Provvedimenti ex art. 110 del Codice n. 73 del 02/03/2023

Studio multicentrico su accessi in emergenza neuropsichiatrica infantile

Il Garante ha esaminato l’istanza di consultazione preventiva presentata dall’Azienda Ospedaliero Universitaria Città della Salute e della Scienza di Torino per uno studio multicentrico, retrospettivo, osservazionale ed epidemiologico, no profit, denominato "Analisi accessi in emergenza-urgenza per patologia NPI". Il trattamento riguarda dati sanitari di minori e si fonda sulla necessità, dichiarata dal titolare, di operare senza consenso per impossibilità di informare gli interessati o per sforzo sproporzionato.

Quadro normativo applicato

Il provvedimento richiama il GDPR, in particolare gli artt. 5, 9, 14, 24, 25, 32, 35, 36 e 89, nonché l’art. 110 del Codice privacy e le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica. Il Garante ribadisce che la ricerca medica, biomedica ed epidemiologica può essere svolta senza consenso solo quando ricorrono le condizioni tassative previste dalla norma nazionale, con parere favorevole del comitato etico competente e previa consultazione dell’Autorità.

Istruttoria e contenuto dello studio

L’Azienda ha inizialmente trasmesso la DPIA, poi integrata con protocollo di ricerca, pareri etici e chiarimenti richiesti dall’Ufficio. Lo studio mira a valutare gli effetti della pandemia e del distanziamento sociale sugli accessi in pronto soccorso per patologie neuropsichiatriche infantili, con analisi di trend, variabili socio-demografiche, ricoveri e fenomeni di accesso recidivante. I dati previsti includono età, genere, CAP di residenza, data di accesso, tipologia e descrizione dell’episodio, precedenti diagnosi e trattamenti, nonché informazioni aggregate per centro e settimana.

Impossibilità di acquisire il consenso e informative

Il Garante ritiene adeguatamente documentato lo sforzo sproporzionato che deriverebbe dal contattare individualmente tutti i soggetti e i genitori: l’Azienda ha stimato un impegno minimo di 437 giorni di personale a tempo pieno, fino a 2,3 anni per l’acquisizione teorica di tutti i consensi, oltre all’impatto sulla frequenza scolastica dei minori. Viene però escluso che il solo rischio di bias di selezione costituisca giustificazione sufficiente, trattandosi di una ragione non prevista tra quelle rilevanti ai sensi delle Prescrizioni. Per gli interessati non contattabili, l’informativa ex art. 14 GDPR deve essere resa pubblica anche sui siti istituzionali dei centri coinvolti.

Valutazione su anonimizzazione e minimizzazione

L’Autorità riconosce che l’Azienda ha impostato il trattamento secondo i principi di minimizzazione e privacy by design, anche facendo ricorso a pseudonimizzazione e analisi di dati aggregati. Tuttavia, precisa che l’aggregazione non equivale automaticamente ad anonimizzazione, soprattutto in uno studio multicentrico in cui i dati confluiscono presso un soggetto centralizzato. Per questo impone: ridefinizione delle classi di equivalenza con numerosità minima di almeno 20 unità; riduzione significativa del numero di statistiche aggregate rispetto alle variabili considerate; rimozione delle singolarità emerse successivamente e tracciamento degli eventi, con nuova valutazione del rischio al raggiungimento dell’1% di singolarità sul dataset.

Ruoli, sicurezza e avvio del trattamento

Sono confermati i ruoli di titolari autonomi in capo ai centri partecipanti e all’AOU promotrice, mentre il fornitore del sistema informativo è nominato responsabile esterno del trattamento. Il Garante valuta positivamente le misure tecniche e organizzative descritte nella DPIA, compresa la protezione dei database, la cifratura e la conservazione separata delle informazioni aggiuntive, ritenendole idonee a presidiare integrità e riservatezza. Resta fermo che l’avvio dei trattamenti presso i centri partecipanti è subordinato all’ottenimento dei rispettivi pareri favorevoli dei comitati etici territorialmente competenti.

Esito finale

Il Garante esprime parere favorevole al trattamento per finalità di ricerca medica, biomedica ed epidemiologica, ma lo subordina a quattro condizioni operative relative ad anonimizzazione, pubblicazione dell’informativa e monitoraggio del rischio di re-identificazione. Il provvedimento non contiene una sanzione, ma definisce prescrizioni vincolanti per la prosecuzione e la condivisione dei risultati dello studio.