Nell’era digitale, la rapidità di comunicazione è diventata un pilastro fondamentale in ogni settore, e la sanità non fa eccezione. Strumenti come WhatsApp, onnipresente nelle nostre vite personali, sono sempre più utilizzati anche in contesti professionali, inclusi i delicati ambienti del Servizio Sanitario Nazionale (SSN). La sua facilità d’uso e la percezione di immediatezza lo rendono attraente per lo scambio rapido di informazioni tra colleghi. Tuttavia, sotto la superficie di questa app apparentemente innocua, si celano rischi significativi e spesso sottovalutati, in particolare per quanto riguarda la privacy dei pazienti e la sicurezza dei dati sensibili.

Il recente “Compendio sul trattamento dei dati personali effettuato attraverso piattaforme volte a mettere in contatto i pazienti con i professionisti sanitari accessibili via web e app” del Garante per la Protezione dei Dati Personali (GPDP), pubblicato a marzo 2024, offre un quadro normativo e di raccomandazioni che rafforza in modo significativo l’allarme sull’uso di strumenti non conformi, come WhatsApp, per la gestione di dati sanitari. Sebbene il compendio si concentri sulle piattaforme di “contact-linking” tra pazienti e professionisti, i principi e i requisiti espressi sono pienamente applicabili (e rendono ancora più stringente il divieto implicito) all’uso di app di messaggistica consumer per scopi lavorativi nel SSN.

Il Fascino Pericoloso della Semplicità: Scambio di Dati Sensibili

Immaginiamo una situazione comune: un medico di guardia ha bisogno di un consulto urgente su un referto di un paziente critico. Per accelerare i tempi, scatta una foto al referto con il suo smartphone e la invia tramite WhatsApp a un collega esperto per un parere rapido. Oppure, un infermiere invia un messaggio testuale a un collega per aggiornarlo sulle condizioni di un paziente, includendo nome, cognome e dettagli clinici. Questi scenari, dettati dalla buona fede e dall’urgenza, aprono la porta a una serie di violazioni potenzialmente gravi.

Il problema principale risiede nel fatto che WhatsApp, pur offrendo la crittografia end-to-end per il contenuto dei messaggi, è di proprietà di Meta (precedentemente Facebook). Questo significa che, al di là del contenuto specifico delle conversazioni, Meta raccoglie una vasta gamma di metadati e informazioni relative all’utilizzo dell’applicazione.

Il GPDP sottolinea che i proprietari e gestori di piattaforme digitali non sono legittimati a trattare i dati sulla salute degli utenti per finalità di diagnosi, assistenza e terapia sanitaria, le quali sono perseguibili esclusivamente da un professionista sanitario soggetto al segreto professionale (Art. 9, par. 2 lett. h) e par. 3 del Regolamento). Questo principio è cruciale: WhatsApp non è una piattaforma sanitaria e Meta non è un professionista sanitario. Pertanto, qualsiasi dato sanitario che transiti attraverso di essa è trattato da un soggetto non autorizzato per scopi di cura.

Come Meta Utilizza i Dati (anche dal SSN)

Per comprendere il rischio, dobbiamo analizzare come Meta opera. Le politiche sulla privacy di WhatsApp, sebbene affermino che i contenuti delle conversazioni sono crittografati e non accessibili a terzi, specificano chiaramente la raccolta di altre categorie di dati.

1. Metadati: Questi includono informazioni su chi ha inviato un messaggio a chi, quando, con quale frequenza e da quale posizione (se la geolocalizzazione è attiva). Anche se il contenuto del referto inviato tra i due medici è crittografato, Meta sa che il Dott. Rossi ha inviato un file o un messaggio al Dott. Bianchi in un determinato momento. Questi “pattern” di comunicazione possono rivelare la struttura di una rete professionale o indicare interazioni frequenti tra specifici professionisti.

2. Dati del Dispositivo e di Connessione: Meta raccoglie informazioni sul tipo di dispositivo, sistema operativo, indirizzo IP, livello della batteria, operatore di telefonia mobile e identificatori del dispositivo. Questi dati, seppur non direttamente legati al paziente, contribuiscono a creare un profilo dettagliato dell’utente.

3. Informazioni sui Contatti: Se l’utente concede a WhatsApp l’accesso alla rubrica, i numeri di telefono dei contatti vengono caricati sui server di Meta. Anche se non vengono associati ai nomi, la presenza di numeri di telefono di pazienti o altri professionisti sanitari nella rubrica di un medico che usa WhatsApp per lavoro rappresenta un rischio. Il GPDP menziona che i “dati relativi alla salute comprendono informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria”; “un numero, un simbolo o un elemento specifico attribuito a una persona fisica per identificarla in modo univoco a fini sanitari” (Art. 4, par. 1, n. 15, del Regolamento). Se tali identificativi finiscono nelle rubriche sincronizzate, il rischio aumenta.

4. Dati di Interazione: Quanti messaggi vengono scambiati, con chi, e la tipologia di interazione (chiamate, messaggi testuali, invio di file). Questo aiuta Meta a capire come l’app viene utilizzata.

L’Intelligenza Artificiale di Meta: Il Vero “Raccoglitore”

Il punto cruciale e più insidioso riguarda l’utilizzo di questi dati per addestrare i modelli di Intelligenza Artificiale (AI) di Meta. Sebbene Meta non possa “leggere” il contenuto crittografato di un referto scambiato su WhatsApp, la raccolta di metadati e dati di interazione è estremamente preziosa per i suoi algoritmi.

Esempio Pratico:

Consideriamo il nostro medico che invia un referto via WhatsApp.

• Scenario 1: Immagine del Referto: Il medico scatta una foto a un referto cartaceo e la invia. WhatsApp la gestisce come un’immagine. Meta non può decifrare il testo medico all’interno dell’immagine grazie alla crittografia end-to-end. Tuttavia, Meta sa che quell’utente (il medico) ha inviato un’immagine a quell’altro utente (il collega) in quel momento. Se questo comportamento si ripete con frequenza, Meta può inferire che tra questi due utenti avviene uno scambio frequente di “documenti” o “immagini professionali”. Questa informazione, seppur aggregata e anonimizzata, può contribuire a migliorare gli algoritmi di Meta per il riconoscimento di pattern di comunicazione professionale o per ottimizzare la distribuzione di contenuti (ad esempio, pubblicità mirate a professionisti della sanità).

• Scenario 2: Dettagli Paziente via Testo: Un medico scrive in un messaggio “La paziente Maria Rossi, con patologia X, ha avuto un miglioramento.” Anche questo messaggio è crittografato. Meta non “legge” il nome “Maria Rossi” o la “patologia X”. Tuttavia, Meta sa che è stato scambiato un messaggio testuale di una certa lunghezza tra due utenti. Se l’utente ha il nome “Maria Rossi” nella sua rubrica e questa è sincronizzata con WhatsApp, Meta potrebbe aver elaborato quel numero di telefono (anche senza associarlo al nome). Più sottilmente, se il medico ha un profilo Facebook/Instagram e Meta lo connette al suo account WhatsApp (cosa che fa regolarmente), l’AI di Meta può combinare questi pezzi di informazione per creare un profilo utente più robusto, seppur senza violare la crittografia del singolo messaggio. L’AI impara i “comportamenti” e le “reti” tra gli utenti.

• Scenario 3: Videochiamate o Chiamate Vocali: Se due medici discutono di un caso clinico tramite una chiamata WhatsApp, il contenuto della conversazione è crittografato. Ma Meta sa che è avvenuta una chiamata, la sua durata e tra chi. Queste informazioni contribuiscono ad addestrare gli algoritmi di Meta a comprendere i modelli di comunicazione vocale e video, l’affidabilità della connessione e le preferenze degli utenti.

Il Rischio Maggiore: L’Inferenza e la Profilazione

Il vero pericolo non è tanto che Meta legga il singolo referto (la crittografia end-to-end lo impedisce, almeno in teoria per il contenuto), ma che l’AI di Meta possa creare profili estremamente dettagliati sui professionisti sanitari basandosi sui metadati e sui comportamenti di utilizzo.

• Profilazione Professionale: L’AI di Meta può inferire che un utente è un medico, con quali altri medici interagisce più frequentemente, in che orari, da quali luoghi. Questo può portare a campagne pubblicitarie mirate per prodotti farmaceutici, dispositivi medici o servizi professionali, sfruttando un contesto lavorativo che dovrebbe rimanere separato dalla logica commerciale.

• Vulnerabilità a Violazioni Dati: Un dataset così ampio di metadati, se dovesse essere violato, potrebbe esporre non solo le abitudini di comunicazione dei medici, ma indirettamente anche indizi sulle loro aree di specializzazione, la loro rete di contatti e, in casi estremi, correlazioni con dati pubblici che potrebbero identificare pazienti.

• Mancanza di Audit Trail: A differenza dei sistemi sanitari professionali, WhatsApp non offre un “audit trail” completo e sicuro. Non c’è modo di tracciare chi ha visto cosa, quando e con quali modifiche, rendendo impossibile la gestione della responsabilità in caso di errore o accesso non autorizzato.

• Conformità al GDPR: L’utilizzo di WhatsApp per dati sensibili di pazienti è quasi certamente in violazione del Regolamento Generale sulla Protezione dei Dati (GDPR). Il GDPR richiede basi giuridiche chiare per il trattamento dei dati personali, e il consenso del paziente non può essere ottenuto validamente per un’applicazione di terze parti con politiche di utilizzo così ampie. Inoltre, il titolare del trattamento (l’ASL o l’ospedale) non ha il controllo sui dati scambiati tramite WhatsApp, un requisito fondamentale del GDPR.

Il GPDP è estremamente chiaro su questo punto, sottolineando il “divieto di diffusione dei dati e l’eventuale comunicazione di dati a terzi” (punto 4 del Compendio). Le informazioni sullo stato di salute non possono essere diffuse e possono essere comunicate a un soggetto diverso dall’interessato esclusivamente sulla base di un idoneo presupposto giuridico o su indicazione dell’interessato stesso o previa delega scritta (artt. 2-septies, comma 8 e art. 166, comma 2, del Codice e art. 9 Regolamento). WhatsApp, in quanto piattaforma consumer, non fornisce tali presupposti giuridici validi per i dati sanitari.

Il Compendio evidenzia inoltre tre macro tipologie di trattamenti:

1. Trattamento dei dati degli utenti: (es. creazione account, prenotazione visite) richiede consenso informato se rivela stato di salute, e non può essere ricondotto a finalità di cura.

2. Trattamento dei dati dei professionisti sanitari: (es. gestione agenda, recensioni) avviene nell’ambito di un contratto di servizi tra piattaforma e professionista.

3. Trattamento dei dati sulla salute dei pazienti: strettamente necessari per le finalità di cura, effettuati dal professionista sanitario in qualità di titolare del trattamento.

Per quest’ultima tipologia, il professionista sanitario opera come titolare del trattamento ed è tenuto a rispettare le discipline specifiche. Tuttavia, l’uso di una piattaforma come WhatsApp per queste finalità non rispetta i principi di accountability e di protezione dei dati fin dalla progettazione (Privacy by Design), come richiesto dal Regolamento e sottolineato dal GPDP (punto 9 del Compendio).