Provvedimenti ex art. 110 del Codice n. 132 del 07/03/2024

Azienda Ospedaliero-Universitaria di Parma – consultazione preventiva per studio su glioblastoma

Il Garante esprime parere favorevole, ai sensi dell’art. 110 del Codice privacy e dell’art. 36 del GDPR, sulla raccolta e sul trattamento dei dati personali dei pazienti deceduti o non contattabili nell’ambito di uno studio monocentrico, osservazionale e retrospettivo di coorte sul glioblastoma. Il via libera è però subordinato all’implementazione di misure tecniche aggiuntive per rafforzare la qualità e l’esattezza dei dati.

Origine dell’istruttoria e quadro normativo

L’istruttoria nasce da un’istanza di consultazione preventiva presentata dall’Azienda Ospedaliero-Universitaria di Parma corredata da protocollo di studio, valutazione di impatto ex art. 35 GDPR e parere del comitato etico territoriale. Il provvedimento richiama il Regolamento (UE) 2016/679, il d.lgs. 196/2003, l’art. 110 del Codice, le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica e le Prescrizioni relative ai trattamenti per scopi di ricerca scientifica.

Descrizione dello studio e dati trattati

Lo studio riguarda l’associazione tra l’estensione della resezione chirurgica calcolata con tecnica volumetrica e la sopravvivenza del paziente con glioblastoma di nuova diagnosi. L’obiettivo primario è verificare se, alla luce delle più recenti classificazioni e tipizzazioni molecolari, l’entità della resezione chirurgica resti il principale fattore prognostico predittivo di sopravvivenza. Sono previsti circa 80 pazienti trattati presso l’Azienda; per ciascuno vengono impiegati dati clinici e demografici quali età, ECOG, KI67, mutazioni IDH1/2, focalità, stato di metilazione del promotore di MGMT e sopravvivenza, oltre alle immagini RM e ai dati ricavati dalle cartelle cliniche.

Impossibilità di acquisire il consenso e consultazione preventiva

L’Azienda ha evidenziato che lo studio si concentra in larga parte su soggetti deceduti o non contattabili, precisando che l’85-90% del campione è costituito da pazienti deceduti e che, per gli altri, sono stati effettuati vari tentativi di contatto telefonico senza esito. Il Garante ritiene che tali circostanze integrino l’impossibilità di acquisire il consenso ai sensi dell’art. 110 del Codice e del punto 5.3 delle Prescrizioni, legittimando il ricorso alla consultazione preventiva dell’Autorità.

Valutazione del Garante su liceità e garanzie

L’Autorità considera correttamente individuate le basi giuridiche del trattamento e ritiene adeguatamente motivata l’impossibilità di raccogliere il consenso. Valorizza il parere favorevole del comitato etico competente come condizione di liceità e correttezza del trattamento in assenza di consenso, in linea con la propria precedente prassi. È inoltre ritenuta idonea la scelta di pubblicare l’informativa sul sito istituzionale dell’Azienda, precisando che la pubblicazione deve restare disponibile per tutta la durata dello studio per garantire la trasparenza nei confronti dei soggetti interessati e, se del caso, dei loro aventi causa.

Conservazione, minimizzazione e anonimizzazione dei risultati

Il Garante reputa conforme il periodo di conservazione: i dati pseudonimizzati saranno mantenuti per la sola durata dello studio, pari a 18 mesi, mentre al termine verranno distrutti, con conservazione per ulteriori 5 anni del solo fascicolo dello studio privo di dati personali. È altresì ritenuto corretto l’uso della pseudonimizzazione in fase di trattamento e dell’anonimizzazione dei risultati tramite aggregazione in classi, con pubblicazione esclusiva degli esiti statistici e senza dati individuali identificabili.

Misure tecniche richieste e prescrizione finale

Nonostante il giudizio complessivamente positivo sulla DPIA e sulle misure prospettate, il Garante rileva che la raccolta dei dati è ancora troppo dipendente dall’intervento umano e richiede garanzie più forti sotto il profilo dell’esattezza e della qualità dei dati. Indica come misura utile la firma digitale del foglio Excel tramite hash, con chiave detenuta da soggetto diverso da chi effettua la raccolta, da ripetere in caso di modifiche o migrazioni dei dati. Il parere favorevole è quindi condizionato all’implementazione di ulteriori e più robuste misure tecniche.

Mezzi di ricorso

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni per i ricorrenti residenti all’estero.