Il Garante per la Privacy ha sanzionato tre ASL friulane per utilizzo, in violazione delle disposizioni contenute nel GDPR e nella normativa nazionale sulla protezione dei dati, di algoritmi destinati a classificare gli assistiti in relazione al grado di rischio di avere o meno complicanze in caso di infezione da COVID-19.
Il tema dell’utilizzo di algoritmi in ambito sanitario è assolutamente vivo in questo periodo storico, in quanto detti strumenti sono realizzati allo scopo – certamente condivisibile – di consentire una gestione del paziente migliore, e di agevolare il lavoro dei medici e del personale sanitario, specie se si opera in situazioni di elevata emergenza.
Solo pochi giorni fa, infatti, il Garante annunciava l’avvio di un’indagine nei confronti della Regione Veneto, relativa all’algoritmo RAO, che avrebbe dovuto consentire una classificazione – secondo diversi gradi urgenza – delle prestazioni ambulatoriali, sulla scorta di una serie di elementi clinici.
È evidente, dunque, come gli algoritmi saranno sempre più presenti al fianco dei medici: tuttavia, l’elevato rischio connesso al trattamento di dati sanitari, e alle peculiari circostanze in cui il trattamento viene reso (con possibili ripercussioni per la salute dei pazienti) richiede un’attenzione maggiore nella fase di progettazione, implementazione ed utilizzo di detti algoritmi.
Nel caso di cui si discute, come riportato nel comunicato stampa reso dal Garante, le ASL friulane avevano elaborato i dati presenti nelle banche dati aziendali “allo scopo di attivare nei confronti degli assistiti opportuni interventi di medicina di iniziativa e individuare per tempo i percorsi diagnostici e terapeutici più idonei”.
Come meglio si esaminerà nel seguito, tuttavia, nel corso dell’istruttoria erano emerse una serie di criticità, tra cui l’assenza di una idonea base normativa, ed il mancato svolgimento di una preliminare valutazione d’impatto prevista dall’art. 35 del GDPR.
Trattandosi di operazioni di profilazione dell’utente del servizio sanitario, l’Autorità ribadiva che “la profilazione dell’utente del servizio sanitario, sia regionale o nazionale, determinando un trattamento automatizzato di dati personali volto ad analizzare e prevedere l’evoluzione della situazione sanitaria del singolo assistito e l’eventuale correlazione con altri elementi di rischio clinico, può essere effettuata solo in presenza di un idoneo presupposto normativo, nel rispetto di requisiti specifici e garanzie adeguate per i diritti e le libertà degli interessati, mancanti nel caso di specie”.
Accertate, dunque, dette violazioni, e valutato il numero ingente di interessati coinvolti nel trattamento, il Garante ordinava a ciascuna delle tre aziende sanitarie di pagare la sanzione pecuniaria amministrativa di € 55.000 e di procedere tempestivamente alla cancellazione dei dati elaborati.
Sanità del Veneto, faro del Garante Privacy sull’algoritmo per la gestione delle liste d’attesa
Indice degli argomenti
L’istruttoria avviata dal Garante
L’istruttoria che ha portato all’irrogazione delle tre sanzioni in esame è stata avviata su segnalazione di un medico. Si segnalava, in particolare, come la delibera della Giunta di Regione Friuli Venezia Giulia, n. 1737 del 20 novembre 2020 indicasse ai Medici di Medicina Generale di validare, al fine della corresponsione pro rata di parte del compenso variabile, “attraverso il portale informatico regionale, una lista di utenti/assistiti preventivamente individuati dall’Azienda sanitaria, secondo proprio criterio (non noto), come in condizioni di complessità e comorbidità al fine (apparente) di stratificazione statistica compilando schede informatiche in cui riportare dati bio-umorali personali, terapie, stato patologico, indirizzi familiari, condizioni/abitudini di vita ecc.”.
Gli obiettivi perseguiti tramite detta iniziativa erano molteplici, legati prevalentemente alla gestione dell’emergenza epidemiologica da COVID-19:
- stratificazione, complessità e comorbidità ad alto rischio di complicanze maggiori per infezioni da Covid-19;
- predisposizione degli elenchi degli assistiti da sottoporre ai piani di medicina d’iniziativa.
La delibera regionale imponeva, inoltre, ai medici di medicina generale, una comunicazione dei dati sulla salute dei propri pazienti senza possibilità per gli stessi di verificare “se l’Azienda sanitaria abbia [preventivamente] assunto il consenso” al trattamento dei dati personali degli stessi per finalità di “stratificazione statistica”, evidenziando, inoltre, come tale specifica disciplina preveda “la trasmissione ai fini statistici o amministrativi dei dati in modo anonimo”.
A seguito della segnalazione, dunque, l’Autorità chiedeva alla Regione Friuli Venezia Giulia e ad altra azienda sanitaria regionale di rendere una serie di informazioni relative, in particolare, alle “iniziative assunte al fine di assicurare che i trattamenti necessari per svolgere le predette attività di medicina d’iniziativa fossero poste in essere in conformità alla disciplina in materia di protezione dei dati personali, con particolare riferimento a quanto indicato nei provvedimenti del Garante adottati sul tema (Parere al Consiglio di Stato sulle nuove modalità di ripartizione del fondo sanitario tra le regioni proposte dal Ministero della salute e basate sulla stratificazione della popolazione, del 5 marzo 2020, doc. web n. 9304455, parere sul disegno di legge della Provincia autonoma di Trento che reca specifiche disposizioni in materia di medicina di iniziativa, dell’8 maggio 2020, doc. web n. 9344635, parere sullo schema di regolamento relativo alle disposizioni attuative della legge provinciale trentino per la medicina di iniziativa nel servizio sanitario provinciale, del 1° ottobre 2020, doc. web 9469372, provvedimento del 17 dicembre 2020, doc. web n. 9529527; provvedimenti del 24 febbraio 2022 n. 63, 64, 65, 66, 67, 65, 68, 69 e 70, doc. web n. 9752177, 9752221, 9752260, 9752299, 9752410, 9752433, 9752490 e 9752524)”.
Si chiedeva di precisare, inoltre, le finalità perseguite, le modalità di raccolta, ove necessario del consenso informato ed esplicito degli interessati ex art. 9 GDPR, la descrizione dei flussi dei dati personali e la valutazione d’impatto effettuata.
La Regione rendeva le richieste precisazioni, rilevando come l’algoritmo utilizzato per la validazione della lista assistiti in condizioni di complessità e comorbidità non contenesse informazioni nominative dei pazienti, ma un identificativo numerico anonimo, soggetto a variazione ogni sei mesi, mediante il quale si identificavano i soggetti fragili che avevano, ad ogni modo, manifestato il proprio consenso alla visibilità da parte del medico di medicina generale.
Affermava, poi, che “l’identificazione degli assistiti e il loro inserimento nelle liste trova il fondamento giuridico nel consenso generico fornito dall’interessato e relativo alla visibilità da parte del MMG”, e che non poteva ravvisarsi nel caso di specie alcuna attività di medicina di iniziativa, con conseguente non necessità di svolgere una valutazione di rischio specifico.
Venivano poi fornite ulteriori indicazioni in merito al flusso dei dati, ed in particolare allo scambio dei medesimi tra la Regione, le strutture sanitarie, e i medici di medicina generale.
I rilievi del Garante
Il garante, in esito all’istruttoria, osservava innanzitutto come possa ritenersi anonimizzato esclusivamente il dato che “non consente in alcun modo l’identificazione diretta o indiretta di una persona, tenuto conto di tutti i mezzi (economici, informazioni, risorse tecnologiche, competenze, tempo) nella disponibilità di chi (titolare o altro soggetto) provi a utilizzare tali strumenti per identificare un interessato. L’anonimizzazione non può considerarsi realizzata attraverso la mera rimozione delle generalità dell’interessato o sostituzione delle stesse con un codice pseudonimo”.
Ove dette condizioni non si realizzino, può parlarsi esclusivamente di dati “pseudonimizzati”, rientranti nell’alveo di tutela del GDPR.
Ciò premesso, si riscontrava, dunque, una prima violazione dei principi di trasparenza, liceità e correttezza, non essendo state fornite agli interessati sufficienti informazioni in merito all’esaminato trattamento di dati personali.
In secondo luogo, si rilevava, come anticipato in premessa, la mancata osservazione degli obblighi imposti dall’art. 35 GDPR e dalle Linee Guida EP29 n. 248, concernenti “La valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento”, che recita: “quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi”.
Tale adempimento, necessario al fine di legittimare il trattamento dati, non veniva derogato neppure dalla disciplina emergenziale riferita al contesto pandemico: tant’è che anche l’app Immuni veniva sottoposta a preventiva valutazione di impatto e conseguente autorizzazione da parte del Garante.
Ciò posto, dunque, si rilevava come l’attività posta in essere dalla Regione e dalle connesse ASL, determinasse la raccolta e l’elaborazione di dati sanitari al fine di realizzare, con riferimento a specifiche patologie (nel caso di specie, le possibili complicazioni derivanti dall’infezione da COVID-19), un vero e proprio profilo sanitario di rischio dell’interessato, utile per mettere in atto interventi preventivi di presa in carico del paziente.
L’attività di stratificazione del rischio sanitario della popolazione, inoltre, veniva ritenuta dal Garante “un’attività amministrativa prodromica all’attività di cura, consistente nella presa in carico del paziente, in quanto consente di classificare gli assistiti ritenuti a maggior rischio, al fine di predisporre nei loro confronti una precoce e specifica attività di presa in carico”.
Trattasi di trattamenti, per quanto prodromici, che devono essere considerati “ulteriori e autonomi” rispetto a quelli strettamente necessari alle ordinarie attività di cura e prevenzione (ai sensi di quanto stabilito all’art. 9, par. 2 lett. h) GDPR), e quindi effettuabili solo sulla base dello specifico consenso informato dell’interessato (ex art. 9, par. 2 lett. a) GDPR).
Essendo emersa in sede di istruttoria anche una finalità di “stratificazione statistica”, l’Autorità Garante evidenziava, infine, che “il trattamento di dati personali, svolto per tali finalità da parte di soggetti che partecipano al sistema statistico nazionale (SISTAN), deve in ogni caso avvenire nel rispetto, non solo delle pertinenti disposizioni del Regolamento (artt. 5, par. 1, lett. c) ed e) e 89) e del Codice (artt. 2-sexies, comma 2, lett. cc) e 104 e ss.), ma anche delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica effettuati nell’ambito del Sistema Statistico nazionale, Allegato A4 al Codice, nonché della specifica disciplina di settore di cui al d.lgs. n. 322/1989, recante “Norme sul Sistema statistico nazionale e sulla riorganizzazione dell’Istituto nazionale di statistica””.
Le sanzioni
Sulla scorta di tutto quanto sin qui esposto, dunque, il Garante rilevava la sussistenza di elementi idonei a configurare, nei confronti delle ASL interessate, qualificate come titolari del trattamento, fenomeni di:
- violazione della normativa in materia di protezione dei dati personali in relazione al trattamento di dati personali relativi alla salute, seppur trattati in forma pseudonimizzata, in assenza di un idoneo presupposto giuridico e, quindi, in violazione dei principi applicabili al trattamento di cui agli artt. 5, par. 1 lett. a), 9, del GDPR, nonché dell’art. 2-sexies del Codice Privacy;
- violazione del principio di trasparenza, non avendo fornito agli interessati le informazioni specifiche in ordine a tali trattamenti di dati personali come previste dall’art. 14 del GDPR;
- violazione degli obblighi del titolare in ordine alla valutazione d’impatto sulla protezione dei dati personali ai sensi dell’art. 35 del GDPR.
Pertanto, si dichiarava illecito il trattamento dei dati personali effettuato in violazione delle richiamate norme, con applicazione della sanzione di € 55.000 ed ingiunzione di procedere alla cancellazione dei dati risultanti dall’elaborazione delle informazioni presenti nelle banche dati aziendali oggetto del provvedimento in esame, entro il termine di 90 giorni dalla notifica del medesimo.
