Pubblicazione / Publication
Privacy e salute nel panorama dell’e-health
Privacy and Health in the E-Health Landscape
Citazione italiana
F. Cirillo, Privacy e salute nel panorama dell’e-health, in i-lex. Scienze Giuridiche, Scienze Cognitive e Intelligenza Artificiale, vol. 12, fasc. 1–3, 2019, pp. 225–244.
Chicago style
Cirillo, Francesco. “Privacy e salute nel panorama dell’e-health.” i-lex. Scienze Giuridiche, Scienze Cognitive e Intelligenza Artificiale 12, nos. 1–3 (2019): 225–244.
Abstract
Il contributo affronta alcuni profili problematici del rapporto tra salute e riservatezza nell’e-health. In questo nuovo scenario il progresso scientifico è fortemente affidato a forme innovative e pervasive di trattamento e condivisione dei dati sanitari. La privacy subisce una trasformazione nel passaggio dalla tutela della sfera privata alla protezione del flusso di informazioni nell’ambiente digitale.
Il Regolamento europeo sulla protezione dei dati n. 2016/679 (GDPR) ha introdotto un nuovo approccio che affida la regolamentazione anche a diverse forme di soft law. S’impone una riflessione congiunta sui temi del consenso, al trattamento terapeutico e al trattamento dei dati, della condivisione dei dati e sui profili di rilievo costituzionalistico della ricerca scientifica: salute, privacy e ricerca si pongono in una connessione reciproca sempre più forte.
La deontologia e l’autoregolazione dei settori coinvolti assumono un ruolo di garanzia nel difficile bilanciamento tra salute e riservatezza. Alla comunità scientifica è affidato il compito di ricercare il proprio limite e di rendersi custode di un complesso equilibrio tra valori sempre più trasfigurati dall’innovazione tecnologica.
Abstract originale, con minimi adeguamenti tipografici.
Abstract esteso
Il contributo esamina le trasformazioni del rapporto tra diritto alla salute e protezione dei dati personali prodotte dalla digitalizzazione della medicina. Nella pratica medica, raccolta e circolazione delle informazioni hanno sempre rappresentato attività essenziali. Nel panorama dell’e-health, tuttavia, la quantità dei dati disponibili, la loro condivisione e le nuove capacità computazionali modificano qualitativamente il rapporto terapeutico.
La tutela della riservatezza non può più essere ricostruita soltanto come protezione di una sfera privata dalle ingerenze esterne. Essa riguarda sempre più il controllo sulla circolazione delle informazioni relative alla persona. Anche il tradizionale segreto professionale risulta insufficiente, poiché il trattamento sanitario si svolge normalmente entro organizzazioni complesse e coinvolge una pluralità di professionisti, strutture, archivi e strumenti digitali.
Nel modello tradizionale, la registrazione e la condivisione dei dati sanitari potevano apparire come un rischio inevitabile, necessario al funzionamento della struttura sanitaria. Nella medicina digitale, invece, la condivisione regolamentata diventa essa stessa una fase dell’attività terapeutica. I dati del singolo, combinati con quelli di popolazioni più ampie, possono contribuire alla ricerca, alla diagnosi, alla medicina di precisione, alla valutazione del rischio e alla formulazione di indicazioni personalizzate.
Questa trasformazione incide anche sul consenso. Il consenso al trattamento dei dati sanitari non può essere sempre separato dal consenso al trattamento terapeutico, poiché la gestione dei dati diventa una componente essenziale della cura. Nel GDPR, inoltre, il consenso dell’interessato non costituisce l’unica base giuridica possibile: il trattamento dei dati relativi alla salute può essere fondato anche sulle finalità di diagnosi, assistenza, terapia e gestione dei servizi sanitari, alle condizioni stabilite dall’art. 9.
Al superamento del precedente sistema di autorizzazioni preventive corrisponde una maggiore responsabilizzazione dei soggetti che trattano i dati. Il titolare e gli altri attori devono individuare misure tecniche e organizzative adeguate al rischio. Principi come protezione dei dati fin dalla progettazione e per impostazione predefinita, valutazione d’impatto e sicurezza del trattamento richiedono una condotta attiva, non riducibile al semplice obbligo di non divulgare le informazioni.
In questo quadro, la deontologia professionale cambia funzione. Il segreto medico conserva il proprio rilievo, ma viene inserito in una disciplina più ampia che richiede al professionista di partecipare alla gestione del rischio informativo. Codici di condotta, linee guida, standard tecnici e altre forme di autoregolamentazione acquistano così una crescente funzione normativa.
L’articolo considera inoltre l’impatto dell’e-health sulla stessa nozione di salute. Il diritto alla salute presenta tradizionalmente una duplice dimensione: libertà di autodeterminazione sul proprio corpo e diritto a ricevere cure. A questa ambivalenza corrisponde la pluralità dei significati attribuiti alla salute, intesa ora come integrità fisica, ora come assenza di malattia, ora come benessere complessivo e obiettivo tendenziale.
Le tecnologie digitali rendono meno netta anche la distinzione tra terapia, prevenzione e potenziamento. Dispositivi indossabili, applicazioni mediche, sistemi di monitoraggio e strumenti di profilazione possono seguire continuamente persone che non presentano una patologia diagnosticata. La salute tende così a trasformarsi da condizione relativamente stabile in un processo permanente di misurazione, previsione, valutazione e intervento.
L’uso dell’intelligenza artificiale in ambito sanitario introduce ulteriori problemi. Il paziente può diventare trasparente nei confronti del sistema che ne analizza i dati, mentre il funzionamento del sistema resta opaco per il paziente e, talvolta, anche per i suoi sviluppatori. L’anonimizzazione e la pseudonimizzazione offrono inoltre garanzie limitate quando la combinazione di più fonti consente la reidentificazione degli interessati.
Gli appelli alla trasparenza, allo stato dell’arte e alla costruzione di tecnologie incentrate sulla persona non risolvono automaticamente questi conflitti. Lo stato dell’arte è un criterio mobile; una soglia tecnica troppo elevata può favorire gli operatori economicamente più forti, mentre una soglia troppo bassa può indebolire la tutela. La tecnologia cosiddetta umana non presuppone inoltre un’armonia spontanea tra i diritti fondamentali, che continuano a richiedere autentiche operazioni di bilanciamento.
Il contributo esclude quindi che la regolamentazione dell’e-health possa essere affidata interamente alla legge, alla giurisprudenza o all’autoregolamentazione privata. Il legislatore interviene spesso in ritardo; i giudici rischiano di attribuire forza normativa alle prassi esistenti; gli operatori economici non possono essere chiamati a definire autonomamente l’equilibrio tra diritti fondamentali e interessi collettivi.
La costruzione di un quadro regolatorio adeguato richiede invece la collaborazione tra istituzioni pubbliche, comunità scientifica, professionisti sanitari, giuristi, bioeticisti e informatici. Il loro compito è tradurre principi e acquisizioni scientifiche provvisorie in regole, standard e modelli tecnici capaci di rendere effettiva la protezione della salute senza svuotare la riservatezza e l’autodeterminazione informativa.
Abstract esteso redazionale elaborato per il sito.
Parole chiave: privacy; salute; e-health; dati sanitari; medicina; consenso informato; GDPR; ricerca scientifica; big data; intelligenza artificiale; deontologia; riservatezza; diritti fondamentali.
Abstract
The article addresses several problematic aspects of the relationship between health and privacy in the field of e-health. In this new environment, scientific progress increasingly relies on innovative and pervasive forms of health-data processing and sharing. Privacy is transformed as legal protection moves from the defence of a private sphere to the regulation of information flows in digital environments.
The General Data Protection Regulation, Regulation (EU) 2016/679, introduced an approach that also assigns a regulatory role to different forms of soft law. This requires a joint examination of consent to medical treatment, consent to data processing, data sharing and the constitutional dimensions of scientific research. Health, privacy and research are becoming increasingly interconnected.
Professional ethics and self-regulation play a protective role in the difficult balance between health and privacy. The scientific community is also called upon to identify the limits of its own activities and to safeguard a complex equilibrium between values that are increasingly transformed by technological innovation.
Editorial English translation of the original abstract.
Extended abstract
The article examines how the digitalisation of medicine transforms the relationship between the right to health and personal-data protection. The collection and circulation of information have always been essential to medical practice. In the e-health environment, however, the quantity of available data, their circulation and new computational capacities produce a qualitative change in the therapeutic relationship.
Privacy can no longer be understood exclusively as the protection of a private sphere against external interference. It increasingly concerns control over the circulation of information relating to an individual. Traditional professional secrecy is also insufficient, since healthcare is ordinarily delivered through complex organisations involving multiple professionals, institutions, databases and digital instruments.
In the traditional model, the recording and sharing of medical information could be regarded as an unavoidable risk required for the operation of healthcare organisations. In digital medicine, regulated data sharing becomes part of the therapeutic process itself. Individual data, combined with information concerning larger populations, may contribute to research, diagnosis, precision medicine, risk assessment and personalised recommendations.
This transformation also affects consent. Consent to the processing of health data cannot always be separated from consent to medical treatment, since data management may be an essential element of care. Under the GDPR, moreover, consent is not the only available legal basis: the processing of health data may also be justified by purposes of diagnosis, treatment, healthcare provision and management of health services, subject to the conditions established by Article 9.
The replacement of the previous system of prior authorisations is accompanied by greater accountability for data-processing actors. Controllers and other relevant parties must identify technical and organisational measures appropriate to the risk. Data protection by design and by default, impact assessment and processing security require active conduct and cannot be reduced to a simple duty not to disclose confidential information.
Professional ethics therefore assumes a broader function. Medical confidentiality remains important, but it becomes part of a wider framework requiring healthcare professionals to participate actively in the management of informational risk. Codes of conduct, guidelines, technical standards and other forms of self-regulation consequently acquire a growing regulatory role.
The article also considers the effect of e-health on the concept of health itself. The right to health traditionally has two dimensions: the freedom to make decisions concerning one’s own body and the right to receive healthcare. This ambivalence corresponds to the plurality of meanings attributed to health, which may refer to physical integrity, absence of disease, general well-being or a broader objective to be progressively pursued.
Digital technologies also weaken the distinction between therapy, prevention and enhancement. Wearable devices, medical applications, monitoring systems and profiling tools may continuously observe individuals who have no diagnosed illness. Health may therefore be transformed from a relatively stable condition into a permanent process of measurement, prediction, assessment and intervention.
The use of artificial intelligence in healthcare raises further concerns. Patients may become transparent to the systems that analyse their data, while the operation of those systems remains opaque to patients and sometimes even to their developers. Anonymisation and pseudonymisation also offer limited safeguards where the combination of multiple sources permits the re-identification of data subjects.
Appeals to transparency, the state of the art and human-centred technology do not automatically resolve these conflicts. The state of the art is a shifting criterion; an excessively demanding technical threshold may favour the strongest economic operators, whereas a low threshold may weaken protection. Human-centred technology does not presuppose a spontaneous harmony among fundamental rights, which continue to require genuine balancing exercises.
The regulation of e-health cannot therefore be entrusted exclusively to legislation, adjudication or private self-regulation. Legislatures often intervene late; courts may transform existing private practices into legal standards; and economic operators cannot independently determine the proper balance between fundamental rights and collective interests.
An adequate regulatory framework instead requires cooperation among public institutions, the scientific community, healthcare professionals, lawyers, bioethicists and computer scientists. Their task is to translate legal principles and provisional scientific knowledge into rules, standards and technical models capable of protecting health without undermining privacy and informational self-determination.
Editorial extended abstract prepared for this website.
Keywords: privacy; health; e-health; health data; medicine; informed consent; GDPR; scientific research; big data; artificial intelligence; professional ethics; confidentiality; fundamental rights.