Berna. L’impiego di telecamere, sensori e intelligenza artificiale per monitorare i pazienti negli ospedali e nelle case di cura si diffonde rapidamente. Per tracciare confini giuridici ed etici chiari, l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e la Conferenza degli incaricati svizzeri per la protezione dei dati (privatim) hanno pubblicato una guida congiunta. La pubblicazione riguarda esclusivamente le persone assistite nelle stanze di degenza, escludendo la sorveglianza generale di corridoi e sale d’attesa.
I sistemi sul mercato, sempre più diffusi, offrono già varie tecnologie: sensori ottici, a infrarossi, radar, microfoni, tracciamento oculare e intelligenza artificiale. Rilevano presenze, identificano anomalie e innescano allarmi per interventi umani o automatizzati. La sorveglianza ottica è messa in pratica in quattro forme: analogica diretta, digitale diretta, digitale indiretta (conversione delle immagini in pittogrammi) e digitale indiretta situazionale. In quest’ultima, un’unità informatica locale elabora i dati grezzi nella stanza e invia un allarme o un pittogramma allo schermo dell’assistente solo se si verifica un evento predefinito, come una caduta. “Nessun dato lascia la stanza se la situazione è normale”, questo deve essere il principio di minimizzazione secondo la guida.
I dati raccolti variano. I sensori a infrarossi rilevano la temperatura corporea, segnalando febbre o stress. I radar misurano le distanze e tracciano parametri come il ritmo cardiaco e respiratorio. Poiché il sistema è collegato a un letto o a una stanza associata al paziente, non vi è anonimato totale ma la cosiddetta pseudonimizzazione. Anche la risoluzione dei sensori (da 0,5 a 10 megapixel) incide sul volume e sull’incisività dei dati.
Ma qual è il quadro legale? La normativa differisce tra enti pubblici e privati. I primi seguono il principio di legalità e il diritto cantonale. I secondi rispondono alla Legge federale sulla protezione dei dati (LPD). Il consenso (opt-in) o la mancata opposizione (opt-out) non sono né sufficienti né necessari a giustificare la sorveglianza. Le persone assistite si trovano in condizioni di vulnerabilità, incapacità di discernimento o sotto pressione: serve perciò sempre un interesse preponderante, orientato esclusivamente al bene della persona assistita. Motivazioni puramente logistiche od organizzative, come verificare se un letto è rifatto o un pasto è finito, non dovrebbero mai bastare. L’informazione al paziente deve essere fornita di persona dal personale: una semplice scheda informativa non è sufficiente.
Di più: vanno seguiti i principi di proporzionalità e sussidiarietà. Prima di installare sensori, occorre valutare alternative meno invasive, come le sponde per il letto. Le funzioni non necessarie (zoom, audio) vanno disattivate e la conservazione dei dati deve essere limitata al tempo tecnico del trattamento. È indispensabile un interruttore manuale in stanza per disattivare il sistema durante le visite. Per un allarme caduta non servono immagini ad alta definizione, salvo specifiche esigenze di terapia intensiva o cure acute. Le connessioni di rete vanno limitate per prevenire attacchi informatici.
I principi di privacy by design e sicurezza impongono l’inaccessibilità dei dati grezzi, anche durante la manutenzione software (salvo verifiche fisiche dirette); in caso contrario il trattamento è illecito. Si deve considerare l’effetto dissuasivo (“chilling effect”): la consapevolezza del controllo modifica l’atteggiamento di pazienti, visitatori e personale, condizionando la qualità delle cure. Negli spazi condivisi la sorveglianza va evitata se non giustificata per tutti gli occupanti. Il monitoraggio può anche costituire prescrizione medica o misura coercitiva della libertà. L’esternalizzazione a terzi o cloud esteri non solleva l’ente dalla piena responsabilità.
L’intelligenza artificiale deve elaborare i dati preferibilmente in locale. Il cloud comporta rischi specifici. L’addestramento di modelli di IA con i dati grezzi dei pazienti è illegittimo: non risponde alle esigenze immediate di cura e non è giustificabile con interessi preponderanti.
Gli enti devono redigere una Valutazione d’impatto sulla protezione dei dati (VIPD) per trattamenti ad alto rischio o su larga scala, avviando la consultazione preventiva con l’IFPDT o l’autorità cantonale se il rischio residuo rimane alto. Sono obbligatorie le misure tecniche e organizzative (TOM: crittografia, accessi, log) e una documentazione scritta continua. La guida offre una lista di controllo in sette punti: identificazione dei bisogni con esperti (giuristi, DPO, IT, curanti), confronto delle tecnologie, comprensione delle configurazioni, regolamento d’uso, formazione del personale, affissione di cartelli informativi e audit periodici del sistema.
La tecnologia promette di proteggere la fragilità con occhi elettronici infaticabili. Ma quando per assistere un malato si misura addirittura il suo ritmo respiratorio a distanza e si pianificano azione automatiche, il confine tra cura sollecita e digitalizzazione della vita umana rischia di ridursi a semplice dettaglio di configurazione, e va quindi normato per bilanciare gli oggettivi benefici col rischio di abusi.
