Provvedimenti ex art. 110 del Codice n. 499 del 26/10/2023

Parere favorevole su due studi di ricerca medica dell’A.O.U. Città della Salute e della Scienza di Torino

Il Garante esamina congiuntamente due istanze di consultazione preventiva presentate dall’Azienda Ospedaliero Universitaria Città della Salute e della Scienza di Torino per la realizzazione di studi di ricerca medica, biomedica ed epidemiologica. In entrambi i casi il trattamento riguarda anche dati di soggetti deceduti o non contattabili e si fonda sull’art. 110 del Codice privacy e sull’art. 36 GDPR, con applicazione delle Regole deontologiche e delle Prescrizioni per la ricerca scientifica.

Quadro normativo richiamato

Il provvedimento richiama in particolare:

• artt. 35 e 36 GDPR, relativi a valutazione d’impatto e consultazione preventiva;
• art. 110 del Codice privacy, che consente il trattamento per ricerca medica/biomedica/epidemiologica senza consenso quando informare gli interessati sia impossibile o comporti uno sforzo sproporzionato o rischi di pregiudicare gravemente la ricerca, purché vi siano misure appropriate, parere favorevole del comitato etico e consultazione preventiva del Garante;
• art. 89 GDPR, sul trattamento per finalità di ricerca scientifica e sulle garanzie adeguate, in particolare pseudonimizzazione e minimizzazione;
• artt. 5, 14, 24, 25, 26 e 28 GDPR;
• art. 6, comma 3, delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica.

Primo studio: "Tumori della testa e del collo: recidive e secondi tumori"

Lo studio è monocentrico, retrospettivo e no-profit. Ha durata biennale e riguarda circa 500-600 pazienti maggiorenni con tumore maligno della testa e del collo non tiroideo, operati presso la S.C. Otorinolaringoiatria dell’Azienda dal 2010 in poi.

L’obiettivo principale è valutare l’incidenza di recidive e di secondi tumori sincroni o metacroni; tra gli obiettivi secondari vi sono la correlazione con dati clinici, l’analisi delle strategie terapeutiche adottate e la sopravvivenza.

Dati trattati e modalità di arruolamento

Per ciascun paziente sono raccolti, tra gli altri, identificativo personale univoco, sesso, età, abitudine al fumo, assunzione di alcol e anamnesi patologica. I pazienti in vita sono arruolati su base volontaria durante le visite ambulatoriali, previa informativa e consenso autonomo e specifico per il trattamento dei dati personali.

Per i soggetti deceduti, il Garante ritiene giustificato il ricorso all’art. 110 del Codice, in quanto lo studio copre un arco temporale molto ampio e la patologia presenta elevata mortalità; l’esclusione dei deceduti pregiudicherebbe la rappresentatività del campione e l’attendibilità dei risultati. La mancata informativa individuale è giustificata dall’impossibilità o dallo sforzo sproporzionato, con previsione di pubblicazione dell’informativa sul sito istituzionale ai sensi dell’art. 14, par. 5, lett. b), GDPR.

Conservazione, pseudonimizzazione e anonimizzazione

Il Garante considera proporzionati i tempi di conservazione: 2 anni per l’arruolamento e la raccolta dati, più 5 anni per i dati in forma de-identificata, per consentire calcoli di sopravvivenza e controlli di congruità. Il database di corrispondenza tra codice e identità viene conservato separatamente per il solo periodo di arruolamento e poi eliminato.

Sono ritenute adeguate le misure descritte nella DPIA, tra cui:

• uso di codici univoci e masking delle variabili categoriali;
• separazione tra database informativo e database anagrafico;
• cifratura, password e custodia fisica del supporto con dati identificativi;
• successive tecniche di anonimizzazione per ridurre il rischio di re-identificazione.

Esito e condizione

Il Garante esprime parere favorevole, ma con la condizione che l’informativa sul trattamento dei dati personali sia disponibile sul sito internet dell’Azienda per tutta la durata del trattamento.

Secondo studio: "Impiego della coronografia e del cateterismo cardiaco destro nel work-up cardiologico pre-trapianto di fegato"

Si tratta di uno studio multicentrico, osservazionale, retrospettivo, no-profit e non farmacologico, con 20 centri partecipanti e circa 150 pazienti complessivi. La durata prevista è di 6 mesi, ma il trattamento dei dati è articolato su un periodo più ampio: arruolamento dal 1° gennaio 2018 al 30 giugno 2022, con successiva analisi e verifiche.

L’obiettivo è valutare l’impiego di tecniche diagnostiche cardiologiche invasive nell’iter pre-trapianto di fegato, per migliorare la pratica clinica. Il Garante riconosce che, anche in questo caso, l’inclusione dei pazienti deceduti è necessaria per evitare un’alterazione significativa dei risultati.

Base giuridica, trasparenza e pareri etici

Per i pazienti in vita e contattabili, la base giuridica è il consenso ai sensi dell’art. 9, par. 1, lett. a), GDPR; per i deceduti si ricorre all’art. 110 del Codice e alla consultazione preventiva. È presente il parere favorevole del comitato etico competente.

Quanto alla trasparenza, l’informativa può essere pubblicata sul sito dell’Azienda e su quelli dei centri partecipanti ai sensi dell’art. 14 GDPR e dell’art. 6, comma 3, delle Regole deontologiche. Il Garante però chiede che essa resti disponibile per tutta la durata del trattamento.

Ruoli dei centri partecipanti

Un punto critico riguarda la mancata chiarificazione del ruolo privacy dei 20 centri partecipanti. Il Garante osserva che la documentazione non specifica se ciascun centro operi come titolare, contitolare o responsabile del trattamento. Per questo impone di integrare informative e DPIA indicando i ruoli di cui agli artt. 24, 26 e 28 GDPR.

Conservazione e misure tecniche

Il provvedimento ritiene proporzionato conservare i dati pseudonimizzati per 7 anni complessivi: 3 anni per arruolamento e raccolta, 4 anni per verifiche di congruità e follow-up. Il database anagrafico deve essere eliminato dopo 3 anni; il fascicolo di studio, privo di dati dei pazienti, può essere conservato per 5 anni dopo la conclusione.

Le misure descritte comprendono:

• pseudonimizzazione con codice univoco generato casualmente;
• database protetto da password;
• corrispondenza codice-identità in file separato cifrato e protetto;
• custodia su hard disk esterno e in armadio chiuso;
• invio dei dati pseudonimizzati al promotore con mail cifrata;
• responsabilizzazione del fornitore del sistema informativo come responsabile esterno;
• utilizzo di misure fisiche, infrastrutturali e informatiche della server farm aziendale.

Valutazione d’impatto: sufficienza generale e criticità nello studio multicentrico

Il Garante ritiene che, in linea generale, i trattamenti siano improntati al rispetto dell’art. 89 GDPR e al principio di minimizzazione. Tuttavia, mentre per il primo studio la DPIA è ritenuta adeguata, per il secondo emergono criticità.

L’Autorità osserva che nella valutazione d’impatto dello studio multicentrico i rischi individuati (accesso illegittimo, modifiche indesiderate, perdita dei dati) sono affrontati con un insieme indistinto di misure tecniche e organizzative, senza una correlazione specifica tra ciascun rischio e la misura idonea a mitigarne l’impatto. Alcune associazioni appaiono incongrue, come la minimizzazione dei dati indicata per prevenire la perdita dei dati o il sistema antincendio indicato per ridurre il rischio di modifica indesiderata.

Per questo il Garante richiede di integrare la DPIA con misure adeguate e specifiche per ciascuno scenario di rischio, indicando anche la loro efficacia alla luce della probabilità e gravità del rischio stesso.

Esito finale

Il Garante conclude con parere favorevole per entrambi gli studi, ma subordinato alle seguenti condizioni:

• per lo studio sui tumori testa-collo: mantenere l’informativa sul sito dell’Azienda per tutta la durata del trattamento;
• per lo studio sul pre-trapianto di fegato: mantenere l’informativa sui siti dell’Azienda e dei centri partecipanti per tutta la durata del trattamento;
• specificare i ruoli privacy dei centri partecipanti;
• integrare la DPIA con misure specifiche, adeguate e motivate rispetto ai rischi individuati.

Il provvedimento richiama infine i rimedi giurisdizionali previsti dall’art. 78 GDPR, dall’art. 152 del Codice e dall’art. 10 d.lgs. 150/2011.