La notizia è giunta inaspettata, ma non troppo, il 23 giugno. È immediatamente circolata in rete su varie testate e blog che si occupano di tecnologia: l’ultima modifica di Google alla policy che regola il funzionamento del suo motore di ricerca include i “documenti medici personali e riservati dei privati” nell’elenco dei contenuti che, a discrezione del colosso digitale, saranno automaticamente rimossi dai risultati delle ricerche.
L’atteggiamento, seppur in contrasto con il tradizionale approccio laissez-faire di Google, in qualche modo segue gli interventi, iniziati negli ultimi cinque anni, relativi alla automatica rimozione di informazioni finanziarie identificative (quali i numeri seriali delle carte di credito), le immagini ed i video riferibili ai casi di cosiddetto “revenge porn” e, naturalmente in Europa, le numerose richieste di rimozione di link da parte dei privati – gestite in maniera completamente opaca da Google – seguite alla famosa sentenza Google Spain della Corte di Giustizia UE nel 2014.

Il nuovo cambio di policy risponde, molto probabilmente, all’esigenza di Google di evitare pesanti responsabilità e sanzioni in un settore particolarmente delicato.
Stiamo, effettivamente, vivendo un momento storico giurisprudenziale in cui sempre più si va affermando come tendenza, da parte delle corti, il tentare di attribuire una forma di responsabilità “indiretta” a Google (si veda la recentissima sentenza canadese del 28 giugno in Google Inc v Equustek, dove per la prima volta si ammette la possibilità di una ingiunzione per la rimozione di link a livello “mondiale”) a causa del suo ruolo di “intermediario-facilitatore” della società dell’informazione: questo viene evidentemente esercitato in regime di monopolio, senza il quale non sarebbe possibile, o sarebbe particolarmente complesso, raggiungere contenuti “delicati” quali, ad esempio: contenuti diffamatori o illeciti, protetti da copyright diffusi illegalmente, banche dati vittime di data breach, etc.

Il rischio di diffusione di dati sanitari a seguito di data breach (i.e. violazione dei dati personali in seguito ad attacco informatico o, più in generale, errori di amministrazione del sistema), in particolare, è alto e concreto. Uno studio americano del 2015 ha stimato che solo negli USA tra il 2010 ed il 2013, qualcosa come 29 milioni di record sanitari sono stati oggetto di violazione della privacy.

Cosa sono i dati sanitari

La nozione di dati sanitari, secondo la definizione europea, include tutti quei dati personali (genericamente intesi) attinenti alla salute fisica o mentale di un privato cittadino, comprese le prestazioni di servizi di assistenza sanitaria, capaci di rivelare lo stato di salute del soggetto.

L’importanza della qualità del dato sanitario, da sempre riconosciuta all’interno delle legislazioni a tutela della privacy quale dato “sensibile” (quindi, che necessita di particolari tutele e protezioni), deriva dalla innata capacità di tale dato di rivelare le qualità psico-fisiche dei soggetti colpiti da patologie, capaci di inficiare pesantemente la dignità delle persone, al tempo stesso generando discriminazioni particolarmente distorsive nelle relazioni lavorative e sociali con il prossimo.
Si pensi ad esempi “classici” quali, a puro titolo esemplificativo, il finto licenziamento per “giusta causa” subito dal protagonista del film Philadelphia a causa della rivelazione del suo stato di salute (il protagonista, interpretato da Tom Hanks, era malato di AIDS).

La tradizionale concezione delle cautele particolari da adottare quando si tratta un dato sanitario cosiddetto “sensibile” sono pensate per tutelare il paziente nei rapporti con il medico (nei confronti del quale intervengono anche le previsioni deontologiche relative al segreto professionale) e, più in generale, con le strutture sanitarie che si occupano di visitare e curare i soggetti, archiviando e trattandone i relativi dati per scopi statistici, di ricerca o anamnesi, impedendo, al tempo stesso, una libera circolazione di tali dati.

I Big Data possono discriminarci?

Relativamente alla diffusione del dato sanitario, esistono due tipologie di problemi fondamentali. Il primo, come già detto, è legato alla sicurezza del dato non anonimo, solitamente conservato presso strutture sanitarie pubbliche o private che sono, quindi, demandate a gestire i rischi connessi all’illecito accesso informatico e fisco a tali dati per scopi non leciti. Si pensi, ad esempio, al caso sanzionato dal Garante italiano nel 2007 relativo alla attività di raccolta dei dati identificativi delle neo-mamme da parte di aziende produttrici di prodotti per l’infanzia, finalizzata ad una seguente attività di marketing particolarmente pervasiva, ovvero al recentissimo caso italiano dei dati clinici rubati dai medici e venduti ai giganti del farmaco.

In merito a questa tipologia di rischi interverrà da maggio 2018 il nuovo Regolamento Europeo sulla Protezione dei Dati (cd. GDPR UE 2016/679) che impone, sia al settore pubblico che privato, dei radicali modelli di gestione sicura di tali dati, dalla individuazione di una chiara filiera del trattamento, alla imposizione di norme di sicurezza particolarmente strette, sino alla possibilità di comminare sanzioni particolarmente severe in caso di violazioni accertate.

Tuttavia, esiste un secondo grande problema che riguarda i dati sensibili, anche anonimi, legato alla attività di raccolta massiva di enormi quantità di dati sanitari trattati secondo criteri legati ai luoghi geografici di appartenenza dei soggetti, fasce di età, sesso, capacità reddituale, etc.
Si tratta della raccolta effettuata dalle corporations del settore che genericamente indichiamo come “Big Data”, le quali effettuano una attività di collecting che, a causa delle grandezze di scala delle operazioni di profilazione, non si rivolgono più al singolo individuo ma a “gruppi” e comunità di individui, sino ad arrivare ad intere aree geografiche chiaramente definite e localizzate.

Tale tipo di raccolta e analisi dei dati sanitari può potenzialmente creare effetti pesantemente distorsivi nella vita di interi gruppi di persone. Si pensi, ad esempio, alla taratura del pricing di polizze sanitarie slegate dalle abitudini del singolo individuo ma correlate alle statistiche sulla mortalità o a incidenze di particolari patologie per una determinata area geografica o fascia di reddito. Il risultato di tali attività si tradurrebbe in concreto in politiche potenzialmente discriminatorie nei confronti di alcuni gruppi di persone rispetto ad altre, entrando in diretto conflitto con numerose previsioni normative, finendo probabilmente con l’incidere anche sui concetti giurisprudenziali legati alla valenza del concetto di dignità dell’essere umano quale valore assoluto delle società democratiche (Carta dei diritti fondamentali dell’Unione Europea, Convenzione del Consiglio d’Europa sui Diritti dell’uomo e la biomedicina).

Al tempo stesso, è innegabile che l’attività massiccia di raccolta e analisi di dati sanitari anonimi, quando svolta all’interno dei limiti della legge, possa costituire una spinta propulsiva irrinunciabile per il settore della ricerca scientifica nel campo dell’innovazione farmaceutica e del complessivo miglioramento della qualità della vita umana. Si considerino, infatti, gli avanzamenti della farmacologia realizzati con l’ausilio di Big Data provenienti dall’informatica sanitaria, quali l’incrocio di dati relativi alla gestione di un servizio sanitario (risposta del paziente, tempi di efficacia del farmaco, modalità di uso del farmaco e, ovviamente, i relativi costi).
La grande scala dei dati utilizzati nella ricerca offre garanzie enormemente migliori rispetto alle metodologie tradizionali su come una terapia funzionerà, in particolare, quando si possono stabilire dei legami tra sequenze genetiche e farmaci specifici per il trattamento di diverse malattie (come spiegato nell’intervista al dottor Nathan Lea, docente della University of Essex, “Harnessing Big Data for Patient Empowerment: an Interview with Dr Nathan Lea”).

Etica e genetica: il caso Myriad Genetics

In conclusione, è doveroso ribadire come attualmente, la stragrande localizzazione in territorio americano delle aziende che si occupano di Big Data e la storica divergenza di approccio al modo di intendere le libertà positive e negative in ambito di diritti umani tra USA ed Europa, costituisce il rischio maggiore di discriminazione per i cittadini europei ai quali, solo parzialmente potrà porre rimedio l’entrata in vigore del nuovo regolamento nel maggio 2018.

A testimonianza di quanto appena detto, vale la pena di ricordare il caso statunitense risalente al 2009, nel quale una vasta coalizione di pazienti, medici e ricercatori universitari americani, patrocinati dalla associazione per i diritti civili americana ACLU, ha chiamato a giudizio la società Myriad Genetics e l’Ufficio Brevetti Americano. La società, era riuscita a precedere i concorrenti nella corsa al sequenziamento dei geni onco-soppressori BRCA1 e 2, dalle cui mutazioni deriva la predisposizione al carcinoma mammario e ovarico. Una volta ottenuti i brevetti sui geni e sui metodi diagnostici, aveva iniziato a commercializzare i kit per l’esame genetico in regime di esclusiva a prezzi triplicati e proteggendo i propri brevetti in modo particolarmente aggressivo, obbligando tutti i laboratori che intendevano ad usufruire del servizio ad inviare i campioni di materiale biologico del paziente, direttamente presso la sede di Myriad Genetics, in modo da consentire alla società l’allargamento esponenziale della propria banca dati genetica, preziosa per gli sviluppi di ulteriori ricerche.

È evidente come tale modello di business sia diametralmente in conflitto con l’etica delle professioni mediche e della ricerca scientifica e, soprattutto, con l’interesse ed il diritto alla salute dei pazienti, nel caso specifico, quasi tutti troppo poveri per poter affrontare le spese della diagnosi.

Il caso Myriad Genetics, rende particolarmente chiari i rischi derivanti dal trattamento di Big Data in ambito sanitario ma al tempo stesso offre una chiave di lettura legata alle possibilità che le attività di coalizione da parte delle associazioni a tutela dei diritti umani possono avere quale forma di reazione della società civile, in special modo, nei casi di ritardo della politica ad intervenire su determinati settori.

Tommaso Scannicchio è fellow del programma “Libertà civili nell’era digitale”.