Il Garante si è recentemente espresso sulla tematica della medicina di iniziativa, attuata tramite il ricorso a strumenti quali l’intelligenza artificiale e all’analisi dei big data, in risposta a una richiesta di parere proveniente dalla Provincia autonoma di Trento. Le osservazioni e i rilievi mossi dal Garante della Privacy in questa occasione ci portano a interessanti riflessioni sull’uso dell’intelligenza artificiale in campo sanitario.
Cosa si intende per medicina di iniziativa
La medicina di iniziativa si distingue dalla medicina cosiddetta “di attesa”, poiché quest’ultima prevede che sia il paziente a recarsi in ospedale o dal medico di medicina generale qualora sospetti di avere una determinata patologia o ne accusi i sintomi, la medicina di iniziativa, al contrario, cerca di anticipare l’insorgere di una patologia o l’aggravarsi della stessa mediante l’elaborazione di dati sanitari relativi al paziente, e rappresenta una nuova frontiera nella cura delle malattie croniche.
Il progetto di regolamento della Provincia di Trento
Lo schema di regolamento sottoposto dalla Provincia autonoma di Trento al Garante Privacy ha a oggetto l’utilizzo della medicina preventiva in sanità, e si fonda sulla stratificazione del rischio, ovvero la valutazione del rischio reale che il paziente corre di contrarre o vedere aggravarsi una determinata patologia, sulla base della valutazione di molteplici fattori e dati sanitari.
Prima di passare in rassegna i rilievi mossi dal Garante va specificato che quest’ultimo si fosse già espresso sul tema nel parere reso nel maggio 2020 su un disegno di legge sottoposto dalla stessa Provincia autonoma di Trento, e già in quell’occasione l’Autorità aveva rilevato numerose criticità.
Categoria particolari di dati personali (ex Art 9 GDPR) oggetto del trattamento
Il Garante privacy fa notare, in via preliminare, la particolare sensibilità dei dati che saranno oggetto di trattamento sulla base di quanto esposto nel Regolamento, dati che nel nostro ordinamento godono di tutele importanti e differenziate. Si tratta, tra gli altri, di dati relativi a dipendenze, all’interruzione volontaria di gravidanza, alla maternità e ai registri tumori, all’accertamento dell’infezione da HIV e alle disposizioni sulla fecondazione artificiale, nonché dati relativi agli accertamenti medico legali e a quelli effettuati dal medico competente nell’ambito della tutela e della sorveglianza sanitaria dei lavoratori. Il Garante chiarisce che nel trattare tali dati non possa in alcun caso venir meno il rispetto delle tutele garantite agli stessi dal nostro ordinamento per quanto riguarda la medicina.
Valutazione di impatto, un punto di partenza
La mancata comunicazione della valutazione d’impatto è uno dei primi rilievi mossi dal Garante alla Provincia di Trento,
La valutazione d’impatto è un obbligo imposto al Titolare dall’art 35 GDPR, nei casi in cui un tipo di trattamento, il quale preveda l’uso di nuove tecnologie, possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche, considerati la natura, l’oggetto, il contesto e le finalità del trattamento,
L’Autorità Garante sottolinea l’impossibilità, in assenza di valutazione d’impatto, di valutare il regolamento sottopostole sul piano della proporzionalità rispetto alle specifiche finalità perseguite.
Una valutazione d’impatto è inoltre necessaria al fine di valutare l’adeguatezza delle misure tecniche e organizzative indicate e la necessità dei dati trattati, con specifico riferimento alle numerose banche dati oggetto del trattamento, e alla ‘sensibilità’ dei dati in esse contenuti.
Il ricorso all’intelligenza artificiale nella medicina: le riserve del Garante della Privacy
Il ricorso all’intelligenza artificiale (AI) rappresenta probabilmente il passaggio più interessante del parere espresso dal Garante privacy per gli innumerevoli scenari che l’uso dell’AI può aprire in campo sanitario e nella medicina.
Lo schema di regolamento della Provincia autonoma di Trento prevede l’attività di stratificazione degli assistiti, svolta attraverso l’uso di un algoritmo che elabora le informazioni cliniche presenti nei sistemi informativi sanitari provinciali, sulla base delle conoscenze cliniche, epidemiologiche, statistiche ed economiche.
In altre parole, il rischio per il paziente relativo a una determinata patologia o all’aggravarsi della stessa verrebbe valutato, in concreto, sulla base delle capacità predittive dell’algoritmo, che si baserebbero sui dati sanitari estrapolati dai sistemi informativi sanitari provinciali.
Il Garante contesta in primo luogo alla Provincia autonoma di Trento la mancanza di chiarezza dal punto di vista delle finalità che si intendono perseguire, rilevando come il disegno di legge originariamente presentato fondasse la stratificazione degli assistiti su un’analisi di tipo statistico, mentre nel testo definitivo si faccia invece riferimento all’ l’uso di un algoritmo.
Valutazione d’impatto, strumento essenziale
Entra poi in gioco la valutazione d’impatto, strumento essenziale al fine di poter verificare i criteri e le modalità sulla base dei quali si svolgerà l’attività di stratificazione, e soprattutto le misure di sicurezza che la Provincia di Trento intende porre in essere per mitigare i rischi connessi a tali trattamenti.
Le perplessità del Garante sul ricorso a tecniche quali all’intelligenza artificiale, il ‘machine learning’ e l’analisi dei big data deriva dal fatto che non esista, allo stato attuale, una definizione giuridica e scientifica univoca per tali tecniche di analisi dei dati, il che rende difficile una concreta contestualizzazione delle stesse.
Per tale ragione il Garante ritiene opportuno che i riferimenti a tali tecniche siano eliminati dal testo del regolamento, individuando ancora una volta nella valutazione d’impatto la sede migliore per tentare un loro inquadramento in ambito privacy, propedeutico ad una successiva utilizzazione.
Le misure di sicurezza stabilite dal Garante della Privacy
Qualsiasi spunto che si possa trarre da un parere espresso dal Garante in materia di misure di sicurezza assume particolare interesse, essendo il GDPR una normativa improntata sull’accountability, e che quindi non prevede e non prevederà indicazioni specifiche a riguardo. Nel testo del parere il Garante della Privacy suggerisce quali misure di sicurezza sia opportuno adottare, sia sul piano tecnico che organizzativo, in materia di medicina di iniziativa.
Misure tecniche
Il Garante ritiene necessario incrementate la sicurezza nell’accesso ai sistemi sui quali i dati personali verranno trattati (ricorrendo ad esempio ad algoritmi crittografici per rafforzare la sicurezza delle password dei soggetti autorizzati) e prevenire attacchi informatici provenienti dall’esterno (attraverso l’implementazione di meccanismi di difesa dagli attacchi SQL injection).
Misure organizzative
Anche in questa occasione viene ribadita l’importanza delle misure organizzative, necessarie a istruire i soggetti autorizzati sulle modalità attraverso le quali trattare i dati personali in sicurezza (ad es. non lasciare documenti incustoditi, le postazioni di lavoro non bloccate, regole sul trasferimento di dati su supporti personali), a dimostrazione del fatto che buone “policy” interne possano essere uno strumento più che efficace per evitare violazioni di dati personali.
Conclusioni
Il Garante ha espresso parere favorevole sullo schema di Regolamento sottoposto dalla Provincia autonoma di Trento, ma non possiamo non sottolineare le perplessità sul ricorso all’intelligenza artificiale per la stratificazione degli assistiti, evidenziate in diversi passaggi del parere.
Punto fermo rimane la valutazione d’impatto, unico strumento in grado di mettere in luce i possibili rischi legati all’utilizzo di queste tecnologie in campo sanitario, e magari avvicinarle, nel prossimo futuro, a una piena compliance al GDPR.
