Articoli

Big data: arrivano le Linee guida delle Autorità Italiane

Avv. Vincenzo Colarocco

Pubblicato l’esito dell’indagine conoscitiva avviata da AGCOM, AGCM e Garante Privacy il 30 maggio 2017 in tema di Big Data. In vista di questo evento, lo scorso 2 luglio, le Autorità hanno reso pubbliche le linee guida di cooperazione e raccomandazioni di policy volte a definire ed ottimizzare le conseguenze in materia di data protection, tutela del consumatore e antitrust, connesse al fenomeno dei Big Data. Un vero e proprio vademecum che fornisce una sintetica esposizione degli interventi futuri delle Autorità nel settore digitale, oltre che un invito rivolto alle istituzioni a colmare il gap normativo esistente nel settore.

La scelta di affrontare un approfondimento trasversale e di comporre un’indagine conoscitiva congiunta trae origine dalla consapevolezza acquisita circa le caratteristiche dell’economia digitale, caratteristiche che favoriscono rapporti disomogenei tra concorrenza, privacy e tutela del consumatore.

Un tale intreccio tra gli scopi propri delle Autorità in questione richiede un coordinamento che consenta un confronto costante tra le tre realtà. In proposito, si segnala che nello svolgimento dell’indagine sono state svolte circa quaranta audizioni, da parte delle diverse Autorità, che hanno tratto beneficio delle informazioni acquisite nel corso di procedimenti collegati allo sfruttamento economico dei dati e al ruolo della profilazione algoritmica nei mercati della pubblicità online e nell’attività delle piattaforme di videosharing, motori di ricerca e marketplace.

Come detto in precedenza, sono 11 le linee guida indicate nel documento pubblicato, ma è nelle conclusioni che si rinviene la strategia che le Autorità intendono adottare allo scopo di garantire una maggiore tutela in tema privacy, considerando le implicazioni derivanti dall’uso dei Big Data. Si legge, infatti, che “le sfide poste dallo sviluppo dell’economia digitale e dai Big Data richiedono uno sfruttamento pieno delle sinergie esistenti tra strumentazione ex ante ed ex post, a tutela della privacy, della concorrenza, del consumatore e del pluralismo. Agcm, Agcom e Garante per la protezione dei dati personali, ciascuno nell’ambito delle proprie competenze, possono meglio garantire i propri obiettivi istituzionali, nella misura in cui sapranno cogliere a pieno le opportunità offerte da una proficua cooperazione. A tal fine, le tre Autorità, nell’esercizio delle competenze complementari ad esse assegnate e che contribuiscono a fronteggiare le criticità dell’economia digitale, si impegnano a strette forme di collaborazione negli interventi che interessano i mercati digitali, anche attraverso la sottoscrizione di un memorandum of understanding”. In questo senso si punta a rafforzare i campi d’azione delle Authority.

Guardando alle linee guida, preminente rilievo viene attribuito al ruolo della politica, di cui parla la prima raccomandazione – “Governo e Parlamento si interroghino sulla necessità di promuovere un appropriato quadro normativo che affronti la questione della piena ed effettiva trasparenza nell’uso delle informazioni personali (nei confronti dei singoli e della collettività” -, raccomandazione legata alla seconda, inerente ad un “rafforzamento della cooperazione internazionale sul disegno di policy per il governo dei Big Data”.

Tra le altre raccomandazioni si segnalano quella inerente la promozione di una “policy unica e trasparente circa l’estrazione, l’accessibilità e l’utilizzo dei dati pubblici al fine della determinazione di politiche pubbliche a vantaggio di imprese e cittadini” realizzabile tramite “un coordinamento tra tale policy e le strategie europee già esistenti per la costituzione di un mercato unico digitale”. Si rende necessario anche “ridurre le asimmetrie informative tra utenti e operatori digitali, nella fase di raccolta dei dati, nonché tra le grandi piattaforme digitali e gli altri operatori che di tali piattaforme si avvalgono”.

Sul fronte della concorrenza si auspica “una riforma del controllo delle operazioni di concentrazioni al fine di aumentare l’efficacia dell’intervento delle autorità di concorrenza” tenendo conto che “con la diffusione dei Big Data il controllo delle concentrazioni assume una nuova centralità”. Infine, si auspica l’agevolazione della “portabilità e la mobilità di dati tra diverse piattaforme, tramite l’adozione di standard aperti e interoperabili”.

Dati sanitari: pubblicate le nuove linee guida del Consiglio d’Europa

Avv. Vincenzo Colarocco

Il Consiglio d’Europa, con una raccomandazione adottata lo scorso 27 Marzo[1] (in seguito la “Raccomandazione”), ha fornito una serie di linee guida per i 47 Stati membri con l’intento di guidare i medesimi nel corretto trattamento dei dati sanitari.

Chiara intenzione del succitato organismo è quella di esortare i Paesi Europei a garantire, nel diritto e nella pratica, che l’elaborazione di tali categorie particolari di dati ai sensi dell’art. 9 del Regolamento UE 679/2016 (“GDPR” o “Regolamento”) venga posta in essere nel pieno rispetto dei diritti umani in un particolare momento storico caratterizzato dal crescente utilizzo di nuove tecnologie[2]. Proprio tale presupposto comporta la necessità di impostare il trattamento considerando i capisaldi della privacy by design e della privacy by default posti alla base del Regolamento, nonché le previsioni di cui all’art. 32 del GDPR. Pertanto, le misure di protezione da attuarsi dovrebbero essere incorporate sin dalla fase di progettazione di qualsiasi sistema di informazione che elabora dati relativi alla salute. In più, al fine di ulteriormente vedere attuati tali principi, la Raccomandazione precisa che il rispetto delle dette previsioni dovrebbe essere regolarmente rivisto durante l’intero ciclo di vita del trattamento e che il titolare deve effettuare, prima di iniziare il trattamento e a intervalli regolari, una valutazione del potenziale impatto in termini di protezione dei dati e rispetto della privacy, comprese le misure volte a mitigare il rischio.

La Raccomandazione, poi, pone alcune interessanti precisazioni in merito alle base giuridiche che potrebbero legittimare il trattamento dei dati sanitari. Infatti, dopo aver previsto che alla base del detto trattamento sussista il consenso informato dell’interessato (in linea con quanto previsto ai sensi dell’art. 9 del GDPR), si prevedono, alternativamente, due ulteriori situazioni che sembrerebbero quindi escludere la preventiva raccolta di un consenso:

  1. i) quando il trattamento è necessario per l’esecuzione di un contratto stipulato dall’interessato con un operatore sanitario soggetto a condizioni definite dalla legge, compreso l’obbligo di segretezza;
  2. ii) quando tali dati sono stati resi manifestamenti pubblici dall’interessato stesso.

Con riferimento alle tempistiche di conservazione (c.d. “retention”) da applicarsi alla categoria dei dati sanitari, la Raccomandazione prevede che, purché dietro predisposizione di misure di sicurezza adeguate, la retention possa dilatarsi[3] qualora si preveda un trattamento per finalità di archiviazione nell’interesse pubblico o per scopi scientifici o storici o, ancora, di ricerca e statistica. In questo caso i dati dovrebbero, in linea di principio, essere resi anonimi non appena la ricerca, l’attività di archiviazione o lo studio statistico lo consentano; qualora tanto non fosse possibile, si potrebbe ricorrere alla pseudonimizzazione per salvaguardare i diritti e le libertà fondamentali dell’interessato.

Appare in conclusione evidente come la Raccomandazione segua quasi pedissequamente le prescrizioni di cui al GDPR, resta in ogni caso da segnalarsi come le indicazioni fornite appaiano estremamente attuali e pertinenti stante la sussistenza di una crescente digitalizzazione che, seppur evidentemente foriera di un miglioramento delle cure mediche e dell’assistenza al paziente, comporta, inevitabilmente, un aumento esponenziale della quantità di dati sanitari soggetti ad operazioni di trattamento e, per l’effetto, la necessità di applicare misure legali e tecniche che consentano un’efficace protezione di ogni individuo.

 

[1] Rinvenibile al seguente URL: https://search.coe.int/cm/pages/result_details.aspx?objectid=090000168093b26e.

[2] La Raccomandazione in esame delinea anche una serie di indicazioni per quanto attiene al trattamento di dati sanitari raccolti mediante dispositivi mobili che, impiantati nell’individuo o meno, possano rivelare informazioni sul suo stato fisico o mentale, o abbiano ad oggetto qualsiasi informazione riguardante le prestazioni di assistenza sanitaria e di assistenza sociale.

[3] Pertanto superando le tempistiche di conservazione strettamente necessarie al perseguimento della finalità di cura e assistenza del paziente interessato.