Ordinanza ingiunzione o revoca n. 473 del 17/07/2024

Istituto Tumori "Giovanni Paolo II" IRCCS di Bari: ricerca scientifica su dati sanitari, DPIA e trasparenza

Il provvedimento riguarda l’IRCCS Istituto Tumori Giovanni Paolo II di Bari, destinatario di un accertamento ispettivo sui trattamenti di dati personali svolti per scopi di ricerca scientifica in ambito medico, biomedico ed epidemiologico. L’Autorità ha esaminato, in particolare, due studi clinici, rilevando plurime non conformità al GDPR e al Codice privacy, con conseguente ordine di adeguamento e sanzione amministrativa.

Origine del procedimento e attività ispettiva

L’Ufficio del Garante ha effettuato accertamenti presso l’Istituto ai sensi dei poteri ispettivi previsti dal Regolamento e dal Codice. L’istruttoria si è concentrata sull’effettiva osservanza dei principi di liceità, correttezza, trasparenza, limitazione della conservazione, responsabilizzazione e privacy by design/by default, nonché sull’obbligo di svolgere la valutazione d’impatto sulla protezione dei dati.

Gli accertamenti hanno riguardato due studi:

• lo Studio 1, relativo ai meccanismi di risposta e resistenza ad immunoterapia e terapia target nel melanoma;
• lo Studio 2, relativo alla predizione di pneumopatie in pazienti con carcinoma polmonare non a piccole cellule in stadio 3 chemio-radiotrattati, con uso di tecniche di intelligenza artificiale su dati clinici e di imaging.

Trattamenti esaminati e posizioni dell’Istituto

L’Istituto ha dichiarato di fondare i trattamenti per ricerca scientifica sull’art. 110-bis, comma 4, del Codice, ritenendo in alcuni casi sufficiente l’informativa resa al momento dell’accettazione del paziente per finalità di cura. Ha inoltre riferito che, quando possibile, veniva acquisito un consenso specifico per i singoli studi.

Per lo Studio 2 l’Istituto ha precisato che si trattava di uno studio retrospettivo, ma ha affermato di non aver svolto la valutazione d’impatto, ritenendo sufficiente che i pazienti avessero già firmato il consenso informato in ambito clinico. Per lo Studio 1 ha sostenuto un’impostazione analoga, distinguendo tra fase prospettica e retrospettiva.

L’Autorità ha tuttavia rilevato che il modulo di consenso generale usato in fase di accettazione non era sufficientemente specifico rispetto ai singoli progetti di ricerca e che l’intero assetto organizzativo non garantiva un adeguato bilanciamento tra ricerca e tutela dei diritti degli interessati.

Violazioni accertate: liceità, consenso e basi giuridiche

Il Garante ha contestato la violazione dei principi di cui agli artt. 5, par. 1, lett. a), e 9, par. 2, lett. j), GDPR, nonché degli artt. 110 e 110-bis, comma 4, Codice, per l’uso non corretto delle basi giuridiche e per la gestione non coerente del consenso.

In particolare, è stato ritenuto che:

• il consenso raccolto in fase di accettazione fosse troppo generico e riferito a macro-aree di ricerca, non a uno specifico progetto;
• mancasse un’informativa completa e preventiva che rendesse il consenso realmente specifico e informato;
• per i pazienti deceduti o non contattabili, nei trattamenti retrospettivi, l’Istituto avesse sistematicamente omesso adempimenti necessari a rendere legittimo il trattamento.

Pur prendendo atto della buona fede dell’Istituto, il Garante ha quindi confermato l’illiceità dei trattamenti per mancanza di un corretto inquadramento delle basi giuridiche e per l’uso di moduli di consenso non pienamente conformi.

Valutazione d'impatto: obbligo non assolto

Un profilo centrale del provvedimento è la mancata valutazione d’impatto (DPIA/VIP) ai sensi dell’art. 35 GDPR. L’Istituto ha dichiarato di svolgerla solo in presenza di particolari profilazioni o trattamenti automatizzati con ricadute sulla cura, sulla base di una valutazione interna affidata al PI/trial office.

Il Garante ha ritenuto questa impostazione insufficiente, poiché gli studi clinici su dati sanitari, spesso riferiti a soggetti vulnerabili e talvolta con uso di nuove tecnologie o combinazioni di dati, presentano normalmente un rischio elevato e richiedono una valutazione preventiva. Nel caso dello Studio 2, l’impiego di tecniche di intelligenza artificiale ha rafforzato ulteriormente la necessità della DPIA.

È stato rilevato che il documento interno utilizzato dall’Istituto per decidere se effettuare la valutazione non era una vera DPIA, ma solo una descrizione sommaria dei trattamenti, priva di un’analisi effettiva dei rischi e delle misure di mitigazione.

Trasparenza e informative agli interessati

L’Autorità ha riscontrato ulteriori violazioni degli artt. 12, 13 e 14 GDPR, nonché dell’art. 6, comma 3, delle Regole deontologiche.

Le criticità hanno riguardato due livelli di informativa:

• l’informativa generale resa in fase di accettazione per le prestazioni sanitarie, ritenuta inizialmente incompleta perché priva di una pagina, poi integrata nel corso del procedimento;
• le informative specifiche degli Studi 1 e 2, predisposte per i soggetti contattabili, giudicate errate o incomplete perché non indicavano in modo chiaro basi giuridiche, tempi di conservazione o criteri per determinarli, diritti degli interessati e revoca del consenso.

Il Garante ha inoltre censurato la previsione secondo cui il diritto di accesso ai dati sarebbe esercitabile solo al termine dello studio, ritenendo tale limitazione non prevista dal quadro normativo.

Per i soggetti deceduti o non contattabili, l’Istituto non pubblicava l’informativa specifica per il trattamento di ricerca, limitandosi a richiamare quella resa al momento dell’accesso per cure. L’Autorità ha ritenuto ciò non conforme all’art. 14, par. 5, lett. b), GDPR, che consente l’omissione della comunicazione diretta ma impone comunque idonee misure di trasparenza, inclusa la pubblicazione delle informazioni.

Conservazione dei dati

Il Garante ha rilevato la violazione dell’art. 5, par. 1, lett. e), GDPR perché né i protocolli degli studi né le informative indicavano un periodo di conservazione dei dati o criteri oggettivi per determinarlo.

L’Istituto aveva affermato che i dati grezzi della ricerca dovessero essere conservati a tempo indeterminato per finalità di controllo scientifico, ma tale indicazione non risultava adeguatamente formalizzata né resa trasparente agli interessati. L’Autorità ha ribadito che il titolare deve sempre definire il tempo di conservazione o almeno un criterio verificabile, anche in ambito di ricerca scientifica.

Accountability e privacy by design/by default

Per effetto delle carenze riscontrate, il Garante ha accertato anche la violazione degli artt. 5, par. 2, e 25 GDPR.

L’Istituto aveva prodotto documentazione interna, compreso un regolamento per la protezione dei dati e linee guida per la ricerca scientifica, ma il Garante le ha considerate soprattutto misure organizzative formali, non sufficientemente supportate da misure tecniche e procedurali specifiche per i singoli trattamenti.

Sono state evidenziate, tra l’altro:

• l’assenza di misure tecniche adeguate per garantire l’esattezza dei dati nella fase di inserimento manuale nelle e-crf;
• la mancata produzione degli audit report previsti dalle stesse linee guida interne;
• la presenza di indicazioni incomplete o inesatte sui tempi di conservazione e sulla base giuridica per l’ulteriore trattamento dei dati di cura a fini di ricerca.

Valutazioni del Garante sulle difese dell’Istituto

L’Istituto, nelle memorie difensive, ha sostenuto che gli studi contestati non fossero ancora arrivati alla fase di arruolamento e che la propria impostazione fosse in buona fede, ispirata al considerando 33 del GDPR e a una logica di consenso progressivo. Ha inoltre dichiarato di aver avviato attività per predisporre le DPIA e di aver pubblicato parte delle informazioni sul proprio sito web.

Il Garante ha preso atto della collaborazione e della buona fede, ma ha ritenuto che tali elementi non fossero sufficienti a superare i rilievi principali. In particolare, ha osservato che la mancata DPIA non poteva essere giustificata dal fatto che l’arruolamento non fosse iniziato, perché la valutazione deve precedere il trattamento e la documentazione interna mostrava comunque valutazioni erronee sulla sua necessità.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto all’Istituto, entro 90 giorni dalla notifica, di:

• svolgere la valutazione d’impatto ai sensi dell’art. 35 GDPR e degli artt. 110 e 110-bis, comma 4, del Codice;
• pubblicare l’informativa per i trattamenti riguardanti soggetti deceduti o non contattabili;
• integrare, modificare e rettificare le informative degli Studi 1 e 2 per i soggetti contattabili, eliminando riferimenti errati, indicando chiaramente le basi giuridiche, i tempi di conservazione o i criteri per determinarli, i diritti degli interessati e la revoca del consenso, e prevedendo il diritto di accesso per tutta la durata del trattamento.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato la sanzione pecuniaria di euro 10.000,00, ritenendola proporzionata, effettiva e dissuasiva ai sensi dell’art. 83 GDPR.

Nella quantificazione ha valorizzato:

• la natura dei dati trattati, ossia dati relativi alla salute;
• la mancanza di intenzionalità, poiché le violazioni sono state ritenute commesse in buona fede;
• l’assenza di precedenti specifici;
• la collaborazione dell’Istituto;
• le misure correttive già in parte avviate.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, Codice.

Dispositivo e termini

Il provvedimento:

• dichiara l’illiceità del trattamento svolto dall’Istituto;
• ordina il pagamento della sanzione di 10.000 euro entro 30 giorni, con facoltà di definizione agevolata mediante pagamento della metà entro il medesimo termine, ai sensi dell’art. 166, comma 8, Codice;
• ingiunge l’adeguamento ai correttivi entro 90 giorni;
• richiede una comunicazione documentata sulle iniziative adottate entro 20 giorni dalla scadenza del termine di 90 giorni;
• dispone la pubblicazione integrale del provvedimento.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.