Parere del Garante n. 364 del 31/08/2023

Parere su EUROPA T-DXd e trattamento di dati sanitari di pazienti non contattabili

Il Garante si pronuncia, ai sensi dell’art. 110 del d.lgs. 196/2003 e dell’art. 36 del Regolamento (UE) 2016/679, sulla consultazione preventiva relativa allo studio osservazionale "European Real-world experience of previously treated advanced/metastatic HER2-positive breast cancer patients Accessing trastuzumab deruxtecan through a named patient program" ("EUROPA T-DXd"). Il parere riguarda in particolare il trattamento dei dati relativi alla coorte di pazienti non contattabili, nell’ambito di un progetto di raccolta di real world data promosso da Daiichi Sankyo.

Contesto dello studio e struttura del trattamento

Lo studio è finalizzato a valutare gli esiti del trattamento con trastuzumab deruxtecan in pazienti con carcinoma mammario HER2-positivo avanzato/metastatico, al fine di contribuire al miglioramento delle cure future. Il progetto coinvolge centri di sperimentazione in Italia e in altri Paesi UE e prevede il trattamento di dati clinici raccolti dalle cartelle cliniche e dalle visite di routine. La consultazione preventiva si rende necessaria perché alcune pazienti risultano non contattabili o decedute, rendendo impossibile o sproporzionato acquisire il consenso.

Ruoli privacy e organizzazione del trattamento

Lo sponsor è Daiichi Sankyo, stabilito negli Stati Uniti, che ha nominato un rappresentante nell’Unione ai sensi dell’art. 27 GDPR. Per la gestione operativa dello studio è stata coinvolta una CRO, successivamente indicata come Optimapharm d.o.o., con ruolo di responsabile del trattamento ex art. 28 GDPR. I centri italiani partecipanti operano come autonomi titolari per i trattamenti di propria competenza. Il Garante richiama la necessità di una corretta definizione dei ruoli di protezione dei dati in tutte le fasi del trattamento, inclusa l’eventuale attività di monitoraggio da remoto.

Basi giuridiche del trattamento

Per le pazienti contattabili, la base giuridica è individuata nel consenso esplicito ai sensi dell’art. 9, par. 2, lett. a) GDPR, raccolto mediante modulo di consenso informato. Per le pazienti non contattabili, il Garante ritiene corretta l’applicazione della procedura residuale prevista dall’art. 110, comma 1, secondo periodo, del Codice privacy, purché lo sponsor abbia documentato tentativi effettivi di contatto e ricorrano il parere favorevole del comitato etico competente e la preventiva consultazione del Garante.

Il Garante, tuttavia, chiede di espungere dalla valutazione d’impatto il riferimento al legittimo interesse del titolare ex art. 6, par. 1, lett. f) GDPR, ritenendolo non applicabile ai dati relativi alla salute oggetto del trattamento, in assenza di una corrispondente esenzione nell’art. 9, par. 2, GDPR.

Documentazione di supporto e accountability

L’Autorità osserva che le dichiarazioni sostitutive di consenso informato per studi osservazionali retrospettivi possono costituire strumenti utili di accountability, documentando lo sforzo profuso dai centri per contattare le pazienti. Al contempo, segnala che il richiamo alle pregresse autorizzazioni generali del Garante può essere fuorviante, poiché oggi restano vigenti solo le prescrizioni confluite nel provvedimento del 5 giugno 2019 sulle categorie particolari di dati, incluse le prescrizioni per la ricerca scientifica.

Informazione agli interessati e modalità alternative

Il Garante ribadisce che l’impossibilità di contattare direttamente gli interessati non esonera dal rispetto del principio di trasparenza. In caso di dati raccolti presso terzi, resta applicabile l’art. 14 GDPR, con la possibilità di non fornire l’informativa solo nei limiti dell’art. 14, par. 5, lett. b), quando ciò comporti uno sforzo sproporzionato. In tali casi è comunque necessario adottare misure appropriate, anche rendendo pubbliche le informazioni, come richiesto dall’art. 6, comma 3, delle Regole deontologiche.

L’Autorità ritiene non idoneo il solo ricorso a ClinicalTrials.gov, poiché il sito è prevalentemente rivolto a operatori del settore e poco accessibile ai comuni pazienti. Accoglie invece la soluzione, poi confermata dallo sponsor, di pubblicare le informative sui siti internet dello sponsor e dei centri partecipanti. Tali informative dovranno essere conformi agli artt. 12, 13 e 14 GDPR: concise, trasparenti, intellegibili, facilmente accessibili e redatte con linguaggio semplice e chiaro.

Conservazione dei dati

In un primo momento vi erano indicazioni non uniformi tra la documentazione istruttoria e il protocollo, ma lo sponsor ha poi chiarito che i dati saranno conservati per almeno 10 anni. Il Garante ritiene tale periodo motivato e proporzionato rispetto alle finalità dello studio e alle esigenze di eventuale controllo da parte delle autorità regolatorie nazionali o dell’EMA, in coerenza con l’art. 5, par. 1, lett. e) GDPR.

Anonimizzazione e pubblicazione dei risultati

Per la diffusione dei risultati a fini scientifici o di reporting, lo sponsor dichiara che i dati saranno anonimizzati. Il Garante chiarisce però che la vera anonimizzazione deve impedire la reidentificazione anche tramite mezzi ragionevolmente disponibili e ricorda i rischi di single-out, linkability e inference.

Sul punto, l’Autorità impone che:

• il numero di statistiche aggregate rese conoscibili sia significativamente inferiore rispetto al numero delle variabili considerate, per evitare reconstruction attack;
• siano rimosse eventuali singolarità che emergano successivamente all’applicazione delle tecniche di anonimizzazione;
• sia tenuta traccia di tali eventi e sia ripetuta la valutazione del rischio di reidentificazione al raggiungimento dell’1% di singolarità sul totale dei record del dataset.

Misure tecniche e organizzative di sicurezza

Il Garante prende atto delle misure descritte nella DPIA: pseudonimizzazione alla fonte, cifratura in transito e a riposo, accesso limitato ai dati pseudonimizzati, separazione tra dati identificativi e tabelle di correlazione custodite dai centri partecipanti, controlli di accuratezza e restrizione dell’accesso in sola lettura dopo la verifica dei dati. Rileva che tali misure, insieme all’analisi dei rischi effettuata, appaiono complessivamente adeguate, ferma restando la necessità di rispettare anche l’art. 32 GDPR oltre alle misure dell’art. 89 GDPR.

Per l’eventuale monitoraggio da remoto, il Garante richiede una specifica integrazione della DPIA con la definizione dei ruoli privacy di tutti i soggetti coinvolti e con l’individuazione di misure tecniche e organizzative adeguate a tutela dei diritti e delle libertà degli interessati.

Trasferimenti verso paesi terzi

Poiché sponsor e originaria CRO hanno sede rispettivamente negli Stati Uniti e nel Regno Unito, e in ogni caso lo studio prevede trasferimenti extra UE, il Garante richiama il capo V del GDPR. Prende atto che i trasferimenti verso gli Stati Uniti avvengono sulla base di Standard Contractual Clauses ex art. 46 GDPR, ma ricorda che il titolare deve verificarne l’efficacia concreta e l’adeguatezza anche alla luce delle raccomandazioni EDPB sulle misure supplementari.

Esito del parere

Il Garante esprime parere favorevole al trattamento dei dati personali per finalità di ricerca medica, biomedica ed epidemiologica riferiti alla coorte di pazienti non contattabili, ma a condizione che:

• sia eliminato dalla DPIA il riferimento al legittimo interesse del titolare;
• al termine del periodo di conservazione, e comunque in caso di condivisione con terzi, il numero di statistiche aggregate divulgate sia significativamente inferiore al numero delle variabili considerate;
• siano rimosse le singolarità successivamente individuate e sia ripetuta la valutazione del rischio di reidentificazione al raggiungimento dell’1% di singolarità;
• in caso di monitoraggio da remoto, la DPIA sia integrata con una corretta allocazione dei ruoli privacy e con misure tecniche e organizzative adeguate.

Il provvedimento conferma dunque la possibilità di proseguire lo studio, ma condiziona il parere al rispetto puntuale delle prescrizioni indicate dall’Autorità.