Con le ormai note FAQ del 6 giugno 2024, il Garante ha finalmente confermato che l’art. 110 bis, comma 4, del D.lgs. 196/2003 (modificato dal D.lgs. n. 101/2018, che ha armonizzato le norme con il Regolamento UE 2016/679) può costituire una valida base giuridica, alternativa al consenso, per il trattamento dei dati personali nell’ambito della ricerca scientifica condotta dagli IRCCS.
Nonostante tale previsione fosse in vigore sin dal 2018, l’assenza di una presa di posizione chiara da parte del Garante aveva generato interpretazioni divergenti, portando nella maggior parte dei casi a un atteggiamento di estrema cautela che ne ha limitato l’applicazione.
Attraverso il nostro Chairman Riccardo Giannetti, noi di Inveo Group abbiamo sempre sostenuto quanto ora confermato dal Garante, ribadendo tale posizione in numerosi eventi e documenti, tra cui un parere reso nel marzo 2024 per un noto IRCCS.
L’importanza degli studi osservazionali
Questo quadro di incertezza ha ovviamente limitato, o quantomeno rallentato, la ricerca scientifica condotta dagli IRCCS, in particolare per quanto riguarda gli studi osservazionali retrospettivi. In assenza di certezze interpretative, tali studi sono stati condotti sulla base del consenso dei pazienti, con tutte le difficoltà e lungaggini del caso. Infatti, se per gli studi clinici sperimentali o per quelli osservazionali prospettici, con l’arruolamento diretto dei pazienti, è sempre possibile raccogliere il consenso esplicito e scritto, negli studi osservazionali retrospettivi acquisire tale consenso può essere particolarmente complesso, soprattutto quando i dati risalgono a molti anni prima.
A questo proposito, va aperta una breve parentesi per evidenziare come gli studi non interventistici, ossia osservazionali, abbiano ormai assunto un ruolo centrale nella ricerca scientifica. Questi studi, per loro natura, non comportano alcun rischio per i pazienti, limitandosi a osservare e analizzare fenomeni senza intervenire su di essi. Nell’ambito degli studi osservazionali, quelli retrospettivi rappresentano un’opportunità significativa, favorita dallo sviluppo tecnologico che ha reso disponibili grandi quantità di dati raccolti, conservati e analizzati, spesso in forma aggregata, per migliorare la comprensione delle patologie, individuare correlazioni e guidare lo sviluppo di terapie mirate.
Tuttavia, in apertura abbiamo parlato di una “conferma” da parte del Garante proprio perché il comma 4 dell’art. 110 bis esiste sin dal 2018. Se letto in combinato disposto con il Regolamento UE 2016/679, o Gdpr, la sua portata innovativa avrebbe dovuto essere evidente già da allora, soprattutto considerando il ruolo istituzionale degli IRCCS nel panorama della ricerca scientifica nazionale e internazionale.
Il ruolo degli IRCCS nel panorama sanitario
Ricordiamo infatti che gli IRCCS, regolati dal D.lgs. n. 288/2003 (recentemente riformato dal D.lgs. n. 200/2022), sono enti del Servizio Sanitario Nazionale che perseguono, con standard di eccellenza, finalità di ricerca clinica e traslazionale nel campo biomedico e nell’organizzazione dei servizi sanitari, oltre a fornire prestazioni di ricovero e cura altamente specializzate.
Gli IRCCS rappresentano da sempre un pilastro fondamentale del Servizio Sanitario Nazionale, che fin dalla sua istituzione si fonda sull’integrazione tra ricovero, cura e ricerca, allo scopo di migliorare la qualità e l’efficacia delle prestazioni sanitarie. Tale ruolo cardine è ribadito dal Programma Nazionale della Ricerca Sanitaria (PNRS) 2020-2022, pubblicato dal Ministero della Salute il 21 dicembre 2021, nel quale si legge che gli IRCCS fungono da “volano dell’applicazione delle conoscenze alla pratica clinica”. Specificatamente: “Essi hanno una funzione di volano dell’applicazione delle conoscenze alla pratica clinica… (omissis). Per sintetizzare, quello che differenzia gli IRCCS dalla maggior parte delle altre strutture del sistema sanitario è la vocazione e la produzione di ricerca; quello che distingue gli IRCCS dagli altri enti di ricerca è la clinica. … (omissis) … Pertanto, è ragionevole proporre che gli IRCCS esprimano una vocazione alla ricerca biomedica più spinta rispetto agli altri enti del servizio sanitario, rivestendo un ruolo di hub nel trasferimento delle conoscenze; … (omissis). In linea con quanto espresso sull’unicità degli IRCCS in ambito di ricerca clinica, nei prossimi tre anni si dovrà attuare un riordino e una rimodulazione degli IRCCS. L’obiettivo di tale riordino (ndr. poi attuato con il D.Lgs n. 200/2022) è quello di stimolare ulteriormente l’eccellenza della ricerca e dell’assistenza clinica che rappresentano la caratteristica imprescindibile degli IRCCS. … (omissis)”.
Analisi delle disposizioni del regolamento UE
Passando ora all’analisi delle previsioni del Regolamento, rileva in questa sede l’art. 5, par. 1, lett. b), che esplicita il principio della limitazione della finalità. Esso stabilisce che “il trattamento ulteriore dei dati personali per scopi di ricerca scientifica non è considerato incompatibile con le finalità iniziali, purché siano rispettate le garanzie di cui all’art. 89, par. 1”.
Il Considerando 50 chiarisce ulteriormente che, se il trattamento è necessario per l’esecuzione di un compito di interesse pubblico, “il diritto dell’Unione o degli Stati membri può stabilire le finalità e i compiti per i quali l’ulteriore trattamento è lecito e compatibile, inclusi fini di archiviazione o di ricerca scientifica o storica”.
L’art. 6 stabilisce poi le condizioni in cui il trattamento dei dati personali c.d. comuni è considerato lecito (par. 1), tra le quali, la lett. a) prevede il consenso dell’interessato, mentre la lett. e) l’esecuzione di un compito di interesse pubblico di cui è investito il titolare.
L’art. 9, invece, dopo aver stabilito un divieto generale di trattare, tra gli altri, anche i dati genetici e relativi alla salute (par. 1), stabilisce i casi in cui è invece possibile derogare a detto divieto.
Per quel che qui interessa, l’art. 9, par. 2, alla lett. a) prevede il consenso esplicito, mentre alla lett. j), prevede, tra i casi in cui è possibile derogare al divieto generale di trattare dati particolari, quello in cui il trattamento è necessario a fini, tra gli altri, di ricerca scientifica, in conformità all’art. 89, par. 1, sulla base del diritto dell’Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l’essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato.
Nel medesimo articolo, al par. 4, attribuisce agli Stati membri il potere di mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, biometrici o relativi alla salute, facoltà di cui il legislatore italiano – come noto – si è effettivamente avvalso.
Le misure restrittive introdotte dagli art. 110 e 110 bis del D.lgs. n. 196/2003
In particolare, sebbene con gli art. 110 e 110 bis del D.lgs. n. 196/2003 siano state introdotte misure più restrittive rispetto agli spazi lasciati dal Regolamento, delineando un sistema che fonda il trattamento dei dati a fini di ricerca scientifica prettamente sul consenso dell’interessato, le stesse norme hanno previsto una normativa di favor per gli IRCCS.
A tal ultimo riguardo, infatti, l’art. 110, rubricato “Ricerca medica, biomedica ed epidemiologica”, nella prima parte del par. 1, stabilisce che il consenso dell’interessato non è necessario quando la ricerca sia effettuata in base a disposizioni di legge, regolamento o al diritto dell’Unione Europea in conformità all’art. 9, par. 2, lett. j) del Regolamento, ivi incluso il caso in cui la ricerca rientra in un programma di ricerca biomedica o sanitaria previsto ai sensi dell’art. 12-bis del D.lgs. n. 502/1992, ed è condotta e resa pubblica una valutazione di impatto.
Alla luce dell’art. 32 della Costituzione, che tutela la salute come diritto fondamentale dell’individuo e interesse della collettività, le disposizioni di cui all’art. 110 si applicano in modo particolare agli IRCCS, cui la legge attribuisce il compito di promuovere e garantire la ricerca e le prestazioni di ricovero e cura di alta specialità.
A rafforzare ulteriormente tale interpretazione interviene l’art. 110 bis, comma 4, che stabilisce che “il trattamento dei dati personali raccolti per attività clinica, se finalizzato alla ricerca scientifica condotta dagli IRCCS, non costituisce un trattamento ulteriore da parte di terzi”. Questo principio riconosce esplicitamente la strumentalità dell’attività di assistenza sanitaria rispetto alla ricerca, sempre nel rispetto di quanto previsto dall’art. 89 del Regolamento.
L’art. 110 bis, al 4 comma, quindi, riconosce esplicitamente il carattere strumentale dell’attività di assistenza svolta dagli IRCCS rispetto alla ricerca, al punto che il trattamento dei dati personali raccolti per l’attività clinica non costituisce trattamento ulteriore, se per fini di ricerca.
Tenuto a mente il considerando 50 e l’art. 5, par. 1, lett. b) del Regolamento, il legislatore italiano con detta ultima previsione sembra aver di fatto codificato il principio secondo cui, in ragione del peculiare compito di interesse pubblico ricoperto, per l’attività di ricerca scientifica svolta dagli IRCCS non è richiesta alcuna base giuridica separata oltre a quella che ha consentito la raccolta dei dati personali per l’attività di assistenza.
Ricerca scientifica svolta dagli IRCCS, ora accelerare
Alla luce di quanto sopra, pertanto, è evidente come, a fronte della possibilità offerta dal Regolamento di optare su basi giuridiche diverse dal consenso per agevolare la ricerca scientifica, seppur nel rispetto di determinate condizioni e misure, il legislatore italiano, nell’esercizio del potere conferitogli dall’art. 9, par. 4, del medesimo Regolamento abbia introdotto norme ad hoc per gli IRCCS sin dal 2018.
Pur non potendo ignorare il ritardo con cui a tali norme è stata data finalmente piena applicazione, dal quale è discesa una limitazione, o comunque un rallentamento, della ricerca scientifica svolta dagli IRCCS con particolare riguardo agli studi osservazionali retrospettivi, ci si auspica che tale svolta possa dare nuovo impulso agli stessi, contribuendo a stimolare ulteriormente l’eccellenza della ricerca e dell’assistenza clinica che rappresentano la loro caratteristica imprescindibile. Meglio tardi che mai.
