Provvedimenti ex art. 110 del Codice n. 582 del 07/12/2023

Azienda Ospedaliero Universitaria di Parma – emendamento allo studio CoV2Ped

Il provvedimento riguarda la consultazione preventiva richiesta dall’Azienda Ospedaliero Universitaria di Parma per un emendamento a uno studio retrospettivo, osservazionale e no profit sui ricoveri e sugli accessi al pronto soccorso in età pediatrica e adolescenziale in relazione all’infezione da SARS-CoV-2. L’Autorità si pronuncia ai sensi dell’art. 110 del Codice e dell’art. 36 del GDPR, con riferimento al trattamento di dati personali per finalità di ricerca medica, biomedica ed epidemiologica.

Contesto dello studio e contenuto dell’emendamento

Lo studio CoV2Ped mira a descrivere le variazioni del quadro epidemiologico e clinico in seguito alla pandemia da SARS-CoV-2, con confronto tra province e tra periodi diversi, osservando ricoveri e accessi al pronto soccorso negli ospedali della Regione Emilia-Romagna per varie patologie o classi di patologie. L’emendamento richiesto dall’Azienda estende il periodo di osservazione già valutato in precedenza, includendo il segmento temporale dal 1° marzo 2022 al 28 febbraio 2023 e, nella documentazione complessiva, l’ulteriore estensione dell’analisi retrospettiva fino al 30 aprile 2023.

Base giuridica e condizioni di liceità della ricerca

Il Garante richiama il quadro normativo applicabile: artt. 35 e 36 GDPR, art. 110 del Codice, art. 89, par. 1 GDPR, nonché le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica e le Prescrizioni per la ricerca scientifica. In materia di ricerca scientifica in ambito medico, biomedico ed epidemiologico, il consenso dell’interessato può non essere richiesto quando, per particolari ragioni, informare gli interessati sia impossibile o comporti uno sforzo sproporzionato, oppure rischi di compromettere gravemente la ricerca; in tali casi occorrono misure appropriate a tutela degli interessati, il parere favorevole del comitato etico e la consultazione preventiva del Garante.

Valutazione dell’impossibilità di informare e acquisire il consenso

L’Azienda ha motivato la richiesta evidenziando che il numero dei soggetti coinvolti è particolarmente elevato: per ogni anno risultano valutati oltre 16.000 bambini ricoverati e più di 150.000 accessi al pronto soccorso. Secondo il titolare, la raccolta del consenso di entrambi i genitori di tutti i soggetti interessati sarebbe estremamente difficile sotto il profilo organizzativo ed economico, anche in ragione della natura no profit dello studio. Il Garante considera tale motivazione sufficiente per giustificare la mancata acquisizione del consenso per l’ulteriore periodo di osservazione, osservando che il tempo necessario a raccogliere i consensi rischierebbe anche di rendere non più attuale la ricerca rispetto al contesto post-pandemico.

Parere del comitato etico, pseudonimizzazione e conservazione

L’emendamento ha ottenuto il parere favorevole del competente comitato etico territoriale, elemento ritenuto essenziale per la liceità e correttezza del trattamento in assenza di consenso. Il Garante valorizza anche le misure dichiarate dall’Azienda: i dati saranno conservati in forma sicura e pseudonimizzata fino alla conclusione dello studio, per poi essere distrutti; il fascicolo dello studio, privo di dati personali riferiti ai pazienti, sarà conservato per cinque anni dalla conclusione e quindi smaltito. Viene inoltre richiamato il principio di minimizzazione e di limitazione della conservazione di cui all’art. 5, par. 1, lett. a), b) ed e) del GDPR.

Obblighi di trasparenza e informativa agli interessati

Nonostante la valutazione positiva sul presupposto di ricerca senza consenso, l’Autorità rileva che la documentazione trasmessa non conteneva misure efficaci per adempiere agli obblighi di trasparenza. In particolare, il Garante richiama gli artt. 5, par. 2, lett. a), 13 e 14 del GDPR e l’art. 6, comma 3, delle Regole deontologiche, osservando che, quando i dati sono raccolti presso terzi o il trattamento per ricerca riguarda dati raccolti per altri scopi e l’informativa comporta uno sforzo sproporzionato, devono essere adottate forme idonee di pubblicità.

Esito del provvedimento e prescrizione finale

Il Garante esprime pertanto parere favorevole al trattamento dei dati personali per la ricerca, ma a condizione che l’Azienda pubblichi l’informativa nella versione emendata sul proprio sito web e su quelli delle Aziende sanitarie della Regione Emilia-Romagna, in conformità con l’art. 14 del GDPR e con l’art. 6, comma 3, delle Regole deontologiche. Il provvedimento richiama infine i mezzi di impugnazione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011.