Provvedimenti ex art. 110 del Codice n. 285 del 05/07/2023

Parere favorevole con condizioni su studio retrospettivo CAD

Il Garante per la protezione dei dati personali ha espresso parere favorevole, ai sensi dell’art. 110 del Codice e dell’art. 36 GDPR, sul trattamento di dati personali relativi a pazienti affetti da malattia da agglutinine fredde (CAD), deceduti o non contattabili, nell’ambito di uno studio osservazionale retrospettivo promosso da Sanofi Aventis Group SA. Il parere è però subordinato a specifiche modifiche documentali e organizzative, richieste a garanzia dei diritti degli interessati.

Contesto e caratteristiche dello studio

Lo studio è multicentrico e interessa circa 12 centri partecipanti in Italia, Germania e Austria, per un totale stimato di circa 170 pazienti. L’attività consiste in una revisione retrospettiva delle cartelle cliniche di soggetti diagnosticati tra il 1° gennaio 2009 e il 1° gennaio 2019, con l’obiettivo di:

• valutare il tasso di incidenza di eventi trombotici nei pazienti con CAD;
• caratterizzare gli eventi trombotici e i fattori di rischio;
• stimare i tassi di mortalità;
• valutare l’utilizzo di risorse sanitarie associate agli eventi trombotici.

Lo studio prevedeva l’arruolamento sia di pazienti in vita sia di pazienti deceduti o non più rintracciabili, circostanza che ha reso necessaria la consultazione preventiva del Garante.

Attività istruttoria e chiarimenti del promotore

In sede istruttoria l’Ufficio ha rilevato criticità soprattutto su:

• individuazione della titolarità del trattamento;
• basi giuridiche utilizzate;
• correttezza dell’informativa e del consenso;
• modalità di pubblicità per i soggetti non contattabili;
• redazione della valutazione d’impatto;
• misure contro il rischio di reidentificazione;
• trasferimenti di dati verso paesi terzi.

La Società ha quindi integrato la documentazione chiarendo che il promotore e titolare del trattamento è Sanofi Aventis Group SA, con sede in Francia, e non Sanofi US. Ha inoltre precisato che i dati trattati sono pseudonimizzati, che il periodo di conservazione è pari a 5 anni dalla firma del rapporto di studio clinico e che al termine i dati saranno cancellati.

Basi giuridiche del trattamento

Il Garante ha ritenuto corretta la scelta delle basi giuridiche, dopo le integrazioni fornite dalla Società:

• per i pazienti contattabili: consenso ai sensi dell’art. 6, par. 1, lett. a) e dell’art. 9, par. 2, lett. a) GDPR;
• per i pazienti deceduti o non contattabili: applicazione dell’art. 110 del Codice, in combinazione con l’art. 9, par. 2, lett. j) GDPR e con il parere favorevole del comitato etico territorialmente competente.

L’Autorità ha anche richiamato che, nei casi in cui il consenso non sia acquisibile, il trattamento potrà iniziare solo dopo il rilascio dei pareri favorevoli dei rispettivi comitati etici territorialmente competenti.

Informativa, consenso e ricerche future

Una parte importante del provvedimento riguarda la qualità dell’informativa e del modulo di consenso. Il Garante ha rilevato che il documento "Lettera informativa per i pazienti e Modulo per il consenso informato" riportava inizialmente basi giuridiche non corrette o non coerenti con il trattamento di dati sulla salute per finalità di ricerca.

Pertanto ha richiesto che:

• per i pazienti contattabili venga richiamato l’art. 9, par. 2, lett. a) GDPR;
• per i pazienti non contattabili venga integrato il riferimento all’art. 9, par. 2, lett. j) GDPR con l’art. 110 del Codice.

Inoltre, l’informativa deve chiarire che il consenso relativo a eventuali ricerche future è una manifestazione distinta, utile solo a consentire il ricontatto del paziente per informarlo di eventuali nuovi studi e raccoglierne uno specifico consenso, e non coincide con il consenso allo studio originario.

Informazione ai soggetti non contattabili e aventi causa

Per i pazienti deceduti o non contattabili, anche a beneficio degli eventuali aventi causa, la Società aveva ipotizzato l’affissione dell’informativa presso i centri partecipanti. Il Garante ha ritenuto tale modalità non idonea a garantire l’effettiva trasparenza, osservando che essa costringerebbe gli interessati a recarsi presso i centri, eludendo la ratio dell’art. 14, par. 5, lett. b) GDPR e dell’art. 6, comma 3 delle Regole deontologiche.

È stato quindi imposto che l’informativa sia pubblicata su pagine facilmente accessibili dei siti internet dei centri partecipanti e dello sponsor, per tutta la durata dello studio.

Ruoli privacy e responsabili del trattamento

Il Garante ha preso atto della precisazione secondo cui Sanofi Aventis Group SA è il titolare del trattamento. Ha però rilevato che il ruolo di Cerner Enviza Italia Srl non era sufficientemente definito e ha ritenuto necessario che tale società sia designata responsabile del trattamento ai sensi dell’art. 28 GDPR, in considerazione delle attività svolte per conto dello sponsor, in particolare di monitoring e gestione operativa dello studio.

Monitoraggio remoto, DPIA e misure di sicurezza

L’Autorità ha apprezzato la pseudonimizzazione dei dati e la previsione di cancellazione al termine del periodo di conservazione. Ha tuttavia rilevato una lacuna nella valutazione d’impatto, che deve essere integrata con una sezione specifica sui trattamenti di monitoraggio da remoto, comprendenti l’esame della documentazione del paziente e la revisione della qualità dei dati estratti dalle cartelle cliniche.

La DPIA dovrà dunque descrivere:

• i trattamenti connessi al monitoraggio remoto;
• i rischi per i diritti e le libertà degli interessati;
• le misure specifiche di mitigazione.

Trasferimenti verso paesi terzi

Il provvedimento rileva anche che alcuni dati pseudonimizzati possono essere accessibili a affiliate del gruppo Sanofi situate al di fuori dell’Unione europea. Il Garante ha ritenuto il flusso compatibile con il GDPR sulla base delle Binding Corporate Rules del gruppo, pur richiamando il titolare a una verifica sostanziale dell’efficacia e correttezza di tali garanzie, in adempimento al principio di accountability.

Dispositivo finale

Il Garante ha quindi espresso parere favorevole al trattamento dei dati personali per finalità di ricerca medica, biomedica ed epidemiologica, ma subordinatamente a cinque condizioni principali:

• correzione delle basi giuridiche nell’informativa e nel modulo di consenso;
• chiarimento sulla distinta manifestazione di volontà per eventuali contatti futuri;
• pubblicazione dell’informativa per i soggetti deceduti o non contattabili sui siti web di sponsor e centri;
• designazione di Cerner Enviza Italia Srl quale responsabile del trattamento;
• integrazione della DPIA con una sezione sul monitoraggio da remoto.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.