Provvedimenti ex art. 110 del Codice n. 498 del 26/10/2023

Takeda Pharmaceuticals International AG – studio retrospettivo OTUS SOT su CMV nei trapiantati di organi solidi

Il Garante esamina l’istanza di consultazione preventiva presentata da Takeda Pharmaceuticals International AG, in qualità di sponsor e titolare del trattamento, per uno studio retrospettivo multinazionale e osservazionale sugli esiti dell’infezione da citomegalovirus (CMV) nei riceventi di trapianto di organi solidi. Il provvedimento riguarda in particolare il trattamento dei dati di pazienti deceduti o non contattabili e individua condizioni, limiti e misure di garanzia per la liceità del trattamento.

Contesto dello studio e trattamenti coinvolti

Lo studio ha finalità di ricerca medica, biomedica ed epidemiologica e prevede la raccolta di dati già presenti nelle cartelle cliniche dei pazienti, poi inseriti in una eCRF pseudonimizzata. L’analisi riguarda adulti con infezione da CMV dopo trapianto di organo solido, suddivisi in due coorti: pazienti trattati con almeno un agente anti-CMV e considerati resistenti, refrattari o intolleranti, e pazienti che hanno ricevuto una terapia preventiva per la viremia da CMV. I dati comprendono caratteristiche del paziente, informazioni sul trapianto, stato CMV, esiti clinici, modelli di trattamento e utilizzo di risorse sanitarie.

Il Garante prende atto che:

• Takeda agisce come sponsor e titolare del trattamento per i dati pseudonimizzati raccolti dai centri;
• i centri partecipanti sono titolari autonomi per i trattamenti di propria competenza;
• CTI Clinical Trial Services, Inc. opera quale responsabile del trattamento ai sensi dell’art. 28 GDPR, con affiliate, tra cui quella italiana, anch’esse nominate responsabili;
• è nominato un rappresentante nell’Unione ai sensi dell’art. 27 GDPR;
• i dati sono trasferiti e trattati anche su piattaforme collocate negli Stati Uniti, con clausole contrattuali tipo ex art. 46 GDPR per il trasferimento verso paese terzo.

Quadro normativo richiamato

Il provvedimento richiama il GDPR, il Codice privacy, le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica e le Prescrizioni sul trattamento per scopi di ricerca scientifica. Il Garante richiama in particolare:

• l’art. 110 del Codice, che consente il trattamento per ricerca medica, biomedica ed epidemiologica senza consenso quando informare gli interessati sia impossibile o implichi uno sforzo sproporzionato, purché il programma abbia parere favorevole del comitato etico e sia sottoposto a consultazione preventiva;
• l’art. 9, par. 2, lett. j) e par. 4 GDPR;
• l’art. 89, par. 1 GDPR sulla minimizzazione e sulle garanzie adeguate per la ricerca scientifica;
• l’art. 14 GDPR e l’art. 6, comma 3, delle Regole deontologiche sulla trasparenza quando i dati sono raccolti presso terzi o l’informativa comporta uno sforzo sproporzionato.

Valutazione sull’impossibilità di acquisire il consenso

La Società sosteneva che, per il numero limitato di visite ospedaliere, per la gravità delle condizioni cliniche e per la difficoltà organizzativa, sarebbe stato impossibile contattare tutti i pazienti eleggibili e acquisirne il consenso. Il Garante non accoglie questa impostazione: le ragioni esposte non sono considerate sufficientemente particolari o eccezionali e non giustificano il ricorso alla procedura ex art. 110 del Codice per l’intera popolazione dello studio.

In particolare, l’Autorità osserva che la stessa Società, in via subordinata, prevede la possibilità di contattare i pazienti idonei e di acquisire il consenso prima di considerarli persi al follow-up. Da ciò deduce che non è necessario prescindere dal consenso sin dall’origine per tutti i pazienti. Ne consegue che la base giuridica speciale può operare solo nei casi in cui, dopo ragionevoli sforzi, il paziente risulti non contattabile oppure risulti deceduto.

Base giuridica ammessa per pazienti deceduti o non contattabili

Il Garante ritiene che l’art. 110 del Codice possa costituire idonea base giuridica solo per i pazienti deceduti o per quelli non contattabili all’esito di ragionevoli sforzi. Tali sforzi vengono individuati, in concreto, in tre tentativi di contatto telefonico non andati a buon fine e registrati in cartella clinica, oppure nella verifica del decesso attraverso la documentazione sanitaria disponibile.

Il provvedimento valorizza in questo ambito il parere favorevole dei comitati etici competenti, qualificandolo come elemento necessario di liceità e correttezza del trattamento quando non sia possibile acquisire il consenso.

Trasparenza e obblighi informativi

Il Garante ritiene che la sola conservazione dell’informativa nei centri e l’invio all’ultimo indirizzo noto non siano misure sufficienti a garantire l’effettività del principio di trasparenza nei confronti di soggetti deceduti o non contattabili. Per questo prescrive che, per tutta la durata dello studio, le informazioni ex art. 14 GDPR siano rese pubbliche anche:

• sul sito internet della Società;
• sui siti dei centri di sperimentazione coinvolti;
• in una sezione facilmente accessibile.

Viene inoltre imposto di modificare, prima dell’avvio del trattamento, la valutazione d’impatto e l’informativa privacy eliminando il riferimento al legittimo interesse quale base giuridica del trattamento dei dati dei pazienti arruolati. Il Garante osserva infatti che, per i dati appartenenti a categorie particolari, occorre una specifica esenzione ex art. 9 GDPR, e non è sufficiente il richiamo al legittimo interesse di cui all’art. 6, par. 1, lett. f) GDPR.

Conservazione dei dati

Il provvedimento distingue tra conservazione presso i centri partecipanti e conservazione presso lo sponsor. Il Garante ritiene adeguata la conservazione dei dati e delle chiavi di de-codifica da parte dei centri per 7 anni dalla conclusione dello studio, in ragione delle esigenze di audit e ispezioni connesse alla completezza e correttezza della documentazione.

Non ritiene invece conforme ai principi di protezione dei dati la conservazione per 30 anni da parte dello sponsor, motivata dalla volontà di uniformarsi a discipline di diversi Paesi. L’Autorità reputa tale termine sproporzionato rispetto al principio di limitazione della conservazione e conclude che anche lo sponsor possa conservare i dati per un periodo analogo a quello dei centri, cioè 7 anni dalla conclusione dello studio.

Pseudonimizzazione, anonimizzazione e diffusione dei dati

Il Garante ritiene che lo studio presenti misure tecniche e organizzative complessivamente adeguate a ridurre i rischi a un livello accettabile durante la fase di trattamento, anche mediante pseudonimizzazione e minimizzazione. Tuttavia, segnala criticità sulla fase successiva di anonimizzazione e possibile condivisione/diffusione dei dati.

L’Autorità osserva che:

• l’anonimizzazione deve essere valutata in concreto, tenendo conto delle finalità successive e dei rischi di re-identificazione;
• la mera rimozione degli identificativi o la sostituzione con codici non basta, se permane un rischio di single-out, linkability o inference;
• le tecniche descritte nel documento istruttorio non risultano sufficienti a escludere il rischio di re-identificazione.

Perciò, se Takeda intende condividere o diffondere i dati anonimizzati alla comunità scientifica, il Garante impone un rafforzamento delle tecniche, alternativamente mediante:

• distorsione del dato su tutti gli attributi del record, se si intende mantenere singolarità nel dataset;
• applicazione della tecnica di k-anonimity.

Esito finale del provvedimento

Il Garante esprime parere favorevole al trattamento dei dati personali per finalità di ricerca medica, biomedica ed epidemiologica, ma solo per i pazienti deceduti o non contattabili e a condizione che siano rispettati i seguenti obblighi:

• attestare l’impossibilità di acquisire il consenso solo dopo tre tentativi di contatto non riusciti;
• rimuovere dalla DPIA e dall’informativa il riferimento al legittimo interesse quale base giuridica dei dati dei pazienti;
• pubblicare per tutta la durata dello studio le informazioni ex art. 14 GDPR sui siti della Società e dei centri;
• conservare i dati per 7 anni dalla conclusione dello studio;
• rafforzare le tecniche di anonimizzazione in caso di diffusione o condivisione dei dati.

Il provvedimento non contiene una sanzione amministrativa pecuniaria, ma una valutazione autorizzativa condizionata nell’ambito della consultazione preventiva.