Provvedimenti ex art. 110 del Codice n. 157 del 07/03/2024

Parere favorevole della consultazione preventiva per lo studio GIMEMA su COVID-19 e patologie linfoproliferative

Il provvedimento riguarda la Fondazione GIMEMA Franco Mandelli onlus, promotrice di uno studio multicentrico osservazionale retrospettivo e prospettico sull’incidenza di infezione da COVID-19 severa in pazienti con leucemia linfatica cronica o linfoma non Hodgkin indolente a cellule B trattati con Tixagevimab e Cilgavimab. La consultazione preventiva è stata attivata ai sensi dell’art. 110 del Codice privacy e dell’art. 36 GDPR, in relazione alla necessità di includere nel campione anche pazienti deceduti o non contattabili.

Contesto dello studio e categorie di pazienti coinvolte

Lo studio è descritto come multicentrico, osservazionale, retrospettivo e prospettico, con inclusione dei pazienti che hanno ricevuto la prima dose di profilassi tra marzo 2022 e ottobre 2022 e follow-up fino a 12 mesi dalla prima dose. La Fondazione ha distinto tra:

• pazienti contattabili, per i quali la base giuridica è il consenso ai sensi dell’art. 9, par. 2, lett. a) GDPR, con informativa ex art. 13 GDPR;
• pazienti non contattabili e deceduti, per i quali non è possibile acquisire il consenso e si ricorre alla consultazione preventiva del Garante.

La documentazione istruttoria evidenzia che il mancato inserimento di tali soggetti potrebbe compromettere la completezza del campione e introdurre un selection bias, con effetti negativi sulla validità dei risultati e sulla loro generalizzabilità.

Valutazione dell’impossibilità di contattare gli interessati

Il Garante richiama il quadro normativo rilevante in materia di ricerca scientifica, inclusi gli artt. 5, 9 e 89 GDPR, l’art. 110 del Codice, le Prescrizioni per i trattamenti a fini di ricerca scientifica e le Regole deontologiche. In tale contesto, l’impossibilità di informare gli interessati e acquisire il consenso è considerata ammissibile se adeguatamente motivata e documentata, specie quando deriva da ragioni organizzative.

Nel caso concreto, la Fondazione ha previsto:

• almeno 3 tentativi telefonici di ricontatto del paziente, da documentare nel database di studio;
• verifica del decesso tramite consultazione della documentazione clinica;
• pubblicazione dell’informativa ai sensi dell’art. 14 GDPR sul sito della Fondazione e sui siti dei centri partecipanti.

Il Garante ritiene che tali elementi dimostrino in modo sufficiente l’impossibilità organizzativa di procedere al contatto e l’adeguatezza della motivazione.

Trasparenza e informativa ex art. 14 GDPR

L’Autorità considera efficace la scelta di dare pubblicità all’informativa tramite il sito del promotore e quelli dei centri partecipanti, in una pagina facilmente accessibile. Questa misura è valutata come idonea a soddisfare gli obblighi di trasparenza per i trattamenti relativi ai pazienti deceduti o non contattabili, ai sensi dell’art. 14 GDPR e dell’art. 6, comma 3, delle Regole deontologiche.

Il provvedimento introduce però una condizione espressa: la pubblicazione deve restare disponibile per tutta la durata dello studio.

Misure di sicurezza, pseudonimizzazione e organizzazione del trattamento

La Fondazione ha rappresentato che i dati sono raccolti mediante REDCap, piattaforma web sicura per studi clinici e osservazionali, accessibile solo agli sperimentatori autorizzati. Il Promotore ha accesso solo a dati pseudonimizzati e anche le comunicazioni di farmacovigilanza sono in forma pseudonimizzata.

Il Garante valorizza inoltre:

• la pseudonimizzazione come misura di sicurezza e di minimizzazione, coerente con gli artt. 5, par. 1, lett. c), 25 e 89 GDPR;
• la corretta individuazione dei ruoli di titolari, responsabili e rappresentanti;
• l’adozione di misure tecniche e organizzative tali da escludere l’accesso di soggetti non autorizzati;
• l’adeguatezza complessiva della valutazione di impatto, che colloca i rischi a un livello accettabile.

Conservazione dei dati e uso futuro dei risultati

Nel corso dell’istruttoria la Fondazione aveva prospettato diverse ipotesi di conservazione, inizialmente anche di 25 anni, giustificate dall’esigenza di verificabilità e riproducibilità dei risultati scientifici. In risposta ai rilievi dell’Ufficio, ha poi rideterminato il periodo di conservazione in un anno dalla chiusura dello studio, ritenuto sufficiente per l’elaborazione dei dati e la pubblicazione scientifica.

Il Garante considera tale periodo proporzionato allo scopo della raccolta, ricordando che:

• la conservazione non può eccedere il tempo necessario al conseguimento delle finalità, salvo trattamenti ulteriori per ricerca scientifica conformi all’art. 89 GDPR;
• eventuali studi futuri con i medesimi dati richiederanno una autonoma base giuridica, preferibilmente il consenso o altra condizione di liceità equipollente.

Esito finale del provvedimento

Il Garante esprime parere favorevole alla Fondazione GIMEMA per la raccolta e il trattamento dei dati personali dei pazienti deceduti o non contattabili nello studio indicato, ai sensi dell’art. 110 del Codice e dell’art. 36 GDPR. Il parere è subordinato alla condizione che l’informativa ex art. 14 GDPR resti pubblicata e accessibile sul sito del promotore e dei centri partecipanti per l’intera durata dello studio.