Il battito cardiaco registrato dallo smartwatch, le ore di sonno, i passi giornalieri, il calendario del ciclo, il diario alimentare, i referti caricati in un'app: molti di noi portano in tasca un archivio sanitario più ricco di quello del proprio medico. Sono dati utili per conoscersi meglio, ma anche tra i più delicati in assoluto. Il GDPR li protegge in modo rafforzato, e conoscere queste regole aiuta a scegliere quali app usare e come.
Che cosa sono i dati relativi alla salute
L'articolo 4, punto 15, del Regolamento (UE) 2016/679 definisce i dati relativi alla salute come i dati personali attinenti alla salute fisica o mentale di una persona, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni sul suo stato di salute.
La definizione è ampia. Non comprende solo diagnosi e referti, ma anche informazioni da cui lo stato di salute si può ricavare: la frequenza cardiaca a riposo registrata nel tempo, l'indicazione di una gravidanza in un'app, i farmaci annotati in un promemoria, la partecipazione a un gruppo di supporto online.
Una protezione rafforzata
I dati sanitari rientrano nelle categorie particolari di dati personali dell'articolo 9, insieme ai dati genetici, biometrici, alle opinioni politiche, alle convinzioni religiose e ad altri. Il loro trattamento è vietato in linea di principio, salvo che ricorra una delle eccezioni elencate dalla norma. Per un'app di benessere rivolta al pubblico, l'eccezione più comune è il consenso esplicito dell'interessato.
Questo ha conseguenze concrete:
- il consenso deve essere chiaro, separato e riferito a finalità specifiche, non nascosto nelle condizioni d'uso;
- l'app dovrebbe chiederti un consenso distinto per usi ulteriori, come la ricerca o la condivisione con partner;
- puoi revocare il consenso in qualsiasi momento, con la stessa facilità con cui l'hai dato.
App di benessere e servizi sanitari
| App di benessere | Servizio sanitario | |
|---|---|---|
| Esempi | Contapassi, app per il sonno, diario alimentare | Prenotazione di visite, telemedicina, referti online |
| Chi la gestisce | Un'azienda tecnologica | Una struttura sanitaria o un fornitore che agisce per suo conto |
| Base giuridica tipica | Consenso esplicito | Finalità di cura e obblighi previsti dalla legge |
| Segreto professionale | Di norma assente | Presente per il personale sanitario |
La differenza conta: un'app di benessere non è vincolata dal segreto professionale e i suoi modelli di business possono includere la pubblicità o l'analisi dei dati aggregati. Leggere l'informativa è quindi ancora più importante.
Che cosa controllare prima di usare un'app
- Chi è il titolare e in quale Paese ha sede. Se i dati vengono trasferiti fuori dall'Unione europea, l'informativa deve indicarlo insieme alle garanzie adottate.
- Quali dati raccoglie rispetto a quelli necessari. Un'app per contare i passi non ha bisogno della rubrica.
- Con chi li condivide. Cerca riferimenti a inserzionisti, partner commerciali, società del gruppo, ricerca. Ogni condivisione non necessaria dovrebbe essere facoltativa.
- Dove vengono conservati. Alcune app offrono la conservazione solo sul dispositivo, senza sincronizzazione nel cloud.
- Come cancellarli. Verifica se esiste una funzione per eliminare l'account e tutti i dati associati.
Impostazioni utili
- Sincronizzazione selettiva: molte piattaforme di salute degli smartphone permettono di decidere quali app possono leggere o scrivere ciascuna categoria di dati, per esempio il sonno sì, la frequenza cardiaca no.
- Profilo pubblico disattivato nelle app sportive: le classifiche e i percorsi pubblici possono rivelare dove vivi e a che ora esci.
- Blocco dell'app con codice o biometria, se contiene informazioni particolarmente riservate.
- Notifiche discrete: un promemoria per un farmaco che compare sulla schermata di blocco è visibile a chiunque guardi il telefono.
Datori di lavoro e assicurazioni
Alcuni programmi aziendali o assicurativi offrono vantaggi in cambio della condivisione dei dati di attività fisica. Prima di aderire, chiediti:
- quali dati vengono trasmessi, se aggregati o individuali;
- chi può vederli all'interno dell'organizzazione;
- se il rifiuto comporta svantaggi che rendono il consenso non davvero libero, come richiede l'articolo 7 del GDPR.
Nel rapporto di lavoro, lo squilibrio tra le parti rende particolarmente delicato fondare un trattamento di dati sanitari sul consenso del dipendente.
I tuoi diritti
Puoi esercitare nei confronti dell'app tutti i diritti del GDPR: accesso ai dati raccolti, inclusi quelli osservati dai sensori; portabilità verso un altro servizio; cancellazione dopo la revoca del consenso; reclamo al Garante per la protezione dei dati personali se ritieni che il trattamento non rispetti le regole.
In sintesi
- I dati sulla salute comprendono anche informazioni dedotte, come battito, sonno o ciclo.
- Sono categorie particolari dell'art. 9 GDPR: per le app di benessere serve di regola il consenso esplicito.
- Le app di benessere non sono vincolate dal segreto professionale: leggi l'informativa con attenzione.
- Usa la sincronizzazione selettiva, disattiva i profili pubblici e proteggi le notifiche.
- Valuta con cautela i programmi aziendali o assicurativi basati sulla condivisione dei dati.