Provvedimenti ex art. 110 del Codice n. 95 del 22/02/2024

Parere favorevole al trattamento dei dati di pazienti deceduti o non contattabili nello studio CABOGEN

Il Garante per la protezione dei dati personali esamina l’istanza di consultazione preventiva presentata dal Gruppo Oncologico Italiano di Ricerca Clinica (GOIRC) ai sensi dell’art. 110 del Codice privacy e dell’art. 36 GDPR, relativa allo studio multicentrico "Analisi retrospettiva di pazienti con carcinoma a cellule renali metastatico trattati con CABOzantinib: una firma GENomica per descrivere la risposta di lunga durata (CABOGEN)". Il provvedimento riguarda in particolare il trattamento dei dati di pazienti deceduti o non contattabili arruolati nello studio.

Contesto dello studio e categorie di dati trattati

Lo studio ha come finalità quella di descrivere il profilo genomico di pazienti con carcinoma renale metastatico (mRCC) che rispondono a lungo termine al trattamento con cabozantinib e di confrontarlo con quello dei non responders. Sono previsti anche obiettivi secondari relativi a OS, ORR, DOR e alla relazione tra profilo genomico, linea di trattamento e caratteristiche anamnestiche.

Il trattamento riguarda cinque macro-categorie di dati personali:

• informazioni sociodemografiche, comprese le indicazioni sulla razza;
• dati sulla storia medica;
• anamnesi oncologica e linee di trattamento;
• dati relativi alla sicurezza di cabozantinib e agli eventi avversi;
• analisi mutazionale/genomica, con trattamento di dati genetici.

Lo studio è multicentrico, coinvolge 12 centri clinici italiani e circa 80 pazienti maggiorenni.

Basi giuridiche individuate dal titolare

Il GOIRC ha indicato come base giuridica:

• il consenso degli interessati per la raccolta prospettica dei dati;
• la consultazione preventiva ex art. 110 del Codice e art. 36 GDPR, integrata dal parere favorevole del Garante e dai comitati etici competenti, per la raccolta retrospettiva dei dati già presenti nelle cartelle cliniche.

Secondo quanto rappresentato dal titolare, la mancata acquisizione del consenso è dovuta all’impossibilità o sproporzione dell’attività di contatto, in ragione di:

• decesso di parte dei pazienti;
• impossibilità di rintraccio;
• sopravvenuta incapacità;
• sproporzione dello sforzo richiesto rispetto alle finalità della ricerca.

La stima massima dei soggetti non contattabili è di circa 40 su 80.

Valutazioni del Garante sull’impossibilità di acquisire il consenso

Il Garante ritiene che il Gruppo abbia correttamente motivato le ragioni organizzative che rendono impossibile informare e acquisire un valido consenso da tutti gli interessati, in coerenza con il punto 5.3 delle Prescrizioni. In particolare, considera rilevante che l’impossibilità sia collegata a decesso o non rintracciabilità, verificati tramite:

• consultazione della documentazione clinica;
• eventuale verifica presso l’anagrafe della popolazione residente;
• plurimi tentativi documentati di contatto telefonico.

L’Autorità ritiene inoltre che la mancata considerazione dei dati dei pazienti deceduti o non raggiungibili comprometterebbe i risultati dello studio, introducendo bias di selezione.

Pareri etici e avvio del trattamento

Il protocollo è stato sottoposto ai comitati etici territorialmente competenti dei centri partecipanti. Agli atti risultano i pareri favorevoli di 4 centri al momento dell’istanza. Il Garante prende atto che i trattamenti non inizieranno prima dell’acquisizione dei pareri favorevoli degli altri centri coinvolti, considerandolo un presidio di liceità e correttezza quando non sia acquisibile il consenso.

Trasparenza e informativa

Il provvedimento valorizza la scelta del titolare di adottare una "informativa pubblica" diffusa presso tutti i centri partecipanti, in sezioni facilmente accessibili dei relativi siti internet e per tutta la durata dello studio. Tale misura è ritenuta idonea ad adempiere agli obblighi di trasparenza ex artt. 13 e 14 GDPR e art. 6 delle Regole deontologiche.

Il Garante osserva anche che le informative previste risultano adeguate a consentire agli interessati di decidere se conoscere o meno eventuali incidental findings derivanti dall’analisi genetica.

Minimizzazione, pseudonimizzazione e sicurezza

L’Autorità ritiene corretta l’applicazione del principio di minimizzazione e dell’art. 89 GDPR, in ragione dell’uso di tecniche di pseudonimizzazione attraverso la piattaforma Actide, che assegna a ciascun paziente un codice univoco.

Sono inoltre considerate adeguate le misure di sicurezza previste nella valutazione di impatto, tra cui:

• cifratura dei dati trasmessi via e-mail;
• invio della chiave su canale separato;
• protezione degli allegati con password comunicata separatamente;
• trattamento disgiunto dei dati genetici e sanitari rispetto agli altri dati identificativi;
• sistemi di autenticazione combinati;
• accesso ai locali contenenti dati genetici solo previa identificazione delle persone autorizzate.

Conservazione e cancellazione dei dati

Il periodo di conservazione è fissato in 7 anni dopo il completamento della sperimentazione, anche per consentire verifiche o ispezioni delle autorità competenti. Al termine del periodo, i dati non saranno anonimizzati ma cancellati mediante procedure tecniche descritte nella valutazione di impatto.

Il Garante ritiene corretta anche la previsione di una documentazione finale di dismissione, la cosiddetta "Final Decomissioning – Disposal Confirmation", idonea a comprovare l’avvenuta distruzione e pulizia dei sistemi presso responsabili e sub-responsabili.

Ruoli privacy e organizzazione del trattamento

Il provvedimento considera correttamente individuati i ruoli privacy dei soggetti coinvolti:

• il GOIRC e i centri clinici come titolari, ciascuno per le proprie responsabilità;
• la CRO Ecol Studio SpA/Yghea come responsabile del trattamento ex art. 28 GDPR;
• Nubilaria S.r.l. come sub-responsabile per la piattaforma e-CRF;
• Roche S.p.A. come altro responsabile esterno per la profilazione genomica tumorale;
• FMI Germany GmbH e Foundation Medicine Inc. come sub-responsabili nell’ambito delle analisi genomiche.

Il Garante ritiene che tale struttura organizzativa riduca il rischio di coinvolgimento di soggetti terzi non autorizzati nel trattamento di dati sanitari e genetici.

Trasferimenti di dati verso paesi terzi

Per i trasferimenti connessi alla profilazione genomica, il provvedimento prende atto che parte dei dati può essere trasferita fuori dall’Unione europea, in particolare tra Roche e Foundation Medicine Inc. negli Stati Uniti. Il Garante richiama la necessità di verificare in concreto la corrispondenza ai requisiti del Capo V del GDPR, pur ritenendo che, secondo quanto rappresentato dal titolare, il trasferimento sia assistito da una decisione di adeguatezza e da clausole contrattuali standard.

Esito

All’esito dell’istruttoria, il Garante esprime parere favorevole al GOIRC per la raccolta e il trattamento dei dati personali dei pazienti deceduti o non contattabili nello studio CABOGEN.

Il provvedimento richiama, per l’eventuale impugnazione, l’art. 78 GDPR, gli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011.