Dati neurali: il Cile sancisce la loro tutela e li equipara ai dati sensibili

La “Corte Suprema de Chile”, con una recentissima sentenza del 9 agosto 2023 ha affrontato una tematica molto particolare e mai trattata sino ad oggi, ossia quella dei dati neurali o neurodati, ponendo in essere una netta demarcazione tra il mondo della tecnologia e quello della tutela dell’integrità della persona.

Il decisum della Suprema Corte dimostra come l’assenza di una specifica regolamentazione nella circolazione dei neurodati possa esporre gli utenti, che utilizzano dispositivi contenenti app di monitoraggio della salute, a molteplici rischi per la propria privacy e ad altre problematiche che potrebbero sorgere a seguito di una diffusione incontrollata di tali dati.

Prima di procedere alla disamina della predetta sentenza, occorre, però, fare una piccola digressione storica ed evidenziare come il Cile sia il primo Paese al mondo ad aver regolamentato la c.d. neurotecnologia, includendo i diritti del cervello tra quelli suscettibili di tutela costituzionale.

Nel 2021 è stato modificato l’art.19 della Costituzione cilena attraverso l’inserimento tra i diritti suscettibili di tutela costituzionale del diritto all'integrità e all'immunità mentale del cervello dai progressi e dalle capacità sviluppate dalle neurotecnologie.

La questione sottoposta alla disamina della Corte Suprema cilena rappresenta dunque la prima applicazione in concreto della nuova disciplina.

Tutto ha inizio con un’azione del parlamentare Guido Girardi Lavin noto promotore della tutela dei diritti umani, che ha adito i giudici, prima di merito e poi costituzionali, al fine di tutelare i propri dati neurali.

Il ricorrente Girardi Lavin qualche mese prima di intraprendere la propria battaglia legale aveva acquistato dall’azienda americana Emotiv Inc., un device denominato “Insight” ossia un dispositivo wireless che tramite una fascia di sensori raccoglie informazioni sulle attività elettriche del cervello e incamera dati su gesti, preferenze, tempi di reazione ed attività. A seguito di tale acquisto, il signor Girardi Lavin aveva installato ed attivato il prodotto accettando i termini e le condizioni dei servizi offerti da Emotiv ed infine aveva scelto di utilizzare la licenza free.

Questo tipo di licenza tuttavia non consentiva al ricorrente di esportare o importare i record dei propri dati cerebrali che erano stati registrati e salvati nel cloud di Emotiv. Questo blocco a parere del signor Girardi Lavin sottoponeva i sopra indicati dati a potenziali rischi quali hackeraggio, vigilanza, captazione non autorizzata e commercializzazione.

Pertanto il ricorrente, ritenendo la sussistenza della violazione dell’art 13 della legge sulla privacy cilena da parte dell’azienda americana sia nella parte relativa ai profili di responsabilità del responsabile del trattamento dei dati personali che nella parte concernente il diritto del titolare dei dati ad ottenere la cancellazione o il blocco degli stessi in caso di chiusura del proprio account, iniziava il proprio iter processuale nei confronti di Emotiv.

Altro punto dolente rilevato dal signor Girardi Lavin è stato il fatto che Emotiv, potesse conservare i dati degli utenti per scopi scientifici e storici senza averne chiesto l’autorizzazione agli utenti.

Sulla base di quanto sopra il ricorrente aveva, quindi, chiesto alla Suprema Corte di ordinare a Emotiv la modifica della privacy policy, nonché di vietare alla stessa la commercializzazione del dispositivo “Insight” nel territorio cileno in assenza della modifica richiesta e di conseguenza ordinare ad essa Emotiv la cancellazione immediata dei dati propri e degli altri utenti cileni dal data base.

L’azienda resistente nel suo intervento difensivo aveva addotto che “Insight” non è un dispositivo medico ma di auto quantificazione, che non ha scopi invasivi, che termini e condizioni sono molto dettagliati e che al loro interno è altresì presente la richiesta di consenso espresso sia per il trattamento dei dati personali che di quelli cerebrali.

Inoltre, sempre Emotiv aveva evidenziato il fatto che il ricorrente non fosse mai stato in grado di fornire alcuna prova di un danno effettivo da lui subito.

Secondo l’azienda statunitense non era ravvisabile alcuna violazione né della legge sulla privacy cilena, né del GDPR, regolamento europeo sul trattamento dei dati personali, norma restrittiva che obbliga alla pseudonimizzazione dei dati.

In particolare con riferimento alla violazione dell’articolo 13 della legge cilena sulla privacy, Emotiv aveva rilevato che i dati personali restano salvati finché l’account dell’utente è attivo e che per quanto riguarda i “c.d. data brain” o dati neurali l’utente, giusta quanto riportato nella propria privacy policy, può in ogni caso ed in qualsiasi momento revocare il consenso al trattamento.

Con riguardo infine al trattamento dei dati per finalità scientifiche o storiche l’azienda aveva evidenziato che i dati degli utenti sono anonimizzati, crittografati, conservati con modalità sicure e separati dalle altre informazioni in maniera tale da acquisire la natura di dati statistici, che in quanto tali sono sottratti alla tutela della privacy.

La Corte Suprema, dopo aver analizzato le difese di ambo le parti ha cassato le sentenze di merito, ha ritenuto rilevante il fatto che la commercializzazione del device “Insight” non fosse mai stata oggetto di autorizzazione medica (oltre che doganale), e pertanto ha invitato le autorità preposte di procedere all’analisi del dispositivo alla luce della normativa in vigore in maniera tale da regolamentare la sua futura commercializzazione in Cile.

I Giudici Cileni hanno infatti stabilito che lo Stato deve prestare particolare attenzione e cura nel controllo degli aspetti della persona umana proprio allo scopo di prevenire e anticipare i possibili effetti delle neurotecnologie sull’essere umano. Solo in questo modo, a parere della Corte, è possibile proteggere l’integrità umana nella sua interezza, evitando una circolazione incontrollata di dati neurali al di fuori di contesti strettamente medici.

Ne consegue che prima di consentire a qualsiasi azienda che opera attraverso la neuroteconologia la commercializzazione di dispositivi volti a trattare i dati neurali, le Autorità Statali competenti devono analizzare la tecnologia contenuta all’interno di questi dispositivi e soprattutto devono intervenire il prima possibile con una regolamentazione ad hoc dei suddetti dati basandosi sui principi dettati dalle normative internazionali in materia di dignità e tutela dell’essere umano.

La Corte, nel giungere a tale conclusione, ha analizzato e richiamato la legislazione cilena sulle indagini scientifiche su persone e genoma che ha vietato la clonazione umana, e ricordato l’importanza del consenso espresso delle persone coinvolte nella ricerca medica. Ai sensi di detta normativa, il consenso di chi partecipa alla ricerca deve essere esplicito e rinnovato ogni volta che l’indagine scientifica subisca modiche di rilievo.

Sulla scia di queste disposizioni normative essa Corte ha evidenziato che nel caso di specie la società produttrice del device “Insight” ha  omesso di ricercare tale consenso specifico, che non può di certo essere ritenuto implicito negli altri consensi di natura commerciale.

La Corte Suprema ha dunque sottolineato la necessità di un controllo da parte dello Stato sulle nuove tecnologie ed in particolare su quelle che trattano le attività umane come l'attività cerebrale ed ha ritenuto che l’assenza delle autorizzazioni statali costituisce violazione delle garanzie costituzionali poste in essere dall’articolo 19 sulla integrità psichica e fisica.

Di conseguenza per quel Giudice Supremo, la società statunitense commercializzando il proprio dispositivo senza alcuna  autorizzazione  da parte delle Autorità Sanitarie cilene ha violato la predetta norma e per tali motivi ha accolto il ricorso del signor Girardi Lavin, vietando a Emotiv la commercializzazione del dispositivo fino all’adeguamento da parte di quest’ultima alla normativa cilena e ha incaricato l'Istituto di Sanità Pubblica e l'autorità doganale di valutare l’intervenuto adeguamento alla normativa cilena da parte della società statunitense.

La Corte ha infine ordinato a Emotiv di cancellare tutte le informazioni degli utenti cileni che sono state archiviate nel cloud o nei portali della società, in quanto raccolti senza un esplicito consenso da parte degli utenti.

La prefata sentenza assume una rilevanza primaria in quanto rappresenta una vera e propria pietra miliare in materia di dati neurali. Il decisum della Corte cilena fissa, per la prima volta in assoluto, dei paletti all’incalzante sviluppo della neurotecnologia così da porre l’uomo al riparo da numerosi rischi che potrebbero presentarsi in seguito ad un uso spropositato ed incontrollato di questi sistemi all’interno dei quali viaggiano milioni di dati neurali che sono a tutti gli effetti dati sensibili.

Difatti, se da un lato la società odierna viaggia alla velocità spazio temporale della tecnologia, dall’altro occorre evitare che questo viaggio incida sull’integrità psicofisica dell’uomo.

Pertanto la sentenza de qua assume un ruolo fondamentale in quanto fa capire a tutti noi che i diritti dell’uomo non possono essere pretermessi in nessuna occasione.

Per quanto riguarda il futuro sarà infatti interessante osservare se il comportamento degli altri Paesi assumerà i tratti di quello del Cile oppure no.