g-docweb-display Portlet

Trattamento dei dati sensibili nell'ambito di attività di informazione scientifica e di sperimentazione clinica di medicinali - 24 luglio 2008 [15...

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1544575]

Trattamento dei dati sensibili nell´ambito di attività di informazione scientifica e di sperimentazione clinica di medicinali - 24 luglio 2008

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Giuseppe Fortunato, componente, e del dott. Giovanni Buttarelli, segretario generale;

Visti gli elementi acquisiti a seguito degli accertamenti effettuati presso Novartis Farma S.p.A. in ordine ai trattamenti dei dati effettuati per finalità promozionali nei confronti di operatori sanitari e per la sperimentazione dei medicinali;

Considerata la necessità che siano rispettati alcuni accorgimenti e misure necessari e opportuni per conformare alla normativa vigente i trattamenti di dati delle persone coinvolte nelle sperimentazioni cliniche, accorgimenti e misure che sono stati peraltro ricostruiti unitariamente e con un provvedimento di carattere generale, destinato a tutti i titolari di tali trattamenti, recante "Linee guida per i trattamenti di dati personali nell´ambito delle sperimentazioni cliniche di medicinali" adottato dall´Autorità in data odierna (Deliberazione n. 52 del 24 luglio 2008, doc. web n. 1533155);

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Giuseppe Chiaravalloti;

PREMESSO:

1. Accertamenti dell´Autorità
Il Garante ha eseguito accertamenti presso Novartis Farma S.p.A. (di seguito, "Novartis") società che opera in particolare nei settori della ricerca, produzione e commercializzazione di medicinali controllata da Novartis Pharma AG., a seguito di una specifica segnalazione concernente il trattamento di dati personali nell´ambito dell´attività di informazione scientifica sui farmaci. Tali accertamenti, in attuazione del programma ispettivo deliberato nel gennaio del 2006, sono stati estesi ai trattamenti di dati personali a fini di sperimentazione clinica dei medicinali nell´ambito del complesso procedimento in materia che ha portato anche all´adozione delle citate
 "Linee guida per i trattamenti di dati personali nell´ambito delle sperimentazioni cliniche di medicinali".

Le verifiche hanno, quindi, riguardato:

  • il trattamento a fini promozionali di dati personali relativi a operatori sanitari, raccolti da dipendenti della società addetti all´informazione scientifica del farmaco;
  • gli studi clinici, con particolare riguardo alla sperimentazione dei medicinali.

Per ciò che concerne la promozione di prodotti farmaceutici è emerso che la società ha raccolto in modo illecito e non corretto, attraverso propri informatori scientifici, dati personali relativi a pazienti e ad attitudini prescrittive di medici generici e specialisti, per poterli profilare e per orientare nei loro confronti la promozione dei farmaci.

In relazione alla sperimentazione clinica dei medicinali, gli accertamenti hanno evidenziato una non compiuta osservanza della normativa in materia di protezione dei dati personali e della disciplina di settore applicabile da parte della società farmaceutica (v. art. 3, comma 1, lett. c) d.lg. 24 giugno 2003, n. 211; art. 34 d.lg. 6 novembre 2007, n. 200; d.m. 15 luglio 1997, all. 1/1A punto 1.16). Quest´ultima, ritenendo di acquisire da centri di sperimentazione informazioni medico/cliniche non riconducibili all´identità delle persone partecipanti agli studi, le ha trattate in mancanza di un´idonea informativa e di un consenso prestato validamente e senza rispettare disposizioni del Codice riguardanti il titolare, i responsabili e gli incaricati del trattamento.

A conclusione del complesso procedimento il Garante, oltre a un divieto di trattamento, prescrive con il presente provvedimento a Novartis di adottare le misure necessarie per conformare alle disposizioni vigenti i trattamenti di dati personali effettuati nell´ambito delle attività di informazione scientifica e di sperimentazione clinica di medicinali.

2. Attività di promozione di prodotti farmaceutici e dati di medici
La promozione dei prodotti farmaceutici di Novartis è curata dal personale della società addetto all´informazione medico-scientifica tramite visite sistematiche a medici generici e specialisti durante le quali l´informatore raccoglie informazioni riguardanti l´interessato e la sua attività; può fornirgli inoltre campioni gratuiti di farmaci, sottoponendogli un modulo di richiesta da sottoscrivere.

Alcune delle informazioni raccolte attengono al numero degli assistiti/pazienti, nonché alle attitudini prescrittive del medico, e sono frutto di valutazioni e stime soggettive dell´informatore. Tali dati sono utilizzati dall´informatore per inserire il medico in un profilo di gruppo pre-definito (c.d. cluster) in relazione al numero dei pazienti e al gradimento dimostrato per i prodotti della società nel quadro delle scelte terapeutiche ("forte prescrittore", "medio prescrittore", "debole prescrittore", "non prescrittore" o "non so").

Le informazioni raccolte presso i medici, comprese quelle risultanti dalla loro profilazione, sono registrate dall´informatore, tramite un computer portatile, in una banca dati elettronica gestita da una società esterna (Dendrite Italia s.r.l.) in esecuzione di un contratto di fornitura di servizi stipulato con Novartis.
Le informazioni registrate nella banca dati sono utilizzate da Novartis per organizzare e pianificare i programmi di visite degli informatori, nonché per orientare e verificare l´efficacia dell´attività di promozione dei farmaci da essi svolta.

2.1. Informatori scientifici
L´attività di informazione scientifica posta in essere da Novartis comporta un trattamento di dati personali, anche valutativi, degli operatori sanitari finalizzato alla loro profilazione e al marketing dei prodotti della società (art. 113 d.lg. 24 aprile 2006, n. 219).

Fermi restando i rilievi evidenziati nel proseguo che formano oggetto di prescrizione, ciascun informatore può trattare lecitamente queste informazioni se è stato designato previamente quale incaricato del trattamento anche per quanto riguarda l´individuazione dell´ambito del trattamento consentito, e ha ricevuto le istruzioni alle quali attenersi (art. 30 del Codice). Al riguardo l´Autorità ha già impartito a Novartis le prescrizioni necessarie ai sensi degli artt. 154, comma 1 e 169, comma 2, del Codice, nell´ambito di un distinto procedimento.

2.2. Informativa ai medici
La società ha distribuito agli informatori un modello di informativa sul trattamento dei dati da rendere oralmente ai medici il cui contenuto è stato integrato, a seguito della segnalazione al Garante menzionata nelle premesse, indicando le effettive finalità (di profilazione e promozionali) cui è collegata la raccolta, presso i medici, dei dati valutativi che li riguardano.

Tuttavia, l´informativa, sebbene ponga in specifica evidenza tali attività, non consente ancora agli interessati di venire a conoscenza della successiva trasmissione dei dati a Dendrite Italia s.r.l.. (di seguito "Dendrite"). Questa operazione configura, infatti, una "comunicazione" di dati a terzi dal momento che la società destinataria va qualificata, allo stato degli atti, quale titolare autonomo o eventuale contitolare del trattamento (artt. 4, comma 1, lett. l) e 28 del Codice): Dendrite sulla base di una clausola del contratto stipulato con Novartis, mantiene responsabilità distinte rispetto a quest´ultima e possiede un ampio grado di autonomia in ordine ai trattamenti di dati effettuati per fornire i servizi finalizzati alla gestione dell´informazione scientifica.

Novartis dovrà, pertanto, integrare l´informativa da fornire ai medici in maniera da renderli edotti dell´ambito di comunicazione dei dati che li riguardano, entro il termine di cui in dispositivo. L´Autorità si riserva di valutare, con separato provvedimento, gli estremi per contestare a tale società la violazione amministrativa per inidonea informativa (art. 161 del Codice). Verrà inoltre instaurato un autonomo procedimento nei riguardi di Dendrite per verificare i presupposti di liceità del trattamento dei dati acquisiti tramite gli informatori scientifici, con particolare riferimento alle modalità della loro acquisizione, all´informativa, al consenso e alla comunicazione dei dati (artt. 11, 13, 23 e 24 del Codice).

2.3. Il consenso da parte dei medici
Novartis ha ritenuto che non fosse necessario acquisire il consenso dei medici, ipotizzando l´applicabilità, anche sulla base di un parere di Farmindustria (nota AG/MAZZ/Bizz. del 20 novembre 1997), della previsione che permette di prescindere dal consenso dei soggetti interessati per i dati "relativi allo svolgimento di attività economiche" (art. 24, comma 1, lett. d) del Codice). Quest´ultima non è però invocabile nel caso di specie, non potendo essere estesa arbitrariamente a ogni informazione personale a sfondo economico relativa all´attività dei professionisti (Parere del Garante 16 febbraio 1999, in 
Boll. n. 7/gennaio 1999, p. 10, doc. web n. 1088774). Ciò, in particolare, per quei profili dell´attività medica attinenti alla relazione personale e fiduciaria medico-paziente i quali, pur potendo avere un indiretto connotato suscettibile di una valutazione anche a contenuto economico, non sono propriamente diretti alla produzione di beni/servizi, dovendo ispirarsi prevalentemente a princìpi giuridici, valori etici e deontologici, nonché ad acquisizioni scientifiche volti a tutelare la salute dei pazienti (art. 29 l. 23 dicembre 1978, n. 833; art. 1, comma 1, d.m. 23 giugno 1981; artt. 15-bis e 36 d.P.R. 28 luglio 2000, n. 270; art. 15, comma 6, d.P.R. 28 luglio 2000, n. 271; artt. 5, 12 17 e 27 codice di deontologia medica; v. anche il "Manifesto sui princìpi etici dell´informazione sui farmaci" proposto dal Ministro della salute e sottoscritto il 30 aprile 2003 dalle principali associazioni di categoria di medici, farmacisti, informatori scientifici, aziende produttrici e distributrici di medicinali).

Le attuali modalità di raccolta dei dati personali relativi alle attitudini prescrittive dei medici non consentono, pertanto, agli interessati di esercitare consapevolmente il diritto all´autodeterminazione informativa e configurano una violazione dei princìpi di liceità e correttezza (artt. 11, comma 1, lett. a), 13 e 23 del Codice). I dati personali così raccolti, in quanto trattati in modo illecito e non corretto, sono inutilizzabili ai sensi dell´art. 11, comma 2, del Codice.
Tale profilo deve pertanto formare oggetto di prescrizione a Novartis per ulteriori trattamenti di dati, ai sensi dell´art. 154, comma 1, lett. c), del Codice, nonché di un divieto del trattamento. In particolare, la società potrà trattare i dati personali relativi alle attitudini prescrittive dei medici, per finalità di profilazione e promozionali, solo sulla base di un´idonea informativa agli interessati che evidenzi anche l´ambito di comunicazione dei dati, nonché di un valido consenso da parte dei medesimi interessati (art. 23 del Codice).

2.4. Consegna di campioni gratuiti
I moduli di richiesta di campioni gratuiti vengono recapitati a Bdp-Telematica e servizi s.r.l.. Tale società, in esecuzione di un contratto di servizi stipulato con Novartis, registra in una banca dati elettronica i dati relativi al numero dei campioni consegnati e ai nominativi dei medici destinatari per controllare il rispetto degli limiti quantitativi e degli altri obblighi normativi in materia di pubblicità di medicinali presso operatori sanitari (d.lg. 24 aprile 2006, n. 219).

Novartis ha elencato in alcune clausole contrattuali i compiti affidati a detta società e le istruzioni operative rispetto al trattamento dei dati, ritenendo di poterla designare quale incaricata del trattamento. Si è così violato il Codice nella parte in cui prevede che gli incaricati, preposti al trattamento di dati personali dal titolare o dal responsabile, possono essere soltanto persone fisiche e non anche persone giuridiche (art. 30). Novartis potrà quindi continuare ad avvalersi della collaborazione di Bdp-Telematica e servizi s.r.l. a condizione che provveda, nei termini di cui in dispositivo, alla sua rituale designazione quale responsabile del trattamento in conformità all´art. 29 del Codice. Resta fermo che le persone fisiche preposte al trattamento dei dati devono invece operare in forza di una formale e idonea designazione quali, appunto, incaricati del trattamento.

3. Sperimentazione clinica dei medicinali e dati di pazienti
La società promuove sperimentazioni cliniche di medicinali a livello nazionale e internazionale (in quest´ultimo caso, quale co-promotore dello studio unitamente alla casa madre Novartis Pharma AG). Tali sperimentazioni vengono eseguite presso strutture ospedaliere o universitarie o istituti di ricerca pubblici o privati autorizzati (centri di sperimentazione) da medici sperimentatori, sulla base di protocolli di studio predisposti dalla società.

Prima di impartire alla società un divieto e alcune prescrizioni, in relazione alle specifiche violazioni della disciplina sulla protezione dei dati personali verificate dall´Ufficio a seguito degli accertamenti svolti, sono necessarie alcune ulteriori premesse sulla natura dei dati trattati e sul ruolo della società promotrice e degli altri soggetti che risultano collaborare con la prima rispetto al trattamento dei medesimi dati, considerando anche i princìpi del Codice richiamati in più circostanze da questa Autorità e riassunti da ultimo nelle menzionate "Linee guida per i trattamenti di dati personali nell´ambito delle sperimentazioni cliniche di medicinali".

3.1 Natura dei dati
Nel corso degli accertamenti effettuati è stato riscontrato che Novartis ha adottato specifiche procedure interne in base alle quali i medici sperimentatori, nell´ambito degli studi clinici promossi dalla società, registrano i dati medico/clinici e le altre informazioni che, in conformità al protocollo, devono essere raccolti nel corso dello studio, utilizzando un codice numerico che consente di identificare univocamente i singoli partecipanti all´interno dello stesso studio proteggendo, al contempo la loro identità. A parere della società, tali modalità di codificazione renderebbero anonimi i dati oggetto di trattamento nell´ambito della sperimentazione.

Tuttavia, anche alla luce delle considerazioni e dei princìpi ora riassunti nelle "Linee guida" in materia di sperimentazioni cliniche, diversamente da quanto ritenuto dalla società, le informazioni collegate al codice identificativo di ciascun paziente sono da ritenere dati personali idonei a rivelare lo stato salute e, in qualche caso, a seconda della specifica patologia oggetto di studio, la vita sessuale del singolo interessato.

Nel caso di specie, la quantità e la tipologia di informazioni raccolte (iniziali del nome e cognome del paziente, data di nascita, età, sesso, razza, etnia, peso, altezza, nonché informazioni di carattere medico/clinico e relative agli stili di vita), le modalità di trattamento previste, nonché le diverse categorie di soggetti che possono avervi accesso (e, in particolare, gli operatori della società che eseguono il monitoraggio dello studio i quali accedono presso il centro di sperimentazione alla documentazione sanitaria originale delle persone partecipanti e alla lista che associa i loro dati nominativi ai rispettivi codici identificativi per garantire che la sperimentazione venga effettuata in osservanza del protocollo) comportano la possibilità di identificare gli interessati. Ciò, sia pure indirettamente, mediante il riferimento ad altre informazioni detenute dalla medesima società o a qualsiasi altra informazione non necessariamente nella disponibilità di quest´ultima (cfr. al riguardo, più ampiamente, il par. 3 delle citate "Linee guida").

L´acquisizione di tali dati da parte di Novartis nell´ambito delle sperimentazioni cliniche e le successive attività svolte su questi ultimi configurano, quindi, un trattamento di dati personali al quale si applicano le disposizioni del Codice sulle informazioni sensibili (art. 26), nonché le cautele poste a tutela dei diritti e della riservatezza degli interessati dall´autorizzazione del Garante n. 2/2008 al trattamento dei dati sulla salute e sulla vita sessuale (Provv. 19 giugno 2008, n. 33, doc. web n. 1529389).

3.2. Titolarità dei trattamenti finalizzati alla sperimentazione
Dagli accertamenti svolti è emerso che il rapporto tra Novartis e i centri di sperimentazione è basato su una convenzione stipulata prima dell´avvio dello studio che ne definisce gli aspetti economici. La convenzione precisa che la società, ricevendo dati ritenuti anonimi, svolge il ruolo di "collaboratore esterno" di un trattamento di cui viene considerato titolare ciascun centro di sperimentazione. A prescindere dal fatto che a questa affermazione non ha fatto seguito, come necessario, né l´elencazione scritta dei compiti affidati alla società, né l´indicazione di istruzioni operative (art. 29 del Codice), tale configurazione contrasta con il ruolo effettivamente svolto dai promotori di sperimentazioni cliniche, per ciò che concerne l´individuazione delle finalità e delle modalità del trattamento, che è stato riscontrato nel caso di specie dalle dichiarazioni rese e dagli elementi acquisiti agli atti, oltreché messo da ultimo in evidenza dall´Autorità nelle citate "Linee guida" (v. al riguardo il par. 5).

Novartis si configura, unitamente ai centri di sperimentazione, quale titolare del trattamento dei dati personali relativi agli studi clinici (art. 28 del Codice), che potrà trattare solo nel rispetto delle disposizioni del Codice con particolare riferimento ai profili relativi alla liceità delle modalità di trattamento, alla notificazione all´Autorità, alla designazione degli incaricati e dei responsabili (ove designati), all´informativa agli interessati, all´acquisizione del consenso, nonché alle modalità di custodia e sicurezza dei dati (artt. 11, 13, 23, 26, 29, 30, 31-35, 37 e 38 del Codice).

3.3. Altri soggetti che intervengono nella sperimentazione
Gli accertamenti svolti hanno evidenziato che Novartis ha stipulato un contratto quadro con altre società (Opis s.r.l. e Opis data s.r.l.) per fornire alcuni servizi relativi agli studi clinici concernenti, tra le altre, le attività di gestione e monitoraggio dello studio, farmacovigilanza e analisi statistica dei dati. In forza di specifiche clausole contrattuali, le società che non risultano essere state designate quali responsabili del trattamento (art. 29 del Codice), si impegnano a osservare le disposizioni in materia di protezione dei dati personali, assumendosi ogni responsabilità per il loro mancato rispetto.

Come riaffermato anche nelle menzionate "Linee guida", la relazione fra i promotori di sperimentazioni cliniche da un lato, e, dall´altro, i soggetti esterni ai quali questi affidano alcune o tutte le mansioni riguardanti gli studi, possono essere utilmente inquadrate nell´ambito di un rapporto fra "titolare" e "incaricati" (unicamente persone fisiche) o, eventualmente, in base al grado di autonomia da osservare nel trattamento dei dati, "responsabili del trattamento" (persone fisiche o giuridiche).

Qualora Novartis intenda continuare ad avvalersi lecitamente dell´opera di Opis s.r.l. e di Opis data s.r.l., dovrà pertanto designare tali soggetti quali responsabili del trattamento, impartendo loro idonee istruzioni alle quali le stesse devono attenersi (art. 29 del Codice). Nella medesima ipotesi, la società dovrà, comunque, integrare l´informativa fornita ai pazienti interessati indicando gli estremi identificativi di almeno uno dei responsabili e delle modalità per reperire, anche on-line, l´elenco aggiornato di questi soggetti (art. 13 del Codice). In mancanza di tale designazione, la successiva comunicazione alla società dei dati personali dei pazienti partecipanti alla sperimentazione sarebbe illecita in quanto priva del consenso specifico e informato degli interessati (artt. 11, comma 1, lett. a), 13, 23 e 26 del Codice).

3.4. I monitor
Nel corso delle verifiche è emerso che per le attività di monitoraggio Novartis si avvale prevalentemente di personale interno all´azienda. Secondo quanto accertato tali soggetti, pur sussistendone i presupposti e la necessità, non sono stati designati quali incaricati del trattamento (art. 30 del Codice). Con riferimento al tale designazione l´Autorità ha già fornito le prescrizioni necessarie ai sensi degli artt. 154, comma 1, e 169, comma 2, del Codice nell´ambito di un separato procedimento.

La particolare delicatezza dei dati trattati nella sperimentazione clinica impone che siano puntualmente adottate al riguardo le ulteriori cautele richiamate dal Garante nelle citate "Linee guida" con riferimento ai soggetti, interni o esterni, che collaborano con i promotori per svolgere attività o parti di attività inerenti agli studi e, in particolare, l´attività di monitoraggio. Si fa, in particolare, riferimento alla necessità di sottoporre tali soggetti a regole di condotta analoghe al segreto professionale e di predisporre interventi formativi specifici nei loro confronti in merito ai rischi e alle responsabilità derivanti dal trattamento dei dati, alle istruzioni da osservare per la loro custodia e sicurezza, alle regole di riservatezza e confidenzialità previste dalle disposizioni normative applicabili, nonché alle precauzioni da utilizzare per tutelare l´identità degli interessati (cfr. punto 6 delle "Linee guida").

3.5. L´informativa ai pazienti partecipanti alla sperimentazione
È stato accertato che il modello standard predisposto da Novartis affinché i centri di sperimentazione rendano l´informativa ai pazienti indica, in particolare, che tale promotore tratta soltanto i dati trasmessi, in forma rigorosamente anonima, dal medico sperimentatore; solo in casi eccezionali essenzialmente collegati alla tutela dell´incolumità del paziente, nei quali emerge la necessità di trattare dati personali, il promotore assume, limitatamente ai dati acquisiti, la veste di contitolare del trattamento, unitamente al centro presso il quale si svolge la sperimentazione.

Alla luce di quanto evidenziato in ordine ai soggetti di cui la società si avvale per svolgere attività inerenti agli studi clinici, e sulla base dei princìpi richiamati anche nelle menzionate "Linee guida", il modello di informativa risulta inidoneo (art. 13 del Codice) e deve essere riformulato, nei termini di cui in dispositivo, in maniera da fornire, tramite i centri di sperimentazione, indicazioni specifiche con riferimento:

a. alla natura dei dati trattati dalla società e alla circostanza che tali dati sono trasmessi all´estero;

b. al ruolo effettivamente svolto dal promotore riguardo al trattamento dei dati e alle relative finalità e modalità;

c. ai soggetti o categorie di soggetti dei quali il promotore si avvale per effettuare alcuni, o tutti i compiti relativi all´esecuzione dello studio e che possono venire a conoscenza dei dati in qualità di incaricati o di eventuali responsabili.

A tal fine Novartis può avvalersi anche del modello di riferimento proposto dall´Autorità nelle menzionate "Linee guida" (v. all. n. 1).

3.6. Consenso al trattamento dei dati della sperimentazione
Anche il modello per raccogliere la dichiarazioni di consenso al trattamento dei dati personali risulta essere fornito ai centri di sperimentazione sulla base di un fac simile predisposto da Novartis.

Sottoscrivendo tale modello gli interessati autorizzano il medico a far esaminare le cartelle cliniche relative allo studio dal personale qualificato dell´autorità sanitaria, dell´azienda farmaceutica promotrice -o personale esterno dalla stessa delegato- e del comitato etico. Per il resto, la formula utilizzata per la manifestazione del consenso si limita a operare un mero riferimento a quanto indicato nell´informativa la quale, come sopra precisato, risulta inidonea ai sensi dell´art. 13 del Codice.

Novartis può continuare a trattare lecitamente i dati personali e sanitari delle persone partecipanti alla sperimentazione a condizione che anche il modello per manifestare il consenso venga riformulato nei termini di cui in dispositivo, in maniera da consentire agli interessati di esprimere la loro volontà, in maniera specifica e distinta, riguardo agli ulteriori trattamenti dei dati che li riguardano effettuato dal promotore e/o dai soggetti dei quali questi si avvale per svolgere le attività inerenti allo studio (artt. 23 e 26 del Codice).

Anche in questo caso, Novartis può avvalersi della formula di riferimento per l´acquisizione del consenso proposta dall´Autorità nelle citate "Linee guida" unitamente al modello d´informativa (all. n. 1).

3.7. Ulteriori misure e accorgimenti da prescrivere
Per quanto riguarda eventuali altri trattamenti leciti, oltre al divieto e alle specifiche prescrizioni di cui al dispositivo, Novartis, come ogni altro titolare di trattamenti di dati personali effettuati nell´ambito delle sperimentazioni cliniche di medicinali, sebbene non risultino specifiche violazioni al riguardo, è tenuta, infine, a conformarsi al quadro unitario di misure e accorgimenti necessari e opportuni ora riassunto dal Garante nelle citate "Linee guida" (in particolare, par. 4, 7, 8, 9, 11, 12 e 13).

In aggiunta agli accorgimenti e misure indicate in termini generali nelle "Linee guida", Novartis deve, altresì, conformare il trattamento dei dati personali dei partecipanti agli studi clinici al divieto e alle prescrizioni impartiti con il presente provvedimento, provvedendo senza ritardo e dandone conferma all´Autorità al più tardi entro il 31 dicembre 2008.

Il mancato rispetto di tali indicazioni rende il trattamento dei dati, a seconda dei casi, illecito oppure non corretto, ed espone:

  • all´adozione di provvedimenti di blocco o di divieto del trattamento disposti dal Garante (art. 143, comma 1, lett. c), del Codice) e di analoghe decisioni adottate dall´autorità giudiziaria civile e penale, oltre che all´eventuale inutilizzabilità dei dati personali trattati in violazione della relativa disciplina (art. 11, comma 2, del Codice);
  • all´applicazione delle pertinenti sanzioni amministrative o penali (artt. 161 s. del Codice).

TUTTO CIÒ PREMESSO, IL GARANTE:

  1. vieta ai sensi dell´art. 154, comma 1, lett. d) del Codice a Novartis Farma S.p.A. di effettuare ulteriori trattamenti di dati personali nell´ambito delle attività di informazione scientifica e di sperimentazione clinica di medicinali in violazione dei princìpi di liceità e correttezza del trattamento richiamati in motivazione (punti 2.1, 2.2, 2.3, 2.4, 3.3, 3.4, 3.5, 3.6 e 3.7);
  2. prescrive ai sensi dell´art. 154, comma 1, lett. c), del Codice a Novartis Farma S.p.A. di conformare, ove non vi abbia già provveduto nei termini di cui in motivazione, eventuali altri trattamenti leciti di dati, procedendo entro il 31 dicembre 2008, ferma restando la conformità alle menzionate "Linee guida", all´attuazione delle misure necessarie per rispettare l´obbligo di:
    • a) fornire un´idonea informativa ai medici destinatari dell´attività di informazione scientifica (punto 2.2); e, tramite i centri di sperimentazione, alle persone partecipanti alla sperimentazione clinica dei medicinali (punti 3.3 e 3.5), completa di tutti gli elementi di cui all´art. 13 del Codice;
    • b) trattare i dati relativi ai medici destinatari dell´attività di informazione scientifica (punto 2.3) e alle persone partecipanti alla sperimentazione clinica dei medicinali (punto 3.6), sulla base di un consenso prestato validamente ai sensi dell´art. 23 del Codice;
    • c) designare quali responsabili del trattamento ai sensi dell´art. 29 del Codice le persone giuridiche delle quali si avvale per effettuare le attività di gestione del data-base relativo ai medici destinatari di campioni gratuiti (punto 2.4), nonché le attività di monitoraggio e le altre attività connesse all´esecuzione delle sperimentazioni cliniche (punto 3.3);
    • d) sottoporre gli addetti al monitoraggio a regole di condotta analoghe al segreto professionale e predisporre interventi formativi specifici nei loro confronti (punto 3.4);
    • e) dare conferma al Garante entro e non oltre il medesimo termine del 31 dicembre 2008, in ottemperanza alla presente statuizione adottata anche ai sensi e per gli effetti di cui agli artt. 157, 164 e 168 del Codice, che i trattamenti di dati relativi ai medici destinatari dell´attività di informazione scientifica e alle persone partecipanti alle sperimentazioni cliniche di medicinali sono stati resi conformi alle prescrizioni del presente provvedimento, specificando anche le iniziative assunte in relazione ai trattamenti di dati già effettuati in data odierna;
  3. dispone che copia del presente provvedimento sia trasmessa al Ministero della salute e all´Agenzia italiana del farmaco per opportuna conoscenza.

Roma, 24 luglio 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
Buttarelli