Man mano che la tua azienda evolve da startup a scale-up e oltre, dovrai affrontare una serie di sfide sempre nuove in materia di protezione dei dati e sicurezza. In questo articolo illustriamo questo percorso attraverso la storia di una startup B2B di salute digitale immaginaria.

Startup: Capire l'ambito dei dati raccolti

Acme Digital Health (Acme DH) è un'azienda immaginaria che intende vendere servizi di salute digitale basati sull'IA agli ospedali. Più nello specifico, la loro idea iniziale è un sistema che riassume le note dei medici per generare lettere di dimissione. Acme DH ha sede in Germania, che rappresenta il primo mercato di riferimento.

Fin dalle prime fasi, ogni azienda dovrebbe iniziare a riflettere sulle basi del GDPR. Mentre Acme DH cerca di definire il proprio product-market fit, ha già un'idea chiara di ciò che intende costruire. La sfida in questa fase è comprendere quali dati sia necessario raccogliere e quali siano le implicazioni di tali decisioni. Questo potrebbe essere il momento ideale per completare la loro prima DPIA.

Una DPIA (Valutazione di Impatto sulla Protezione dei Dati) è una valutazione formale del rischio volta a garantire la conformità ai principi di "privacy by design e by default" del GDPR. Una DPIA ti porta a esaminare ogni singolo elemento del progetto, processo o sistema e ad analizzare l'impatto che ha sulla protezione dei dati. Ciò include aspetti come quali dati vengono raccolti, come vengono trattati e su quale base giuridica è possibile fare affidamento. È uno strumento eccellente durante qualsiasi attività di due diligence contrattuale.

Quali dati personali verranno raccolti?

Determinare quali tipi di dati personali verranno trattati può essere complesso mentre si sta ancora cercando di definire il proprio product-market fit. Acme DH sa che avrà bisogno di accedere a dati sanitari, che il GDPR definisce come una "categoria particolare" di dati personali. Questi dati saranno piuttosto ampi, poiché includeranno dettagli sui trattamenti ricevuti dai pazienti, osservazioni e storia clinica. Inoltre, includeranno un gran numero di identificativi, come numeri di previdenza sociale, nomi, date di nascita, ecc.

Come verranno trattati i dati?

Dopo aver stabilito quali dati raccogliere, Acme DH deve definire come tali dati verranno effettivamente trattati. Il GDPR ha una definizione molto ampia di trattamento. In sostanza, qualsiasi azione compiuta con i dati personali costituisce un trattamento. Per Acme DH, la domanda chiave sarà probabilmente dove eseguire l'elaborazione tramite IA per creare il riassunto e come addestrare tale IA. In questo caso, Acme DH desidera utilizzare un'IA cloud basata nell'UE per l'elaborazione, il che richiede che i dati vengano inviati al di fuori dell'ospedale. Vogliono inoltre addestrare i propri algoritmi con dati reali. Tutte queste decisioni dovrebbero essere annotate in un Registro delle Attività di Trattamento.

Base giuridica per il trattamento

Il GDPR richiede che ogni trattamento di dati sia "lecito". Ciò significa che devi determinare una base giuridica valida per qualsiasi trattamento di dati. Acme DH avrà bisogno sia di una base ai sensi dell'Articolo 5 (per i dati personali generali raccolti) che di una base ai sensi dell'Articolo 9 (per i dati sanitari). Abbiamo scritto ampiamente riguardo alla scelta di una base giuridica in precedenza. In sintesi, per Acme DH è probabile che vi siano alcune opzioni:

• Interesse pubblico per motivi di salute. L'articolo 9 del GDPR consente il trattamento dei dati sanitari per garantire "standard elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali o dei dispositivi medici".
• Consenso esplicito (informato) dei pazienti. Ciò richiede che ogni paziente fornisca esplicitamente il consenso al trattamento dei propri dati in questo modo. Probabilmente sarà necessario per qualsiasi dato utilizzato anche per l'addestramento della loro IA.

Ai fini del nostro esempio, ipotizziamo che Acme DH scelga di optare per il consenso esplicito per la maggiore flessibilità che offre.

GTM: Conformi al GDPR fin dall'inizio

Non appena Acme DH viene lanciata, deve disporre di determinati requisiti minimi previsti dal GDPR.

Informativa sulla privacy e avviso

Ogni azienda deve avere una politica sulla privacy, ovvero un documento interno dettagliato che spiega esattamente come l'azienda gestisce i dati personali. Sarà inoltre necessario mostrare un' informativa sulla privacy a tutti gli utenti.

Un'informativa sulla privacy è un documento di facile comprensione che illustra i dettagli su come vengono trattati i dati personali. Spiega esattamente quali dati vengono raccolti, perché vengono raccolti (la base giuridica), come vengono elaborati, per quanto tempo vengono conservati e se vengono condivisi con terzi. Questo è essenziale per soddisfare il principio di trasparenza stabilito dal GDPR.

Registro delle attività di trattamento

Abbiamo già menzionato questo documento. Il registro delle attività di trattamento o RoPA è un documento dinamico che spiega esattamente quali dati vengono raccolti, perché, dove e come vengono elaborati e per quanto tempo vengono conservati. Questo documento deve essere aggiornato regolarmente e sarà fondamentale in caso di audit sulla conformità al GDPR.

Accordi sul trattamento dei dati

Acme DH dovrà disporre di accordi sul trattamento dei dati (DPA) con tutti i propri partner tecnici (servizi cloud, fornitori di IA, ecc.). Dovrà inoltre stipulare un DPA con ogni cliente. Questo documento è un contratto formale che stabilisce come i dati personali vengono elaborati e protetti. Dovrebbe includere dettagli come il luogo in cui vengono archiviati i dati e i backup, per quanto tempo vengono conservati e quali servizi possono accedervi.

Responsabile della protezione dei dati (DPO)

Il responsabile della protezione dei dati è un esperto indipendente di protezione dei dati, terzo rispetto all'azienda, nominato per assisterti nella gestione delle questioni relative al GDPR. Ciò include i diritti degli interessati, le violazioni dei dati e altro ancora. Ogni paese ha regole diverse in merito ai DPO. In Germania, un DPO è necessario fin dalle prime fasi e consigliamo vivamente a ogni azienda di nominarne uno. Tuttavia, come startup in fase pre-lancio, è probabile che Acme DH abbia bisogno solo di un DPO "di facciata". Le cose cambieranno una volta firmato il primo contratto.

Ottenere il primo contratto: ISO 27001 e altre prove di competenza

Nel settore della sanità digitale B2B, aggiudicarsi il primo contratto può essere piuttosto difficile. Gli ospedali, in particolare, sono cauti nel dare fiducia a un'azienda non ancora collaudata. Pertanto, la vostra sfida principale è dimostrare di essere partner affidabili. Uno dei modi migliori per farlo è attraverso certificazioni esterne.

ISO 27001

La classica prima certificazione che consigliamo alle startup B2B è la ISO 27001. Questo standard, ampiamente riconosciuto, valuta se un'azienda soddisfa rigorosi requisiti di sicurezza informatica. Acme DH può utilizzare la ISO 27001 per dimostrare di prendere sul serio la sicurezza e di aver implementato processi e policy adeguati. Un tempo ottenere questa certificazione era estremamente costoso, ma oggi, grazie a piattaforme come la nostra e a un mercato competitivo di enti certificatori, è possibile ottenerla per poche migliaia di euro.

Certificazioni BSI

In Germania esistono diversi certificati specifici rilasciati dal BSI (l'istituto federale per la sicurezza informatica). Per le applicazioni di sanità digitale, la BSI TR-03161 Requisiti per le applicazioni in ambito sanitario è la più pertinente. Acme DH potrebbe valutare la conformità a questo standard anche senza sottoporsi alla certificazione.

Cyber Resilience Act (CRA)

I consigli di cui sopra si applicano principalmente alle startup B2B. Nel settore B2C la situazione è più flessibile, ma le cose cambieranno con l'introduzione del Cyber Resilience Act (CRA) da qui alla fine del 2027. Questo potrebbe riguardare Acme DH se il loro servizio sarà connesso a Internet. Ecco i punti chiave:

• "Sicuro per impostazione predefinita" sarà la nuova parola d'ordine. Se il vostro prodotto può connettersi a Internet, deve essere protetto automaticamente.
• Tutti i prodotti dovranno dichiarare la conformità ai requisiti. Per alcuni prodotti, come i fitness tracker, tale valutazione deve essere effettuata da un organismo notificato.
• Tutte le vulnerabilità e i sospetti incidenti di sicurezza informatica devono essere segnalati in un database centrale dell'ENISA.
• I produttori devono rilasciare patch di sicurezza per l'intero ciclo di vita del supporto del prodotto (fissato per impostazione predefinita a 5 anni).

Scale Up: fare un passo in più per una conformità completa

Una volta che un'azienda raggiunge la fase di scale up, i requisiti di conformità cambiano. Ecco le principali differenze.

Competenze interne

La maggior parte delle aziende in fase di scale up sceglie di nominare una figura interna per coordinare le questioni di conformità. Questa persona non deve necessariamente possedere competenze approfondite in ogni settore, ma dovrebbe avere una conoscenza di base in materia di sicurezza informatica o protezione dei dati. Idealmente, dovrebbe anche poter fare affidamento su esperti esterni.

DPO esperto

La cosa più importante in questa fase è che il DPO non sia più solo una figura formale. Come scale up, dovete affrontare rischi di protezione dei dati molto più elevati e le autorità si aspetteranno un livello di conformità decisamente superiore. Ciò significa che ora avete bisogno di un DPO davvero esperto, in grado di avvalersi di un team di supporto in caso di violazione dei dati. È bene ricordare che, se uno dei vostri fornitori di servizi subisce una violazione, anche voi dovete reagire di conseguenza.

Certificazioni aggiuntive

In questa fase, potrebbe essere necessario aumentare il numero di certificazioni in vostro possesso. Acme DH potrebbe valutare l'ottenimento della relativamente nuova ISO 42001 per l'IA. Se l'obiettivo è il mercato statunitense, potrebbero richiedere la certificazione SOC 2 . Lo scopo non è collezionare certificati fine a se stessi. L'obiettivo è selezionare certificazioni che dimostrino il vostro impegno verso la conformità, o che siano necessarie per entrare in nuovi mercati, partecipare a gare d'appalto specifiche ed espandere il vostro business.

Conclusioni

Come abbiamo visto, man mano che un'azienda cresce, si trova ad affrontare un panorama in continua evoluzione per quanto riguarda la protezione dei dati e la sicurezza informatica. Di conseguenza, deve gestire la conformità in modo diverso. Noi di Chino.io abbiamo sviluppato un framework di conformità flessibile, progettato per crescere ed evolversi insieme alla vostra azienda. Speriamo che questo articolo vi abbia fornito un'idea di cosa aspettarvi, specialmente nel settore della salute digitale B2B. Naturalmente, gran parte di quanto sopra si applica anche ad altri ambiti, soprattutto se trattate dati sensibili o categorie particolari di dati.