I contratti di tecnologia sanitaria in Kuwait si collocano all'incrocio tra regolazione medica, protezione dei dati e diritto commerciale. La norma centrale è la Legge n. 70 del 2020 sull'esercizio della professione medica e delle professioni ausiliarie, i diritti dei pazienti e le strutture sanitarie, che disciplina l'abilitazione dei professionisti e delle strutture sanitarie private e consente espressamente, all'articolo 24, i servizi medici a distanza, l'assistenza domiciliare e l'uso dell'intelligenza artificiale secondo i controlli del Ministero della Salute. Intorno ad essa operano il Regolamento sulla protezione della privacy dei dati dell'Autorità di regolazione delle comunicazioni e delle tecnologie dell'informazione (CITRA), adottato con la Decisione n. 26 del 2024 per i fornitori di servizi titolari di licenza CITRA, il suo Quadro regolatorio del cloud computing, il regime di cybersicurezza del Decreto n. 37 del 2022 e la Legge n. 20 del 2014 sulle transazioni elettroniche. Che si tratti di una piattaforma di cartelle cliniche, di un servizio di telemedicina o di uno strumento di supporto alle decisioni cliniche, la revisione parte da ciò che le norme sanitarie consentono, da ciò che le regole sui dati impongono e da chi sopporta ciascun obbligo quando qualcosa fallisce. Questo articolo illustra il quadro che applichiamo ai contratti healthtech in Kuwait.
La mappa regolatoria: diritto sanitario, regole sui dati e contratto
Un progetto healthtech in Kuwait è regolato su due binari insieme. Sul binario sanitario, la Legge n. 70 del 2020 disciplina chi può esercitare la medicina, come si autorizzano le strutture sanitarie private, quali diritti hanno i pazienti e come si valuta la responsabilità medica. Sul binario dei dati, l'Autorità di regolazione delle comunicazioni e delle tecnologie dell'informazione, nota come CITRA, disciplina il trattamento dei dati personali da parte dei propri fornitori di servizi titolari di licenza con il suo Regolamento sulla protezione della privacy dei dati, adottato con la Decisione n. 26 del 2024 emanata il 7 febbraio 2024, che ha sostituito il regolamento precedente adottato con la Decisione n. 42 del 2021.
Il contratto è il punto d'incontro dei due binari. Un fornitore che ospita cartelle di pazienti, una piattaforma che instrada teleconsulti o uno strumento analitico che legge dati clinici tocca insieme attività medica regolata e dati personali regolati. La revisione collega quindi ogni obbligo al regime che lo impone: licenze al Ministero della Salute, dati al quadro CITRA, questioni professionali al comitato per la responsabilità medica e ai tribunali. Una clausola elegante commercialmente fallisce se assegna un obbligo a una parte che la regolazione non autorizza ad eseguirlo.
Chi può erogare le cure: licenze professionali e di struttura
In Kuwait, i servizi sanitari possono essere erogati solo da professionisti abilitati attraverso strutture autorizzate. L'articolo 1 della Legge n. 70 del 2020 definisce la struttura sanitaria come ogni luogo attrezzato per fornire servizi medici o assistenza sanitaria a fini di diagnosi, trattamento, prevenzione, miglioramento della salute o riabilitazione, e il titolare di una struttura privata come la persona fisica o giuridica autorizzata a crearla, gestirla e dirigerla. L'articolo 55 vieta di creare, gestire o dirigere una struttura privata, o di aprire una filiale, senza licenza del Dipartimento Licenze Sanitarie, e obbliga la struttura ad assicurarsi contro i rischi di edifici, apparecchi e attrezzature mediche, coprendo pazienti, accompagnatori, personale e visitatori.
L'articolo 58 aggiunge condizioni di proprietà decisive per la strutturazione: la licenza di una clinica privata o di un dispensario richiede un medico kuwaitiano abilitato, limitato a una sola clinica senza filiali, e quella di un ospedale o centro sanitario richiede un professionista kuwaitiano abilitato o una persona giuridica il cui proprietario o uno dei soci lo sia. Una società tecnologica non può trattare lo strato medico come un semplice acquisto di servizi; l'architettura delle licenze decide chi deve possedere e dirigere l'entità clinica.
Telemedicina e intelligenza artificiale secondo l'articolo 24
L'articolo 24 della Legge n. 70 del 2020 è la porta legislativa dell'healthtech. Consente l'erogazione di servizi medici, assistenza domiciliare e a distanza, e l'uso di intelligenza artificiale, tecnologie avanzate, comunicazioni moderne, mezzi digitali e supporti elettronici, con il Ministero della Salute che fissa le condizioni e i controlli necessari. Teleconsulto, monitoraggio remoto, triage assistito da IA e terapie digitali rientrano in questo permesso, ma condizionato: le regole del Ministero determinano come questi servizi possono essere effettivamente erogati.
Per il contratto, l'articolo 24 ha due conseguenze. Primo, le parti dovrebbero verificare prima della firma quali condizioni del Ministero della Salute si applicano al modello di servizio specifico, perché la legge delega le regole di dettaglio al Ministero e i requisiti di dettaglio possono cambiare quando il Ministero emana nuovi controlli. Secondo, il contratto dovrebbe ripartire la responsabilità di detenere le licenze professionali e la licenza di struttura che il servizio richiede, perché una piattaforma non può esercitare essa stessa la medicina. Il fornitore apporta la tecnologia; una struttura abilitata e professionisti abilitati apportano le cure. I contratti che sfumano questo confine creano un'esposizione regolatoria per entrambe le parti.
Diritti dei pazienti e cartella clinica
Il capitolo quarto della Legge n. 70 del 2020 enuncia diritti dei pazienti che un contratto healthtech deve rispettare e non rinegoziare. L'articolo 26 riconosce al paziente il diritto a servizi medici e assistenza sanitaria completi secondo i principi medici consolidati, che comprendono prevenzione, diagnosi, trattamento, riabilitazione e orientamento. L'articolo 27 riconosce al paziente il diritto di essere informato onestamente e accuratamente di tutto ciò che riguarda il suo stato di salute. L'articolo 28 impone che ogni paziente abbia una cartella propria presso la struttura sanitaria che gli ha fornito trattamento, consulto o assistenza, nella quale sono documentati tutte le informazioni e i dati relativi al paziente e al suo stato di salute, comprese procedure, esami, risultati, diagnosi, trattamenti, controlli e dispositivi impiantati o utilizzati.
L'articolo 28 dà inoltre al paziente, o al suo rappresentante legale, il diritto di chiedere un referto medico dettagliato o sintetico al medico curante o a chi la struttura incarichi. Un contratto di piattaforma di cartelle dovrebbe quindi trattare l'accesso del paziente come una funzione legale, non come un'opzione di prodotto: il sistema deve produrre cartella e referti, e le clausole di uscita devono garantire che la struttura continuerà a soddisfare l'articolo 28 dopo la fine del rapporto con il fornitore. L'articolo 22 aggiunge obblighi di documentazione per ricette, referti e certificati, chiari, esatti, firmati, datati e conservati nella cartella.
Il Regolamento sulla protezione della privacy dei dati della CITRA
La CITRA ha adottato il suo Regolamento sulla protezione della privacy dei dati vigente con la Decisione n. 26 del 2024, emanata il 7 febbraio 2024 e approvata dal consiglio dell'Autorità nella riunione n. 14 del 2023 tenuta il 5 dicembre 2023. La decisione ha abrogato il regolamento precedente sulla privacy adottato con la Decisione n. 42 del 2021 e le sue modifiche, ed è entrata in vigore con la pubblicazione nella Gazzetta Ufficiale e sul sito dell'Autorità. Il regolamento si applica, ai sensi dell'articolo 1, ai fornitori di servizi titolari di licenza CITRA che raccolgono, trattano o conservano dati personali, indipendentemente dal fatto che il trattamento avvenga in Kuwait o all'estero, e richiede una base giuridica per il trattamento, trasparenza verso l'interessato e garanzie adeguate alla sensibilità dei dati.
I dati sanitari occupano il vertice della scala di sensibilità. L'idea del consenso attraversa tutto il quadro kuwaitiano: il trattamento dei dati personali richiede una base giuridica e i dati sensibili esigono il massimo livello di protezione. In un contratto healthtech, l'allegato sul trattamento dovrebbe elencare le categorie raccolte, le finalità, la base di ciascuna, gli accessi, i tempi di conservazione e i meccanismi di cancellazione. Marketing, addestramento di modelli e analitica di prodotto restano separati dalla finalità di cura, perché il consenso raccolto per la cura non si estende automaticamente al riuso commerciale degli stessi dati.
Classificazione dei dati e hosting cloud delle cartelle sanitarie
La Politica di classificazione dei dati della CITRA, emanata con la Decisione n. 95 del 2021, divideva i dati in quattro livelli, e il livello tre comprendeva i dati privati sensibili, incluse le cartelle mediche. La CITRA ha abrogato la politica nel febbraio 2024 con la Decisione n. 34 del 2024, quindi lo schema a livelli non impone più obblighi vincolanti di classificazione o conservazione, ma resta un utile riferimento quando una struttura progetta i propri controlli. Un fornitore healthtech che proponga di ospitare dati dei pazienti dovrebbe comunque poter indicare quanto sia sensibile ciascun insieme di dati e come la sua architettura lo protegga.
Il Quadro regolatorio del cloud computing aggiunge regole di hosting. Il suo articolo 4.1.4 tratta i dati sanitari, genetici e vitali come categorie speciali di dati personali e obbliga i fornitori di servizi cloud e i loro sottoscrittori, sia nel settore pubblico sia in quello privato, ad astenersi dall'usare dati personali per inferire l'identità dei sottoscrittori senza autorizzazione scritta chiara ed esplicita. Quando una struttura kuwaitiana intende trasferire le cartelle verso una regione cloud fuori dal Kuwait, la revisione verifica i requisiti del quadro, le regole sul consenso della Legge n. 20 del 2014 e le eventuali indicazioni settoriali prima che il piano di migrazione sia approvato. Il contratto dovrebbe registrare le sedi di hosting approvate e richiedere preavviso e approvazione prima che il fornitore aggiunga una regione.
Obblighi di cybersicurezza e Centro Nazionale per la Cybersicurezza
Il Decreto n. 37 del 2022 ha istituito il Centro Nazionale per la Cybersicurezza, sotto la supervisione di un ministro nominato dal Consiglio dei ministri, con un mandato che copre gli enti civili, militari, di sicurezza e del settore privato all'interno del Kuwait. Il decreto mira a costruire un sistema nazionale di cybersicurezza che protegga le informazioni, le comunicazioni e le operazioni condotte con mezzi elettronici, e le strutture sanitarie e le applicazioni di telemedicina rientrano nel suo ambito. Un contratto healthtech dovrebbe trattare la cybersicurezza come un obbligo di conformità con un regolatore designato, non come una caratteristica di marketing.
In pratica, l'allegato sulla sicurezza dovrebbe coprire controllo degli accessi, cifratura, registrazione e tracce di audit, gestione delle vulnerabilità, rilevamento degli incidenti e tempi di notifica, e cooperazione con il Centro Nazionale per la Cybersicurezza. Il fornitore dovrebbe impegnarsi a notificare alla struttura, entro un termine definito dopo la conferma di una violazione che riguardi dati dei pazienti, e la struttura mantiene il diritto di informare i pazienti e le autorità. L'articolo 51 della Legge n. 70 del 2020 rafforza questa cultura della riservatezza, vincolando i funzionari al segreto anche dopo la cessazione dei loro incarichi.
Transazioni elettroniche, registrazioni e firme
La Legge n. 20 del 2014 sulle transazioni elettroniche fornisce il quadro generale per le registrazioni e le transazioni elettroniche in Kuwait e ha attribuito alla Banca Centrale del Kuwait la vigilanza sui pagamenti elettronici di fondi, rilevante quando una piattaforma healthtech riceve pagamenti per consulti o abbonamenti. La legge protegge i dati personali inseriti nei sistemi di trattamento elettronico: le informazioni relative allo stato di salute di una persona devono restare riservate, i dipendenti non possono consultarle, divulgarle o pubblicarle illecitamente e la divulgazione richiede il consenso dell'interessato o un ordine giudiziario.
Per il contratto, questo fissa due punti di redazione. Primo, le parti dovrebbero precisare che le registrazioni, i consensi e le firme elettroniche generati dalla piattaforma sono destinati ad avere effetto giuridico ai sensi della Legge n. 20 del 2014, e la progettazione del sistema dovrebbe preservare l'integrità e l'attribuzione di ciascuna registrazione. Secondo, l'accesso ai dati sanitari da parte del personale dei team di supporto e operativi del fornitore dovrebbe essere limitato, registrato e circoscritto contrattualmente, perché la consultazione illecita da parte di un dipendente è esattamente la condotta che la legge colpisce.
Responsabilità, assicurazioni e ripartizione tra rischio clinico e commerciale
La Legge n. 70 del 2020 dedica un capitolo alla responsabilità medica, e l'articolo 23 illustra lo standard: il professionista che esegue un intervento chirurgico o medico deve ottenere il consenso informato scritto del paziente, supportato dai relativi documenti, e l'obbligo del professionista è di esercitare la diligenza di un professionista accorto. I giudizi clinici formulati tramite una piattaforma restano di responsabilità dei professionisti abilitati e della struttura abilitata, e nessuna clausola di manleva può trasferire tale responsabilità professionale su un fornitore di software.
Ciò che il contratto può e dovrebbe ripartire è il rischio commerciale: livelli di servizio, disponibilità, tempi di risposta del supporto, correzione dei difetti, limiti di responsabilità per le perdite commerciali e assicurazione. L'articolo 55 della Legge n. 70 del 2020 impone alle strutture sanitarie private di mantenere un'assicurazione presso un assicuratore autorizzato contro i rischi derivanti da edifici, dispositivi e apparecchiature mediche, a copertura di pazienti, accompagnatori, personale e visitatori. La responsabilità professionale e la copertura cyber del fornitore dovrebbero essere documentate nel fascicolo contrattuale. Quando l'output della piattaforma supporta decisioni cliniche, il contratto dovrebbe prevedere che i clinici conservino il dovere di verifica e possano disattendere l'output, e il fornitore dovrebbe impegnarsi a documentare le modifiche al modello e gli errori noti.
Subresponsabili, flussi transfrontalieri e continuità del servizio
Gli stack healthtech raramente si basano su un solo fornitore. Fornitori di hosting, gateway di messaggistica, strumenti di analisi, processori di pagamento e fornitori di modelli di intelligenza artificiale possono tutti entrare in contatto con i dati dei pazienti. Il contratto dovrebbe richiedere al fornitore di elencare i propri subfornitori, indicare quali di essi possono accedere ai dati personali, dare preavviso dei nuovi subfornitori o dei cambi di sede di hosting, e accettare una procedura di verifica con una soluzione alternativa se la struttura nega l'approvazione. I backup e i percorsi di accesso tecnico remoto dovrebbero essere mappati con la stessa cura dell'archiviazione primaria, perché l'accesso di supporto dall'esterno del Kuwait è esso stesso un flusso transfrontaliero.
La pianificazione della continuità è una questione di sicurezza dei pazienti in questo settore. Se il personale clinico perde l'accesso alle cartelle durante un turno, la struttura ha bisogno di una risposta già collaudata: chi fornisce una copia utilizzabile, con quale rapidità e chi comunica con il team di cura. L'allegato di servizio dovrebbe fissare obiettivi di tempo e di punto di ripristino, richiedere test di ripristino periodici e descrivere il funzionamento in modalità degradata durante un'interruzione. Queste clausole dovrebbero essere testate prima del lancio, non negoziate durante il primo incidente.
Uscita, restituzione delle cartelle e lista di controllo contrattuale
La pianificazione dell'uscita tutela gli obblighi di legge della struttura. Poiché l'articolo 28 della Legge n. 70 del 2020 obbliga la struttura a mantenere la cartella di ogni paziente e a produrre referti su richiesta, il contratto deve garantire l'esportazione dell'intero insieme di registrazioni, comprese storie cliniche, allegati e tracce di audit, in un formato documentato e utilizzabile, entro un periodo di transizione definito e a un costo concordato in anticipo. La cancellazione da parte del fornitore dovrebbe essere comprovata per iscritto, e l'accesso dovrebbe sopravvivere a una transizione contestata o a un'indagine di un'autorità.
Un fascicolo contrattuale healthtech pratico per il Kuwait comprende: le licenze delle parti e quella della struttura rilasciata dal Dipartimento Licenze Sanitarie; l'allegato sul trattamento dei dati con finalità, basi, categorie, conservazione e cancellazione; le sedi di hosting approvate e l'elenco dei subfornitori; l'allegato sulla sicurezza; i livelli di servizio con continuità e test di ripristino; i flussi di consenso e accesso dei pazienti allineati agli articoli 23 e 28; i certificati assicurativi ai sensi dell'articolo 55; e il piano di uscita con un'esportazione campione collaudata. Ogni voce indica un responsabile e una data di verifica.
Come affrontiamo la revisione di un contratto healthtech in Kuwait
Quando esaminiamo un contratto healthtech per un'implementazione in Kuwait, partiamo dalle licenze: la licenza della struttura ai sensi dell'articolo 55 della Legge n. 70 del 2020, le licenze dei professionisti e se il servizio rientra nell'autorizzazione dell'articolo 24 per i servizi a distanza e l'intelligenza artificiale. Mappiamo poi i dati: che cosa viene raccolto, la base di ciascuna finalità, dove è ospitato e come il regolamento della CITRA ai sensi della Decisione n. 26 del 2024 plasma gli obblighi di trattamento quando un titolare di licenza CITRA si trova nella catena. Verifichiamo sicurezza e continuità rispetto al Decreto n. 37 del 2022, e leggiamo le clausole di uscita rispetto al dovere permanente della struttura di conservare e produrre le cartelle dei pazienti ai sensi dell'articolo 28. Il risultato è un rapporto scritto che individua le clausole da modificare prima della firma.
Si veda anche: la nostra guida a telecomunicazioni e IT in Kuwait e la nostra guida alla protezione dei dati in Kuwait, oltre alla nostra pratica di diritto commerciale e societario.
Domande frequenti
La telemedicina è legale in Kuwait?
Sì. L'articolo 24 della Legge n. 70 del 2020 consente i servizi medici, l'assistenza sanitaria domiciliare e a distanza, e l'uso dell'intelligenza artificiale e dei mezzi digitali, secondo le condizioni e i controlli del Ministero della Salute. Il servizio deve comunque essere svolto tramite professionisti e strutture abilitati.
Può una società tecnologica possedere una clinica in Kuwait?
Non direttamente. L'articolo 58 della Legge n. 70 del 2020 richiede che la licenza di una clinica sia detenuta da un medico kuwaitiano abilitato, e che la licenza di un ospedale o centro sanitario sia detenuta da un professionista kuwaitiano abilitato o da una persona giuridica il cui proprietario o socio lo sia. Le società tecnologiche di norma contrattano con enti abilitati.
Quale autorità regola i dati sanitari in Kuwait?
La CITRA regola il trattamento dei dati personali da parte dei suoi fornitori di servizi titolari di licenza ai sensi del Regolamento sulla protezione della privacy dei dati, Decisione n. 26 del 2024. Il Ministero della Salute regola l'aspetto medico, e il Centro Nazionale per la Cybersicurezza vigila sulla cybersicurezza ai sensi del Decreto n. 37 del 2022.
I dati dei pazienti sono considerati sensibili?
Sì. Il Quadro regolatorio del cloud computing elenca i dati sanitari e genetici tra le categorie speciali di dati personali all'articolo 4.1.4. La Politica di classificazione dei dati della CITRA, che aveva collocato le cartelle mediche nel livello tre, dati privati sensibili, è stata abrogata dalla Decisione n. 34 del 2024, quindi lo schema a livelli serve ora come orientamento e non come regola vincolante.
Le cartelle dei pazienti possono essere ospitate su server cloud?
L'hosting cloud è possibile, ma il Quadro regolatorio del cloud computing, il regolamento sulla privacy della CITRA quando un titolare di licenza si trova nella catena, e le regole sul consenso della Legge n. 20 del 2014 determinano dove e come può essere ospitato. Il contratto dovrebbe registrare le sedi approvate e richiedere il consenso prima dell'aggiunta di nuove regioni o subfornitori.
Chi è responsabile quando una diagnosi supportata da una piattaforma è sbagliata?
La responsabilità clinica resta in capo al professionista abilitato e alla struttura ai sensi del capitolo sulla responsabilità medica della Legge n. 70 del 2020. Il fornitore risponde degli obblighi commerciali che assume, come livelli di servizio, correzione dei difetti e manleve.
Che cosa accade alle cartelle dei pazienti alla fine del contratto?
La struttura resta obbligata a mantenere le cartelle dei pazienti ai sensi dell'articolo 28 della Legge n. 70 del 2020, quindi il contratto dovrebbe garantire un'esportazione completa e testata, un periodo di transizione e la prova scritta della cancellazione da parte del fornitore.
Come iniziamo la revisione di un contratto healthtech per il Kuwait?
Raccogliete la bozza di contratto, la descrizione del sistema, la mappa dei flussi di dati, l'elenco dei subfornitori e le licenze, poi contattate il nostro ufficio in Kuwait tramite la pagina dei contatti. Confermeremo ambito, tempi e documenti necessari prima di iniziare.