La domanda decisiva non è dove si trova il server. È chi tiene la chiave.

Immagini: sta assistendo alla dimostrazione di uno strumento di IA che scrive rapporti medici. Il venditore pronuncia due frasi. «Da noi tutto resta in Svizzera.» E: «In ogni caso i dati dei pazienti possono lasciare il Paese solo con un consenso esplicito.»

La prima frase può essere un buon argomento. La seconda non è esatta. Ma l’errore è meno pericoloso di ciò che nasconde: la domanda su chi possa leggere i Suoi dati in chiaro.

Che cosa dice davvero la legge sulla protezione dei dati.

Secondo l’articolo 5 della legge federale sulla protezione dei dati (LPD), i dati sulla salute sono dati personali degni di particolare protezione. Possono comunque essere comunicati all’estero se il Consiglio federale ha constatato che lo Stato destinatario garantisce una protezione adeguata. L’elenco si trova nell’allegato 1 dell’ordinanza sulla protezione dei dati. Oltre agli Stati dell’Unione europea, secondo il Cantone di Zurigo sono considerate sicure anche le aziende statunitensi certificate secondo il Data Privacy Framework. In mancanza di una simile decisione servono garanzie adeguate, per esempio clausole tipo di protezione dei dati. Il consenso esplicito figura all’articolo 17 tra le eccezioni, non è la regola.

Va fatta una distinzione. Le cliniche e gli studi privati senza mandato pubblico sottostanno alla legge federale. Gli ospedali con mandato pubblico sottostanno al diritto cantonale, che presenta differenze rilevanti. Il Cantone di Zurigo precisa inoltre che l’uso del cloud da parte di una clinica privata non richiede di principio il consenso dei pazienti, purché siano informati di tale uso.

La regola più severa non sta nella legge sulla protezione dei dati.

Sta nel Codice penale. L’articolo 321 tutela il segreto professionale, e il Cantone di Zurigo descrive nella sua sandbox per l’innovazione nell’IA che cosa significa per il cloud. Se un fornitore può leggere i Suoi dati in chiaro, il segreto professionale può opporsi al suo impiego, a meno che non sia integrato contrattualmente e organizzativamente al punto da essere considerato un ausiliario. Secondo il Cantone, con i grandi fornitori è spesso difficile. L’altra soluzione è tecnica: una cifratura di cui il fornitore non possiede la chiave.

Per i dati coperti dal segreto professionale che vanno negli Stati Uniti, il Cantone è preciso. Il fornitore non deve avere alcun accesso, e la chiave deve restare in Svizzera presso il fornitore di prestazioni sanitarie. A questo si aggiungono ambiti con regole proprie. Per la cartella informatizzata del paziente, per esempio, il Cantone cita una disposizione che ne vieta la conservazione all’estero.

Ne deriva qualcosa che negli incontri commerciali si sente di rado: un server svizzero non risolve il problema da solo. Se i collaboratori del fornitore svizzero possono leggere i Suoi rapporti in chiaro, la questione del segreto professionale si pone esattamente allo stesso modo.

Un server svizzero è un buon inizio. Non è una risposta al segreto professionale.

Che cosa c’entra il Suo sito.

Più di quanto pensino molte cliniche. Secondo l’analisi del Cantone di Zurigo, già il nome di una persona in relazione a un medico, per esempio in una presa di contatto, è un dato sulla salute. Il modulo di contatto, lo strumento di prenotazione, la chat del sito e il numero WhatsApp trattano quindi dati degni di particolare protezione. Dove vanno questi dati? A un servizio di moduli negli Stati Uniti, in una casella di posta privata, in un CRM in Irlanda?

La legge chiede trasparenza. Se i dati sono comunicati all’estero, l’informativa sulla protezione dei dati deve indicare lo Stato e, se del caso, le garanzie. Quando un paziente interagisce direttamente con un’IA, per esempio un chatbot, secondo il Cantone dal principio di trasparenza può derivare un obbligo d’informazione. E per molte applicazioni mediche di IA che vanno oltre l’amministrazione sarà verosimilmente necessaria una valutazione d’impatto sulla protezione dei dati.

La mia posizione.

Ospito il mio sito in Svizzera e lo consiglio anche alle cliniche, perché semplifica molte cose. Ma non lo venderei mai come risposta al segreto professionale. Un fornitore si sceglie in base al contratto e a chi tiene la chiave. La bandiera sul centro dati non sostituisce un contratto.

Che cosa verificherei.

• Il percorso dei dati del sito. Modulo, prenotazione, chat, newsletter: dove va ogni informazione, chi la tratta e in quale Paese.
• Il contratto con ogni fornitore. Scopo, sicurezza, luogo del trattamento, subfornitori, diritti di controllo e riservatezza, come li elenca il Cantone di Zurigo.
• La chiave. Chi può vedere i dati in chiaro, presso il fornitore e i suoi subfornitori.
• L’informativa sulla protezione dei dati. Gli Stati, le garanzie e l’avviso quando i pazienti interagiscono con un’IA.
• Una valutazione d’impatto per ogni strumento di IA che fa più che spostare appuntamenti.

Prima di introdurre il prossimo strumento.

1. Questa settimana

   Elencare tutti gli strumenti

   Ogni sistema che riceve dati dal sito o dallo studio, con fornitore e luogo del trattamento.

2. Questo mese

   Chiedere i documenti

   Il contratto di trattamento per conto terzi, l’elenco dei subfornitori e chi ha accesso ai dati in chiaro.

3. Prima di ogni progetto di IA

   Valutazione d’impatto e questione della chiave

   Documentare i rischi e decidere dove sta la chiave.

4. Ogni anno

   Rivedere

   Le decisioni di adeguatezza e il quadro politico possono cambiare in fretta, come ricorda anche il Cantone.

Pensi allo strumento che la Sua clinica usa di più: l’agenda, la posta o la cartella clinica. Ora risponda a una sola domanda, senza guardare il contratto. Se domani un dipendente di quel fornitore volesse leggere una cartella precisa, potrebbe farlo?

Se la Sua risposta è «non lo so», non è una Sua disattenzione. È la domanda che quasi nessuno fa al momento della firma. Ma conviene conoscere la risposta prima che la faccia un paziente.

Se vuole che esamini il Suo sito e i Suoi strumenti da questa prospettiva, cominci dalla Diagnosi strategica. La valutazione giuridica di un caso concreto spetta al Suo consulente legale o, negli ospedali con mandato pubblico, all’autorità cantonale di protezione dei dati.