Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione concernente la revisione della LCIP (revisione completa)

normativi sulla protezione dei dati (pag. 6063 e 6070) si afferma che per il trattamento a scopi di ricerca, pianificazione o statistica il requisito dell’anonimizzazione è adempiuto se i dati sono comunicati in forma pseudonimizzata e la chiave per reidentificare la persona resta presso colui che ha trasmesso i dati (anonimizzazione di fatto). L’associazione auspica un chiarimento a questo proposito in modo da capire se l’anonimizzazione di fatto dei dati di cui all’articolo 19g sia sufficiente.

Capoverso 2:

Per iph è fondamentale che ai titolari di CIP venga chiesto il consenso all’utilizzazione dei dati al momento del loro primo accesso alla cartella informatizzata. Questo processo può essere gestito analogamente al consenso generale negli ospedali. Il consenso deve essere chiesto espressamente e i titolari di CIP devono essere informati in modo trasparente sull’utilità. La domanda deve essere posta in modo che il set di dati possa essere reso disponibile per la ricerca in misura appropriata. Occorre evitare un consenso dinamico.

Capoverso 2:

it-rm ritiene che tale sistema permetta di aggirare, in alcuni casi, l’articolo 16 segg. LRUm.

Kunz propone di stralciare gli articoli 19f e 19g e di sostituirli con la seguente formulazione: «La Confederazione provvede a creare una banca dati centralizzata nella quale sono contenuti dati sulle condizioni socio-ambientali del paziente. Questi dati sono accessibili a tutti». In primo luogo, solo i pazienti stessi possono decidere se comunicare i propri dati in forma anonimizzata. Se vi acconsentono, i dati devono essere disponibili per tutti. In secondo luogo, la banca dati centralizzata deve contenere, oltre a dati sullo stile di vita, anche dati sulle condizioni socioambientali del paziente, in modo da permettere non solo di combattere i sintomi, ma anche di ricercarne le cause.

Capoverso 1:

Secondo Lünenburger, l’espressione «comunicazione» implica la cessione dei dati e questo permette la loro memorizzazione esterna e la loro ulteriore elaborazione senza limitazioni. Le crescenti possibilità offerte dalla tecnologia e dall’incrocio con dati aggiuntivi (esterni) rendono fattibile e, secondo alcuni esperti, addirittura probabile la reidentificazione. Si dovrebbe quindi sempre ridurre al minimo la quantità di dati ceduti. La messa a disposizione di un’interfaccia di interrogazione (adeguatamente programmata) riduce al minimo la quantità di dati ceduti, nel caso ideale li limita addirittura ai risultati compensati o aggregati rilevanti per la ricerca (apprendimento federato, scrambling, permutation, dati sintetici). In particolare, un’interfaccia basata sull’apprendimento federato rappresenta un’opzione futura rispettosa della protezione dei dati, preferibile alla semplice cessione. L’avamprogetto non deve precludere questa possibilità.

Lünenburger propone di riformulare il capoverso come segue: «La Confederazione mette a disposizione i dati in forma anonimizzata».

Inoltre, se i dati di cui all’articolo 19g capoverso 1 si riferiscono ai dati oggetto di una domanda ai sensi dell’articolo 19f capoverso 1, i due articoli andrebbero riuniti. Nell’avamprogetto il termine «dati» si riferisce all’insieme dei dati contenuti nella banca dati.

Capoverso 1:

Nessuna anonimizzazione può garantire al 100 per cento che il paziente non venga reidentificato. PicAps ritiene opportuno limitare le aspettative legate all’anonimizzazione e propone di modificare il capoverso 1 come segue: «I dati comunicati dalla Confederazione devono essere anonimizzati in modo tale che una persona fisica non possa più essere reidentificata tramite tutti i mezzi ragionevolmente utilizzabili».

Capoverso 4:

Secondo PicAps, non esiste una procedura in grado di garantire l’anonimato dei dati. I dati possono essere anonimi in un contesto e non in un altro. Negli Stati Uniti, l’approccio utilizzato è quello della valutazione caso per caso (HIPAA Expert Determination). In base alla proposta originaria, si verificherà una strozzatura nell’accesso ai dati oppure i requisiti saranno minimi e non garantiranno una protezione sufficiente delle persone interessate; in caso di violazione,