Provvedimenti ex art. 110 del Codice n. 36 del 24/01/2024

ASST Spedali Civili di Brescia – studio PRESERVE su ricerca medica e algoritmo predittivo

Il Garante esamina una consultazione preventiva presentata dall’ASST Spedali Civili di Brescia, promotrice di uno studio retrospettivo osservazionale finalizzato alla costruzione di un modello predittivo per la personalizzazione delle strategie di preservazione d’organo nel carcinoma della laringe e dell’ipofaringe. Il procedimento riguarda la fase retrospettiva del progetto europeo PRESERVE e, in particolare, il trattamento di dati sanitari, radiologici, genetici e biomolecolari di pazienti deceduti o non contattabili.

Quadro del trattamento e finalità della ricerca

Lo studio, denominato "Intelligenza artificiale per la definizione di nuove signature e modelli per la personalizzazione delle strategie di preservazione d’organo del cancro laringeo e ipofaringeo - PRESERVE", mira a creare un modello multimodale capace di predire la risposta alla chemioterapia di induzione come strategia di preservazione d’organo. L’ASST rappresenta che l’integrazione di dati clinici, radiologici, genetici e biomolecolari consente di identificare preventivamente i soggetti rispondenti, migliorare la conservazione della laringe e la qualità di vita del paziente, e sviluppare in prospettiva un sistema di supporto alla decisione clinica.

Lo studio prevede circa 300 pazienti trattati tra il 2008 e il 2020 e si articola in cinque fasi: raccolta dei dati, integrazione di profili trascrittomici e genetici, analisi radiomica, progettazione del modello predittivo e integrazione in un sistema di supporto alla decisione clinica. Il Garante precisa che il presente provvedimento riguarda solo la fase 1, cioè lo sviluppo dell’algoritmo predittivo.

Istruttoria, chiarimenti e basi giuridiche

L’istanza è stata presentata ai sensi dell’art. 110 del Codice e dell’art. 36 GDPR, con allegati il protocollo, la DPIA, il parere favorevole del Comitato etico e le informative privacy. L’Ufficio ha richiesto chiarimenti su vari profili: rapporto con il progetto europeo, ruoli dei soggetti esteri, presupposti del trasferimento dei dati, modalità di informazione degli interessati, tempi di conservazione e garanzie connesse all’uso di logiche algoritmiche.

L’ASST ha precisato che il bando europeo rappresenta il contesto del progetto, ma non costituisce base giuridica del trattamento; la liceità va rinvenuta nell’art. 9, par. 2, lett. j) GDPR e nell’art. 110 del Codice. Ha inoltre chiarito che la fase retrospettiva non prevede ancora l’uso di sistemi di intelligenza artificiale in senso stretto, ma la costruzione di un algoritmo che sarà poi impiegato nella fase prospettica successiva.

Impossibilità di informare e reperire il consenso

Il Garante ritiene adeguatamente motivata l’impossibilità di informare tutti gli interessati e di acquisire il consenso, in ragione della natura aggressiva del tumore, dell’alta mortalità e della difficoltà di contattare i pazienti a distanza di anni. Su un campione di 60 cartelle cliniche analizzate, l’ASST ha rilevato il 46,67% di pazienti deceduti, il 23,33% non eleggibili e il 30% ancora in vita; per questi ultimi sono stati effettuati tentativi di contatto senza esito.

L’Autorità prescrive però che l’ASST documenti i tentativi di contatto e ne effettui almeno tre prima di attestare la non contattabilità, potendo utilizzare i canali indicati dalle prescrizioni applicabili, come la verifica dello stato in vita, la consultazione della documentazione clinica, i recapiti telefonici, l’anagrafe degli assistiti o l’anagrafe comunale.

Trasparenza, informative e pubblicazione delle informazioni

L’ASST ha predisposto due informative distinte, ai sensi degli artt. 13 e 14 GDPR, e l’informativa per gli interessati non contattabili o deceduti dovrebbe essere resa pubblica sul sito istituzionale. Il Garante ritiene necessario rafforzare ulteriormente la trasparenza:

• va eliminato il riferimento al diritto di opposizione, non applicabile nel contesto in esame;
• nelle informative deve risultare con linguaggio semplice e chiaro che il progetto è volto all’implementazione di un algoritmo;
• l’informativa ex art. 14 deve essere pubblicata, per tutta la durata dello studio, anche sui siti istituzionali dei centri partecipanti, in una sezione facilmente accessibile.

DPIA, modelli statistici e logiche algoritmiche

Poiché i dati saranno elaborati con modelli statistici e il risultato della fase 1 sarà un algoritmo predittivo, il Garante richiede un livello elevato di trasparenza anche sulle logiche di trattamento. In particolare, prescrive la pubblicazione sul sito istituzionale della DPIA, anche per estratto, integrata con l’elenco puntuale dei modelli matematici/statistici utilizzati e con l’indicazione delle logiche algoritmiche impiegate.

Il provvedimento richiama il principio di conoscibilità dei processi automatizzati e il rischio di opacità degli algoritmi, oltre ai principi di non esclusività della decisione algoritmica e di non discriminazione algoritmica. È richiamato anche il recente decalogo del Garante sui servizi sanitari nazionali attraverso sistemi di intelligenza artificiale.

Ruoli dei soggetti coinvolti e trasferimento dei dati all’Università di Oslo

I centri italiani partecipanti sono qualificati come autonomi titolari del trattamento. L’Università di Oslo, Department of Informatics, fornisce la piattaforma elettronica per la raccolta dei dati ed è designata responsabile del trattamento ex art. 28 GDPR. Il trasferimento dei dati verso la Norvegia è considerato conforme, in quanto basato su garanzie adeguate, tra cui le Standard Contractual Clauses ai sensi dell’art. 46, par. 2, lett. c) GDPR.

Il Garante rileva che la struttura organizzativa dello studio appare idonea a escludere il coinvolgimento di soggetti non autorizzati nel trattamento dei dati sanitari dei pazienti arruolati.

Conservazione dei dati e anonimizzazione

In origine l’ASST aveva indicato tempi di conservazione diversi, fino a 25 anni, richiamando il Massimario di scarto regionale applicabile alle sperimentazioni cliniche. Il Garante chiarisce che tale riferimento è inconferente, poiché lo studio non è una sperimentazione clinica di medicinali, e che la disciplina dei 25 anni discende da una specifica normativa di settore, non estensibile per analogia.

L’ASST ha quindi ricondotto la conservazione a 10 anni dalla conclusione dello studio, motivando tale termine con l’esigenza di mantenere disponibili i dati fonte per verifiche, controlli, eventuali revisioni e per l’analisi delle cause di un eventuale mancato raggiungimento dei risultati. Il Garante prende atto positivamente della riduzione del termine e della relativa motivazione.

Quanto all’anonimizzazione, l’Autorità precisa che, in caso di diffusione o condivisione dei risultati, il numero di statistiche aggregate rese conoscibili deve essere significativamente inferiore al numero delle variabili considerate, per evitare il rischio di ricostruzione del dataset e di re-identificazione. Inoltre, se dopo l’anonimizzazione emergono singolarità, l’ASST deve rimuoverle, tracciarne l’occorrere e ripetere la valutazione del rischio di re-identificazione.

Misure di sicurezza

La DPIA descrive un set di misure tecniche e organizzative giudicato complessivamente adeguato: accessi profilati, credenziali personali, pseudonimizzazione, disaster recovery, antivirus e firewall, policy per i documenti cartacei, procedure di gestione dei data breach, istruzioni operative per le persone autorizzate e previsione di compliance privacy by design e by default negli acquisti e negli sviluppi esternalizzati.

Esito del provvedimento

Il Garante esprime parere favorevole al trattamento dei dati personali per finalità di ricerca medica, biomedica ed epidemiologica riferiti alla coorte di pazienti deceduti o non contattabili, ma condiziona il parere all’adempimento delle misure indicate. Tra queste vi sono: almeno tre tentativi di contatto, revisione delle informative, pubblicazione delle informazioni e della DPIA, gestione prudente delle statistiche aggregate, e monitoraggio continuo del rischio di re-identificazione.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.