Il Data Act europeo rappresenta un'opportunità senza precedenti per modellare il futuro digitale dell'Unione in modo equo e competitivo. Attraverso l'adozione di questa legislazione, l'UE si impegna a superare le sfide poste dalla rapida evoluzione digitale, garantendo al contempo che i benefici della trasformazione digitale siano accessibili a tutti i cittadini.

L'entrata in vigore del Data Act

L'11 gennaio 2024 segna un'epoca importante per l'Unione Europea con l'entrata in vigore del Data Act. Questa normativa pone le basi per una nuova era digitale, richiamando tutti gli attori coinvolti a compiere sforzi significativi per la sua piena attuazione entro il 2025. Il Data Act rappresenta un passo cruciale verso l'adeguamento delle politiche EU sui dati, mirando a rafforzare la competitività e a garantire l'equità nell'accesso alle informazioni digitali.

Accesso ai dati: competitività ed equità

In un'epoca in cui il volume dei dati globali aumenta rapidamente, l'accesso equo a queste risorse si rivela essenziale per sostenere l'evoluzione digitale e salvaguardare i valori fondamentali dell'Unione Europea. A livello globale vengono prodotti dati che raddoppiano ogni 18 mesi circa e la velocità sta accelerando: erano 33 zettabyte nel 2018 che diventeranno 175 entro la fine del prossimo anno.

La maggior parte dell’evoluzione digitale, che sta rapidamente trasformando la nostra economia e le abitudini sociali, si fonda su queste informazioni e sulla possibilità di accedervi. Queste tecnologie hanno un enorme potenziale per migliorare la qualità di vita, dalla medicina di precisione alla creazione di mobilità intelligente e attivazione di misure efficaci per mitigare i cambiamenti climatici.

D’altra parte, le stesse innovazioni sono in grado di minacciare alcuni dei fondamentali valori fondanti delle leggi e regole su cui si fonda l’Unione Europea, principalmente le norme sulla protezione dei dati personali, un corpus fra i più avanzati nel mondo, all’avanguardia nel difendere i cittadini dalle manipolazioni e dagli indebiti utilizzi.

La strategia europea sui dati

Dal 2020, l'UE ha adottato misure strategiche per governare l'ecosistema dei dati, con l'introduzione di due atti legislativi fondamentali: l'Atto sulla Governance dei Dati[1] e la Legge sui Dati[2] che hanno come obiettivi principali la creazione di uno spazio comune europeo per i dati in settori chiave come la sanità.

Il primo provvedimento, diventato applicabile dal settembre dello scorso anno punta a creare il contesto generale per creare fiducia nella condivisione dei dati, aumentarne la disponibilità e l’interoperabilità, per esempio, creando le condizioni per lo sviluppo di uno spazio comune europeo in vari settori, compreso quello sanitario.

In ambito healthcare, la UE stima che un efficacie utilizzo di tutte le informazioni disponibili potrebbe promuovere lo sviluppo di cure personalizzate, supportare un'assistenza sanitaria migliore e contribuire significativamente alla cura di malattie rare o croniche, risparmiando circa 120 miliardi di EUR all'anno in ambito UE.

Il secondo provvedimento, la legge sui dati, è una iniziativa più specifica mirata ad affrontare le sfide e liberare le opportunità offerte dai dati nell'Unione Europea, ponendo l'accento sull'accesso equo e sui diritti degli utenti, garantendo allo stesso tempo la protezione dei dati personali. Si tratta del secondo pilastro della strategia europea in materia di dati[3].

La legge contribuirà in modo significativo all'obiettivo del decennio[4] e a promuovere la trasformazione digitale. Per quanto riguarda la sanità, per esempio, uno degli obiettivi cardine è l’accesso digitale ai propri dati sanitari per la totalità dei cittadini.

Gli impatti del Data Act sulla sanità

La normativa influenzerà il settore sanitario, dal miglioramento dell'accesso ai dati sanitari personali alla necessità di adeguare le pratiche tecniche e contrattuali per rispettare i diritti degli utenti senza compromettere la sicurezza dei dati.

Gli elementi cruciali del Data Act sono declinati nei primi articoli, in particolare si definisce che i “prodotti connessi” e i sevizi a essi correlati devono essere nativamente progettati, fabbricati e forniti in modo che i dati siano, “accessibili all’utente in modo facile, sicuro, gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico e, ove pertinente e tecnicamente possibile, in modo diretto”.

Poiché il data act si applica anche al settore sanitario, l’utente, ad esempio, di medical device e di attrezzature mediche (ospedale, casa di cura, medico singolo) deve essere in grado – di default – di accedere a tutti i dati (art. 3).

Peraltro, il legislatore stabilisce comunque (art. 4) che nel caso questo non fosse tecnicamente realizzabile il produttore/fornitore ha obbligo di trasferire all’utilizzatore tutti i dati “senza indebito ritardo, con la stessa qualità di cui dispone il titolare dei dati, in modo facile, sicuro, gratuitamente, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico e, ove pertinente e tecnicamente possibile, in modo continuo e in tempo reale”. L’accesso è previsto anche per una terza parte indicata dall’utente in caso di necessità e con le stesse modalità, fatto salvo la necessità di proteggere la proprietà intellettuale e i diritti commerciali.

Certamente queste norme generali, ulteriormente dettagliate negli articoli successivi, dove fra l’altro si regola la disponibilità delle informazioni per la pubblica amministrazione con modalità straordinarie in caso di eventi eccezionali come calamità naturali ed epidemie, genereranno per i produttori sia ripensamenti tecnici sia dei protocolli di sicurezza informatica, oltre a importanti modifiche sui documenti contrattuali.

 Il Data Act comunque non modifica le garanzie definite dal GDPR per cui sarà anche indispensabile e delicato lavorare molto sul fronte della armonizzazione dei processi decisionali, specie in ambito sanitario dove l’utilizzatore del device/servizio e di eventuali dati prodotti spesso non coincide con la persona a cui essi si riferiscono (paziente).

Sfide e opportunità del Data Act

La realizzazione delle ambizioni del Data Act comporta sfide tecniche e interpretative, specialmente nell'armonizzazione dei processi decisionali in ambito sanitario. Proprio per queste interazioni e complessità, i legislatori hanno previsto un periodo destinato alla realizzazione di tutte le modifiche necessarie che dovranno comunque essere approntate entro settembre del 2025.

Si tratta dunque di una sfida complessa sia dal punto di vista tecnico e progettuale sia da quello interpretativo/applicativo che deve anche fare i conti con declinazioni nazionali diversificate su alcuni punti del GDPR stesso. D’altra parte, lo sforzo profuso a livello comunitario per definire l’impianto generale e i significativi investimenti a sostegno della transizione digitale e della competitività non dovrebbero lasciare spazio a dubbi sulla necessità di superare questi ostacoli. Proprio a settembre 2023 si sono aggiunti 12 milioni di euro a quanto già stanziato, destinati a un nuovo ambizioso partenariato (WHO e UE) per rafforzare i sistemi di informazione sanitaria e promuovere la governance e l'interoperabilità dei dati.  

Cosa cambia per operatori sanitari e pazienti?

Il Data Act ha un impatto significativo sul settore sanitario, che sta evolvendo rapidamente verso la produzione di dati tramite tecnologie connesse. Questo permette di migliorare l'assistenza ai pazienti e i risultati clinici attraverso l'uso estensivo della medicina personalizzata, che trova fondamento sulla disponibilità di dati.

Nelle specifiche del testo è chiaramente espresso che il Data Act si applica al settore healthcare: “I prodotti connessi sono presenti in tutti gli aspetti dell’economia e della società, tra cui infrastrutture private, civili o commerciali, veicoli, attrezzature sanitarie e legate allo stile di vita, navi, aeromobili, apparecchiature domestiche e beni di consumo, dispositivi medici e sanitari”.

Quindi tutti i ‘prodotti connessi’ utilizzati in questo ambito, siano essi applicazioni, wearable o complesse apparecchiature ospedaliere, devono essere progettati e realizzati “accessibili by design e by default”.

Ne deriva ad esempio che l’utente che utilizza un dispositivo connesso per monitorare alcuni suoi parametri relativi alla salute dovrà essere messo nelle condizioni, non solo di visualizzarli all’interno della stessa, ma anche di potervi accedere in formato interoperabile e richiedere il loro trasferimento a un terzo soggetto senza costi aggiuntivi.

Non tutte le casistiche sono altrettanto facilmente applicabili nell’immediato e le criticità non sono solo tecniche, ma soprattutto interpretative per questo il legislatore ha previsto un periodo relativamente lungo per l’applicazione effettiva (settembre 2025).

Il Data Act non cambia le regole del GDPR quando chi usa il dispositivo, come ad esempio medici o ospedali, non è il paziente. Il produttore del dispositivo deve quindi esaminare le conseguenze legali di chi chiede i dati raccolti. Si aspettano ancora sentenze che chiariscano le diverse situazioni e diano alle aziende delle linee guida.

Saranno indispensabili specifiche riflessioni anche riguardo l’applicazione del regolamento, qualora un dispositivo venga utilizzato contemporaneamente sia dal medico sia dal paziente e quindi entrambi siano definibili come utenti dello stesso. Una situazione probabilmente simile a quella che si potrebbe configurare con l’attivazione della piattaforma di telemedicina e dei sistemi di intelligenza artificiale applicati alla gestione della medicina territoriale e di iniziativa, come ha dimostrato recentemente l’attivazione del garante delle privacy.

Certamente il Data Act determina in modo non equivocabile che i dati relativi alla salute di un paziente, prodotti attraverso un dispositivo connesso, devono essere nativamente accessibili e la progettazione di questi device deve tenerne conto ed essere realizzata entro la fine del prossimo anno.