- * di Micaela Barbotti
- Negli ultimi anni, la protezione dei dati personali in ambito sanitario è diventata sempre più importante, soprattutto per quanto riguarda il loro utilizzo nella ricerca scientifica. Il Regolamento UE 2016/679 (di seguito, “GDPR”), ha introdotto nuove regole per tutelare i dati sensibili, come quelli sulla salute, cercando di bilanciare la protezione dei diritti individuali con la libertà della ricerca scientifica. Una questione centrale riguarda l’uso dei dati raccolti per scopi clinici e il loro successivo impiego nella ricerca, che richiede una base giuridica solida e conforme al GDPR per garantire il rispetto dei diritti dei pazienti.
Un primo “passo avanti” verso la semplificazione della ricerca
Tradizionalmente, la possibilità di utilizzare i dati raccolti durante l’attività clinica per finalità di ricerca (cd. “secondary use”) trovava fondamento e quindi valida base giuridica unicamente nel consenso esplicito dell’interessato, conforme agli artt. 6 e 9 del GDPR.
In caso di trattamento di dati riferiti a pazienti deceduti o non contattabili, era necessario ottenere il parere favorevole del Comitato Etico di competenza e sottoporre il progetto di ricerca e la relativa valutazione di impatto alla consultazione preventiva del Garante privacy, ai sensi dell’art. 36 del Regolamento UE 2016/679.
La riforma, apportata nel 2024 all’art. 110 del Codice Privacy, ha costituito un importante passo avanti.
Il novellato art. 110 del Codice Privacy, infatti, conferisce al Garante il compito di promuovere ai sensi dell’art. 106, comma 2, lettera d) del Codice stesso, Regole Deontologiche volte a individuare garanzie adeguate per i diritti e le libertà dell’interessato in conformità all’articolo 89 del Regolamento UE 2016/679.
Nelle more dell’approvazione delle nuove Regole Deontologiche – ferma in ogni caso l’applicazione di quelle attualmente in vigore (allegato A5 del Codice Privacy) – il Garante ha individuato garanzie necessarie per i trattamenti di dati sulla salute per finalità di ricerca medica, biomedica e epidemiologica riferiti a soggetti deceduti o non contattabili per motivi etici o organizzativi, precisando che:
- sono motivi etici quelli riconducibili alla circostanza che l’interessato ignora la propria condizione; l’informativa da rendere agli interessati comporterebbe la rivelazione di notizie concernenti la conduzione dello studio la cui conoscenza potrebbe arrecare un danno materiale o psicologico agli interessati stessi;
- sono motivi organizzativi quelli riconducibili alla circostanza che la mancata raccolta dei dati riferiti al numero di interessati che non è possibile contattare, rispetto al numero complessivo dei soggetti che si intende arruolare nella ricerca, produrrebbe conseguenze significative per lo studio in termini di qualità dei risultati della ricerca stessa. I motivi di impossibilità organizzativa concernono sia quelli derivanti dalla circostanza, da considerarsi del tutto residuale, che contattare gli interessati implicherebbe uno sforzo sproporzionato vista la particolare elevata numerosità del campione, sia quelli derivanti dalla circostanza che all’esito di ogni ragionevole sforzo compiuto per contattarli essi risultino, al momento dell’arruolamento nello studio, deceduti o non contattabili.
Sussistendo detti presupposti imprescindibili, il titolare del trattamento deve:
(i) motivare e documentare nel progetto di ricerca la sussistenza delle ragioni etiche o organizzative, se del caso, documentando altresì i ragionevoli sforzi profusi per tentare di contattarli;
(ii) acquisire il parere favorevole sul progetto di ricerca del Comitato Etico competente a livello territoriale;
(iii) adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato;
(iv) svolgere e pubblicare la valutazione di impatto ai sensi dell’art. 35 del Regolamento UE 2016/679, dandone comunicazione al Garante.
E gli IRCSS?
Come possono utilizzare i dati personali raccolti per la cura dei pazienti per finalità di ricerca? A quali adempimenti sono tenuti?
A queste domande ha risposto il Garante Privacy con le FAQ pubblicate nel mese di giugno del 2024.
In sostanza il Garante ha chiarito che gli IRCCS pubblici e privati, oltre che sul consenso dei partecipanti alla ricerca, possono fondare il trattamento dei dati personali raccolti a scopo di cura per ulteriori finalità di ricerca sull’art. 110-bis, comma 4 del Codice privacy.
In questi casi, gli IRCSS sono tenuti a svolgere e pubblicare una valutazione di impatto (DPIA) sui propri siti web, con facoltà – qualora dalla pubblicazione integrale possa derivare una lesione dei diritti di proprietà intellettuale, di segreti commerciali o altro – di poterne pubblicare solo un estratto.
Ovviamente, resta fermo l’obbligo di consultare l’Autorità Garante ai sensi dell’art. 36 del Regolamento., qualora l’esito della DPIA indichi la presenza di un rischio elevato, in assenza di misure adottate dal titolare per attenuare il rischio stesso.
Inoltre, gli IRCCS devono adempiere agli obblighi informativi:
- se i dati vengono raccolti direttamente presso l’interessato, l’IRCCS deve fornire, allo stesso, informazioni chiare e concise ed intellegibili
- se i dati provengono da banche dati interne o da terzi, le informazioni, in caso di impossibilità di comunicazione diretta, possono essere comunicate come previsto dall’art. 14, par. 5, lett. b) del GDPR, per il quale le informazioni potranno essere pubblicate, seguendo le Regole deontologiche (a titolo esemplificativo, la pubblicazione sul sito web per tutta la durata della ricerca).
L’ambito oggettivo di applicazione della norma in esame – ha chiarito il Garante – riguarda ogni tipo di ricerca medica, biomedica, epidemiologica, prospettica e retrospettiva, purchè promossa da IRCCS, ivi inclusi gli studi multicentrici, con la partecipazione di enti che non godono di tale riconoscimento.
Cosa giustifica le diverse “velocità”?
Sicuramente la “specificità” degli IRCSS, definiti dal Garante stesso come “enti del Servizio sanitario nazionale a rilevanza nazionale dotati di autonomia e personalità giuridica che, secondo standard di eccellenza, perseguono finalità di ricerca, prevalentemente clinica e traslazionale, nel campo biomedico e in quello dell’organizzazione e gestione dei servizi sanitari ed effettuano prestazioni di ricovero e cura di alta specialità.
Questa impostazione, tuttavia, se da un lato favorisce la valorizzazione degli IRCCS, crea però una asimmetria sistemica rispetto ad altri enti che, benché si occupino attivamente di ricerca, non posseggono formalmente detta qualifica.
Una possibile soluzione – capace di incentivare ulteriormente lo sviluppo medico-scientifico nel pieno rispetto del GDPR e della tutela dei diritti degli interessati – potrebbe consistere in un’estensione progressiva del regime previsto dall’art. 110-bis anche ad altri soggetti. Questa estensione dovrebbe basarsi su una valutazione caso per caso, riconoscendo l’idoneità degli enti che dimostrano di avere requisiti organizzativi e deontologici tali da garantire trattamenti dei dati leciti, sicuri e trasparenti. Si tratterebbe quindi di adottare un approccio basato su un “accreditamento funzionale” e non meramente formale, che prescinda dalla qualifica di IRCCS e valorizzi invece la qualità della ricerca e la responsabilità della governance.
Del resto, un simile orientamento trova un precedente nell’attuale interpretazione dell’art. 110-bis, comma 4 del Codice: quando un IRCCS promuove uno studio multicentrico, anche enti non qualificati come IRCCS possono beneficiare della deroga prevista dalla norma, proprio in virtù del fatto che il promotore è un IRCCS, pur non possedendo direttamente il titolo per farlo.
*founding partner di A&A – Albè e Associati.
