di sviluppare una tesi compilativa? È realmente etico, oltre che operativamente sostenibile, applicare il concetto di “consenso progressivo” alla gestione di campioni biologici, magari “biobancati”? Ed è ragionevole chiedere a medici e ricercatori, già schiacciati da carichi di lavoro sempre più burocratici e sempre meno assistenziali, di “investire” – per usare un eufemismo – una quantità enorme di tempo nella compilazione di moduli e documenti su cui spesso hanno ricevuto una formazione frammentaria, astratta e poco aderente alla realtà operativa?
Ma soprattutto: giochiamo davvero tutti secondo le stesse regole? La risposta, inevitabilmente, è no. La normativa non è chiara, anche perché non esiste una normativa. Esistono il Gdpr, il decreto legislativo 101/2018, i molteplici provvedimenti e le prescrizioni del Garante per la protezione dei dati personali, la normativa specifica sulle sperimentazioni cliniche, l’Ai Act europeo e le sue declinazioni nazionali. Tutti questi strumenti vanno nella stessa direzione? Magari. Un esempio emblematico è rappresentato dalle posizioni – prevedibilmente divergenti – del Tribunale dell’Unione europea (sentenza 26 aprile 2023, causa T-557/20) e del Garante privacy (caso Thin, provvedimento n. 226/2023) in materia di dato pseudonimo e dato anonimo. Se le massime autorità non sono concordi, è facile immaginare la confusione a livello operativo. Provate a riunire quattro data protection officer attorno a un tavolo: con buona probabilità otterrete quattro interpretazioni differenti della stessa disposizione.
La ricerca non può e non deve trasformarsi in un braccio di ferro permanente tra ricercatori, data protection officer, uffici privacy e comitati etici.
La ricerca non può e non deve trasformarsi in un braccio di ferro permanente tra ricercatori, data protection officer, uffici privacy e comitati etici. Questi ultimi, peraltro, sono oggi formalmente investiti del compito di vigilare sul rispetto della normativa in materia di trattamento dei dati personali nella ricerca, pur in assenza – tra le figure minime previste dalla normativa – di uno specifico esperto del settore e senza che esista una reale convergenza interpretativa sui nodi più critici: dall’uso secondario dei dati, alla rinuncia al consenso, fino alle analisi future.
Qualcuno ha mai chiesto ai pazienti se sono davvero d’accordo con questa mastodontica macchina che abbiamo costruito, almeno sulla carta, a loro tutela?
E allora, “liberi tutti”?
Assolutamente no. Chi mi conosce sa quanto io creda nel valore delle regole. Ma le regole devono essere proporzionate, contestualizzate e coerenti con le peculiarità della materia che intendono disciplinare. Un primo passo potrebbe essere la semplificazione della gestione dei dati nella ricerca osservazionale ed epidemiologica, attraverso l’adozione di una base giuridica diversa dal consenso informato, valorizzando l’interesse pubblico, come già avviene in Spagna. Del resto, è sostanzialmente questo l’approdo cui sono giunti gli Irccs grazie alle Faq del Garante, laddove si afferma che “il trattamento dei dati personali raccolti per l’attività clinica, ai fini di ricerca, non costituisce trattamento ulteriore se effettuato da istituti di ricovero e cura a carattere scientifico, pubblici e privati, in ragione del carattere strumentale dell’attività di assistenza sanitaria svolta da tali istituti”. Piccolo dettaglio: in Italia la ricerca non si svolge solo negli Irccs, ma anche – e spesso soprattutto – al di fuori di essi.
Come scriveva il professor Barberis, “le soluzioni non stanno nella minuziosa regolamentazione della rete, ma in controlli a monte e a valle”. Investiamo allora nella formazione reale degli operatori del settore; insegniamo loro a redigere una valutazione d’impatto della protezione dei dati in modo consapevole e sostanziale, non come mero adempimento formale; pretendiamo trasparenza, chiedendo ai centri di ricerca di pubblicare sui propri siti i progetti svolti e le relative informative sul trattamento dei dati. E, soprattutto, sediamoci tutti intorno a un tavolo. Guardiamoci negli occhi e chiediamoci se questa stratificazione normativa sia davvero necessaria o se non rappresenti, almeno in parte, un esercizio di stile autoreferenziale. Ricordandoci, però, di invitare tutti gli attori coinvolti.
Qualcuno ha mai chiesto ai pazienti se sono davvero d’accordo con questa mastodontica macchina che abbiamo costruito, almeno sulla carta, a loro tutela?
© 