Provvedimenti a carattere generale n. 298 del 09/05/2024

Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica: garanzie per la ricerca sanitaria senza consenso e avvio della revisione

Il provvedimento individua, ai sensi dell’art. 110 del Codice, le garanzie da osservare per trattamenti di dati sulla salute utilizzati in ricerche mediche, biomediche ed epidemiologiche quando non sia possibile acquisire il consenso degli interessati per ragioni etiche o organizzative. Contestualmente, il Garante promuove l’elaborazione di nuove regole deontologiche per i trattamenti a fini statistici o di ricerca scientifica ai sensi degli artt. 2-quater e 106 del Codice.

Quadro normativo di riferimento

Il Garante richiama il GDPR, il d.lgs. 196/2003 come modificato, l’art. 110 del Codice novellato dall’art. 44, comma 1-bis, della legge 29 aprile 2024, n. 56 di conversione del d.l. 2 marzo 2024, n. 19, nonché gli artt. 2-quater e 106 del Codice. Il provvedimento si colloca nel contesto delle Regole deontologiche già adottate con provvedimento n. 514 del 19 dicembre 2018, oggi allegato A.5 al Codice, e delle Prescrizioni per trattamenti a fini statistici e di ricerca scientifica richiamate nel testo. Viene inoltre considerato il quadro interno di funzionamento dell’Autorità, con riferimento al Regolamento n. 1/2019.

Garanzie per trattamenti di dati sanitari a fini di ricerca quando manca il consenso

Nelle more dell’adozione di nuove regole deontologiche e ferma restando la vigenza di quelle dell’allegato A.5, il Garante precisa che, per i trattamenti di dati sulla salute relativi a soggetti deceduti o non contattabili, il consenso può non essere richiesto quando particolari ragioni rendano impossibile informare gli interessati, implichino uno sforzo sproporzionato o rischino di compromettere gravemente la ricerca.

In tali casi il titolare deve:

• adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi degli interessati;
• acquisire il parere favorevole del competente comitato etico a livello territoriale sul progetto di ricerca;
• motivare e documentare nel progetto di ricerca le ragioni per cui l’informativa e il consenso non sono possibili o sarebbero sproporzionati;
• documentare, se del caso, i ragionevoli sforzi effettuati per contattare gli interessati;
• svolgere e pubblicare la valutazione d’impatto ai sensi dell’art. 35 del GDPR;
• comunicare tale valutazione al Garante.

Criteri per qualificare le ragioni etiche e organizzative

Il provvedimento specifica il significato delle condizioni che giustificano l’operatività della disciplina speciale.

Le ragioni etiche sono ricondotte all’ipotesi in cui l’interessato ignori la propria condizione e l’informativa potrebbe rivelare elementi sullo svolgimento dello studio capaci di arrecargli un danno materiale o psicologico.

Le ragioni di impossibilità organizzativa si riferiscono invece ai casi in cui la mancata raccolta dei dati dei soggetti non contattabili, rispetto al totale dei soggetti da arruolare, produrrebbe effetti significativi sulla qualità dei risultati della ricerca. Il Garante richiama, a tal fine, criteri di valutazione quali:

• i criteri di inclusione dello studio;
• le modalità di arruolamento;
• la numerosità statistica del campione;
• il tempo trascorso dalla raccolta originaria dei dati.

Tra le ipotesi richiamate rientrano sia l’eventualità, residuale, che il contatto comporti uno sforzo sproporzionato per l’elevatissima numerosità del campione, sia quella in cui, dopo ogni ragionevole sforzo, gli interessati risultino deceduti o non contattabili al momento dell’arruolamento.

Promozione di nuove regole deontologiche per statistica e ricerca scientifica

Il Garante ritiene necessaria l’adozione di nuove regole deontologiche per i trattamenti a fini statistici o di ricerca scientifica, in ragione dell’evoluzione del quadro normativo e dell’impatto delle nuove tecnologie sulle modalità di svolgimento della ricerca. L’Autorità evidenzia che, nel processo di revisione, l’intervento dovrà essere coerente con l’approccio basato sul rischio, con i principi di responsabilizzazione, protezione dei dati sin dalla progettazione e per impostazione predefinita, già richiamati nel testo con riferimento agli artt. 5, par. 2, 24, 25, 32 e 35 del GDPR.

Il provvedimento precisa che le nuove regole dovranno riguardare, in particolare, gli ambiti di cui all’art. 106, comma 2, del Codice.

Soggetti legittimati, rappresentatività e interesse qualificato

Ai fini della promozione delle regole deontologiche, il Garante indica come soddisfatto il principio di rappresentatività in relazione alla natura dei soggetti proponenti. Sono richiamati, in particolare:

• università;
• altri enti o istituti di ricerca;
• società scientifiche;
• ricercatori operanti presso tali strutture;
• istituti di ricovero e cura a carattere scientifico;
• fondazioni ed enti morali di ricerca;
• enti pubblici istituzionalmente competenti al perseguimento di tali compiti.

Il provvedimento contempla anche la posizione di soggetti che, pur non tenuti alla sottoscrizione delle regole, sono comunque interessati alla loro applicazione e portatori di un interesse qualificato, come ad esempio le associazioni di malati.

Termini e modalità di comunicazione all’Autorità

I soggetti che ritengono di avere titolo a sottoscrivere le regole deontologiche e i soggetti portatori di un interesse qualificato sono invitati a comunicarlo al Garante e a trasmettere documentazione idonea a dimostrare, rispettivamente, la rappresentatività o l’interesse qualificato.

Le comunicazioni devono pervenire entro 60 giorni dalla pubblicazione della deliberazione nella Gazzetta Ufficiale della Repubblica Italiana, esclusivamente all’indirizzo PEC protocollo@pec.gpdp.it.

Esito del provvedimento

In conclusione, il Garante:

• individua le garanzie applicabili ai trattamenti di dati sanitari per ricerca nei casi di impossibilità o sproporzione nell’informare e acquisire il consenso;
• promuove l’adozione delle nuove regole deontologiche per i trattamenti a fini statistici e di ricerca scientifica;
• disciplina rappresentatività e interesse qualificato ai fini della partecipazione alla fase di elaborazione;
• dispone la trasmissione del provvedimento all’Ufficio pubblicazione leggi e decreti del Ministero della giustizia per la pubblicazione in Gazzetta Ufficiale.