L'accesso ai dati sanitari per finalità di ricerca, innovazione e programmazione dei servizi deve essere valutato sulla base di criteri trasparenti, capaci di dimostrare un effettivo interesse pubblico e garantire la protezione delle informazioni personali. È l'indicazione dell'Organizzazione per la cooperazione e lo sviluppo economico (OCSE), che nel documento Assessing the public interest in the secondary use of health data, pubblicato nell'ottobre 2026, individua cinque categorie di criteri per autorizzare il riutilizzo dei dati raccolti originariamente durante l'assistenza ai pazienti.

L'obiettivo è superare la frammentazione delle procedure autorizzative, che può ostacolare la ricerca sanitaria e la collaborazione internazionale, senza ridurre le garanzie di riservatezza. Il problema assume particolare rilevanza con la crescente diffusione dell'intelligenza artificiale e con l'attuazione dello Spazio europeo dei dati sanitari.

Dalle cartelle cliniche all'intelligenza artificiale: che cosa significa riutilizzare i dati

Per uso secondario si intende l'impiego delle informazioni raccolte durante l'assistenza sanitaria per finalità diverse dalla cura del singolo paziente. Rientrano in questa categoria la ricerca epidemiologica, lo sviluppo di nuove tecnologie, la valutazione dell'efficacia dei trattamenti e la pianificazione dei servizi sanitari.

Le informazioni potenzialmente utilizzabili comprendono diagnosi, terapie, esami di laboratorio e immagini diagnostiche, ma anche dati relativi alla salute mentale, agli stili di vita e alle condizioni socioeconomiche. Possono inoltre essere coinvolte informazioni amministrative, assicurative e finanziarie connesse all'assistenza.

Secondo l'OCSE, l'integrazione di grandi quantità di dati può migliorare la conoscenza delle malattie, sostenere le decisioni di politica sanitaria e favorire lo sviluppo di applicazioni di intelligenza artificiale. L'accesso, tuttavia, deve rispettare le norme sulla protezione dei dati personali. Quando le informazioni sono riconducibili a persone identificabili, il loro riutilizzo richiede un'idonea base giuridica e adeguate garanzie.

Il consenso individuale costituisce una delle possibili basi giuridiche, ma in determinate circostanze può risultare impossibile o impraticabile raccoglierlo. In questi casi, ove consentito dalla normativa applicabile, possono intervenire organismi competenti chiamati a valutare se l'interesse pubblico giustifichi l'utilizzo delle informazioni e se le misure di protezione siano sufficienti.

Cinque criteri per stabilire quando prevale l'interesse pubblico

Il documento individua cinque ambiti di valutazione che possono orientare le decisioni degli organismi incaricati di autorizzare l'accesso ai dati sanitari. Il primo riguarda la salute della popolazione e la programmazione dei servizi. Un progetto deve dimostrare di poter contribuire alla prevenzione, alla diagnosi, al trattamento delle malattie oppure al miglioramento della qualità, della sicurezza e dell'efficienza dell’assistenza. Il secondo è rappresentato dalla ricerca e dall'innovazione. Non basta dichiarare una finalità scientifica: occorre valutare la solidità metodologica del progetto, l'affidabilità dei dati, le competenze dei ricercatori e la possibilità di produrre risultati utili e verificabili.

Il terzo ambito riguarda la proporzionalità tra benefici e rischi. Le informazioni richieste devono essere necessarie rispetto agli obiettivi dichiarati e accompagnate da misure adeguate di sicurezza, riservatezza e prevenzione degli utilizzi impropri. Tra gli elementi da considerare figurano anche la comunicazione ai cittadini e la disponibilità di strumenti per opporsi al trattamento, secondo le condizioni previste dalla normativa. Il quarto criterio è l'equità sanitaria. L'OCSE invita a considerare se il riutilizzo dei dati possa migliorare l'accesso alle cure, rispondere ai bisogni delle popolazioni svantaggiate o contribuire allo studio di malattie trascurate.

Infine, il quinto ambito riguarda la trasparenza e l'accettabilità pubblica. Le finalità dei progetti e le modalità di utilizzo delle informazioni devono essere comprensibili ai cittadini, perché la fiducia costituisce una condizione essenziale per lo sviluppo di sistemi di condivisione dei dati sanitari.

Anche le aziende private possono accedere ai dati, ma con garanzie aggiuntive

Uno dei passaggi più rilevanti del documento riguarda la partecipazione dei soggetti privati. L'OCSE chiarisce che l'interesse pubblico non coincide necessariamente con la natura pubblica dell'organizzazione che richiede i dati. Anche un'impresa può realizzare attività di ricerca o innovazione con benefici per la collettività, purché tali benefici siano dimostrabili.

La presenza di interessi commerciali richiede però particolare attenzione. Gli organismi di valutazione devono poter verificare l'indipendenza scientifica dei progetti, la trasparenza delle finalità, le modalità di utilizzo delle informazioni e l'esistenza di adeguati strumenti di controllo. Il documento richiama, a questo proposito, una decisione della giustizia amministrativa finlandese relativa a uno studio farmacoepidemiologico finanziato da un'azienda farmaceutica.

In quel caso, il finanziamento industriale non era stato considerato di per sé incompatibile con una finalità scientifica. Tuttavia, le garanzie di autonomia dei ricercatori erano risultate insufficienti, anche per il ruolo che l'azienda finanziatrice avrebbe potuto esercitare sui risultati e sulle pubblicazioni.

La conclusione è che la qualificazione scientifica di uno studio non può dipendere soltanto dagli obiettivi dichiarati, ma deve trovare riscontro nell'organizzazione della ricerca e nell'effettiva libertà di pubblicarne i risultati, compresi quelli sfavorevoli agli interessi del finanziatore.

Il caso francese: autorizzazione e controlli sulla gestione dei dati

Tra gli esempi esaminati figura anche l'autorizzazione concessa nel 2018 dall'autorità francese per la protezione dei dati, la CNIL, a un archivio sanitario privato basato sulle informazioni relative alla dispensazione dei medicinali nelle farmacie.

L'autorità aveva riconosciuto la sussistenza di finalità di interesse pubblico, tra cui lo studio dell'utilizzo dei farmaci, delle interazioni e dell'aderenza alle terapie.

L'autorizzazione era accompagnata da condizioni riguardanti la governance dei dati, la valutazione dei singoli studi, la sicurezza delle informazioni e la trasparenza verso gli interessati. Erano inoltre esclusi impieghi promozionali dei dati e utilizzi destinati a decisioni assicurative, come l'esclusione dalla copertura o la modifica dei premi.

L'OCSE ricorda tuttavia che un successivo provvedimento della CNIL, nel 2026, ha individuato carenze nelle garanzie di trasparenza e sicurezza del sistema. Il caso dimostra come il riconoscimento iniziale dell'interesse pubblico non esaurisca gli obblighi di controllo sulla gestione delle informazioni.

Spazio europeo dei dati sanitari, la sfida delle autorizzazioni

Le indicazioni dell'OCSE si inseriscono nel percorso avviato dall'Unione europea con il regolamento sullo Spazio europeo dei dati sanitari (European Health Data Space, EHDS).

Il nuovo quadro europeo prevede organismi competenti per l'accesso ai dati sanitari destinati a usi secondari, chiamati a esaminare le richieste e a verificare il rispetto delle condizioni previste.

Secondo l'OCSE, uno dei principali ostacoli alla collaborazione internazionale è rappresentato dalle differenze con cui i vari Paesi interpretano il concetto di interesse pubblico. Procedure sovrapposte, criteri non omogenei e tempi autorizzativi eccessivi possono rallentare gli studi e limitare i benefici derivanti dall'utilizzo delle informazioni.

Per questo l'organizzazione raccomanda una maggiore collaborazione tra autorità, comitati etici e organismi di accesso, accompagnata da criteri pubblici di valutazione, procedure più prevedibili e strumenti tecnologici capaci di proteggere la riservatezza.

Tra le soluzioni considerate figurano gli ambienti sicuri di ricerca e i sistemi di analisi federata, che consentono a più istituzioni di collaborare senza necessariamente trasferire i dati originali da un'organizzazione all'altra.

La questione centrale, conclude l'analisi dell'OCSE, non è scegliere tra protezione dei dati e innovazione sanitaria, ma definire condizioni verificabili perché il riutilizzo delle informazioni produca benefici collettivi, nel rispetto dei diritti dei pazienti.