Ordinanza ingiunzione o revoca n. 287 del 21/05/2025

Menarini Silicon Biosystems SpA: trattamento di dati sanitari per il progetto CellFind e sanzione del Garante

Il provvedimento riguarda il trattamento di dati personali, anche relativi alla salute, effettuato da Menarini Silicon Biosystems SpA nell’ambito del progetto di ricerca CellFind, basato su tecniche di intelligenza artificiale per la classificazione di immagini cellulari e il conteggio automatizzato delle cellule tumorali nel mieloma multiplo. Il procedimento origina da un’attività ispettiva del Garante e si conclude con un’ordinanza-ingiunzione e con prescrizioni correttive.

Attività ispettiva e perimetro dell’istruttoria

L’Autorità ha verificato il rispetto della disciplina privacy nei trattamenti per scopi di ricerca scientifica, con particolare attenzione a:

• presupposti di liceità;
• obblighi informativi;
• misure di pseudonimizzazione;
• gestione dei dati impiegati per addestramento, testing e validazione del tool CellFind.

Il sistema CellFind è descritto come un software "research use only" basato su deep learning, capace di analizzare immagini di cellule per classificarle automaticamente. Il prodotto non risulta, allo stato, qualificato come dispositivo medico ai sensi del reg. (UE) 2017/746, anche se la società non escludeva future iniziative in tal senso.

Trattamenti esaminati e modalità operative

Dal provvedimento emerge che il tool riceve immagini di cellule associate a un identificatore unico e le elabora per individuare cellule tumorali. L’output è un report sulla presenza e sul numero di cellule tumorali, poi verificato dall’operatore umano, che può eventualmente correggere la classificazione automatica.

L’istruttoria ha riguardato anche due flussi di dati:

• dati provenienti dalla società americana del gruppo, impiegati in precedenti fasi di sviluppo e validazione;
• dati raccolti tramite un fornitore bulgaro, designato responsabile del trattamento ai sensi dell’art. 28 GDPR, per il progetto sul mieloma multiplo.

È stata inoltre esaminata la valutazione d’impatto ex art. 35 GDPR, dalla quale risultava che le immagini erano utilizzate per allenamento, testing e validazione dell’algoritmo, con archiviazione degli output in ambienti protetti da autenticazione a due fattori.

Contestazioni iniziali e norme richiamate

Con l’atto di avvio del procedimento il Garante ha contestato alla società la violazione di:

• art. 5, par. 1, lett. a), b), e), e par. 2, GDPR;
• art. 13 GDPR.

Sono stati richiamati inoltre i poteri di accertamento e correttivi dell’Autorità ex art. 58 GDPR e il regime sanzionatorio ex art. 83 GDPR, oltre agli artt. 157, 158, 166 e 168 del Codice privacy. Il provvedimento richiama anche le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica e le Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica.

Limitazione della finalità: contestazione superata

Il Garante aveva inizialmente rilevato che l’informativa e la documentazione interna descrivevano finalità non perfettamente coerenti, includendo anche la possibile futura classificazione e autorizzazione del tool come dispositivo medico e la possibile commercializzazione a terzi.

All’esito delle memorie difensive, però, l’Autorità ha ritenuto superata la contestazione relativa all’art. 5, par. 1, lett. b), GDPR. La società ha chiarito che:

• lo scopo effettivo era il progetto di ricerca per lo sviluppo del tool CellFind per il mieloma multiplo;
• le altre ipotesi, come la certificazione o commercializzazione, erano future ed eventuali;
• il trattamento era circoscritto alla ricerca sulle cellule tumorali dei pazienti coinvolti.

Violazione della limitazione della conservazione

Diversamente, il Garante ha confermato la violazione dell’art. 5, par. 1, lett. e), GDPR. Il periodo di conservazione indicato in 25 anni risultava ancorato anche a scenari futuri di sviluppo, commercializzazione, phase-out e possibile certificazione del prodotto, e non esclusivamente allo scopo originario del trattamento.

L’Autorità ha ribadito che il tempo di conservazione deve essere determinato sulla base di parametri tecnico-scientifici che dimostrino la funzionalità dell’informazione identificativa rispetto allo scopo della raccolta e la proporzionalità del periodo indicato. Nel caso concreto, il richiamo a finalità meramente eventuali è stato ritenuto incompatibile con il principio di limitazione della conservazione.

Il Garante ha comunque considerato attenuante il fatto che il progetto fosse ancora in corso e che non fosse emersa una conservazione oltre il termine strettamente necessario già maturata in concreto.

Violazione del principio di trasparenza e dell’art. 13 GDPR

La violazione del principio di trasparenza è stata confermata perché l’informativa resa agli interessati non descriveva in modo sufficientemente chiaro e preciso:

• lo scopo effettivo del trattamento;
• la specifica patologia oggetto del progetto, ossia il mieloma multiplo;
• la possibile vendita del tool a terzi;
• i tempi di conservazione effettivamente collegati alla finalità primaria.

Il Garante ha osservato che l’informativa formulava due "main goals" come se fossero finalità distinte, mentre si trattava di due fasi di un medesimo sistema di analisi. Inoltre, la sezione dedicata alla conservazione risultava collocata in modo tale da poter confondere la durata del trattamento necessario al progetto con quella relativa a eventuali ulteriori progetti di ricerca.

Accountability e valutazione complessiva della condotta

Sul principio di accountability il Garante ha ritenuto che la società, pur avendo dimostrato di avere svolto un assessment sul rischio di reidentificazione per i dati ricevuti dalla società americana del gruppo, non avesse adottato in modo complessivo misure e scelte sufficientemente accurate e responsabili.

L’Autorità ha valorizzato il fatto che il titolare fosse consapevole dei rischi insiti nell’uso di sistemi di intelligenza artificiale in ambito sanitario e avesse effettuato una valutazione d’impatto, ma ha comunque ritenuto carenti:

• la definizione degli scopi nell’informativa;
• la rappresentazione dei tempi di conservazione;
• la chiarezza sulla patologia oggetto della ricerca.

È stata dunque confermata la violazione dell’art. 5, par. 2, GDPR.

Misure correttive ordinate

Il Garante ha ingiunto alla società, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di comunicare entro 30 giorni dalla notifica:

• il periodo di conservazione dei dati ritenuto necessario, con specifiche motivazioni tecnico-giuridiche;
• il testo emendato dell’informativa relativa al progetto CellFind;
• le misure assunte o da assumere per dare alla nuova informativa la più ampia diffusione, ad esempio tramite pubblicazione presso le strutture sanitarie coinvolte o affissione di pannelli informativi.

Sanzione amministrativa e pubblicazione

Per le violazioni accertate degli artt. 5, par. 1, lett. a), e), par. 2, e 13 GDPR, il Garante ha applicato una sanzione amministrativa pecuniaria di 21.000 euro, ritenuta conforme ai criteri di effettività, proporzionalità e dissuasività di cui all’art. 83 GDPR.

Nel determinare l’importo, l’Autorità ha considerato tra l’altro:

• la natura dei dati trattati, idonei a rivelare lo stato di salute di circa 98 pazienti;
• l’assenza di intenzionalità;
• la collaborazione del titolare durante l’istruttoria;
• l’assenza di precedenti provvedimenti correttivi;
• il carattere innovativo delle tecnologie impiegate;
• il fatto che il progetto non avesse ancora portato a una conservazione oltre il necessario.

È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante.

Indicazioni operative per i professionisti

Il provvedimento conferma, per i progetti di ricerca su dati sanitari e strumenti di intelligenza artificiale, che il titolare deve:

• descrivere con precisione la finalità concreta del trattamento, evitando formulazioni generiche o alternative;
• indicare un periodo di conservazione coerente con lo scopo primario, non con eventuali scenari futuri solo ipotetici;
• fornire un’informativa chiara, comprensibile e non fuorviante;
• documentare in modo robusto le valutazioni su anonimizzazione, pseudonimizzazione e rischio di reidentificazione;
• mantenere un approccio effettivamente improntato all’accountability, specie nei trattamenti connessi all’IA in ambito sanitario.