Provvedimenti ex art. 110 del Codice n. 261 del 22/06/2023

Studio IRaBiCa dell’Azienda Ospedaliera Universitaria "G. Martino" di Messina

Il Garante ha esaminato, in sede di consultazione preventiva, lo studio osservazionale multicentrico, retrospettivo e no profit denominato "Caratterizzazione clinica di istotipi rari di neoplasie epiteliali delle vie biliari - Studio IRaBiCa", promosso dall’Azienda Ospedaliera Universitaria "G. Martino" di Messina. Il provvedimento riguarda il trattamento di dati sanitari pseudonimizzati relativi a pazienti affetti da rari tumori delle vie biliari, con particolare attenzione ai casi di soggetti deceduti o non più contattabili.

Contesto istruttorio e struttura dello studio

Lo studio è finalizzato a creare una task force nazionale per raccogliere informazioni epidemiologiche, fattori di rischio, trattamenti eseguiti, follow up e dati di sopravvivenza dei pazienti con istotipi rari di neoplasie epiteliali delle vie biliari. L’Azienda ha rappresentato che i dati provengono da archivi cartacei e telematici di 32 centri partecipanti, sono raccolti in un database centrale e sono accessibili con credenziali dedicate. I centri partecipanti sono qualificati come titolari autonomi del trattamento, mentre il Principal Investigator e gli Study Coordinators operano all’interno della struttura organizzativa dell’Azienda con designazione interna e istruzioni ai sensi dell’art. 2-quaterdecies del Codice e degli artt. 29 e 32 GDPR.

Base giuridica e trattamento dei soggetti non contattabili

Il Garante ritiene correttamente impostata la procedura per i pazienti deceduti o non contattabili, facendo applicazione dell’art. 110 del Codice e dell’art. 36 GDPR. In particolare, valorizza:

• l’impossibilità o sproporzione di informare tutti gli interessati, dovuta alla lunga finestra temporale della raccolta dati e alla patologia ad alta mortalità;
• lo svolgimento di ragionevoli sforzi per contattare i pazienti, anche mediante consultazione della banca dati dell’anagrafe della popolazione residente;
• il parere favorevole del Comitato etico territorialmente competente;
• la preventiva consultazione del Garante.

Il ricorso al servizio telematico di consultazione dell’anagrafe nazionale, fondato su convenzione con il Comune di Messina, è giudicato conforme alla disciplina richiamata e idoneo a reperire dati anagrafici aggiornati.

Trasparenza e informative agli interessati

L’Autorità riconosce positivamente l’intenzione dell’Azienda di fornire l’informativa ex artt. 13 e 14 GDPR e di pubblicarla sul sito istituzionale e sui siti dei centri partecipanti per i soggetti non contattabili. Tuttavia, osserva che il modello trasmesso è troppo generico e non adeguatamente tarato sullo specifico studio. In particolare, l’informativa:

• richiama finalità e basi giuridiche in modo non puntuale;
• include basi giuridiche non pertinenti al caso concreto;
• non menziona in modo chiaro la procedura di consultazione preventiva prevista dall’art. 110 del Codice per i non contattabili.

Per questo il Garante impone di rivedere le informative affinché siano chiare, intelligibili, puntuali ed esplicite, con indicazione delle pertinenti basi giuridiche, delle finalità e dei tempi di conservazione o dei criteri per determinarli.

Conservazione dei dati e anonimizzazione finale

In origine lo studio prevedeva la conservazione dei dati per 25 anni, richiamando però in modo inconferente il regolamento sulla sperimentazione clinica dei medicinali. In corso di istruttoria l’Azienda ha corretto l’impostazione, riducendo il periodo di conservazione a 5 anni dalla conclusione dello studio. Il Garante prende favorevolmente atto della scelta, considerandola coerente con il principio di limitazione della conservazione e con la finalità di ricerca.

Quanto alla fase successiva, l’Azienda ha dichiarato che i dati saranno anonimizzati in modo definitivo. L’Autorità, richiamando il rischio di reidentificazione e i criteri del considerando 26 GDPR, ritiene necessario che la "generalizzazione" produca cluster composti da almeno tre soggetti con attributi omogenei, così da ridurre il rischio di singolarità e inferenze immediate.

Valutazione d’impatto e misure di sicurezza

Lo studio è stato corredato da valutazione d’impatto ex art. 35 GDPR, integrata durante l’istruttoria. Il Garante rileva che l’Azienda ha descritto le principali misure tecniche e organizzative di sicurezza, la struttura dei ruoli, i profili di accesso e l’analisi dei rischi connessi al trattamento. Viene inoltre ribadito che le misure di minimizzazione ex art. 89 GDPR non esonerano dall’adozione di adeguate misure tecniche e organizzative ai sensi dell’art. 32 GDPR.

Esito del provvedimento

Il Garante esprime parere favorevole alla realizzazione dello studio, ma condiziona l’efficacia del proprio assenso a due adempimenti essenziali:

• la modifica delle informative rese agli interessati, secondo gli artt. 13 e 14 GDPR;
• l’assicurazione che, in fase di generalizzazione/anonimizzazione, ciascun cluster contenga almeno tre soggetti con attributi omogenei.

Il provvedimento è impugnabile avanti all’autorità giudiziaria ordinaria nei termini di legge ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011.