Oltre il modello centrato sul consenso: cosa cambiano l'EHDS e il riuso governato per l'evidenza
La governance dei dati sanitari si sta spostando dalla firma su un modulo di consenso a un sistema di garanzie istituzionali. Cosa cambia davvero lo European Health Data Space per l'uso secondario, e cosa richiede in cambio.
Insight · · 4 min
Per gran parte dell'ultimo decennio, il baricentro giuridico della ricerca sui dati sanitari è stato il modulo di consenso. Se si voleva riutilizzare un dato per una nuova domanda, si tornava a chiedere una nuova firma, oppure lo studio non si faceva. Questo modello sta venendo sostituito, e la sostituzione non è un allentamento.
Il Regolamento (UE) 2025/327 sullo European Health Data Space è stato adottato nel febbraio 2025 ed è entrato in vigore nel marzo 2025, con le sue disposizioni introdotte progressivamente nell'arco di diversi anni e il regime di uso secondario applicabile dal 2029. Fa due cose distinte. Il suo capitolo sull'uso primario riguarda l'accesso dei pazienti ai propri dati e la loro portabilità. Il suo capitolo sull'uso secondario, quello che cambia la ricerca, stabilisce un percorso per riutilizzare i dati sanitari elettronici a fini di ricerca scientifica, innovazione, definizione delle politiche e attività regolatorie, mediato da organismi nazionali di accesso ai dati sanitari (Health Data Access Bodies) anziché dal consenso individuale per ciascuno scopo.
Il meccanismo merita di essere compreso perché è poco familiare. Un ricercatore presenta a un Health Data Access Body una domanda di permesso descrivendo lo scopo, le categorie di dati e l'output previsto. Se concesso, l'analisi viene eseguita all'interno di un ambiente di elaborazione sicuro: è il calcolo ad andare verso il dato, e solo i risultati escono. I dati grezzi non vengono trasferiti al richiedente. Dove i risultati potrebbero identificare individui, non escono affatto. È un'architettura diversa dal modello di esportazione e analisi su cui era costruita la maggior parte delle operazioni di ricerca, e si affianca, senza sostituirlo, al GDPR, il cui articolo 9(2)(j) sulla ricerca e le cui deroghe nazionali continuano ad applicarsi.
Definire tutto questo 'oltre il modello centrato sul consenso' è accurato ma facilmente frainteso. Il consenso non scompare; smette di essere l'unica garanzia portante. Ciò che lo sostituisce è un insieme stratificato di garanzie: una base giuridica per il riuso, un'autorità indipendente che decide se un determinato scopo è ammissibile, un ambiente tecnico che vincola ciò che si può fare con i dati, un registro pubblico dei permessi concessi, e un meccanismo di opt-out per gli individui che gli Stati membri devono prevedere. Distribuire la garanzia tra più istituzioni è, nel complesso, più tutelante di una firma raccolta anni prima per uno scopo che allora nessuno avrebbe potuto descrivere. È anche molto più lavoro.
Quel lavoro ricade sui titolari dei dati, ed è la parte che sponsor e organizzazioni di ricerca tendono a sottovalutare. Per essere utilizzabile in questo regime, un dato deve essere descritto abbastanza bene da permettere a chi non lo ha raccolto di giudicare se si adatta alla propria domanda. L'EHDS richiede ai titolari dei dati di pubblicare descrizioni dei dataset e un'etichettatura di qualità e utilità, così che i richiedenti possano valutare l'idoneità allo scopo prima di presentare domanda. In pratica questo significa metadati standardizzati, provenienza documentata, un dizionario dei dati intelligibile, un profilo di completezza e una codifica allineata a terminologie riconosciute. Un dato che esiste ma non può essere caratterizzato non sarà riutilizzabile, e uno studio che non può dimostrare la provenienza dei propri input non sarà difendibile, comunque sia stato ottenuto.
Il Data Governance Act, Regolamento (UE) 2022/868, si colloca alla base come framework generale per l'intermediazione dei dati e l'altruismo dei dati, e lo European Health Data Space va letto come la sua applicazione al settore sanitario più che come un esperimento a sé stante. Insieme descrivono una posizione europea coerente da diversi anni: il riuso è legittimo, e la legittimità si conquista attraverso l'infrastruttura piuttosto che affermarsi tramite documenti.
Per la generazione di evidenza, l'opportunità è concreta. Domande a cui un nuovo studio prospettico non può rispondere, perché la popolazione è troppo dispersa, il follow-up troppo lungo o l'evento troppo raro, diventano trattabili quando anni di dati raccolti di routine possono essere interrogati con un permesso. La caratterizzazione della storia naturale, la costruzione di comparatori esterni, la descrizione dei percorsi di trattamento, il follow-up dei segnali di sicurezza e la valutazione di fattibilità trovano naturalmente posto in questo spazio, e tutti oggi consumano budget prospettico che non sarebbe necessario spendere.
Il corollario è uno spostamento di ciò in cui un partner di ricerca deve essere bravo. In un modello centrato sul consenso, la competenza operativa era il reclutamento e la gestione dei centri. In un modello di riuso governato, è la conformità dei metadati, la richiesta del permesso, l'analisi all'interno di un ambiente vincolato, e la disciplina di pre-specificare un'analisi che, una volta dentro, non si può modificare liberamente. Le organizzazioni che vi investono ora troveranno la soglia del 2029 priva di sorprese. Quelle che continuano a trattare i dati sanitari come una materia prima da esportare e ripulire localmente la troveranno brusca.
C'è un'avvertenza che vale la pena esplicitare. Un percorso federato, mediato da permessi, rende possibile un riuso lecito; non rende l'evidenza risultante automaticamente idonea allo scopo. Le questioni metodologiche non cambiano. Confondimento, dati mancanti, selezione ed errore di misurazione si comportano esattamente come prima, e un ambiente di elaborazione sicuro non fa nulla per affrontare nessuno di essi. L'accesso governato risolve il problema giuridico. Il problema scientifico resta vostro.
Fonti. Regulation (EU) 2025/327 sullo European Health Data Space, adottato febbraio 2025, in vigore marzo 2025, disposizioni sull'uso secondario applicabili dal 2029. Regulation (EU) 2022/868 (Data Governance Act). Regulation (EU) 2016/679 (GDPR), articolo 9(2)(j).
Scritto dal team scientifico di Evidilya. Per interviste, riferimenti bibliografici o l'elenco completo delle pubblicazioni, usa la pagina contatti.
Parlate con il nostro team.
Portateci la domanda di evidenza su cui state lavorando: vi indichiamo il percorso più breve e difendibile.