Provvedimenti ex art. 110 del Codice n. 465 del 28/09/2023

Parere favorevole condizionato sullo studio PRIMAGE dell’Università di Pisa

Il Garante per la protezione dei dati personali esamina la consultazione preventiva presentata dall’Università di Pisa per la raccolta retrospettiva di dati sanitari e di imaging relativi a pazienti pediatrici, nell’ambito dello studio clinico PRIMAGE inserito nel programma europeo Horizon 2020. Il provvedimento riguarda in particolare la coorte di pazienti, in larga parte deceduti, per i quali l’Ateneo ha chiesto di poter operare senza acquisire il consenso dei genitori, ritenendo impossibile o sproporzionato il contatto.

Contesto del progetto e struttura del trattamento

Lo studio PRIMAGE mira a costruire una piattaforma open e cloud-based di supporto decisionale per la diagnosi e prognosi di due tumori pediatrici: neuroblastoma e glioma intrinseco diffuso del ponte. Il progetto prevede la raccolta di immagini radiologiche, dati clinici e biomolecolari, la loro pseudonimizzazione/anonymizzazione tramite software dedicati e la successiva condivisione, in forma minimizzata, tra i partner del consorzio europeo. L’Università di Pisa partecipa come partner e, per la fase oggetto di consultazione, è titolare del trattamento dei dati raccolti presso l’AOUP.

Quadro normativo richiamato

Il provvedimento richiama il GDPR, in particolare gli artt. 5, 6, 9, 12, 13, 14, 24, 28, 32, 35, 36 e 89, nonché l’art. 110 del Codice privacy, le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica e le Prescrizioni per il trattamento dei dati personali per scopi di ricerca scientifica. Il Garante ribadisce che i dati sulla salute sono soggetti al divieto generale di cui all’art. 9 GDPR, superabile solo nei casi previsti, e che nel contesto della ricerca medica il consenso deve essere, quando richiesto, libero, specifico, informato, inequivocabile ed esplicito.

Valutazione sulla liceità del trattamento e sull’assenza di consenso

L’Autorità distingue due piani: per i pazienti ancora in vita rileva la base del consenso ex art. 9, par. 2, lett. a), GDPR; per i pazienti deceduti o non contattabili ritiene applicabile l’art. 110 del Codice, che consente la ricerca senza consenso quando informare gli interessati sia impossibile o implichi uno sforzo sproporzionato, oppure rischi di pregiudicare gravemente la ricerca. Nel caso concreto, il Garante considera pertinente la difficoltà organizzativa evidenziata dall’Università, anche perché il campione è esiguo, il periodo di osservazione è risalente e l’esclusione dei dati dei soggetti non contattabili comprometterebbe la completezza e attendibilità dello studio.

Osservazioni sull’accountability e sulla dimostrazione degli sforzi compiuti

Pur ritenendo fondata la difficoltà di contattare i genitori dei pazienti, il Garante osserva che l’Università non ha documentato in modo sufficiente gli sforzi ragionevoli compiuti o da compiere per verificare l’effettiva irreperibilità degli interessati. Richiama, a titolo esemplificativo, la consultazione della documentazione clinica, l’uso di eventuali recapiti telefonici disponibili e l’acquisizione dei dati di contatto presso l’anagrafe degli assistiti o della popolazione residente. Per questo impone l’integrazione della valutazione d’impatto con tali indicazioni.

Trasparenza verso gli interessati e informative

L’Autorità ritiene necessario rafforzare il rispetto del principio di trasparenza. Pur prendendo atto della disponibilità dell’Università a pubblicare un documento informativo sul proprio sito e su quello dell’AOUP, il Garante prescrive che le informative siano pubblicate prima dell’avvio del trattamento, in pagine facilmente accessibili, con linguaggio semplice e chiaro, e restino disponibili per tutta la durata del trattamento. Inoltre, deve essere indicato nelle informative il periodo di conservazione dei dati o il criterio utilizzato per definirlo, anche quando tale periodo coincida con il tempo necessario alla raccolta e alla successiva anonimizzazione/pseudonimizzazione prima dell’invio al database PRIMAGE.

Conservazione dei dati

La documentazione di progetto indicava tempi di conservazione generici e non definiti con precisione. Il Garante richiama il principio di limitazione della conservazione e osserva che, anche in un progetto di ricerca, i dati devono essere conservati per un arco di tempo non superiore a quello necessario alle finalità perseguite. Per questo la durata della conservazione, o quantomeno il criterio per determinarla, deve essere resa conoscibile agli interessati nelle informative.

Misure tecniche e organizzative, anonimizzazione e pseudonimizzazione

Dalla valutazione d’impatto emerge che il progetto utilizza strumenti di pseudonimizzazione e, per alcuni passaggi, di anonimizzazione irreversibile tramite software dedicati, con accesso ai dati limitato ai soli partner del consorzio. Il Garante ritiene che il complessivo assetto organizzativo e le misure adottate siano coerenti con gli artt. 32, 35 e 89 GDPR e con i principi di minimizzazione, integrità e riservatezza. Viene valorizzata anche l’analisi dei rischi condotta dal titolare e la previsione di misure adeguate a prevenire accessi non autorizzati.

Esito del procedimento

Il Garante esprime parere favorevole al trattamento dei dati personali per finalità di ricerca medica, biomedica ed epidemiologica riferiti alla coorte di pazienti deceduti coinvolti nello studio PRIMAGE, ma subordina il parere a tre condizioni:

• integrazione della valutazione d’impatto con la descrizione degli sforzi compiuti o da compiere per attestare l’effettiva irreperibilità degli interessati;
• pubblicazione, prima dell’inizio del trattamento, delle informative sul sito dell’Università e su quello dell’AOUP, in forma chiara e accessibile;
• indicazione nelle informative del periodo di conservazione dei dati o del criterio per determinarlo.

Impugnazioni

Il provvedimento richiama infine la possibilità di proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.