g-docweb-display Portlet

Provvedimento dell'11 novembre 2021 [9736936]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9736936]

Provvedimento dell'11 novembre 2021

Registro dei provvedimenti
n. 397 dell'11 novembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE-Regolamento generale sulla protezione dei dati (di seguito “Regolamento”);

VISTI, in particolare, gli artt. 35 e 36 del Regolamento relativi, rispettivamente, alla valutazione d'impatto sulla protezione dei dati e alla consultazione preventiva dell’Autorità;

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO l’art. 110 del Codice che, in tema di trattamento di dati personali per ricerca medica, biomedica e epidemiologica, dispone che “il consenso non è inoltre necessario quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante ai sensi dell'articolo 36 del Regolamento”;

VISTE le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica adottate dal Garante, ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101, con provvedimento n. 515, del 19 dicembre 2018 (doc. web n. 9069637, di seguito “Regole deontologiche”);

VISTE le Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica, allegato n. 5 al Provvedimento che individua le prescrizioni contenute nelle Autorizzazioni generali che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice, del 5 giugno 2019 (doc. web 9124510, di seguito “Prescrizioni”);

VISTA l’istanza di consultazione preventiva presentata, ai sensi degli artt. 110 del Codice e 36 del Regolamento, dalla società Pfizer S.r.l. con sede legale in via Isonzo, 71 - 04100 Latina in qualità di rappresentante, ai sensi dell'articolo 27 del Regolamento, della società capogruppo Pfizer Inc., costituita nello Stato del Delaware, con sede legale a New York City, NY in 235 East 4211d Street, Stati Uniti d'America, per la realizzazione di uno studio clinico retrospettivo che prevede l’arruolamento di pazienti, irreperibili ovvero non contattabili.

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

RELATORE il   prof. Pasquale Stanzione;

PREMESSO

1. L’istanza di consultazione preventiva

La società Pfizer S.r.l. (di seguito “Pfizer” o “Società”) in qualità di rappresentante, ai sensi dell'articolo 27 del Regolamento, della società capogruppo Pfizer Inc., (di seguito la “Pfizer Inc” o “Promotore”), titolare del trattamento e promotore dello studio retrospettivo [OMISSIS] ha presentato un’istanza di consultazione preventiva, ai sensi dell’art. 110, comma 1, ultimo capoverso del Codice, in ragione del fatto che tale Studio prevede l’arruolamento di circa n. 300 pazienti, irreperibili ovvero non contattabili (nota del 4 agosto 2021). A tal fine, Pfizer ha trasmesso, oltre al protocollo dello Studio, anche la valutazione d’impatto, redatta ai sensi dell’art. 35 del Regolamento.

[OMISSIS]

Lo Studio che si intende realizzare coinvolge 15 strutture ospedaliere, presenti sul territorio nazionale, e circa 300 pazienti. [OMISSIS]

[OMISSIS]

Sono stati altresì forniti i pareri di alcuni dei Comitati Etici territorialmente competenti, tra cui quello del Comitato Etico coordinatore dell’Area Vasta Emilia Nord, con la precisazione che “dopo l’ottenimento del parere favorevole di codesta On. Autorità, si darà inizio al trattamento dei dati personali necessari per la realizzazione dello Studio, solo nei centri per i quali si è già ricevuto parere favorevole dai rispettivi comitati etici”.

Pfizer ha rappresentato l’impossibilità di ottenere il consenso al trattamento dei dati da parte delle pazienti arruolate nello Studio, in ragione di una pluralità di motivazioni tra le quali rilevano, in particolare:

[OMISSIS]

Al riguardo, è stata trasmessa copia della dichiarazione sostitutiva di consenso informato e dichiarato che “in ragione del fatto che non si procederà all’ottenimento del consenso, è previsto che il responsabile dello Studio per ciascuna struttura aderente sottoscriva una dichiarazione sostitutiva di consenso informato per studi osservazionali retrospettivi in cui si specifica che non è possibile contattare gli interessati che verranno inclusi nella ricerca al fine di fornire l'informativa, a causa della sussistenza di specifiche ragioni, considerate del tutto particolari o eccezionali, documentate nel progetto di ricerca”.

Con specifico riferimento agli oneri informativi, è stato dichiarato, in particolare, che “il titolare del trattamento, (…), si impegna a conferire l’informativa agli interessati nel corso dello Studio nei casi in cui ciò sia possibile, laddove questi si rivolgano ai centri ospedalieri coinvolti nello Studio, anche per visite di controllo, anche al fine di consentire loro di esercitare i diritti previsti dal GDPR per il tramite del Responsabile”.

Da un punto di vista organizzativo, è stato rappresentato che lo Studio verrà condotto con il supporto della società CROS NT S.r.l., con sede legale in XX, in qualità di CRO (Contract Research Organization), all’uopo nominata responsabile del trattamento, ai sensi dell’art. 28 del Regolamento, dalla società Pfizer S.r.l.

Dalla documentazione tramessa emerge che “il fornitore designato riceverà i dati dai Reparti di Pronto Soccorso degli ospedali partecipanti” e che “attribuirà a ciascun soggetto interessato partecipante allo Studio un codice identificativo numerico univoco. Prima della condivisione con Pfizer Inc. o con altri soggetti autorizzati, i dati personali riferiti a ciascun interessato saranno sostituiti dal rispettivo codice numerico identificativo”.

[OMISSIS]

A tale riguardo, il titolare del trattamento ha dichiarato che “poiché i dati anonimizzati vengono trasferiti negli Stati Uniti d'America, dove ha sede Pfizer Inc., l’azienda ha adottato misure di sicurezza appropriate, secondo gli articoli 45 e 46 del GDPR”.

Infine, i tempi di conservazione dei dati personali trattati nell’ambito dello Studio sono stati indicati, in termini generali, in 15 anni e per un periodo di due anni dalla conclusione dello studio presso la CRO.

2. La normativa applicabile

Il trattamento di dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali. A tale riguardo, giova precisare che per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, par. 1, n. 1 del Regolamento).

Si considerano, invece, anonime le “(...) informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l'identificazione dell'interessato”, ciò anche per i trattamenti svolti per finalità statistiche o di ricerca (cfr. considerando n. 26 del Regolamento e “WP29 Opinion 05/2014 on Anonymisation techniques”, adottato il 10 aprile 2014).

Il trattamento dei dati personali per scopi di ricerca scientifica deve essere effettuato nel rispetto delle pertinenti disposizioni del Regolamento (artt. 5, 9, 14 e 89) e del Codice (art. 110), nonché delle Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica (doc. web n. 9124510) e delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica (doc. web n. 9069637), che costituiscono condizione essenziale di liceità e correttezza dei trattamenti (art. 2-quater del Codice e art. 21, comma 5, del d.lgs. 10 agosto 2018, n. 101).

A tale riguardo, per ciò che qui rileva, si evidenzia che i dati personali possono essere conservati solo per il tempo necessario al perseguimento degli scopi della raccolta. L’ulteriore conservazione dei dati è ammessa, in via residuale, solo nei limiti di quanto previsto dal quadro normativo di riferimento (art. 5, par. 1, lett. e) del Regolamento, punto 5.6 delle Prescrizioni per il trattamento dei dati personali per scopi di ricerca scientifica. Qualora i dati siano ottenuti presso terzi il titolare del trattamento può non rendere le informazioni di cui ai par. da 1 a 4 dell’art. 14 del Regolamento, nella misura in cui ciò risulti impossibile o implichi uno sforzo sproporzionato. Ciò, in particolare, nell’ambito dei trattamenti svolti per finalità di ricerca scientifica, ferme restando le condizioni e le garanzie di cui all'articolo 89, paragrafo 1 del Regolamento. In tali casi, il titolare del trattamento è comunque tenuto ad adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, anche rendendo pubbliche le informazioni (art. 14, par. 5, lett. b) del Regolamento).

Sul punto, l’art. 6, comma 3, delle Regole deontologiche, dispone che “Quando i dati sono raccolti presso terzi, ovvero il trattamento effettuato per scopi statistici o scientifici riguarda dati raccolti per altri scopi, e l’informativa comporta uno sforzo sproporzionato rispetto al diritto tutelato, il titolare adotta idonee forme di pubblicità” fornendo al riguardo delle indicazioni a titolo esemplificativo,

Sotto altro profilo, si evidenzia che il Regolamento individua specifiche condizioni e garanzie per il trasferimento dei dati personali verso paesi terzi (artt. 44 e ss del Regolamento), esigendo che esso possa essere effettuato, in assenza di autorizzazioni specifiche, solo se la Commissione Europea ha deciso che il paese terzo, un territorio o uno o più settori specifici all'interno del paese terzo in questione, garantiscono un livello di protezione adeguato (art. 45). In mancanza della richiamata decisione di adeguatezza, il trasferimento verso un paese terzo può avere luogo solo in presenza di garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi (art. 46) ovvero, in via eccezionale e residuale, qualora si verifichi una delle specifiche deroghe di cui all’art. 49 del Regolamento.

3. L’Attività istruttoria

Alla luce della richiamata normativa, nel corso dell’attività istruttoria, l’Ufficio ha evidenziato a Pfizer talune criticità e incongruenze in relazione ai trattamenti di dati personali necessari per la realizzazione dello Studio, relative all’effettiva applicazione del principio di trasparenza, ai ruoli dei soggetti coinvolti a vario titolo nella realizzazione dello Studio, ai flussi di dati e ai tempi di conservazione degli stessi (note del 7 settembre 2021, prot. n. 45105 e 6 ottobre 2021, prot. n. 49798). Al riguardo, per la maggior parte di essi, come di seguito evidenziato sono stati forniti i chiarimenti e le assicurazioni necessarie. 

In particolare, rispetto al rilievo concernente gli oneri informativi previsti dal Regolamento (art. 14, par. 5) e dalle richiamate Regole deontologiche (art. 6, comma 3; cfr. provv.to del 29 ottobre 2020, doc. web 9517401; provv.to del 10 dicembre 2020, doc. web 9520597 ), il titolare si è impegnato ad adottare “idonee forme di pubblicità (...) quali la pubblicazione di una specifica inserzione online, tramite il sito internet www.pfizer.it” (nota del 27 settembre 2021).

Un profilo di particolare criticità emerso in sede istruttoria ha riguardato, in termini generali, la definizione dei ruoli e le conseguenti responsabilità dei soggetti coinvolti nello Studio e, nello specifico, la scelta operata dal titolare del trattamento di far sottoscrivere il contratto di nomina del responsabile del trattamento, ai sensi dell’art. 28 del Regolamento, a Pfizer, in qualità di rappresentante, ai sensi dell’art. 27 del Regolamento. Ciò, in quanto il richiamato articolo 27 del Regolamento stabilisce che “il rappresentante è incaricato dal titolare del trattamento o dal responsabile del trattamento a fungere da interlocutore, (…) in particolare delle autorità di controllo e degli interessati, per tutte le questioni riguardanti il trattamento”, ferme restando le responsabilità gravanti in capo al titolare e al responsabile.

Al riguardo, la Società ha rappresentato che, dopo un attento riesame delle attività poste in essere per conto della Società Pfizer Inc, si è “ritenuto opportuno delineare un rapporto di contitolarità del trattamento dei dati personali in relazione alla conduzione dello Studio. In particolare è stato sottoscritto un accordo di contitolarità in cui sono state chiaramente definite le responsabilità in ambito privacy dei contitolari coinvolti nello Studio”.

L’Ufficio, inoltre, ha ritenuto necessario acquisire elementi circa la tipologia di informazioni trasmesse al titolare del trattamento, Pfizer Inc., in ragione del fatto che esso risulta stabilito in un paese terzo, al fine di poter verificare, se del caso, il rispetto dei presupposti per il trasferimento dei dati all’estero (art. 45 e ss del Regolamento).

A tale riguardo, è stato dichiarato che alla Società Pfizer Inc., promotore dello Studio, verrà trasmesso solo il report finale dello Studio che “conterrà il numero complessivo di pazienti [OMISSIS] con un livello di aggregazione tale “da non permettere in alcun modo l’identificazione degli interessati cui le stesse si riferiscono” (nota del 13 ottobre 2021).

Ultimo profilo di criticità riscontrato nel corso dell’istruttoria, rispetto ai trattamenti di dati personali necessari per la realizzazione dello Studio, ha riguardato i tempi di conservazione degli stessi.

Dalla documentazione trasmessa, infatti, è emersa l’intenzione del titolare del trattamento non solo di conservare i dati presso la CRO, fino a “due anni dal completamento dello Studio” ma anche che “i dati pseudonimizzati saranno conservati dal Titolare, per il tramite del rappresentante designato, per altri 15 anni dal termine o dalla interruzione dello Studio, dopodiché saranno anonimizzati definitivamente”.

A tale riguardo, con riferimento alla conservazione dei dati da parte della CRO per 24 mesi il titolare ha rappresentato che tale periodo è necessario alla conduzione dello studio “a partire dalla fase “EU PAS register” fino all’invio ad AIFA del report finale” comprese eventuali “attività strumentali ed accessorie che potrebbero rendersi necessarie dopo” il richiamato invio.

Con riferimento alla conservazione dei dati per i successivi 15 anni dalla conclusione dello Studio, il titolare ha rappresentato che essa trova fondamento nell’art. 5.2 direttiva 2003/63/CE della Commissione del 25 giugno 2003 che modifica la direttiva 2001/83/CE del Parlamento Europeo e del Consiglio recante un Codice comunitario relativo ai medicinali per uso umano, in base al quale “i titolari di autorizzazioni all'immissione in commercio devono garantire che i documenti delle sperimentazioni cliniche importanti (soprattutto i moduli per i «case reports»), diversi dalla documentazione medica sui soggetti, siano conservati dai proprietari dei dati: (i) per almeno 15 anni dopo il completamento o l'interruzione della sperimentazione”.

La Pfizer ha richiamato, inoltre, l’art. 18 del d.lgs. 6 novembre 2007, n. 200 di “Attuazione della direttiva 2005/28/CE recante principi e linee guida dettagliate per la buona pratica clinica relativa ai medicinali in fase di sperimentazione a uso umano, nonché requisiti per l'autorizzazione alla fabbricazione o importazione di tali medicinali” che prevede che “il promotore e lo sperimentatore devono conservare i documenti essenziali relativi alla sperimentazione clinica per almeno sette anni dal completamento della medesima; debbono conservarli per un periodo più lungo qualora ciò sia richiesto da altre norme applicabili o da un accordo tra il promotore e lo sperimentatore” (art. 18, comma 1).

Il titolare ha evidenziato, infine, che “il Regolamento di esecuzione (UE) n. 520/2012 della Commissione del 19 giugno 2012 relativo allo svolgimento delle attività di farmacovigilanza previste dal Regolamento (CE) n. 726/2004 del Parlamento europeo e del Consiglio e dalla direttiva 2001/83/CE del Parlamento europeo e del Consiglio, applicabile allo Studio in esame, [OMISSIS], prevede all’articolo 12 che “I dati di farmacovigilanza e i documenti relativi ai singoli medicinali autorizzati sono conservati fintanto che il prodotto è autorizzato e almeno per i dieci anni seguenti la scadenza dell’autorizzazione all’immissione in commercio”.

3. Le valutazioni dell’Autorità

3.1 Il principio di liceità del trattamento

Alla luce della normativa in materia di protezione dei dati personali richiamata al precedente punto 2 e della documentazione esaminata, il Garante ritiene che il promotore dello Studio Pfizer Inc. abbia correttamente individuato le basi giuridiche del trattamento, specificando altresì i motivi che possono giustificare l’impossibilità di riuscire ad informare gli interessati e acquisirne il consenso, come previsto al punto 5.3 delle Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica. Ciò, tenuto anche conto della garanzia fornita in ordine alla circostanza che a seguito del parere favorevole di questa Autorità, le operazioni di trattamento necessarie per la realizzazione dello Studio avranno inizio solo nei Centri per i quali anche i Comitati etici territorialmente competenti avranno reso il proprio parere favorevole in conformità all’art. 110, comma 1, ultimo capoverso del Codice.

3.2. Ulteriori misure volte a garantire l’effettività del principio di trasparenza nei confronti dei pazienti arruolati allo Studio

Il Garante, inoltre, ritiene adeguati i contenuti (salvo quanto di seguito specificato) e i mezzi con i quali Pfizer Inc. si è impegnata a fornire le informazioni a favore delle pazienti arruolate non direttamente contattabili, ossia attraverso la pubblicazione di una specifica inserzione online, tramite il sito internet www.pfizer.it.

Cionondimeno, tenuto conto che lo Studio coinvolge 15 strutture ospedaliere, collocate su tutto il territorio nazionale, si ritiene necessario, nel caso in esame, che le informazioni da fornire agli interessati, ai sensi dell’art. 14 del Regolamento, siano rese pubbliche, altresì, attraverso una specifica inserzione sui siti internet istituzionali dei centri di sperimentazione coinvolti nello Studio.

3.3. I ruoli dei soggetti coinvolti a vario titolo nello Studio

Come sopra evidenziato, a seguito delle criticità rilevate nel corso dell’istruttoria, anche nell’ambito di specifici incontri informali, la Pfizer Inc. titolare del trattamento dei dati necessari per la realizzazione dello studio in esame, ha ulteriormente qualificato il ruolo della società controllata Pfizer. Quest’ultima, infatti, oltre che rappresentante ai sensi dell’art. 27 del Regolamento, in ragione del suo ruolo attivo nella definizione delle finalità e dei mezzi del trattamento, è stata qualificata come contitolare del trattamento ai sensi dell’art. 26 del Regolamento.

A tale riguardo, è stato trasmesso in atti l’accordo di contitolarità stipulato tra la società Pfizer Inc. e la società Pfizer Italia S.r.l., ai sensi del citato art. 26 del Regolamento.

Con specifico riferimento all’accordo di contitolarità, seppur coerente rispetto ai contenuti dell’art. 26 del Regolamento, per esigenze di maggiore trasparenza si sottolinea l’importanza che i contitolari del trattamento specifichino in modo circostanziato i rispettivi ruoli e rapporti in relazione alle finalità e ai mezzi del trattamento necessari per la realizzazione dello Studio.

In particolare, da una parte, è opportuno che sia ribadito anche in tale documento che la Società Pfizer Inc. riceverà dalla CROS NT Srl, solo il report finale dello Studio con un livello di aggregazione tale “da non permettere in alcun modo l’identificazione degli interessati cui le stesse si riferiscono”, dall’altra, è opportuno che sia evidenziato che spetta alla sola Società Pfizer la scelta del responsabile del trattamento conformemente all’art. 28 del Regolamento (cfr. “Guidelines  07/2020 on the concepts of controller and processor in the GDPR” del EDPB definitivamente approvate il 7 luglio 2021, Parte I, par. 3 e Parte II, par. 2).

In tale quadro, si ritiene necessario che le informative sul trattamento dei dati personali, predisposte ai sensi dell’art. 14, par. 5 del Regolamento e 6, comma 3 delle Regole deontologiche, siano integrate con l’indicazione delle modalità con le quali gli interessati potranno esercitare, nei confronti dei contitolari del trattamento, i diritti di cui agli artt. da 15 a 22 del Regolamento, tenuto conto che nel testo in atti ci si limita ad informare gli interessati che “Se desidera esercitare uno qualsiasi dei diritti descritti sopra o se ha dubbi su come vengono gestite le informazioni personali, invitiamo a contattare i Reparti di Pronto Soccorso di riferimento” (artt. 12, 14 e 26 del Regolamento).

3.4. I tempi di conservazione dei dati e gli ulteriori trattamenti

Con riferimento ai tempi di conservazione previsti per la realizzazione dello Studio in esame, il titolare prevede la conservazione dei dati per 24 mesi presso la Cro e per un periodo di 15 anni dalla conclusione dello studio da parte della società Pfizer Inc., per il tramite della Pfizer.

Le motivazioni sopra riportate in ordine alla proporzionalità del tempo di conservazione dei dati di due anni appaiono idonee a comprovarne la necessità rispetto al raggiungimento dello scopo (art. 5, par. 2 lett. e) del Regolamento e punto 5.6 delle Prescrizioni per il trattamento dei dati personali per scopi di ricerca scientifica).

Parimenti, si rileva che la normativa indicata a supporto della conservazione dei dati raccolti per la realizzazione dello Studio retrospettivo XX appare idonea a giustificare il richiamato periodo di conservazione dei dati. Ciò, fermo restando che con i richiamati dati personali i titolari del trattamento non possono perseguire ulteriori scopi di ricerca scientifica, in assenza di un idoneo presupposto di liceità, essendo tale conservazione prevista al solo fine di consentire eventuali azioni di controllo e monitoraggio da parte delle Autorità competenti (es. AIFA o EMA).

TUTTO CIO’ PREMESSO IL GARANTE

ai sensi dell’art. 110 del Codice e dell’art. 36 del Regolamento, esprime parere favorevole alla Pfizer S.r.l. con sede legale in via Isonzo, 71 - 04100 Latina e alla Pfizer Inc., costituita nello Stato del Delaware e con sede legale a New York City, NY in 235 East 4211d Street, Stati Uniti d'America, in qualità di contitolari del trattamento, in ordine al trattamento dei dati personali, anche inerenti a particolari categorie di dati, per finalità di ricerca medica, biomedica e epidemiologica, riferiti alla coorte di pazienti arruolate nello studio retrospettivo XX a condizione che:

a) le informazioni da fornire agli interessati, ai sensi dell’art. 14, par. 5 lett. b) del Regolamento e 6, comma 3 delle Regole deontologiche, siano rese pubbliche attraverso una specifica inserzione anche sui siti internet istituzionali dei centri di sperimentazione coinvolti nello Studio (cfr punto 3.2.);

b) le informative sul trattamento dei dati personali, predisposte ai sensi dell’art. 14, par. 5, lett. b) del Regolamento e 6, comma 3 delle Regole deontologiche, siano modificate recando l’indicazione delle modalità con le quali gli interessati possono esercitare, nei confronti dei contitolari del trattamento, i diritti di cui agli artt. da 15 a 22 del Regolamento (cfr. punto 3.3.)

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 novembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei