Gdpr e trial clinici, dalla Commissione Ue una visione d’insieme sul trattamento dati personali

Di recente, la Commissione europea è intervenuta sui rapporti tra la Clinical Trials Regulation e GDPR, ponendo così un nuovo importante tassello per la applicabilità del Regolamento sui trial clinici dal 2020.

La CTR, è in vigore dal 2014 con l’obiettivo di armonizzare a livello europeo le sperimentazioni cliniche e i medicinali per uso umano.

CTR e GDPR, una visione d’insieme

Lo scopo di un Trial Clinico^[1]  per la Commissione Europea è quello di raccogliere “dati affidabili e robusti”  su un medicinale in fase di sperimentazione (Art. 3 lett. b del Clinical Trials Regulation). Da questo principio fondamentale deriva l’obbligo per “il promotore (o Sponsor) di una sperimentazione clinica e [per] lo sperimentatore (o Investigator)” di garantire “che la sperimentazione clinica sia condotta in conformità al protocollo e ai principi della buona pratica clinica” (Art. 47 del CTR)^[2].

Ai sensi dell’Art. 56 del CTR: “tutte le informazioni sulla sperimentazione clinica sono registrate, elaborate, gestite e conservate dal promotore o dallo sperimentatore, a seconda dei casi, in modo tale da poter essere comunicate, interpretate e verificate in modo preciso, tutelando al tempo stesso la riservatezza dei dati e i dati personali dei soggetti in conformità del diritto applicabile in materia di protezione dei dati personali. [Inoltre] sono attuate idonee misure tecniche e organizzative per tutelare le informazioni e i dati personali trattati da rivelazione, diffusione, modifica non autorizzati o illeciti, o dalla distruzione o perdita accidentale, in particolare quando il trattamento comporta la trasmissione attraverso una rete telematica”.

Oltre a ciò, afferma la Commissione, il promotore – a norma del CTR:

• trasmette una sintesi dei risultati della sperimentazione clinica alla banca dati UE, comprensibile anche ai non addetti ai lavori (Art. 37, pp. 4 e 8 del CTR);
• riceve comunicazione di eventi avversi da parte dello sperimentatore (Art. 41 del CTR);
• trasmette annualmente all’Agenzia Europea per i Medicinali una relazione sulla sicurezza di ciascun medicinale sperimentale utilizzato in una sperimentazione clinica di cui è il promotore (Art. 43 del CTR);
• archivia il fascicolo permanente della sperimentazione clinica per 25 anni (Art. 58 del CTR);
• è soggetto alle ispezioni degli Stati membri (Art. 78 del CTR).

Il protocollo di sperimentazione clinica, autorizzato ai sensi del CTR, definisce le finalità e le condizioni per le quali i dati dei soggetti partecipanti alla sperimentazione clinica saranno elaborati. I partecipanti, in qualità di interessati, devono essere sempre correttamente informati sul trattamento dei loro dati personali ai sensi del GDPR.

Responsabilizzazione del titolare del trattamento nella determinazione della corretta base giuridica nell’ambito dei trial clinici

Secondo il principio di responsabilizzazione (Art. 5.2 del GDPR e Art. 24 del GDPR), il titolare del trattamento dei dati (promotore/sperimentatore) deve mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare (“comprovare”), che il trattamento è effettuato conformemente al GDPR (es. garantire il rispetto dei principi ai sensi dell’Art. 5, fornire le informazioni sul trattamento dei dati agli interessati, ove previsto procedere alla nomina di un DPO^[3], tenere i Registri delle Attività di Trattamento^[4], facilitare l’esercizio dei diritti, procedere con una Valutazione di Impatto^[5] ecc.). Ne consegue che il titolare del trattamento (promotore/sperimentatore) “possiede la titolarità” nella determinazione della base giuridica per il trattamento dei dati personali.

Le basi giuridiche – uso primario

Tutte le operazioni di trattamento relative a uno specifico protocollo di sperimentazione clinica durante l’intero “ciclo di vita”, dall’inizio della sperimentazione alla cancellazione con la fine del periodo di archiviazione – compresi i dati contenuti nell’autorizzazione all’immissione in commercio – sono intese come “uso primario” dei dati della sperimentazione clinica. Non tutte le operazioni di trattamento relative a tale “uso primario” perseguono le stesse finalità e rientrano nella stessa base giuridica.

L’obiettivo generale del CTR è procedere ad “un’armonizzazione europea” per quanto riguarda le sperimentazioni cliniche e i medicinali per uso umano, con un elevato livello di protezione della salute, nonché con i massimi standard di qualità e sicurezza dei medicinali, garantendo che i dati – nel complesso – ottenuti dalle sperimentazioni cliniche siano affidabili e solidi. L’obiettivo generale del GDPR – invece – è quello di proteggere i diritti e le libertà fondamentali delle persone fisiche in materia di protezione dei dati personali.

Infine, specifica la Commissione, vanno distinti i trattamenti di dati meramente connessi ad attività di ricerca dai trattamenti di dati connessi alle finalità di tutela della salute, fissando nel contempo standard di qualità e sicurezza per i medicinali e generando dati affidabili e solidi (affidabilità e sicurezza); queste due categorie principali di trattamento possiedono basi giuridiche diverse.

Operazioni di trattamento connesse ad affidabilità e sicurezza

Le operazioni di trattamento necessarie per l’adempimento di un obbligo legale cui è soggetto il titolare del trattamento possono essere giustificate ai sensi dell’Art. 6.1 lett. c) del GDPR. Tali obblighi di legge fanno sì che sia il promotore quanto lo sperimentatore siano soggetti alle norme tipizzate nel CTR, nonché nelle pertinenti disposizioni europee e nazionali.

Ciò vale in particolare, ad esempio, per gli adempimenti relativi all’esecuzione degli obblighi in materia di sicurezza di cui agli Artt. da 41 a 43 del CTR e gli obblighi relativi all’archiviazione dei dati: ad esempio, il fascicolo permanente della sperimentazione clinica (25 anni ai sensi dell’articolo 58 CTR) e le cartelle cliniche dei partecipanti allo studio (rimessi al diritto di ciascuno Stato Membro UE). Lo stesso dicasi per qualsiasi comunicazione dei dati della sperimentazione clinica alle autorità nazionali competenti nell’ambito della sperimentazione durante lo svolgimento di un’ispezione in conformità alle pertinenti norme nazionali (Art. 78 CTR).

Per il trattamento di categorie particolari di dati si fa riferimento all’Art.9.2 lett. i) del GDPR: “il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale”.

Operazioni di trattamento connesse ad attività di ricerca

Le operazioni di trattamento meramente connesse alle attività di ricerca nell’ambito di una sperimentazione clinica non possono, tuttavia, derivare da un obbligo legale. Come ha affermato – con la Opinion 3/2019 – il Comitato Europeo per la Protezione dei Dati, il trattamento dei dati personali è lecito se rientra in una delle seguenti basi giuridiche:

• l’interesse pubblico ai sensi dell’Art. 6.1 lett. e), in combinato disposto con l’Art. 9.2 lett. i) o j) del GDPR;
• il legittimo interesse del titolare del trattamento ai sensi dell’Art. 6.1 lett. f), in combinato disposto con l’Art. 9.2 lett. j) del GDPR;
• il consenso dell’interessato ai sensi dell’Art. 6.1, lett. a), e dell’Art. 9.2 lett. a) del GDPR.

L’interesse pubblico

Per l’art. 6.1 lett. e) del GDPR, un trattamento è lecito se necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.

Il CTR definisce alcune attività di trattamento necessarie per l’esecuzione di un compito di interesse pubblico per obiettivi delineati nel protocollo di sperimentazione clinica approvato, nel caso in cui, ad es. fosse necessario perseguire gli obiettivi di interesse pubblico generale dell’Unione Europea per la salvaguardia della salute pubblica. Pertanto, in questo caso la stessa Unione Europea fornisce la base giuridica per il trattamento dei dati personali raccolti nel contesto delle sperimentazioni cliniche. Il trattamento dei dati personali nell’ambito delle sperimentazioni cliniche può quindi essere considerato necessario per l’esecuzione di un compito svolto nell’interesse pubblico quando l’esecuzione delle sperimentazioni cliniche rientra direttamente nel mandato, con missioni e compiti attribuiti da un organismo pubblico o privato europeo o di uno Stato Membro UE. La base giuridica in oggetto dovrà essere “letta” in combinato disposto con le lettere i) ovvero j)^[6] dell’Art. 9.2 del GDPR.

Il consenso

In base al GDPR, il consenso deve essere libero, specifico, informato, inequivocabile e, in caso di trattamento di dati particolari (es. dati relativi alla salute, genetici, biometrici ecc.) – com’è “normale” in caso di sperimentazioni cliniche – tale consenso deve essere esplicito (Art. 9.2 lett. a del GDPR). La Commissione avverte che i titolari del trattamento dei dati (promotore e sperimentatore) devono prestare particolare attenzione alla nozione di “consenso libero”. Come specificato nelle Linee Guida WP259^[7] infatti, questo elemento implica un reale controllo da parte degli interessati sulle loro scelte nell’ambito del Trial Clinico. Inoltre, il consenso non deve mai risultare come base giuridica lì dove è presente un evidente squilibrio tra l’interessato (partecipante allo studio) e il titolare del trattamento. A seconda dei casi, possono verificarsi situazioni di squilibrio “di potere” tra il promotore / sperimentatore e i partecipanti allo studio. Il CTR affronta espressamente tali rischi e richiede che lo sperimentatore tenga conto di tutte le circostanze rilevanti, in particolare se il potenziale partecipante appartiene a un gruppo economicamente o socialmente svantaggiato, o si trova in una situazione di dipendenza istituzionale o gerarchica che potrebbe influenzare impropriamente la sua decisione di partecipare alla sperimentazione.

Consenso informato “CTR” e consenso al trattamento dei dati “Gdpr”

Non sempre è pacifica la differenza tra il “consenso informato alla partecipazione alla sperimentazione clinica”, e il “consenso al trattamento dei dati personali” di cui agli Artt. 6.1 lett. a) e 9.2 lett. a) del GDPR.

Il CTR contiene varie disposizioni che specificano alcuni aspetti su come il trattamento dei dati personali dovrebbe aver luogo. Il consenso informato richiesto dallo stesso CTR funge da norma etica e da obbligo procedurale. Il consenso informato alla partecipazione alla sperimentazione è la condizione fondamentale ed obbligatoria in base alla quale una persona può essere inclusa in un Trial Clinico, e non “copre” il trattamento dei dati personali. Il consenso informato alla partecipazione alla sperimentazione è una garanzia, non una base giuridica per il trattamento dei dati. Pertanto, è necessario separare e non “confondere” i due consensi. In ogni caso, tutti i partecipanti alla sperimentazione clinica devono ricevere le informazioni pertinenti relative alla sperimentazione, come richiesto dal CTR, nonché le informazioni obbligatorie sul trattamento dei dati ai sensi dell’Art. 13 del GDPR.

Tirando le somme:

• Il consenso informato alla partecipazione alla sperimentazione clinica è obbligatorio;
• Il consenso al trattamento dei dati personali è alternativo ad altre basi giuridiche.
• Entrambi i consensi devono essere preceduti dalle relative informazioni.

La revoca dei consensi ctr e gdpr

Ai sensi dell’Art. 28.3 del CTR “Qualsiasi soggetto o, qualora il soggetto non sia in grado di fornire il proprio consenso informato, il suo rappresentante legalmente designato, può ritirarsi dalla sperimentazione clinica in qualsiasi momento, senza alcun conseguente detrimento^[8] e senza dover fornire alcuna giustificazione, revocando il proprio consenso informato […]”. Ritenendo pacifico quanto descritto nel precedente punto, con il ritiro del consenso alla sperimentazione, i dati personali possono continuare ad essere trattati qualora esista una base giuridica appropriata per tale trattamento nell’ambito del GDPR. In tali casi, i dati personali del partecipante allo studio, raccolti prima del ritiro dalla sperimentazione, sono conservati per le finalità ed alle condizioni definite dal protocollo e dalla pertinente normativa. Ad esempio, in caso di reazioni avverse gravi per il paziente, il promotore ha il diritto di trattare i dati comunicandoli alle autorità nazionali competenti (in base all’Art. 6.1 lett. c del GDPR in combinato disposto con l’Art. 9.2 del GDPR).

Nell’ambito del GDPR, se il consenso è utilizzato come base giuridica (Art. 6.1 lett. a del GDPR), deve essere data la possibilità ai partecipanti di ritirare tale consenso in qualsiasi momento (Art. 7.3 del GDPR), e non vi è alcuna eccezione a questo requisito nell’ambito della ricerca scientifica.

Come regola generale, se venisse ritirato il consenso al trattamento dei dati, tutte le operazioni di trattamento basate sul consenso restano pienamente lecite (Art. 7.3 del GDPR); tuttavia, il titolare del trattamento cessa automaticamente tutte le operazioni di trattamento in assenza di una base giuridica alternativa. In questo caso i dati saranno cancellati dal titolare del trattamento (Art. 17.1 lett. b e 17.3 del GDPR). Nei casi in cui i dati personali sono trattati sulla base del consenso, è opportuno che lo sperimentatore determini con il partecipante alla sperimentazione se il ritiro del consenso ai sensi del CTR riguardi esclusivamente la partecipazione al Trial Clinico o se ritiri anche il consenso al trattamento dei dati personali. In ogni caso, la revoca del consenso informato alla sperimentazione ai sensi del CTR non incide sulle operazioni di trattamento basate su altri motivi legittimi, in particolare gli obblighi giuridici cui sono soggetti il promotore e lo sperimentatore, come quelli relativi alle finalità di sicurezza.

Le basi giuridiche – uso secondario

Come afferma la Commissione Europea, il CTR fa esplicito riferimento alla situazione in cui può essere richiesto il consenso del partecipante per l’uso dei suoi dati personali, al di fuori del protocollo di sperimentazione clinica, per scopi scientifici futuri (Art. 28.2 del CTR).

“L’uso secondario” di dati completamente anonimizzati non rientra nel campo di applicazione del GDPR. Per contro, in caso di trattamento di dati personali (compresi i dati pseudonimizzati)^[9] al di fuori del protocollo del Trial Clinico, occorre considerare diversi fattori.

Se un promotore o uno sperimentatore desidera utilizzare i dati personali raccolti per scopi diversi da quelli definiti dal protocollo di sperimentazione clinica (ad esempio, i dati raccolti per condurre una sperimentazione clinica sul cancro al seno utilizzati per condurre uno studio volto a identificare nuovi biomarcatori, fattispecie non prevista dal protocollo di sperimentazione clinica), sarebbe necessario una valida base giuridica ai sensi dell’Art. 6 del GDPR. È pacifico che la base giuridica scelta potrà o meno differire dalla base giuridica adoperata per “l’uso primario”.

Si deve tenere debitamente conto dell’Art. 5.1 lett. b) del GDPR, che prevede una “presunzione di compatibilità” delle finalità, fatte salve le condizioni di cui all’Art. 89.1 del GDPR, quando l’ulteriore trattamento è effettuato a fini di ricerca scientifica. In ogni caso, anche qualora si ritenga applicabile la “presunzione di compatibilità”, la ricerca scientifica che utilizza i dati al di fuori del protocollo della sperimentazione clinica deve essere condotta conformemente con la base giuridica pertinente nonché con tutte le altre disposizioni pertinenti applicabili della normativa in materia di protezione dei dati di cui all’Art. 28.2 del CTR. Pertanto, il titolare del trattamento non è esonerato dagli altri obblighi previsti dalla normativa sulla protezione dei dati, ad esempio per quanto riguarda la liceità, la correttezza, la necessità, la proporzionalità e la qualità dei dati. Di seguito ulteriori considerazioni:

• Per quanto riguarda il consenso al trattamento dei dati personali a fini di ricerca scientifica, il considerando 33 del GDPR chiarisce ulteriormente che “in molti casi non è possibile individuare pienamente la finalità del trattamento dei dati personali a fini di ricerca scientifica al momento della raccolta dei dati. Pertanto, dovrebbe essere consentito agli interessati di prestare il proprio consenso a taluni settori della ricerca scientifica laddove vi sia rispetto delle norme deontologiche riconosciute per la ricerca scientifica. Gli interessati dovrebbero avere la possibilità di prestare il proprio consenso soltanto a determinati settori di ricerca o parti di progetti di ricerca nella misura consentita dalla finalità prevista.”
• Il considerando 33 introduce una certa “flessibilità” per quanto riguarda il consenso, permettendo di descrivere le finalità ad un livello più generale. Tuttavia, deve essere interpretato in modo rigoroso e richiede un elevato grado di controllo. Inoltre, non è mai escluso il “consenso specifico”: ciò significa che, in linea di principio, il trattamento dei dati nell’ambito dei progetti di ricerca scientifica devono possedere una o più determinate finalità del trattamento.
• Il promotore può chiedere il consenso al trattamento dei dati per “uso secondario” già all’inizio della sperimentazione clinica (in occasione de “l’uso primario”). In ogni caso – ribadisce nuovamente la Commissione – è importante distinguere il consenso al trattamento dei dati dal consenso informato alla partecipazione allo studio. Il promotore deve chiedere separatamente il consenso al trattamento dei dati nell’ambito di un uso secondario (ad es. utilizzando diversi moduli di consenso) e deve indicare le specifiche finalità di ricerca di questo “ulteriore” futuro uso. Tuttavia, se lo scopo di uso secondario per ulteriori ricerche al di fuori del protocollo del Trial Clinico si presenta dopo il completamento della sperimentazione clinica, il promotore deve somministrare nuovamente il consenso (specifico) all’interessato partecipante allo studio.
• Infine – chiude la Commissione – il promotore / sperimentatore deve informare l’interessato ai sensi dell’Art. 13 del GDPR.

Trattamento dei dati personali nell’ambito di sperimentazioni cliniche in situazioni di emergenza

Una volta soddisfatte le rigide condizioni di cui all’Art. 35 del CTR^[10], un soggetto può essere iscritto in una delle categorie di partecipanti alla sperimentazione clinica in situazioni di emergenza, eccezionalmente senza previo consenso informato.

In situazioni di emergenza – specifica la Commissione – il consenso informato CTR deve essere richiesto a un legale rappresentante nel più breve tempo possibile, al fine della prosecuzione della partecipazione del soggetto alla sperimentazione clinica. Nel caso in cui il rappresentante legale non acconsenta, il soggetto rappresentato sarà escluso dalla sperimentazione.

Poiché il consenso informato alla partecipazione alla sperimentazione (CTR) non riguarda il trattamento dei dati (GDPR), la base giuridica utilizzabile per il trattamento dei dati personali nel contesto delle sperimentazioni cliniche in situazioni di emergenza è l’interesse pubblico di cui all’Art. 6.1 lett. e) del GDPR, ovvero il legittimo interesse del titolare del trattamento di cui all’Art. 6.1. lett. f) del GDPR. Inoltre il trattamento iniziale, necessario per fornire al partecipante un trattamento sanitario e per registrare i suoi risultati, in assenza del consenso informato ai sensi dell’Art. 28 del CTR, può anche essere giustificato dalla necessità di salvaguardare gli “interessi vitali dell’interessato” (Art. 35 del CTR in combinato disposto con l’Art. 6.1 lett. d nonché con l’Art. 9.2 lett. c del GDPR).

Alla luce dell’Art. 35.3 del CTR, nel caso in cui la partecipazione a una sperimentazione non sia confermata dal consenso informato ex-post, prestato dal partecipante o dal suo rappresentante legale, il partecipante o il suo rappresentante legale devono essere informati del diritto di opporsi all’uso dei dati raccolti inizialmente. Tuttavia, se l’interessato conferma la sua partecipazione, i dati potranno essere ulteriormente trattati per le relative finalità.

Infine, specifica la Commissione, se una persona decede prima della revoca / conferma del consenso, il trattamento di tali dati non è più coperto dal GDPR e le condizioni di trattamento possono essere determinate dalla legislazione degli Stati Membri UE^[11].

Ambito di applicazione territoriale e trasferimento all’estero dei dati

Come rammenta la Commissione Europea, il GDPR si applica ai titolari ed ai responsabili del trattamento stabiliti nell’UE, nonché ai titolari ed ai responsabili del trattamento non stabiliti nell’UE, qualora le attività di trattamento siano connesse all’offerta di beni o la prestazione di servizi agli interessati che si trovano in UE, ovvero al monitoraggio del loro comportamento che ha luogo nell’UE (Art. 3 del GDPR). Qualora il promotore tratti i dati personali degli interessati che si trovano nell’UE in relazione a tali finalità, anche nel contesto della gestione della sperimentazione clinica, il GDPR è pienamente applicabile, compreso l’obbligo di designare un rappresentante ai sensi dell’Art. 27 del GDPR.

Il promotore e lo sperimentatore che trasferiscono i dati personali al di fuori dell’Unione Europea e dello Spazio Economico Europeo (SEE) devono rispettare le norme sui trasferimenti internazionali (Capo V del GDPR). È possibile adottare l’approccio più adatto alla situazione specifica. A seconda dei casi, ad esempio, i trasferimenti potranno risultare leciti:

• sulla base di una decisione di adeguatezza (vale a dire quando la Commissione Europea ha deciso che un terzo, ovvero un’organizzazione internazionale, garantisce un adeguato livello di protezione pari a quello di uno Stato Membro UE);
• sulla base di un codice di condotta (Art. 46 del GDPR);
• sulla base di una delle deroghe di cui Art. 49 del GDPR (ad esempio, per importanti motivi di interesse pubblico).

Il rapporto tra gdpr e direttiva 2001/20/ce (ctd)

In attesa che il CTR venga applicato, le sperimentazioni cliniche operano ancora in costanza della Direttiva 2001/20/CE^[12] (CTD).

Quindi il promotore deve continuare a seguire le regole CTD nonché le relative discipline nazionali di ricezione. Per i Trial Clinici in corso, è necessario considerare i punti che seguono.

La base giuridica e le informazioni sul trattamento dei dati

La base giuridica per il trattamento dei dati personali nell’ambito di un Trial Clinico, in base ai disposti CTD, rimane essenzialmente invariata, a prescindere dalla data di applicazione del GDPR (25 Maggio 2018): ad es. se il partecipante alla sperimentazione ha espresso il consenso al trattamento dei dati, questo non può essere trasformato in un’altra base giuridica; il consenso rimarrà la base giuridica per tutta la durata della sperimentazione. Se, ad esempio, la base giuridica è l’interesse pubblico, questa base giuridica rimane invariata.

Inoltre la Commissione specifica che è necessario fornire le informazioni di cui all’Art. 13 e 14 del GDPR quanto prima possibile.

Un “nuovo” consenso al trattamento dei dati

Se il consenso è stato scelto come base giuridica iniziale nell’ambito della sperimentazione, il titolare del trattamento deve valutare se il consenso iniziale soddisfa i requisiti del GDPR. In caso contrario, può essere necessario richiedere un nuovo consenso. Il titolare del trattamento dei dati deve considerare se queste azioni sono necessarie per quanto riguarda i dati degli interessati ancora in corso di trattamento nell’ambito della sperimentazione (è irrilevante se il partecipante continua a ricevere il medicinale in fase di sperimentazione o se è in fase di follow-up).

_____________________________________________________________________________

1. Nel presente articolo saranno utilizzati in maniera alternativa ma equivalente i termini: “Trial Clinico” e “Sperimentazione Clinica”. Per una panoramica della materia: https://www.uildm.org/che-cos%C3%A8-un-trial-clinico-0 ↑
2. Per una panoramica degli “attori” di un Trial Clinico: https://www.nurse24.it/specializzazioni/ricerca/clinica-figure-conducono-studio.html ↑
3. Responsabile della Protezione dei Dati o Data Protection Officer (Capo IV – Sezione 4 del GDPR). ↑
4. Art. 30 del GDPR. ↑
5. Valutazione d’impatto sulla protezione dei dati (Capo IV – Sezione 3 del GDPR). ↑
6. i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell’interessato, in particolare il segreto professionale.j) il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell’articolo 89, paragrafo 1, sulla base del diritto dell’Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l’essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato. ↑
7. https://www.garanteprivacy.it/regolamentoue/consenso ↑
8. Pregiudizio. ↑
9. Per approfondimenti su pseudonimizzazione e anonimizzazione: https://www.cybersecurity360.it/legal/privacy-dati-personali/tecniche-di-pseudonimizzazione-e-anonimizzazione-differenze-e-campi-di-applicazione/ ↑
10. a) il soggetto non è in grado di fornire il consenso informato preventivo né di ricevere informazioni preventive sullasperimentazione clinica a causa dell’urgenza della situazione, dovuta a una condizione clinica improvvisa che nemette in pericolo la vita o ad altra condizione clinica grave;b) vi sono motivi scientifici per ritenere che la partecipazione del soggetto alla sperimentazione clinica sarà potenzialmente in grado di recare al soggetto un beneficio diretto clinicamente rilevante, che si tradurrà in un miglioramento misurabile in termini di salute capace di alleviare la sofferenza e/o migliorare la salute del soggetto della sperimentazione o nella diagnosi della sua condizione;

    c) non è possibile, entro il periodo di finestra terapeutica, fornire tutte le informazioni preventive e ottenere il consenso informato preventivo dal suo rappresentante legalmente designato;

    d) lo sperimentatore certifica di non essere a conoscenza di obiezioni alla partecipazione alla sperimentazione clinica

    sollevate in precedenza dal soggetto;

    e) la sperimentazione clinica è direttamente associata alla condizione clinica del soggetto, a causa della quale non è

    possibile ottenere, entro il periodo di finestra terapeutica, il consenso informato preventivo del soggetto o del suo

    rappresentante legalmente designato né fornire informazioni preventive, e inoltre la sperimentazione clinica è di

    natura tale da poter essere condotta esclusivamente in situazioni di emergenza;

    f) la sperimentazione clinica pone un rischio e un onere minimi per il soggetto rispetto al trattamento standard applicato alla sua condizione. ↑

11. Per quanto riguarda l’Italia, si veda l’Art. 2-terdecies del Codice Privacy (Diritti riguardanti le persone decedute). ↑
12. Recepita in Italia con il D. Lgs. 211/2003. Si segnalano le modifiche operate dal D. Lgs. 52/2019. ↑