Provvedimenti ex art. 110 del Codice n. 402 del 24/11/2022

IFOM – studio METAMECH: consultazione preventiva sul trattamento di dati sanitari e genetici di pazienti non contattabili

Il Garante esamina l’istanza di consultazione preventiva presentata da IFOM per lo studio clinico osservazionale retrospettivo multicentrico "A Master Protocol Empowering Mechanobiology Translational Research in Breast Cancer (METAMECH)". Il procedimento riguarda esclusivamente il livello/tier 0 dello studio, cioè la raccolta e l’analisi retrospettiva di dati relativi alla salute e di dati genetici riferiti a pazienti deceduti o non contattabili.

Contesto dello studio e trattamento esaminato

Lo studio è finalizzato a identificare e validare nuovi biomarcatori prognostici e/o predittivi nel tumore della mammella, mediante l’analisi di campioni biologici e dati clinici archiviati presso sette centri. IFOM ha chiarito che il consorzio METAMECH è un accordo di collaborazione scientifica e che l’istanza presentata riguarda solo il tier 0, mentre i successivi livelli di ricerca (tier 1, 2 e 3) si fondano, rispettivamente, sul consenso degli interessati o su progetti autonomi.

L’Autorità prende atto della struttura del progetto, della valutazione di impatto sulla protezione dei dati, dei pareri dei comitati etici e delle informative predisposte. Viene inoltre valorizzata la previsione di una sezione dedicata alle eventuali "notizie inattese" che potrebbero emergere nel corso della ricerca.

Base giuridica del trattamento e impossibilità di acquisire il consenso

Per il tier 0, il Garante ritiene corretta la base giuridica individuata da IFOM: il trattamento può avvenire in assenza di consenso quando, per particolari ragioni, risulta impossibile informare gli interessati o ciò comporta uno sforzo sproporzionato, oppure pregiudicherebbe gravemente il raggiungimento delle finalità della ricerca. Nel caso concreto, l’impossibilità è connessa alla circostanza che i soggetti sono deceduti o non contattabili.

L’Autorità richiama il combinato disposto dell’art. 110 del Codice, dell’art. 9, par. 2, lett. j), e par. 4, GDPR, nonché le prescrizioni per la ricerca scientifica e le regole deontologiche applicabili. Sottolinea altresì che il titolare deve comunque adottare misure adeguate a tutela dei diritti e delle libertà degli interessati.

Conservazione dei dati e principio di limitazione della conservazione

IFOM ha dichiarato di voler conservare dati clinici e campioni per almeno 7 anni, con possibile rinnovo per ulteriori 7 anni, in ragione della durata del finanziamento e della necessità scientifica di proseguire le attività di scoperta e validazione di biomarcatori. Il Garante ritiene tale arco temporale proporzionato rispetto alla finalità dichiarata.

L’Autorità precisa però che, se lo studio dovesse proseguire oltre i 14 anni per le medesime finalità e con ulteriori finanziamenti, il promotore dovrà:

• informare gli interessati non contattabili mediante specifiche inserzioni sul sito di IFOM e sui siti dei centri sperimentali;
• informare direttamente gli interessati in vita con i quali entri in contatto tramite i centri sperimentali.

Inoltre, il punto 4 dell’informativa dovrà indicare chiaramente la possibilità di una conservazione più lunga per il medesimo scopo, qualora intervengano ulteriori finanziamenti.

Informativa, pseudonimizzazione e trasparenza

Il Garante apprezza l’impostazione dell’informativa, ma segnala due passaggi da correggere. In particolare, va riformulata o eliminata la frase che descrive la pseudonimizzazione come se i dati non fossero più collegabili alla persona, poiché la pseudonimizzazione non esclude l’identificabilità dell’interessato ma la rende più difficoltosa con chiavi separate e misure di sicurezza adeguate.

Va inoltre espunto il periodo che afferma che i dati, per più finalità, saranno cancellati automaticamente o salvati in formato non riconducibile all’identità non appena l’ultima finalità sarà stata adempiuta, perché non coerente con i chiarimenti resi sul trattamento e sulla conservazione.

È invece ritenuto positivamente il modulo per la revoca del consenso, giudicato idoneo a garantire la revoca con la stessa facilità con cui è stato prestato.

Anonimizzazione finale dei dati

IFOM prevede, al termine del trattamento, un processo di anonimizzazione dei dati, fondato verosimilmente su tecniche di generalizzazione e rimozione di identificatori e quasi-identificatori. Il Garante rileva che non è sufficiente una descrizione astratta o preliminare e prescrive che le tecniche di anonimizzazione vengano sottoposte all’Autorità prima della loro concreta implementazione.

L’Autorità richiama il principio per cui un dato è anonimo solo se non consente in alcun modo l’identificazione diretta o indiretta, neppure tramite mezzi ragionevolmente disponibili, e solo se la tecnica è sufficientemente robusta rispetto al contesto tecnologico del momento.

Misure di sicurezza e raccomandazioni finali

Il provvedimento dà atto che la valutazione di impatto descrive misure tecniche, fisiche e organizzative adeguate al rischio, tra cui controlli sugli accessi, cifratura, pseudonimizzazione, monitoraggio della rete, misure di sicurezza degli edifici e formazione del personale.

L’Autorità raccomanda inoltre il rigoroso rispetto delle prescrizioni sui dati genetici e sui trattamenti per scopi di ricerca scientifica, anche con riferimento alla conservazione dei campioni biologici, che costituiscono condizione di liceità e correttezza del trattamento.

Dispositivo

Il Garante esprime parere favorevole al trattamento per finalità di ricerca medica, biomedica ed epidemiologica riferito alla coorte di pazienti non contattabili dello studio METAMECH, ma lo subordina alle seguenti condizioni principali:

• informazione agli interessati in caso di prosecuzione oltre 14 anni;
• integrazione dell’informativa sulla possibile conservazione ulteriore per medesimo scopo;
• riformulazione o espunzione della frase errata sulla pseudonimizzazione;
• espunzione della frase non coerente sul trattamento per più finalità.

Inoltre, ai sensi dell’art. 58, par. 2, lett. d), GDPR, prescrive a IFOM di sottoporre al Garante le tecniche di anonimizzazione che intenderà adottare al termine della conservazione. IFOM dovrà comunicare entro 120 giorni le iniziative assunte per dare attuazione al provvedimento.