(Privacy: le deroghe nella ricerca medica)
Con la delibera 9 maggio 2024, il Garante per la protezione dei dati personali, ha dettato le regole deontologiche a fini statistici e di ricerca scientifica.
Abbonati ad Ambiente&Sicurezza, il tuo strumento di lavoro
In particolare, il Garante individua le garanzie riportate al punto 2 della delibera per i trattamenti di dati personali relativi alla salute necessari a fini di ricerca medica, biomedica e epidemiologica necessari quando, a causa di particolari ragioni, informare gli interessati e quindi acquisirne il consenso risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca.
Qui di seguito il testo integrale della delibera.
Delibera 9 maggio 2024 del Garante per la protezione dei dati personali
Regole deontologiche per trattamenti di dati personali a fini
statistici e di ricerca scientifica, ai sensi degli articoli 2-quater
e 106 del Codice. (Provvedimento n. 298). (24A02868)
(Gazzetta Ufficiale n. 130 del 5 giugno 2024)
IL GARANTE PER LA PROTEZIONE
DEI DATI PERSONALI
Nella riunione odierna, alla quale hanno preso parte il prof.
Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni,
vice presidente, il dott. Agostino Ghiglia, l'avv. Guido Scorza,
componenti e il cons. Fabio Mattei, segretario generale;
Visto il regolamento (UE) 2016/679 del Parlamento europeo e del
Consiglio, del 27 aprile 2016, relativo alla protezione delle persone
fisiche con riguardo al trattamento dei dati personali, nonche' alla
libera circolazione di tali dati e che abroga la direttiva 95/46/CE,
«Regolamento generale sulla protezione dei dati» (di seguito
«regolamento»);
Visto il decreto legislativo 30 giugno 2003, n. 196, recante il
«Codice in materia di protezione dei dati personali», (di seguito
«codice»);
Visto l'art. 110 del codice cosi' come novellato dall'art. 44,
comma 1-bis, della legge 29 aprile 2024, n. 56, di conversione del
decreto-legge n. 19 del 2 marzo 2024, recante ulteriori disposizioni
urgenti per l'attuazione del PNRR nella parte in cui prevede che «Il
consenso non e' inoltre necessario quando, a causa di particolari
ragioni, informare gli interessati risulta impossibile o implica uno
sforzo sproporzionato, oppure rischia di rendere impossibile o di
pregiudicare gravemente il conseguimento delle finalita' della
ricerca. In tali casi, il titolare del trattamento adotta misure
appropriate per tutelare i diritti, le liberta' e i legittimi
interessi dell'interessato, il programma di ricerca e' oggetto di
motivato parere favorevole del competente comitato etico a livello
territoriale. Nei casi di cui al presente comma, il Garante individua
le garanzie da osservare ai sensi dell'art. 106, comma 2, lettera d),
del presente codice»;
Visto l´art. 2-quater del codice che attribuisce al Garante il
compito di promuovere, nell'osservanza del principio di
rappresentativita' e tenendo conto delle raccomandazioni del
Consiglio d'Europa sul trattamento dei dati personali, l'adozione di
regole deontologiche per i trattamenti previsti dalle disposizioni di
cui agli articoli 6, paragrafo 1, lettere c) ed e), 9, paragrafo 4, e
al Capo IX del regolamento, di verificarne la conformita' alle
disposizioni vigenti, anche attraverso l'esame di osservazioni di
soggetti interessati e di contribuire a garantirne la diffusione e il
rispetto;
Visto l'art. 106 del codice rubricato Regole deontologiche per
trattamenti a fini statistici o di ricerca scientifica in base al
quale il Garante promuove, ai sensi dell'art. 2-quater, regole
deontologiche per i soggetti pubblici e privati, ivi comprese le
societa' scientifiche e le associazioni professionali, interessati al
trattamento dei dati per fini statistici o di ricerca scientifica,
volte a individuare garanzie adeguate per i diritti e le liberta'
dell'interessato in conformita' all'art. 89 del regolamento;
Viste le regole deontologiche per trattamenti a fini statistici o
di ricerca scientifica adottate dal Garante, ai sensi dell'art. 20,
comma 4, del decreto legislativo 10 agosto 2018, n. 101, con
provvedimento n. 515, del 19 dicembre 2018, allegato A5 al codice
(doc. web n. 9069637) (di seguito «regole deontologiche»);
Viste le prescrizioni per trattamenti a fini statistici e di
ricerca scientifica di cui al provvedimento recante le prescrizioni
relative al trattamento di categorie particolari di dati, ai sensi
dell'art. 21, comma 1, del decreto legislativo 10 agosto 2018, n. 101
(doc. web n. 9124510), (di seguito «prescrizioni»);
Visto il regolamento n. 1/2019 concernente le procedure interne
aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e
all'esercizio dei poteri demandati al Garante e, in particolare,
l'art. 23 (Deliberazione del 4 aprile 2019, di seguito «regolamenti
interno»);
Vista la documentazione in atti;
Viste le osservazioni formulate dal segretario generale ai sensi
dell'art. 15 del regolamento del Garante n. 1/2000
sull'organizzazione e il funzionamento dell'ufficio del Garante per
la protezione dei dati personali, in www.gpdp.it - doc. web n.
1098801;
Relatore il prof. Pasquale Stanzione;
Premesso:
1. Quadro normativo di riferimento
In base all'art. 110 del codice, cosi' come modificato dall'art.
44, comma 1-bis, del decreto-legge n. 19 del 2 marzo 2024, il Garante
e' chiamato a individuare le garanzie da osservare nei casi in cui
per il trattamento dei dati sulla salute di cui all'art. 9 del
regolamento per scopi di ricerca medica, biomedica ed epidemiologica,
non e' possibile acquisire il consenso degli interessati, ai sensi
dell'art. 106, comma 2, lettera d), del codice.
Si osserva, inoltre che l'art. 20, commi 3 e 4, del decreto
legislativo 101 del 2018, ha conferito al Garante il compito di
verificare la conformita' al regolamento delle disposizioni contenute
nei codici di deontologia e buona condotta di cui agli allegati A.1,
A.2, A.3, A.4 e A.5 al codice, rinominandole regole deontologiche.
Con il provvedimento n. 514 del 19 dicembre 2018 il Garante ha
adottato pertanto le regole deontologiche per trattamenti a fini
statistici o di ricerca scientifica che costituiscono l'attuale
allegato A.5 al codice.
L'Autorita', nel processo di revisione dei codici di deontologia e
di buona condotta, ha svolto un intervento rigorosamente circoscritto
alla verifica della compatibilita' delle regole ivi contenute con il
rinnovato quadro normativo nonche', laddove necessario, di mero
aggiornamento dei riferimenti normativi presenti nel codice di
deontologia e di attualizzazione della terminologia utilizzata al
fine di renderla coerente con quella unionale e nazionale.
Come si evince dal richiamato provvedimento del 19 dicembre 2018,
sono numerose le disposizioni che l'Autorita' ha ritenuto
incompatibili con il regolamento e con il codice in quanto il
previgente codice di deontologia e di buona condotta non poteva tener
conto del nuovo approccio alla protezione dei dati personali basato,
in particolare, sul rischio e sui principi di responsabilizzazione e
di protezione dei dati sin dalla progettazione e per impostazione
predefinita che permeano il regolamento (art. 5, paragrafo 2, e
articoli 24, 25, 32 e 35 del regolamento).
Cio' ha inevitabilmente portato a un ridimensionamento degli ambiti
regolamentati dalle vigenti regole deontologiche. Nel corso degli
ultimi anni, il Garante ha adottato numerosi provvedimenti in materia
rilevando, grazie anche al costante dialogo con gli operatori del
settore, come il mutato contesto (che si caratterizza anche per un
cambiamento sostanziale delle modalita' di realizzazione
dell'attivita' di ricerca medica, sempre piu' supportata
dall'utilizzo di nuove tecnologie) renda urgente l'adozione di nuove
regole deontologiche in tale settore.
Poste tali premesse, si ritiene pertanto necessaria l'adozione
della presente deliberazione volta da una parte a individuare le
garanzie di cui all'art. 110 del codice e dell'altra a promuovere
l'adozione di nuove regole deontologiche per trattamenti a fini
statistici o di ricerca scientifica, ai sensi degli articoli 2-quater
e 106 del codice.
2. Individuazione delle garanzie da applicare ai sensi dell'art. 110
del codice
Nelle more dell'approvazione delle nuove regole deontologiche e
ferma la vigenza di quelle di cui all'allegato A5 del codice, il
Garante ai sensi dell'art. 110 del codice individua le seguenti
garanzie, necessarie per i trattamenti di dati sulla salute per
finalita' di ricerca medica, biomedica e epidemiologica, riferiti a
soggetti deceduti o non contattabili per i seguenti motivi etici o
organizzativi.
Sono motivi etici quelli riconducibili alla circostanza che
l'interessato ignora la propria condizione. Rientrano in questa
categoria le ricerche per le quali l'informativa sul trattamento dei
dati da rendere agli interessati comporterebbe la rivelazione di
notizie concernenti la conduzione dello studio la cui conoscenza
potrebbe arrecare un danno materiale o psicologico agli interessati
stessi.
Sono motivi di impossibilita' organizzativa quelli riconducibili
alla circostanza che la mancata raccolta dei dati riferiti al numero
di interessati che non e' possibile contattare, rispetto al numero
complessivo dei soggetti che si intende arruolare nella ricerca,
produrrebbe conseguenze significative per lo studio in termini di
qualita' dei risultati della ricerca stessa; cio' avuto riguardo, in
particolare, ai criteri di inclusione previsti dallo studio, alle
modalita' di arruolamento, alla numerosita' statistica del campione
prescelto, nonche' al periodo di tempo trascorso dal momento in cui i
dati riferiti agli interessati sono stati originariamente raccolti.
I motivi di impossibilita' organizzativa concernono sia quelli
derivanti dalla circostanza, da considerarsi del tutto residuale, che
contattare gli interessati implicherebbe uno sforzo sproporzionato
vista la particolare elevata numerosita' del campione, sia quelli
derivanti dalla circostanza, alternativa alla precedente, che
all'esito di ogni ragionevole sforzo compiuto per contattarli (anche
attraverso la verifica dello stato in vita, la consultazione dei dati
riportati nella documentazione clinica, l'impiego dei recapiti
telefonici eventualmente forniti, nonche' l'acquisizione dei dati di
contatto pubblicamente accessibili) essi risultino al momento
dell'arruolamento nello studio, deceduti o non contattabili.
In tali casi, il titolare del trattamento oltre ad adottare misure
appropriate per tutelare i diritti, le liberta' e i legittimi
interessi dell'interessato, e acquisire il parere favorevole del
competente comitato etico a livello territoriale sul progetto di
ricerca come previsto dall'art. 110 del codice deve accuratamente
motivare e documentare, nel progetto di ricerca, la sussistenza delle
ragioni etiche o organizzative per le quali informare gli interessati
e quindi acquisire il consenso, risulta impossibile o implica uno
sforzo sproporzionato, oppure rischia di rendere impossibile o di
pregiudicare gravemente il conseguimento delle finalita' della
ricerca, se del caso documentando altresi' i ragionevoli sforzi
profusi per tentare di contattarli.
Nei predetti casi, i titolari del trattamento di dati sulla salute
per finalita' di ricerca medica, biomedica e epidemiologica riferiti
a soggetti deceduti o non contattabili devono altresi' svolgere e
pubblicare la valutazione di impatto, ai sensi dell'art. 35 del
regolamento, dandone comunicazione al Garante.
3. Promovimento delle nuove regole deontologiche per trattamenti a
fini statistici o di ricerca scientifica ai sensi degli articoli
2-quater e 106 del codice
3.1. Principio di rappresentativita' e categorie interessate
Le regole deontologiche sono promosse nell'osservanza del principio
di rappresentativita' (art. 2-quater del codice) che si intende
soddisfatto sulla base della natura giuridica dei soggetti
proponenti, istituzionalmente o statutariamente tenuti allo
svolgimento di ricerche mediche quali universita', altri enti o
istituti di ricerca, societa' scientifiche, ricercatori che operano
nell'ambito di dette universita', enti, istituti di ricerca e soci di
dette societa' scientifiche, istituti di ricovero e cura a carattere
scientifico, fondazioni enti morali di ricerca, nonche' enti pubblici
istituzionalmente competenti al perseguimento di tali compiti (art.
2-quater del codice art. 23, comma 2 e 24, comma 5 del regolamento
interno).
Con la presente deliberazione i predetti soggetti e ulteriori
soggetti pubblici e privati appartenenti a categorie interessate
aventi titolo a sottoscrivere le regole deontologiche sono altresi'
invitati a darne comunicazione all'Autorita', anche attraverso le
proprie associazioni di categoria o strutture pubbliche maggiormente
rappresentative, quali l'Istituto superiore di sanita', entro il
termine di sessanta giorni dalla pubblicazione della presente
deliberazione nella Gazzetta Ufficiale della Repubblica italiana e a
fornire informazioni e documentazione idonee a comprovare, in
particolare, la loro rappresentativita' (art. 23, comma 2, secondo
periodo del regolamento interno).
3.2 Interesse qualificato
Il Garante e' altresi' chiamato a valutare la sussistenza di un
interesse in capo a soggetti comunque interessati all'applicazione
delle regole deontologiche ancorche' non tenuti alla sottoscrizione
delle stesse (quali ad esempio associazioni di malati), invitandoli a
darne comunicazione all'Autorita', entro il termine di sessanta
giorni dalla pubblicazione della presente deliberazione nella
Gazzetta Ufficiale della Repubblica italiana e a fornire informazioni
e documentazione idonee a comprovare, in particolare, il proprio
interesse qualificato alla materia (articoli 23, comma 3 e 24, comma
5 del regolamento interno).
3.3 Ambiti di intervento delle regole deontologiche.
L'Autorita', nell'incoraggiare la piu' proficua cooperazione tra i
soggetti interessati nell'organizzazione e nello svolgimento dei
lavori volti alla redazione delle nuove regole deontologiche,
evidenzia che esse dovranno avere ad oggetto, in particolare, gli
ambiti di cui all'art. 106, comma 2, del codice.
Tutto cio' premesso il Garante:
1. individua le garanzie di cui al punto 2 della presente
deliberazione per i trattamenti di dati personali relativi alla
salute necessari a fini di ricerca medica, biomedica e epidemiologica
necessari quando, a causa di particolari ragioni, informare gli
interessati e quindi acquisirne il consenso risulta impossibile o
implica uno sforzo sproporzionato, oppure rischia di rendere
impossibile o di pregiudicare gravemente il conseguimento delle
finalita' della ricerca, ai sensi degli articoli 106, comma 2,
lettera d), e 110 del codice;
2. promuove l'adozione delle regole deontologiche per trattamenti
di dati personali a fini statistici e di ricerca scientifica, ai
sensi degli articoli 2-quater e 106 del codice;
3. stabilisce, ai sensi degli articoli 23, comma 2 e 24, comma 5,
del regolamento interno, che:
il principio di rappresentativita' si intende soddisfatto tenuto
conto degli elementi di cui al punto 3.1 della presente deliberazione
e le categorie interessate sono indicate al medesimo punto;
i predetti soggetti, che ritengano di avere titolo a
sottoscrivere le regole per trattamenti a fini statistici o di
ricerca scientifica, sono invitati a darne comunicazione
all'Autorita';
4. stabilisce, ai sensi degli articoli 23, comma 3 e 24, comma 5,
del regolamento interno, che:
si definiscono portatori di un interesse qualificato i soggetti
di cui al punto 3.2 della presente deliberazione;
tali soggetti sono invitati a darne comunicazione all'Autorita' e
a fornire informazioni e documentazione idonee a comprovare, in
particolare, il proprio interesse qualificato alla materia.
Le comunicazioni di cui al paragrafo 3 della presente deliberazione
dovranno pervenire all'Autorita' all'indirizzo di posta elettronica
certificata protocollo@pec.gpdp.it entro il termine di sessanta
giorni dalla pubblicazione della presente deliberazione nella
Gazzetta Ufficiale della Repubblica italiana.
Il Garante dispone la trasmissione della presente deliberazione
all'ufficio pubblicazione leggi e decreti del Ministero della
giustizia per la sua pubblicazione nella Gazzetta Ufficiale della
Repubblica italiana.
(Privacy: le deroghe nella ricerca medica)
