Provvedimenti ex art. 110 del Codice n. 242 del 24/04/2024

Clinica Valle Giulia Casa di Cura S.p.A. – consultazione preventiva per studio di ricerca su PMA con dati sanitari e genetici

Il Garante esamina la richiesta di consultazione preventiva presentata dalla Clinica Valle Giulia, in qualità di titolare del trattamento, per uno studio retrospettivo e monocentrico sulle tecniche di procreazione medicalmente assistita. Il trattamento riguarda dati sanitari e genetici già raccolti in ambito di cura e riferiti a pazienti deceduti o non contattabili.

Fatti e origine del procedimento

L’istanza è stata presentata ai sensi dell’art. 110 del Codice privacy, con allegati il protocollo di studio, la valutazione di impatto ex art. 35 GDPR, il parere favorevole del comitato etico territorialmente competente e le informative. L’Ufficio del Garante ha svolto un approfondimento istruttorio con richieste di chiarimenti e rilievi sulle ragioni dell’impossibilità o sproporzione del ricontatto, sugli obblighi informativi, sulle misure tecniche per l’esattezza dei dati, sul trasferimento dei dati genetici e sui tempi di conservazione.

Trattamenti esaminati

Lo studio prevede il trattamento di:

• dati relativi alla salute, tra cui cartelle cliniche e immagini diagnostiche;
• dati genetici precedentemente acquisiti per finalità di cura;
• dati trattati in forma digitale e pseudonimizzata, senza utilizzo di campioni biologici fisici per lo studio.

Il Garante richiama le definizioni di dato personale, dato genetico e pseudonimizzazione, e ribadisce che la ricerca scientifica deve rispettare il GDPR, il Codice privacy, le Regole deontologiche e le Prescrizioni specifiche sui dati genetici.

Base giuridica e non necessità del consenso

L’Autorità ritiene correttamente rappresentato lo "sforzo sproporzionato" necessario per contattare tutti gli interessati, alla luce dell’enorme numerosità del campione, dell’assenza di adeguate risorse economiche e di personale e del rischio di compromettere gravemente la finalità di ricerca. In questo contesto, la mancata acquisizione del consenso è considerata compatibile con l’art. 110 del Codice, purché sussistano:

• motivazione specifica nel progetto di ricerca;
• parere favorevole del comitato etico;
• consultazione preventiva del Garante ex art. 36 GDPR.

Informativa e trasparenza

Il Garante valuta positivamente la scelta della Clinica di pubblicare l’informativa sul proprio sito internet per tutta la durata dello studio, come misura idonea a soddisfare gli obblighi di trasparenza verso soggetti deceduti o non contattabili, richiamando l’art. 14, par. 5, lett. b) GDPR e l’art. 6, comma 3, delle Regole deontologiche.

Sono ritenuti corretti i chiarimenti introdotti nelle informative circa:

• l’inconferenza del diritto di opposizione, non pertinente ai trattamenti fondati sugli artt. 6, par. 1, lett. e) o f) GDPR;
• l’inconferenza del rinvio all’art. 13, par. 3 GDPR per i casi in cui non è possibile informare direttamente gli interessati;
• l’esclusione della possibilità di far emergere "notizie inattese" dallo studio.

Permane però una criticità: l’informativa non indica, per i dati genetici, le modalità con cui gli interessati che ne facciano richiesta possono accedere alle informazioni contenute nel progetto di ricerca, come richiesto dal punto 4.11.1 delle Prescrizioni. Il Garante dispone quindi l’integrazione dell’informativa.

Ruoli, organizzazione e responsabilità

La Clinica è correttamente qualificata come titolare del trattamento ai sensi dell’art. 24 GDPR, poiché determina finalità e mezzi del trattamento. IVIRMA ITALIA S.r.l. è correttamente nominata responsabile del trattamento ai sensi dell’art. 28 GDPR per raccolta, archiviazione ed elaborazione dei dati.

L’Autorità ritiene adeguata la struttura organizzativa predisposta, tale da evitare accessi da parte di soggetti non autorizzati e da assicurare la corretta gestione dei dati sulla salute e genetici dei pazienti.

Misure tecniche e organizzative valutate dal Garante

Il Garante considera complessivamente adeguate le misure descritte nella VIP, tra cui:

• uso del software clinico per gli electronic medical records;
• generazione di un codice identificativo univoco per coppia, ciclo e ovocita;
• esportazione dei dati pseudonimizzati in formato elettronico;
• conservazione dei dati pseudonimizzati su server e computer protetti da password;
• separazione tra dati identificativi e dati di ricerca;
• invio alla società capogruppo in file Excel protetti da password, con password comunicata tramite canale diverso;
• doppio controllo manuale sulla rimozione dei codici identificativi;
• conservazione dei dati per 36 mesi, per esigenze tecniche e revisioni prima della pubblicazione.

Sono richiamate anche le cautele specifiche previste dalle Prescrizioni per il trasferimento e la consultazione dei dati genetici, inclusi cifratura, canali protetti, autenticazione e pseudonimizzazione.

Criticità sulle misure by design e richiesta di rafforzamento

Pur riconoscendo che la valutazione di impatto, considerata la natura monocentrica dello studio e le tipologie di dati trattati, individua nel complesso misure idonee a mantenere il rischio a un livello accettabile, il Garante rileva una fragilità nella fase di caricamento dei dati sul foglio Excel, poiché tale passaggio è affidato in larga misura a interventi umani.

Per rafforzare il principio di esattezza e garantire la qualità del dato, l’Autorità richiede misure più robuste, ad esempio:

• firma digitale del file tramite hash una volta completata la raccolta;
• conservazione della firma o dell’hash da parte di un soggetto diverso da chi inserisce i dati;
• reiterazione del controllo in caso di modifiche o migrazioni dei dati in altri file.

Diffusione dei risultati e anonimizzazione

Nella VIP è indicato che i risultati saranno pubblicati in forma aggregata su una rivista scientifica di settore. Il Garante osserva che la sola aggregazione non è di per sé sufficiente a escludere il rischio di re-identificazione e richiama il rischio di "reconstruction attack" quando le statistiche aggregate sono numerose rispetto alle variabili divulgate. Tuttavia, nel provvedimento non impone specifiche prescrizioni ulteriori su questo punto, limitandosi a richiamare il principio di cautela.

Esito del provvedimento

Il Garante esprime parere favorevole alla realizzazione dello studio, ai sensi dell’art. 110 del Codice e dell’art. 36 GDPR, ma a condizione che:

• l’informativa sia integrata con l’indicazione delle modalità di accesso alle informazioni del progetto di ricerca;
• siano implementate misure tecniche ulteriori e più robuste per assicurare by design l’esattezza dei dati.

Il provvedimento non contiene sanzioni. Resta previsto il ricorso innanzi all’autorità giudiziaria ordinaria nei termini indicati dall’art. 78 GDPR, dagli artt. 152 Codice privacy e 10 d.lgs. 150/2011.