Provvedimenti ex art. 110 del Codice n. 472 del 12/10/2023

SOPHiA GENETICS S.A.S. – consultazione preventiva sullo studio "DEEP-Lung-IV"

Il Garante esamina l’istanza di consultazione preventiva presentata dalla società SOPHiA GENETICS S.A.S. per uno studio clinico osservazionale, retrospettivo e prospettico multicentrico internazionale, volto all’analisi di dati clinici, biologici, genomici e di imaging relativi a pazienti con tumore polmonare non a piccole cellule metastatico. Il provvedimento si concentra soprattutto sul trattamento dei dati di pazienti deceduti, per i quali non è possibile raccogliere il consenso, e sulla necessità di verifica preventiva ai sensi dell’art. 110 del Codice e dell’art. 36 GDPR.

Quadro fattuale e istruttoria

La Società ha trasmesso protocollo di studio, DPIA, pareri etici francesi e documentazione relativa alle misure di sicurezza e alle modalità di trattamento. Lo studio prevede circa 4000 pazienti e circa 30 centri europei, con tre centri italiani coinvolti. L’istruttoria del Garante ha richiesto chiarimenti su ruoli dei soggetti coinvolti, basi giuridiche, verifica del decesso dei pazienti, informative agli interessati, tempi di conservazione e uso di tecniche di IA e machine learning.

La Società ha poi chiarito che i centri italiani operano come titolari autonomi; che per le finalità primarie il trattamento è fondato sul consenso dei pazienti in vita e, per i deceduti, sull’art. 110 del Codice; che per alcune finalità ulteriori aveva inizialmente evocato anche interesse legittimo e interesse pubblico; che i dati sono pseudonimizzati, crittografati e trattati in ambienti controllati; e che il trattamento non comporta decisioni automatizzate.

Finalità dello studio e trattamento dei dati

Lo studio è presentato come finalizzato, in via primaria, a migliorare la conoscenza del carcinoma polmonare metastatico e a predire l’evoluzione del tumore, la risposta al trattamento e la possibile recidiva. Le finalità secondarie dichiarate includono la metanalisi dei dati aggregati, lo sviluppo o miglioramento di prodotti e servizi dello Sponsor, la preparazione di case study basati su dati anonimi e la creazione di un database separato pseudonimizzato per ricerca statistica e clinica.

Il trattamento riguarda dati sanitari, genetici e di imaging, con fasi distinte di raccolta, pseudonimizzazione, trasferimento e aggregazione. I dati clinici e biologici sono inseriti in eCRF; i dati genomici e di imaging sono pseudonimizzati tramite strumenti locali; successivamente i dati multimodali sono aggregati e analizzati con software statistici e strumenti di calcolo. La Società ha inoltre descritto la creazione di un database secondario randomizzato, privo di tabella di corrispondenza, con tecniche di "rumore" per ridurre il rischio di re-identificazione.

Basi giuridiche: parere favorevole per i pazienti deceduti

Il Garante ritiene corretta l’indicazione della base giuridica per i trattamenti necessari alle finalità primarie dello studio con riferimento ai pazienti deceduti, ai sensi dell’art. 110 del Codice e dell’art. 36 GDPR. Viene richiamato che, in assenza di consenso possibile, il programma di ricerca deve essere oggetto di motivato parere favorevole del comitato etico competente e di preventiva consultazione dell’Autorità.

L’Autorità precisa però che l’avvio dei trattamenti è subordinato anche all’acquisizione dei pareri favorevoli dei comitati etici territorialmente competenti. Resta ferma, per i pazienti in vita, la base del consenso informato.

Criticità sulle basi giuridiche alternative e sulle finalità secondarie

Il Garante contesta l’inserimento, nelle informative e nella DPIA, di basi giuridiche ulteriori come l’interesse pubblico rilevante o il legittimo interesse, ritenute non pertinenti o insufficientemente determinate rispetto ai trattamenti descritti. Per i trattamenti di categorie particolari di dati, l’interesse legittimo non può costituire base idonea in sé; inoltre, per invocare l’interesse pubblico rilevante occorre una specifica base normativa che individui dati, operazioni, motivo di interesse pubblico e garanzie, circostanza non riscontrata.

L’Autorità osserva altresì che le finalità secondarie risultano formulate in modo troppo generico o sovrapposto alle finalità primarie, e che il ricorso a un consenso a fasi progressive deve comunque rispettare i requisiti di specificità, chiarezza e granularità.

Trasparenza e informative agli interessati

Per i pazienti non contattabili, e per garantire la tutela dei diritti degli aventi causa dei deceduti, il Garante impone che le informazioni ex art. 14 GDPR siano rese pubbliche per tutta la durata del trattamento anche sui siti internet istituzionali dei centri partecipanti, in una sezione facilmente accessibile. Questa pubblicità integra la misura prevista dall’art. 14, par. 5, lett. b), GDPR e dall’art. 6, comma 3, delle Regole deontologiche.

Le informative acquisite agli atti devono essere modificate: devono essere eliminati i riferimenti alle finalità secondarie, corretti i riferimenti ai ruoli di titolare/contitolare, eliminato il richiamo errato all’art. 39 GDPR, specificate correttamente le basi giuridiche, indicati i presupposti del trasferimento verso Paesi terzi, chiariti gli effetti della revoca del consenso e della cancellazione, espunto il diritto di opposizione laddove non pertinente e inseriti i tempi di conservazione.

Tempi di conservazione

La Società ha previsto diversi periodi di conservazione: per le finalità primarie, conservazione attiva per due anni dopo l’ultima pubblicazione dei risultati dello studio o fino alla relazione finale, con archiviazione per quindici anni; per le finalità secondarie, conservazione attiva per cinque anni e successiva archiviazione per ulteriori quindici anni per obblighi legali. Il Garante osserva che, poiché i medesimi dati sono usati per finalità diverse, occorre indicare chiaramente il dies a quo di ciascun termine e predisporre misure tecniche e organizzative che impediscano l’accesso ai dati da parte di soggetti non competenti per la specifica finalità una volta decorso il relativo termine.

Intelligenza artificiale, machine learning e supervisione umana

Lo studio utilizza tecniche di IA e apprendimento automatico per analisi descrittive, predittive ed esplorative, finalizzate anche allo sviluppo di un modello prognostico. Il Garante richiama i principi di conoscibilità, non esclusività della decisione algoritmica, non discriminazione e supervisione umana, evidenziando che i sistemi automatizzati non possono operare senza revisione umana qualificata nelle fasi applicative.

L’Autorità prende comunque atto favorevolmente della dichiarazione dello Sponsor secondo cui le tecniche di IA e machine learning impiegate non portano a un processo decisionale automatizzato. Viene inoltre richiamato il quadro europeo e i principi di trustworthy AI.

Misure di sicurezza e valutazione del rischio

La DPIA presentata descrive misure tecniche e organizzative per ridurre i rischi a un livello accettabile: pseudonimizzazione, cifratura dei dati a riposo e in transito, accessi limitati e autenticati, tracciabilità degli accessi, impiego di database crittografati su Microsoft Azure, responsabilizzazione dei fornitori cloud come responsabili del trattamento, controllo dei flussi e cancellazione dei dati a fine periodo.

Il Garante considera complessivamente adeguate le misure descritte ai fini della protezione dell’integrità e riservatezza dei dati, rilevando che l’art. 89 GDPR non esime comunque dall’adozione di misure ulteriori ai sensi dell’art. 32 GDPR.

Conclusioni e dispositivo

Il Garante esprime parere favorevole, ai sensi dell’art. 110 del Codice e dell’art. 36 GDPR, al trattamento dei dati personali dei pazienti deceduti necessario per le finalità primarie dello studio "DEEP-Lung-IV", ma lo subordina a due condizioni:

• espungere dalle informative i riferimenti alle finalità secondarie e modificare i documenti secondo quanto indicato nel provvedimento;
• rendere pubbliche, per tutta la durata del trattamento, le informazioni ex art. 14 GDPR anche sui siti istituzionali dei centri di sperimentazione coinvolti, in una sezione facilmente accessibile.

Il provvedimento richiama infine i termini di impugnazione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011.