g-docweb-display Portlet

Provvedimento del 1° novembre 2021 [9731827]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9731827]

Provvedimento del 1° novembre 2021

Registro dei provvedimenti
n. 406 del 1° novembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE-Regolamento generale sulla protezione dei dati (di seguito “Regolamento”);

VISTI, in particolare, gli artt. 35 e 36 del Regolamento relativi, rispettivamente, alla valutazione d'impatto sulla protezione dei dati e alla consultazione preventiva dell’Autorità;

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO l’art. 110 del Codice che, in tema di trattamento di dati personali per ricerca medica, biomedica e epidemiologica, dispone che “il consenso non è inoltre necessario quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante ai sensi dell'articolo 36 del Regolamento”;

VISTO il d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)”;

VISTE le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica adottate dal Garante, ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101, con provvedimento n. 515, del 19 dicembre 2018 (doc. web n. 9069637, di seguito “Regole deontologiche”);

VISTE le Prescrizioni relative al trattamento dei dati genetici allegato n. 4 al Provvedimento che individua le prescrizioni contenute nelle Autorizzazioni generali che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice, del 5 giugno 2019 (doc. web 9124510);

VISTE le Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica, allegato n. 5 al Provvedimento che individua le prescrizioni contenute nelle Autorizzazioni generali che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice, del 5 giugno 2019 (doc. web 9124510);

VISTA l’istanza di consultazione preventiva presentata, ai sensi degli artt. 110 del Codice e 36 del Regolamento, dalla Fondazione Italiana Linfomi ONLUS, con sede legale in piazza Turati 5, 15121 – Alessandria, per la realizzazione dello studio denominato “MANTLE-FIRST BIO” che prevede l’arruolamento di 80 pazienti, tra i quali vi sono anche soggetti non contattabili o non più in vita;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. L’istanza di consultazione preventiva

La Fondazione Italiana Linfomi ONLUS ( di seguito la “Fondazione” o “FIL”) ha presentato un’istanza di consultazione preventiva, ai sensi dell’art. 110, comma 1, ultimo capoverso del Codice, in qualità di promotore dello studio no profit, multicentrico, osservazionale, retrospettivo, non farmacologico denominato “MANTLE-FIRST BIO” (di seguito “Studio”), volto alla “caratterizzazione biologica del linfoma a cellule del mantello refrattario o recidivato dopo la prima linea di terapia” in ragione del fatto che tale studio prevede l’arruolamento di n. 80 pazienti che hanno ricevuto “una diagnosi di linfoma a cellule del mantello tra il 1° gennaio 2008 e il 30 giugno 2020, e trattati secondo la pratica locale a discrezione del medico” e che tra i pazienti arruolati vi possono essere anche soggetti deceduti ovvero non contattabili. In particolare, il progetto “MANTLE-FIRST BIO” si propone di realizzare indagini istopatologiche, studi mutazionali e di espressione genica e analisi citofluorimetriche, su materiale proveniente da biopsie o su cellule tumorali congelate, prelevati alla diagnosi e, ove possibile, alla prima recidiva e (…) richiede la centralizzazione a Verona del materiale bioptico e biologico dei pazienti arruolati, sia vivi che morti, già stoccato nelle Unità di Anatomia Patologica e nei Laboratori dei Centri partecipanti” (nota del 20 marzo 2021).

A tal fine, la Fondazione ha trasmesso, oltre al protocollo dello studio, copia dell’informativa sul trattamento dei dati personali predisposta ai sensi dell’art. 13 del Regolamento e il parere favorevole del Comitato Etico coordinatore per la Sperimentazione Clinica delle Province di Verona e Rovigo.

I Centri partecipanti, che hanno il compito di arruolare i pazienti, dovranno preventivamente ottenere “da ciascun paziente la sottoscrizione del documento di consenso informato scritto, così come previsto dal protocollo; per pazienti deceduti o dispersi non raggiungibili sarà richiesto allo Sperimentatore di documentare in cartella clinica che l’arruolamento del paziente è avvenuto senza la raccolta del consenso con la relativa motivazione dell'impossibilità della raccolta e l'eventuale descrizione dei tentativi fatti per contattare il paziente”.

Per la realizzazione dello Studio è previsto il coinvolgimento di 30 Centri partecipanti con sede in Italia, appartenenti alla Fondazione e il Policlinico G.B. Rossi di Verona in qualità di Centro coordinatore.

Da un punto di vista organizzativo è stato rappresentato, in particolare, che lo Studio: richiede la “centralizzazione a Verona del materiale bioptico e biologico dei pazienti arruolati […] stoccato nelle Unità di Anatomia Patologica dei Centri partecipanti”. A tale riguardo, è stato evidenziato che “gli studi genetici NON vengono effettuati su cellule germinali del paziente, NON riguardano caratteri trasmissibili NÉ rappresentano indagine del DNA nativo del paziente, ma sono eseguiti ESCLUSIVAMENTE sul campione patologico, ovvero il tumore. Sono quindi analisi di mutazioni ACQUISITE DAL TUMORE in quanto tale e NON appartenenti al bagaglio genetico intrinseco del paziente stesso”.

Con specifico riferimento ai tempi di conservazione dei dati personali, ivi inclusi i campioni biologici, nel protocollo è indicata una durata dello Studio di 36 mesi mentre nel documento informativo, predisposto ai sensi dell’art. 13 del Regolamento, Versione 1/09/2021, era prevista la conservazione dei dati per 25 anni sulla base della normativa sugli studi clinici.

2. La normativa applicabile

Il trattamento di dati personali per scopi di ricerca scientifica deve essere effettuato nel rispetto del Regolamento, del Codice, delle Prescrizioni relative al trattamento dei dati genetici (se necessario) e delle Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica, allegati 4 e 5 al provvedimento del 5 giugno 2019 (doc. web 9124510), nonché delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica, allegato A5 al Codice che costituiscono condizione essenziale di liceità e correttezza dei trattamenti (art. 2-quater del Codice e art. 21, comma 5 del d.lgs. 10 agosto 2018, n. 101).

Con specifico riferimento al perseguimento di scopi di ricerca scientifica in campo medico, biomedico e epidemiologico, si evidenzia che essi sono ammessi previa acquisizione del consenso dell'interessato. Tale presupposto, diverso dal consenso informato alla partecipazione alla ricerca, previsto dalla disciplina di settore, non è necessario(...) “quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca In tali ultimi casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante ai sensi dell'articolo 36 del Regolamento” (art. 110 del Codice, art. 9, par. 2 lett. j) e par. 4 del Regolamento).

Con riferimento a tale ultimo adempimento, si precisa che la consultazione preventiva del Garante, ai sensi dell’art. 36 del Regolamento, implica che il titolare del trattamento sottoponga all’Autorità la valutazione di impatto sul trattamento dei dati personali necessari per la realizzazione del progetto di ricerca, redatta ai sensi dell’art. 35 del Regolamento (v. anche “Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilità che il trattamento "possa presentare un rischio elevato” ai fini del regolamento (UE) 2016/679”, adottate dal Gruppo art. 29, il 4 aprile 2017).

Merita evidenziarsi, inoltre che, qualora i dati siano ottenuti presso terzi il titolare del trattamento può non rendere le informazioni di cui ai par. da 1 a 4 dell’art. 14 del Regolamento, nella misura in cui ciò risulti impossibile o implichi uno sforzo sproporzionato. Ciò, in particolare, nell’ambito dei trattamenti svolti per finalità di ricerca scientifica, ferme restando le condizioni e le garanzie di cui all'articolo 89, paragrafo 1 del Regolamento. In tali casi, il titolare del trattamento è comunque tenuto ad adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, anche rendendo pubbliche le informazioni (art. 14, par. 5, lett. b) del Regolamento).

Sul punto, l’art. 6, comma 3, delle Regole deontologiche, dispone che “Quando i dati sono raccolti presso terzi, ovvero il trattamento effettuato per scopi statistici o scientifici riguarda dati raccolti per altri scopi, e l’informativa comporta uno sforzo sproporzionato rispetto al diritto tutelato, il titolare adotta idonee forme di pubblicità, ad esempio, con le seguenti modalità:

- per trattamenti riguardanti insiemi numerosi di soggetti distribuiti sull’intero territorio nazionale, inserzione su almeno un quotidiano di larga diffusione nazionale o annuncio presso un’emittente radiotelevisiva a diffusione nazionale;

- per trattamenti riguardanti insiemi numerosi di soggetti distribuiti su un’area regionale (o provinciale), inserzione su un quotidiano di larga diffusione regionale (o provinciale) o annuncio presso un’emittente radiotelevisiva a diffusione regionale (o provinciale);

- per trattamenti riguardanti insiemi di specifiche categorie di soggetti, identificate da particolari caratteristiche demografiche e/o da particolari condizioni formative o occupazionali o analoghe, inserzione in strumenti informativi di cui gli interessati sono normalmente destinatari”.

3. L’Attività istruttoria

Nel corso dell’attività istruttoria è stata evidenziata alla Fondazione la mancata trasmissione della valutazione di impatto, prevista dall’art. 110, comma 1, ultimo capoverso del Codice (nota del 16 aprile 2021. prot. n. 20499).

È stato rappresentato inoltre che non risultavano ben definiti i ruoli di titolari, contitolari, o responsabili o del trattamento dei soggetti coinvolti a vario titolo nello Studio (artt. 24, 26 e 28 del Regolamento; cfr. punto 1 dello Study Protocol), né risultava chiaro se tra le tipologie di informazioni oggetto di trattamento vi fossero o meno dati genetici (con. 34 e art. 4, par. 1 n. 13 del Regolamento).

Per quanto riguarda i profili di trasparenza è stato rappresentato che l’informativa predisposta non risultava coerente con i principi di sinteticità, trasparenza e intellegibilità cui all’art. 12, par. 1 del Regolamento e soprattutto che essa indicava un tempo di conservazione dei dati per un periodo di 25 anni secondo quanto previsto dalla normativa applicabile sulla sperimentazione clinica di medicinali per uso umano, Regolamento (UE) n. 536/2014, nonostante lo studio in esame non sembrasse volto a sperimentare alcun farmaco.

Da ultimo, nella documentazione trasmessa non era stato indicato come si intendessero fornire le informazioni ai pazienti arruolati non direttamente contattabili, ai sensi dell’art. 14, par. 5, lett. b) del Regolamento e art. 6 delle Regole deontologiche.

Con nota del 24 giugno 2021, la Fondazione ha prodotto in atti la documentazione integrativa volta a superare i rilievi sopra evidenziati. In tale ambito, pur riconoscendosi l’apporto di talune migliorie, è stata tuttavia confermata la persistenza di specifici profili di criticità in relazione al quadro normativo in materia di protezione dei dati personali.

La Fondazione, pertanto, con successiva nota del 7 settembre 2021, ha trasmesso la documentazione aggiornata dello Studio, sulla quale si basa il presente provvedimento, che tiene anche conto delle interlocuzioni informali intercorse con l’Ufficio (Protocollo_versione 2 del 18/08/2021; Sinossi_versione 2 del 18/08/2021; Foglio informativo_versione 2 del 18/08/2021; Consenso informato_versione 2 del 18/08/2021; Lettera al curante_versione 2 del 18/08/2021; Modulo privacy_versione 2 del 18/08/2021 e Informativa pubblica v.1_18-08-2021).

La Fondazione ha inoltre dichiarato che “tutta la documentazione dello studio modificata sarà risottomessa al Comitato etico per la sperimentazione clinica delle province di Verona e Rovigo, ovvero il Comitato etico del Centro Coordinatore, Verona - AOU Integrata di Verona - U.O. Ematologia e a tutti i comitati etici dei centri coinvolti”.

3. Le valutazioni dell’Autorità

3.1. Tipologia di dati trattati

La Fondazione ha rappresentato che lo Studio comporta anche il trattamento di dati genetici “legati alla malattia tumorale” e, in particolare per il perseguimento degli obiettivi secondari, specifiche analisi sull’RNA dei pazienti (cfr. il documento denominato “Foglio informativo per il paziente” versione 2 del 18/08/2021 e pag 10 dello Study Protocol). Tali dati sono strettamente correlati ai dati clinici raccolti presso i Centri sperimentali coinvolti nello Studio. Nella VIP è pertanto dichiarato che lo Studio prevede il trattamento di dati genetici (cons. 34 e art. 4, par. 1, n. 13), del Regolamento).

3.2. Le basi giuridiche del trattamento dei dati

La FIL in qualità di Sponsor dello Studio e di titolare del trattamento, come previsto dall’art. 110 del Codice, ha presentato al Garante il progetto e la valutazione di impatto sulla protezione dei dati personali connessa ai trattamenti necessari per la realizzazione dello stesso.

Mentre infatti la base giuridica del trattamento dei dati personali dei pazienti ancora in vita è rappresentata dal relativo consenso informato, libero e facoltativo, con riguardo ai pazienti deceduti ovvero non più rintracciabili, essa deve rinvenirsi nell’art. 110, comma 1, ultimo capoverso del Codice e nell’art. 36 del Regolamento.

Al riguardo, la Fondazione con dichiarazioni della cui veridicità risponde penalmente ai sensi dell’art. 168 del Codice, ha dichiarato che rispetto a tali pazienti sarà richiesto al Centro partecipante di documentare nella cartella clinica la motivazione dell'impossibilità della raccolta del consenso e l'eventuale descrizione dei tentativi fatti per contattare il paziente e dunque della impossibilità a contattarli.

Su tali basi, il Garante ritiene che la Fondazione abbia correttamente individuato le basi giuridiche del trattamento, specificando altresì i motivi che possono giustificare l’impossibilità di riuscire ad informare gli interessati e acquisirne il consenso, come previsto al punto 5.3 delle Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica.

Resta fermo che la Fondazione e i Centri di sperimentazione potranno dare inizio ai trattamenti dei dati personali necessari per la realizzazione dello Studio solo dopo l’ottenimento dei pareri favorevoli dei rispettivi comitati etici territorialmente competenti, in quanto condizione di liceità del trattamento dei dati personali per le finalità in esame, laddove non sia possibile acquisire il consenso degli interessati (art. 110 del Codice) (cfr. provvedimento del Garante n. 202 del 29 ottobre 2020, doc. web 9517401).

3.3. Ulteriori condizioni e limitazioni per il trattamento dei dati genetici

Dall’esame della valutazione d’impatto, nella versione da ultimo trasmessa con la nota del 7 settembre 2021, emerge che la FIL ha predisposto molteplici misure tecniche e organizzative per tutelare i diritti e le libertà della coorte degli interessati coinvolti nel progetto di ricerca. In particolare, nella VIP è rappresentato che, al fine di garantire il rispetto del principio di minimizzazione, i dati personali dei pazienti sono “raccolti all'origine in forma pseudonomizzata: il centro al momento dell'arruolamento di un nuovo paziente accede alla piattaforma raccolta dati che genera automaticamente un codice univoco che verrà utilizzato dal centro per qualsiasi comunicazione riguardante il paziente stesso. (…). Le piattaforme di accesso utilizzano dei controlli crittografici per la protezione delle informazioni attraverso connessione TLS tramite certificato HTTPS”.

Inoltre, al fine di limitare i rischi derivanti dalla perdita dei dati ovvero da accessi non autorizzati, sono descritte specifiche misure tecniche e organizzative già esistenti ovvero che verranno implementate per tutelare i diritti e le libertà degli interessati.

Nella documentazione trasmessa non sono tuttavia indicate le specifiche misure per la custodia e la sicurezza dei dati genetici e dei campioni biologici oggetto di trattamento per il perseguimento degli obiettivi primari e secondari dello Studio (cfr. punti da 15.1.2 a 15.1.4 e Appendix A) del Protocollo dello Studio).

Lo Studio infatti prevede la raccolta dei campioni biologici presso i Centri partecipanti che hanno avuto ovvero hanno tuttora in cura i pazienti che si intendono arruolare e il loro successivo trasferimento ai laboratori di riferimento competenti per le richiamate analisi.

Al riguardo, si precisa che in base al quadro normativo sopra richiamato il trattamento dei dati sulla salute e genetici per scopi di ricerca scientifica deve avvenire anche nel rispetto delle richiamate Prescrizioni del Garante (allegato 4 al provvedimento del 5 giugno 2019), che prevedono specifiche misure, di carattere tecnico e organizzativo, che devono essere adottate dal titolare del trattamento.

In particolare, in relazione allo Studio in esame, rilevano le seguenti cautele:

- l’accesso ai locali deve avvenire secondo una documentata procedura, che preveda l’identificazione delle persone, preventivamente autorizzate, che accedono a qualunque titolo anche dopo l’orario di chiusura (punto 4.2, lett. a));

- la conservazione, l’utilizzo e il trasporto dei campioni biologici sono posti in essere con modalità volte anche a garantirne la qualità, l’integrità, la disponibilità e la tracciabilità (punto 4.2, lett. b));

- la consultazione dei dati genetici trattati con strumenti elettronici è consentita previa adozione di sistemi di autenticazione basati sull’uso combinato di informazioni note ai soggetti all’uopo designati e di dispositivi, anche biometrici, in loro possesso (punto 4.2, lett. d));

Nella documentazione trasmessa non è in alcun modo comprovato il rispetto di tali prescrizioni e pertanto è necessario che la Fondazione adotti le richiamate misure per la custodia e la sicurezza dei dati genetici e dei campioni biologici previste nelle Prescrizioni del Garante.

Tali Prescrizioni dell’Autorità introducono ulteriori condizioni anche in relazione agli oneri informativi, prevendo che, in aggiunta a quanto disposto dagli articoli 13 e 14 del Regolamento, nelle informazioni da fornire agli interessati siano evidenziate, tra le altre cose: (…) “b) le modalità con cui gli interessati, che ne facciano richiesta, possono accedere alle informazioni contenute nel progetto di ricerca” (punto 4.11.1).

Posto che tale elemento non risulta indicato nei documenti informativi anche da ultimo predisposti dalla FIL, è necessario che tali atti siano integrati fornendo agli interessati la richiamata indicazione.

3.4. Ulteriori misure volte a garantire l’effettività del principio di trasparenza nei confronti dei pazienti arruolati allo Studio

Fermo quanto riportato al precedente punto 3.3., in via generale, si prende favorevolmente atto delle misure intraprese nel merito dalla Fondazione per garantire l’effettività del principio di trasparenza nei confronti degli interessati. La FIL, infatti, ha revisionato il documento denominato “Informativa e manifestazione del consenso al trattamento dei dati personali ai sensi dell’articolo 13 regolamento 2016/679 UE – Versione 2 del 18/08/2021” secondo le indicazioni fornite dall’Ufficio, in particolare rendendo il testo coerente con i principi di sinteticità, trasparenza e intellegibilità cui all’art. 12, par. 1 del Regolamento. È stato altresì chiarito il ruolo dei centri partecipanti, quali titolari autonomi del trattamento e che lo Studio comporterà anche il trattamento dei dati genetici.

Con specifico riguardo alle modalità per fornire le informazioni ai pazienti arruolati non direttamente contattabili, la Fondazione ha da ultimo trasmesso un nuovo documento denominato “Informativa pubblica per il paziente” che reca al proprio interno anche “l’Informativa resa ai sensi dell’art. 14 del Regolamento” che “sarà pubblicata sul sito della Fondazione e diffusa presso tutti i centri partecipanti (…), con lo scopo di raggiungere eventuali pazienti dispersi e non raggiungibili” (art. 14, par. 5, lett. b) del Regolamento e art. 6 delle Regole deontologiche).

Ciò premesso, tenuto conto che lo Studio coinvolge 30 Centri partecipanti al fine di assicurare l’effettiva applicazione dei richiamati principi di correttezza e trasparenza, si ritiene necessario, nel caso in esame, che la Fondazione renda pubbliche le informazioni da fornire agli interessati, ai sensi dell’art. 14 del Regolamento, attraverso una specifica inserzione anche sui siti internet istituzionali dei centri di sperimentazione coinvolti nello Studio.

Per completezza si segnala infine che la sezione “Eventuale trasferimento dati ad un paese terzo”, presente in entrambe i documenti sopra indicati e che indica le condizioni in base alle quali è possibile la citata operazione di trattamento, non risulta coerente con quanto riportato nella VIP in cui viene specificato che “I dati potranno essere trasmessi a soggetti terzi o società esterne, sempre in forma pseudonomizzata in Paesi appartenenti all'UE che applicano il Regolamento generale sulla protezione dei dati (GDPR). Tra questi soggetti vi sono fornitori di servizi connessi alle finalità del trattamento: server schede di raccolta dati e archivi elettronici”. La Fondazione è pertanto tenuta ad uniformare tale documentazione avendo cura di verificare che il trasferimento dei dati personali verso un paese terzo o una organizzazione internazionale avvenga solo sulla base di uno specifico presupposto giuridico, ai sensi degli artt. 44 e ss del Regolamento.

3.5. I ruoli dei soggetti coinvolti a vario titolo nello Studio

Nella documentazione trasmessa, la FIL ha dichiarato che i n. 30 Centri partecipanti -presso i quali verranno arruolati i pazienti- assumono il ruolo di “titolari autonomi del trattamento”, che “I laboratori elencati in protocollo nell’Appendice A sono responsabili esterni al trattamento dei dati personali e riceveranno per questa funzione apposita nomina” e che “FIL stipulerà convenzioni con i tali Laboratori”. L’atto giuridico con il quale sono disciplinati i trattamenti e i compiti svolti dai responsabili e le relative istruzioni è individuato in uno specifico atto, redatto ai sensi dell’art. 28 del Regolamento, denominato “Nomina e designazione a Responsabile Esterno del Trattamento ai sensi del Regolamento Europeo Privacy - GDPR 679/20016 art. 28”.

Al riguardo, si rileva che la struttura organizzativa implementata per la realizzazione dello Studio appare tale da escludere, in astratto, che soggetti terzi non autorizzati siano coinvolti nelle operazioni di trattamento dei dati sulla salute dai pazienti arruolati nel richiamato Studio e risulta conforme al quadro normativo in materia di protezione dei dati personali.

3.6. I tempi di conservazione dei dati e gli ulteriori trattamenti

Nel progetto di ricerca, è rappresentata l’intenzione del titolare del trattamento di proseguire nella conservazione dei campioni biologici per ulteriori 10 anni successivamente alla conclusione dello studio che avrà una durata di 36 mesi.

Nello specifico, il protocollo di studio riporta che “Residual material from fresh frozen tissue and viable cryopreserved cells will be stored by authorized laboratories for a maximum of 10 years after the completion of the study in order to allow possible medical or statistical research on data already collected in the light of future scientific evidence in this field of clinical research (MCL). If this proves to be necessary, all necessary regulatory procedures will be undertaken for further analysis according to current legislation” (Punto 15.1.4. dello Study protocol).

Conseguentemente, il protocollo prevede che presso i centri sperimentali le chiavi che consentono la reidentificazione dei pazienti siano conservate per 10 anni dopo la conclusione dello Studio (“investigator is required to arrange for the retention of the patient identification codes for at least 10 years after the completion of the study to allow possible medical or statistical research on data already collected in the light of future scientific evidence in this field of clinical research (MCL). If this proves to be necessary, all necessary regulatory procedures will be undertaken for further analysis according to current legislation. At the end of this period the patient identification codes will be destroyed and the data anonymized” (Punto 20.3 dello Study protocol).

Inoltre, nel foglio informativo si rende noto ai pazienti che “Il materiale biologico (tessuto fresco congelato, sospensione di cellule vitali) sarà centralizzato e conservato presso i Laboratori di riferimento designati dalla FIL per tutta la durata dello studio e conservato per i successivi 10 anni. In alternativa, se Lei non è d’accordo con la conservazione del materiale biologico, si provvederà alla sua restituzione/distruzione immediatamente dopo l’esecuzione delle analisi previste dallo studio”. In tale documento è genericamente precisato che “Sul Suo materiale biologico non potrà mai essere eseguito, senza un Suo nuovo espresso consenso, nessun test volto ad altri scopi ed in particolare nessun test volto ad identificare la presenza di patologie ereditarie trasmissibili alla progenie” e a margine è richiesto uno specifico consenso alla ulteriore conservazione dei dati per 10 anni.

L’informativa sul trattamento dei dati personali (predisposta ai sensi dell’art. 13 del Regolamento per i pazienti contattabili e nella sua versione da rendere pubblica sul sito web della Fondazione, in riferimento ai pazienti non contattabili, ai sensi dell’art. 14 del Regolamento), il titolare si limita ad indicare che i dati sono conservati per un tempo di 10 anni e a raccogliere un unico consenso al trattamento dei dati personali.

Sul punto, si evidenzia sin da subito che tale trattamento, essendo ulteriore rispetto a quelli necessari per la realizzazione dello Studio, deve fondarsi su uno specifico presupposto giuridico ovvero risultare compatibile con gli scopi della raccolta e che in base al principio di responsabilizzazione tali profili devono essere individuati e opportunamente documentati dal titolare del trattamento nella valutazione di impatto e nell’ulteriore documentazione rilevante. Il presente provvedimento e gli ulteriori presupposti indicati all’art. 110, comma 1, ultimo capoverso del Codice concernono unicamente i trattamenti correlati alla conduzione dello Studio “MANTLE-FIRST BIO”.

Ciò premesso, vista la delicatezza della fattispecie in esame si ritiene necessario formulare al riguardo talune osservazioni. La questione del consenso come condizione di liceità rispetto a trattamenti di dati per scopi di ricerca scientifica non puntualmente delineati al momento della raccolta dei dati personali è affrontata nel considerando 33 del Regolamento in base al quale “in molti casi non è possibile individuare pienamente la finalità del trattamento dei dati personali a fini di ricerca scientifica al momento della raccolta dei dati. Pertanto, dovrebbe essere consentito agli interessati di prestare il proprio consenso a taluni settori della ricerca scientifica laddove vi sia rispetto delle norme deontologiche riconosciute per la ricerca scientifica. Gli interessati dovrebbero avere la possibilità di prestare il proprio consenso soltanto a determinati settori di ricerca o parti di progetti di ricerca nella misura consentita dalla finalità prevista”. Su tale considerando il Comitato europeo per la protezione dei dati ha formulato preliminari considerazioni nelle “Linee guida 5/2020 sul consenso ai sensi del regolamento”, adottate del dei dati il 4 maggio 2020.

In primo luogo, il Comitato ha precisato come esso non valga ad inficiare gli obblighi relativi ai requisiti del consenso, con particolare riferimento a quello della granularità e specificità (cfr. art, 7 del Regolamento).

Al riguardo, da un punto di vista formale, si rileva che la previsione  inclusa nel foglio informativo in base alla quale l’adesione all’ulteriore conservazione dei dati sembrerebbe data per implicita, salva diversa determinazione dell’interessato (cd opt-out), non solo non risulta conforme ai requisiti del consenso, quando utilizzato come base giuridica per il trattamento di dati inerenti alle particolari categorie, ma soprattutto non è coerente con la successiva richiesta di consenso esplicito a tale conservazione.

L’ulteriore conservazione dei dati e dei campioni biologici raccolti sembrerebbe dover riguardare anche i pazienti non contattabili e per i quali non è possibile quindi acquisire il consenso. A tale riguardo, il titolare del trattamento deve rispettare le rilevanti disposizioni contenute nelle richiamate Prescrizioni (punto 4.11.3 e punto 5.6 del provvedimento 5 giugno 2019) e le preliminari osservazioni sulla cd presunzione di non incompatibilità del fine di ricerca scientifica rispetto agli scopi della raccolta formulate dal Comitato europeo e dal Garante europeo. In tali ambiti, nell’affrontare i profili di protezione dei dati correlati a tale presunzione di non incompatibilità, viene sottolineato come sia certamente indispensabile che, in tali circostanze, il trattamento sia accompagnato da idonee garanzie ai sensi dell’art. 89 del Regolamento, richiedendo in particolare l’implementazione di misure volte ad assicurare l’effettiva applicazione dei principi di trasparenza e di minimizzazione (artt. 5, par. 1 lett. a) e c), par. 2, 24 e 25 del Regolamento; cfr. Parere 3/2019 relativo alle domande e risposte sull'interazione tra il regolamento sulla sperimentazione clinica e il regolamento generale sulla protezione dei dati, del 23 gennaio 2019 del Comitato europeo per la protezione dei dati; A preliminary Opinion on data protection and scientific research” del 6 gennaio 2020, del Garante europeo; Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research, del 2 febbraio 2021 del Comitato europeo per la protezione dei dati).

Tutto ciò premesso, con riferimento alla previsione contenuta nel progetto in esame di conservare ulteriormente i campioni biologici dei pazienti (contattabili o meno) per un periodo di 10 anni per eventuali esigenze scientifiche si ritiene necessario formulare uno specifico avvertimento ai sensi dell’art. 58, par. 2 lett. a) del Regolamento. In astratto, infatti, ipotesi residuali, motivate e circoscritte di ulteriore conservazione e trattamento di campioni biologici per ulteriori scopi di ricerca scientifica -anche sulla base di un consenso reso a più fasi da parte dei pazienti contattabili- potrebbero essere ammesse. In concreto, tuttavia, l’assenza di specifiche misure di cui all’art. 89 del Regolamento e di ulteriori garanzie per assicurare, in particolare, l’effettiva applicazione dei principi di trasparenza e di minimizzazione, nonché l’ampia estensione del tempo di conservazione previsto, rendono il trattamento ipotizzato verosimilmente lesivo di principi applicabili al trattamento dei dati personali sanciti nel Regolamento e nella relativa normativa di attuazione e integrazione (considerando 33 e 50 e art. 5, par. 1 lett. b) e e) del Regolamento; punto 4.11.3 delle Prescrizioni relative al trattamento dei dati genetici, allegato 4 al provvedimento del 10 agosto 2018).

TUTTO CIO’ PREMESSO IL GARANTE

a) autorizza, ai sensi dell’art. 110 del Codice e dell’art. 36 del Regolamento, il trattamento dei dati personali, anche inerenti a particolari categorie di dati, per finalità di ricerca medica, biomedica ed epidemiologica, riferiti alla coorte di pazienti arruolati nello studio no profit, multicentrico, osservazionale, retrospettivo, non farmacologico denominato “MANTLE-FIRST BIO” da parte della Fondazione Italiana Linfomi Onlus, con sede legale Sede legale Piazza Turati 5, 15121 Alessandria P.IVA: 02143940068 a condizione che:

1. siano adottate le misure previste al punto 4.2, lett. a), b), e d) delle Prescrizioni del Garante relative al trattamento dei dati genetici, per la custodia e la sicurezza dei dati genetici e dei campioni biologici in base alle quali:

a) l’accesso ai locali deve avvenire secondo una documentata procedura, che preveda l’identificazione delle persone, preventivamente autorizzate, che accedono a qualunque titolo anche dopo l’orario di chiusura;

b) la conservazione, l’utilizzo e il trasporto dei campioni biologici sono posti in essere con modalità volte anche a garantirne la qualità, l’integrità, la disponibilità e la tracciabilità;

c) la consultazione dei dati genetici trattati con strumenti elettronici è consentita previa adozione di sistemi di autenticazione basati sull’uso combinato di informazioni note ai soggetti all’uopo designati e di dispositivi, anche biometrici, in loro possesso (cfr. punto 3.3 del presente provvedimento);

2. siano integrati, i documenti recanti le informazioni da rendere agli interessati, ai sensi degli artt.  13 e 14 del Regolamento e art. 6, comma 3 delle Regole deontologiche, evidenziando “le modalità con cui gli interessati, che ne facciano richiesta, possono accedere alle informazioni contenute nel progetto di ricerca” (punto 4.11.1, lett. b) delle Prescrizioni del Garante relative al trattamento dei dati genetici; cfr. punto 3.3 del presente provvedimento);

3. siano rese pubbliche le informazioni da fornire agli interessati, ai sensi dell’art. 14 del Regolamento e 6, comma 3 delle Regole deontologiche, attraverso una specifica inserzione anche sui siti internet istituzionali dei n. 30 Centri partecipanti coinvolti nello Studio (cfr. punto 3.4 del presente provvedimento);

b) avverte la Fondazione, ai sensi dell’art. 58, par. 2, lett. a) del Regolamento, con riferimento alla previsione contenuta nel progetto “MANTLE-FIRST BIO” di conservare ulteriormente i campioni biologici dei pazienti (contattabili o meno) per un periodo di 10 anni per eventuali esigenze scientifiche, che tale trattamento, nei termini sopra richiamati, potrebbe verosimilmente violare i principi applicabili al trattamento dei dati personali sanciti nel Regolamento e nella relativa normativa di attuazione e integrazione (cfr. punto 3.6 del presente provvedimento) laddove non siano adottate le seguenti misure:

1. con riferimento ai dati degli interessati per i quali è possibile raccogliere il consenso, adattare il foglio informativo alle indicazioni specificamente delineate al punto 3.6 del presente provvedimento rimuovendo, in particolare, gli utilizzi c.d. “opt-out”, in base ai quali l’adesione all’ulteriore conservazione dei dati sembrerebbe data per implicita;

2. laddove l’ulteriore conservazione dei dati riguardi anche pazienti per i quali non è possibile acquisire il consenso, individuare uno specifico presupposto giuridico per tale trattamento o, in alternativa, i profili che rendono l’ulteriore conservazione compatibile con lo scopo principale della raccolta evidenziando, in particolare, le ragioni per cui le ulteriori ricerche scientifiche non possono essere realizzate mediante il trattamento di dati riferiti a persone che possono rilasciare il consenso informato;

3. nel rispetto del principio di responsabilizzazione del titolare, documentare opportunamente i profili di cui ai punti precedenti nella valutazione di impatto e nell’ulteriore documentazione rilevante;

4. adottare specifiche misure per la custodia e la sicurezza dei dati genetici e dei campioni biologici oggetto di trattamento per il perseguimento degli obiettivi secondari dello Studio, al fine di impedire, in modo effettivo, che i singoli interessati siano direttamente identificabili nel pieno rispetto del principio di minimizzazione dei dati personali.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 1° novembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei