Ordinanza ingiunzione o revoca n. 315 del 18/07/2023

Parere favorevole condizionato per lo studio "MOBO-real"

Il Garante per la protezione dei dati personali esamina l’istanza di consultazione preventiva presentata dall’Azienda Ospedaliera Universitaria Careggi per lo svolgimento dello studio osservazionale multicentrico retrospettivo e prospettico "MOBO-real", finalizzato a valutare sicurezza ed efficacia di mobocertinib in pazienti con carcinoma polmonare non a piccole cellule metastatico con esone 20 dell’EGFR. Il provvedimento riguarda, in particolare, il trattamento dei dati sanitari di pazienti deceduti o non contattabili, nell’ambito di una ricerca medica e biomedica multicentrica.

Quadro normativo richiamato

L’Autorità richiama il Regolamento (UE) 2016/679, con particolare riferimento ai principi di liceità, correttezza, trasparenza, limitazione della conservazione, minimizzazione, integrità e riservatezza, nonché agli artt. 35 e 36 in materia di valutazione d’impatto e consultazione preventiva. È richiamato anche l’art. 110 del Codice privacy, che consente il trattamento dei dati relativi alla salute per finalità di ricerca scientifica in caso di impossibilità o sproporzione nell’informare gli interessati, a condizione che siano adottate misure appropriate, vi sia il parere favorevole del comitato etico e sia effettuata la consultazione preventiva del Garante. Sono inoltre richiamate le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica e le Prescrizioni del Garante per la ricerca scientifica.

Istruttoria e caratteristiche del trattamento

Dalla documentazione acquisita emerge che lo studio coinvolge 26 centri oncologici italiani e una stima di circa 50 pazienti. La durata prevista è di 12 mesi, con follow-up aggiuntivo di 30 mesi. I dati sono raccolti tramite piattaforma RedCap ospitata presso l’Università di Firenze, con accesso mediante credenziali personali e ruoli limitati ai soli soggetti autorizzati. Il Garante prende atto che i centri partecipanti operano come titolari autonomi del trattamento e che lo sperimentatore principale è qualificato come persona espressamente designata ai sensi dell’art. 2-quaterdecies del Codice.

Basi giuridiche e impossibilità di acquisire il consenso

L’Autorità ritiene correttamente individuate le basi giuridiche del trattamento e sufficientemente documentate le ragioni che rendono impossibile o sproporzionato informare e raccogliere il consenso dei pazienti non contattabili. In particolare, la patologia oggetto dello studio presenta un’elevata mortalità e i ricercatori hanno previsto tentativi ragionevoli di contatto, anche mediante consultazione dell’anagrafe sanitaria regionale e dell’anagrafe della popolazione residente. Il Garante sottolinea che i trattamenti potranno iniziare solo dopo l’ottenimento dei pareri favorevoli dei rispettivi comitati etici territoriali, condizione che integra il presupposto di liceità richiesto dall’art. 110 del Codice.

Pseudonimizzazione, anonimizzazione e limiti alla diffusione dei risultati

Il provvedimento evidenzia che l’Azienda ha impropriamente parlato di anonimizzazione, mentre i dati sono in realtà pseudonimizzati. La pseudonimizzazione è ritenuta coerente con l’art. 89 GDPR e con il principio di minimizzazione, ma non equivale ad anonimizzazione ai sensi del Regolamento. Quanto alla fase finale dello studio, in cui i dati sarebbero aggregati per la diffusione dei risultati, il Garante impone cautele rafforzate: il numero di statistiche aggregate divulgabili deve essere significativamente inferiore rispetto al numero delle variabili considerate, per evitare il rischio di ricostruzione del dataset e di re-identificazione dei singoli soggetti.

L’Autorità richiede inoltre che, nell’ambito delle verifiche periodiche sull’efficacia delle misure di anonimizzazione e sull’evoluzione tecnologica, l’Azienda si impegni a:

• rimuovere ogni singolarità di cui venga successivamente a conoscenza;
• tenere traccia di tali eventi;
• ripetere la valutazione del rischio di re-identificazione al raggiungimento del 1% di singolarità sul totale dei record del dataset.

Trasparenza informativa verso i pazienti viventi

Il Garante rileva che il modello di informativa acquisito agli atti riguarda soltanto gli interessati in vita e presenta alcune lacune. In particolare:

• non sono indicate con sufficiente chiarezza le basi giuridiche del trattamento, incluse quelle dei trattamenti effettuati ex lege, come la farmacovigilanza;
• non è chiarito il presupposto giuridico di eventuali trasferimenti di dati verso Paesi terzi;
• in caso di revoca del consenso, non è specificato che il titolare deve cessare i trattamenti fondati sul consenso in assenza di altra base giuridica e che i dati devono essere cancellati;
• il punto relativo alla conservazione dei dati contiene un richiamo al diritto di eliminazione non coerente con la sezione dedicata all’esercizio dei diritti.

Il Garante dispone quindi la modifica dell’informativa ai sensi dell’art. 13 GDPR.

Informazione agli interessati non contattabili

Per i pazienti deceduti o non contattabili, l’Autorità ritiene che la sola pubblicazione dell’informativa sul sito dell’Azienda non sia sufficiente, considerata la dimensione multicentrica dello studio. Pertanto, al fine di assicurare l’effettività del principio di trasparenza, richiede che le informazioni ex art. 14 GDPR siano rese pubbliche anche sui siti internet istituzionali dei centri di sperimentazione coinvolti, in una sezione facilmente accessibile e per tutta la durata dello studio.

Misure di sicurezza

La valutazione d’impatto presentata dall’Azienda descrive misure tecniche e organizzative quali accessi profilati, protocolli cifrati, credenziali personali, backup giornalieri, accesso limitato ai soggetti autorizzati e conservazione protetta dei documenti cartacei. Il Garante considera tali misure idonee a garantire integrità e riservatezza, richiamando però che l’adozione di misure di minimizzazione non esonera dall’implementare adeguate misure di sicurezza ai sensi dell’art. 32 GDPR.

Esito del procedimento e condizioni del parere favorevole

Il Garante esprime parere favorevole al trattamento dei dati personali per la ricerca medica, biomedica ed epidemiologica riferita alla coorte di pazienti deceduti o non contattabili, ma subordinatamente al rispetto delle seguenti condizioni:

• ridurre il numero di statistiche aggregate divulgabili in modo da mantenerlo significativamente inferiore rispetto alle variabili considerate;
• rimuovere le singolarità e monitorare il rischio di re-identificazione, con rivalutazione al raggiungimento del 1% di singolarità nel dataset;
• modificare l’informativa ai sensi dell’art. 13 GDPR secondo le indicazioni impartite;
• pubblicare le informazioni ex art. 14 GDPR anche sui siti istituzionali dei centri partecipanti.

Il provvedimento si chiude con l’indicazione dei rimedi giurisdizionali esperibili ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. 150/2011.