L’Autorità Garante per la Protezione dei Dati personali ha rilasciato un provvedimento (Registro dei Provvedimenti n. 582 del 7 dicembre 2023), in cui ha espresso parere favorevole a una richiesta di consultazione preventiva relativa alla conduzione di uno studio retrospettivo. In questa occasione, ha anche offerto nuovi e interessanti spunti di riflessione per meglio comprendere la sfaccettata disciplina dell’articolo 110 del Codice Privacy e per illuminare di una luce nuova il ruolo dei comitati etici territoriali nell’ambito della protezione dei dati.
Il contesto di riferimento
Un’azienda ospedaliero-universitaria ha sottoposto all’Autorità Garante una
richiesta di consultazione preventiva, ai sensi dell’articolo 110 del Decreto
Legislativo n. 196 del 30 giugno 2003, “Codice in materia di protezione dei dati
personali” (di seguito “Codice”) e dell’articolo 36 del Regolamento (UE) 2016/679
del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito
“Regolamento”), al fine di ottenere il parere in merito alla prosecuzione di uno
studio.
Lo studio era già stato avviato nei mesi scorsi a seguito della specifica
autorizzazione rilasciata dall’Autorità Garante con il precedente provvedimento n.
118 del 7 aprile 2022 a fronte della istanza di consultazione preventiva avanzata dal
titolare del trattamento che evidenziava l’impossibilità organizzativa di acquisire il
consenso da parte di un grande numero di interessati.
Come noto, il trattamento di dati personali per scopi di ricerca scientifica deve
essere effettuato nel rispetto del Regolamento, del Codice, delle Prescrizioni relative
al trattamento dei dati personali effettuato per scopi di ricerca scientifica (allegato n.
5), nonché delle Regole deontologiche che costituiscono condizione essenziale di
liceità e correttezza dei trattamenti (articolo 2-quater del Codice e articolo 21, comma 5 del Decreto Legislativo n. 101 del 10 agosto 2018).
Con specifico riferimento al perseguimento di scopi di ricerca scientifica in campo
medico, biomedico e epidemiologico, si evidenzia che essi sono ammessi previa
acquisizione del consenso dell’interessato. Tale presupposto non è necessario “[…] quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca.
In tali ultimi casi, il titolare del trattamento adotta misure appropriate per tutelare i
diritti, le libertà e i legittimi interessi dell’interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente Comitato Etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante, ai sensi dell’articolo 36 del Regolamento (art. 110 del Codice, articolo 9, paragrafo 2, lettera j) e paragrafo 4 del Regolamento).
Il ricorso alla preventiva autorizzazione da parte del Garante Privacy ai sensi
dell’articolo 110 costituisce quindi la base giuridica sussidiaria rispetto a quella
ordinaria del consenso nei casi in cui questo non possa essere acquisito
dall’interessato.
Lo studio
Lo studio sottoposto all’Autorità era caratterizzato da due peculiarità:
- presentava caratteristiche tali da rendere impossibile acquisire il consenso degli interessati per ragioni di tipo organizzativo, economico e di risorse, attesa la natura no profit dello studio, come già verificato in sede di istruttoria dalla stessa Autorità Garante;
- era stato presentato al competente comitato etico un emendamento che modificava, prolungandola di dodici mesi, la durata della raccolta dati che era stata dichiarata all’Autorità Garante in occasione dell’originaria richiesta di consultazione.
Le caratteristiche dello studio che determinavano l’impossibilità di acquisire il
consenso degli interessati (e in particolare quelle organizzative ed economiche
derivanti dalla numerosità del campione) non potevano nel caso di specie dirsi
venute meno con il decorrere del tempo. Tuttavia poteva risultare dubbia la necessità di richiedere una nuova consultazione preventiva a fronte della sola necessità dei
ricercatori di estendere l’originario intervallo temporale dell’osservazione e della
raccolta dei dati.
Sarebbe potuta infatti apparire logica anche la scelta, acquisito il parere favorevole
del Comitato etico territorialmente competente, di limitarsi alle mere modifiche del
Protocollo di studio, della valutazione di impatto sul trattamento dei dati redatta ai
sensi dell’articolo 35 del Regolamento e del modello di informativa redatta ai sensi
degli articoli 13 e 14 del Regolamento, ma senza ulteriori adempimenti.
La decisione dell’azienda di sottoporre all’Autorità una nuova richiesta di
consultazione non è andata però in tale direzione e si è rivelata di fatto corretta.
La precisazione dell’Autorità
L’Autorità ha infatti avuto modo di precisare che:
- l’originario parere favorevole del Garante (con il citato Provvedimento del 7 aprile
2022), costituisce la base giuridica per il trattamento dei dati personali dei pazienti
non contattabili esclusivamente per il periodo originariamente indicato dal titolare
(“ritenendosi pertanto superfluo che l’istanza di consultazione preventiva avente
ad oggetto il richiamato emendamento riguardi anche i dati il cui trattamento è già
stato autorizzato alla luce del predetto provvedimento del Garante”); - è necessaria una nuova istanza di consultazione preventiva per il trattamento
dei dati personali dei pazienti relativamente al periodo di osservazione successivo.
L’Azienda in qualità di promotore dello Studio e di titolare del trattamento, secondo il
collegio, ha “(…) correttamente individuato le basi giuridiche del trattamento per la
raccolta dei dati personali degli interessat[i] nell’ulteriore periodo di osservazione
retrospettiva (…)”, confermando i motivi che giustificano l’impossibilità di riuscire ad
informare gli interessati e acquisirne un valido consenso e richiedendo quindi una
nuova consultazione per la liceità dell’ulteriore trattamento.
Con tale precisazione l’Autorità ha dunque confermato la correttezza dell’approccio
adottato dal titolare, al quale è stato prescritto di diffondere, tramite pubblicazione,
le Informazioni sul trattamento dei dati personali appositamente predisposte per lo
studio, e modificate a seguito dell’emendamento, in ossequio al principio di
trasparenza.
Comitati etici e trattamento dei
dati personali
Il Provvedimento 582/2023 offre l’opportunità di vedere sotto una luce nuova e di
rafforzare anche il ruolo dei comitati etici, nella parte in cui ne conferma il ruolo non
già a livello formale, ma soprattutto sostanziale nel conferire liceità al trattamento dei
dati personali per finalità di ricerca.
Il Garante precisa infatti “(…) l’emendamento allo Studio ha ottenuto il parere favorevole del competente comitato etico a livello territoriale (…)” e che tale presupposti “…si configura quale condizione di liceità e correttezza del trattamento
dei dati personali per le finalità in esame, laddove non sia possibile acquisire il
consenso degli interessati (cfr. Provvedimento n. 202 del 29 ottobre 2020, doc. web
9517401 e Provvedimento n. 406 del 1° novembre 2021, doc. web 9731827)…”.
Questa considerazione ci spinge ad analizzare il ruolo e le attribuzioni in capo al
Comitato Etico.
Il Decreto Legislativo 24 giugno 2003, n. 211 “Attuazione della direttiva 2001/20/CE
relativa all’applicazione della buona pratica clinica nell’esecuzione delle
sperimentazioni cliniche di medicinali per uso clinico” prevede all’articolo 7 “I
comitati etici dei centri partecipanti hanno competenza nel giudicare tutti gli aspetti
del protocollo [di studio]”.
La delega alle Regioni e il regolamento Ue
Con la Legge 189 del 8 novembre 2012, alle Regioni è stata delegata la
competenza “a riorganizzare i Comitati Etici istituiti nel proprio territorio”, sulla base
di precisi criteri anche dettati dall’articolo 1 del Decreto del Ministero della Salute 8
febbraio 2013 “Criteri per la composizione e il funzionamento dei comitati etici”,
scaturito dalle previsioni della citata legge.
Tale articolo sancisce l’indipendenza dei Comitati Etici e il loro ruolo di garanzia
nella tutela dei diritti, della sicurezza e del benessere delle persone in
sperimentazione e nel fornire pubblica garanzia di tale tutela.
Il regolamento europeo
Il Regolamento (UE) 2014/536 del Parlamento Europeo e del Consiglio del 16 aprile
2014 sulla sperimentazione clinica dei medicinali per uso umano e che abroga la
direttiva 2001/20/CE, all’articolo 7, paragrafo 1, lettera d), Capo 2, prevede che la
valutazione dei comitati etici si estenda anche al grado di conformità alla Direttiva
95/46/CE, oggi “assorbita” ed abrogata dal Regolamento UE 679/2016.
Il DM 26 gennaio 2023, all’articolo 1 comma 2, prevede che “I comitati etici
territoriali di cui al comma 1 sono competenti in via esclusiva per la valutazione delle
sperimentazioni cliniche sui dispositivi medici e sui medicinali per uso umano di fase
I, II, III e IV per gli aspetti compresi nella parte II dell’articolo 7 del Regolamento
(UE) n. 2014/536”, indicazione che a sua volta richiama la normativa europea in
materia di protezione dei dati personali.
Da ultimo, l’Autorità Garante per la protezione dei dati personali, come già
ricordato, ha più volte ribadito il ruolo decisivo del comitato etico non solo nel
garantire la tutela dei diritti, della sicurezza e del benessere delle persone in
sperimentazione e nel fornire pubblica garanzia di tale tutela mediante il rilascio
delle autorizzazioni (parere motivato) allo svolgimento degli studi, ma anche nel
concorrere a rendere legittimo il trattamento di dati personali e di salute per finalità
di studio e ricerca clinica, completando la base giuridica già individuata dalla Legge.
Il ruolo del comitato etico
In tale ottica, sembra plausibile che i comitati etici, oltre ad approvare il protocollo
di studio e ricerca ed i suoi allegati, possano (e debbano) spingersi a esprimersi sulla sussistenza di una reale e comprovata impossibilità dei Titolari di acquisire il
consenso da parte degli interessati per la loro partecipazione allo studio o ricerca
clinica.
Il suddetto parere, onnicomprensivo, sarebbe forse auspicabile partendo da
un’interpretazione delle fonti indicate e proprio al fine di giungere ad una protezione
integrale della persona fisica quale “portatrice” di diritti fondamentali e libertà, tra cui
anche il diritto al diritto alla protezione dei propri dati personali e il diritto di
autodeterminazione nelle scelte in ordine alla disposizione dei dati stessi.
Questa considerazione infatti deriva non solo dal disposto dell’articolo 110 del
Codice Privacy, ma anche dalle specifiche funzioni consultive svolte dai comitati
etici, in relazione a questioni etiche connesse con le attività scientifiche e
assistenziali, previste dall’articolo 1 del Decreto del Ministero della Salute 8 febbraio
2013.
Il titolare del trattamento, pur definendo e adottando misure appropriate per tutelare
i diritti, le libertà e i legittimi interessi dell’interessato, può ritenere infatti che, ogni
qualvolta non sia possibile acquisire una specifica manifestazione di volontà
dell’interessato in relazione al trattamento dei dati personali che lo riguardano,
emergano questioni che richiedano una interlocuzione con il comitato etico, allo
scopo di recepire le considerazioni e valutazioni in ordine alla giustificabilità del
trattamento di dati personali, per finalità di ricerca scientifica, che si intende
realizzare.
Le valutazioni del comitato circa gli aspetti inerenti al trattamento dei dati personali
sono infatti finalizzate a proteggere e promuovere in modo effettivo i valori della
persona e ad assicurare un elevato livello di qualità degli studi.
La capacità di garantire elevati standard nella tutela dei dati personali non è solo un
fattore da considerare ai fini delle valutazioni etiche correlate alla ricerca scientifica,
ma è anche un elemento che sempre più viene tenuto in considerazione ai fini della
valutazione complessiva della buona qualità degli studi.
Non è infrequente, ad esempio, che taluni progetti di ricerca siano considerati
meritevoli di finanziamento nella misura in cui presentino una particolare
considerazione per la protezione dei dati personali.
Conclusioni
Come teorizzato, per altro contesto, da G. Rasi nel suo attualissimo intervento “La
Privacy come qualità nella moderna economia”, l’esistenza di norme a tutela dei dati personali può permettere al cittadino di esercitare un effettivo controllo sui propri dati personali e agli stakeholder di beneficiare di informazioni corrette e genuine perché fondate sull’autodeterminazione degli individui.
Introdurre la data protection e la compliance alle relative normative nelle valutazioni
di qualità degli studi consentirebbe un livello di eticità diffusa e di vantaggio
collettivo, legato alla soddisfazione delle diverse esigenze dei ricercatori e degli
interessati, in particolare quando questi ultimi siano impossibilitati a esprimere il
consenso alla ricerca clinica.
