Il contesto normativo europeo

Il Regolamento (UE) 2025/327 sull’spazio europeo dei dati sanitari (EHDS) mira a trasformare l’uso secondario dei dati sanitari elettronici, passando da un’eccezione negoziata caso per caso a un’infrastruttura sistematica. In base agli articoli 51 e 60, i titolari dei dati dovranno mettere a disposizione categorie minime di dati, mentre un organismo pubblico, l’Health Data Access Body (HDAB), deciderà chi può accedervi, per quali finalità e a quali condizioni.

Il capo IV del Regolamento, dedicato all’uso secondario, entrerà in vigore il 26 marzo 2029; tuttavia, entro il 26 marzo 2027 gli Stati membri dovranno comunicare alla Commissione UE l’identità dei propri HDAB (art. 55.6).

Attuazione in Italia

L’Italia ha affidato l’attuazione a una Cabina di regia nazionale, istituita con decreto del Ministro della Salute 20 febbraio 2026, n. 51, composta da venti membri nominati con decreto 15 aprile 2026, n. 103. Con decreto 3 luglio 2026 sono stati creati quattro gruppi tecnici, tra cui quello sui decreti attuativi e quello sull’uso secondario, coordinato da Agenas.

Fidelia Cascini, delegata del Ministro della Salute al Comitato europeo EHDS, ha dichiarato al III Congresso nazionale della SIMEF che in Italia saranno quattro HDAB: il Ministero della Salute, l’Istituto Superiore di Sanità, Agenas e Istat. La presenza di enti di tale calibro riduce il rischio di frammentazione territoriale e consente una differenziazione degli ambiti di intervento, come previsto dall’art. 55.1 dell’EHDS.

Funzioni e criteri degli HDAB

Secondo l’art. 68.1, per concedere l’accesso l’HDAB deve verificare criteri cumulativi, tra i quali:

    • La finalità deve rientrare tra quelle ammesse dall’art. 53.1;
    • I dati richiesti devono essere necessari, adeguati e proporzionati;
    • Il trattamento deve essere conforme all’art. 6.1 del GDPR;
    • Il richiedente deve essere qualificato;
    • Le informazioni sulla valutazione etica, se richieste, devono rispettare il diritto nazionale.

L’HDAB ha tre mesi dalla domanda completa per decidere (art. 68.4), prorogabili di altri tre mesi. Il titolare deve mettere a disposizione i dati entro tre mesi dalla richiesta dell’HDAB (art. 60.2), anch’essi prorogabili di tre mesi. Infine, l’HDAB rende i dati accessibili in un ambiente sicuro entro due mesi dalla ricezione (art. 68.7). Nella peggiore delle ipotesi, il periodo totale dalla domanda ai dati può superare un anno.

Chi è obbligato a rivolgersi agli HDAB?

Un punto spesso trascurato è che nessun utente sarà obbligato a rivolgersi agli HDAB; l’obbligo grava sui titolari dei dati. L’art. 1.8 precisa che il Regolamento “lascia impregiudicato l’accesso ai dati sanitari elettronici per l’uso secondario concordato nel quadro di accordi contrattuali o amministrativi tra soggetti pubblici o privati”. Il considerando 52 chiarisce che l’EHDS opera “senza ostacolare o sostituire accordi contrattuali o meccanismi di altro tipo in vigore”. Chi resta fuori da questi meccanismi è comunque soggetto al GDPR e, in Italia, agli articoli 110 e 110-bis del Codice privacy.

La richiesta a un HDAB è quindi un’opportunità: favorirà un uso secondario legale e trasparente solo se la disciplina nazionale garantirà tempi certi e vantaggi concreti. In caso contrario, i ricercatori cercheranno accordi diretti con i titolari o dati di altri Paesi. Come ha sottolineato Cascini, “l’elemento chiave sarà la velocità” con cui gli HDAB riusciranno a mettere a disposizione i dati.

Le difficoltà previste dagli esperti

Paul Quinn, del dipartimento di Diritto, Scienza, Tecnologia e Società (LSTS) della Vrije Universiteit Brussel, ha evidenziato in un articolo (Technology and Regulation, 2025) la complessità del ruolo degli HDAB. Le finalità molto ampie, i divieti formulati per clausole generali (art. 54), le verifiche che richiedono competenze specialistiche e una valutazione etica priva di un quadro europeo armonizzato rendono il compito quasi “impossibile”. Senza risorse adeguate, gli HDAB rischiano di diventare un semplice “rubber stamp”.

Un avvertimento dal passato nazionale

Negli ultimi venticinque anni l’Italia ha sperimentato un progressivo appesantimento dei Comitati Etici, che hanno dovuto occuparsi di verifiche sempre più estese senza criteri comuni né strutture di supporto adeguate. La deliberazione del Consiglio regionale della Lombardia n. XII/1542 del 16 giugno 2026 sottolinea che “le procedure relative alla valutazione degli aspetti privacy … rappresentano uno dei principali fattori di rallentamento dell’iter autorizzativo”. Questo scenario è un monito per gli HDAB.

Proposte per rendere gli HDAB efficienti

Tre linee d’azione possono ridurre i rischi di lentezza:

1. Integrazione della valutazione etica

L’art. 67.2, lettera j) dell’EHDS consente di allegare alla domanda le informazioni sulla valutazione etica richiesta dal diritto nazionale. Tuttavia, se il parere etico deve essere ottenuto prima della presentazione, l’intoppo si sposta a monte. L’art. 55.2 prevede che gli organismi etici possano mettere le proprie competenze a disposizione dell’HDAB oppure essere integrati in esso. La soluzione più efficiente è presentare un unico fascicolo all’HDAB, che attivi in parallelo il Comitato Etico, rispettando il termine di tre mesi previsto dall’art. 68.4. In questo modo il rich