Con la pubblicazione di una pagina di FAQ, il Garante privacy ha chiarito quali sono le regole da applicare alla ricerca scientifica da parte degli Istituti di Ricerca a Carattere Scientifico (IRCCS).
Una pagina di domande e risposte nella quale il Garante ci spiega come applicare il favor legislativo nei confronti degli IRCCS, ospedali di eccellenza (nel nostro ordinamento sia pubblici che privati) che erogano prestazioni di ricovero e cura di alta specialità e che, altresì, perseguono istituzionalmente finalità di ricerca, prevalentemente clinica e traslazionale, nel campo biomedico ed in quello della organizzazione e gestione dei servizi sanitari.
Per la prima volta (direi) il Garante fornisce indicazioni sul rapporto tra l’art. 110 e l’art. 110 bis, precisando le regole del secondary use a favore degli IRCSS.
Vediamo i punti cardine.
Indice degli argomenti
IRCCS e ricerca scientifica: la gestione del consenso
La FAQ 2 dichiara che la base giuridica per svolgere ulteriori trattamenti (la ricerca) diversi dalla finalità per la quale i dati sono raccolti (diagnosi e cura) può essere il consenso. E fino a qui nulla di nuovo.
La stessa FAQ precisa, però, che l’IRCCS può utilizzare – volendo – una base giuridica diversa dal consenso: l’applicazione dell’art. 110-bis, comma 4 Codice Privacy.
Tale comma stabilisce, infatti, che: “Non costituisce trattamento ulteriore da parte di terzi il trattamento dei dati personali raccolti per l’attività clinica, a fini di ricerca, da parte degli Istituti di ricovero e cura a carattere scientifico, pubblici e privati, in ragione del carattere strumentale dell’attività di assistenza sanitaria svolta dai predetti istituti rispetto alla ricerca, nell’osservanza di quanto previsto dall’articolo 89 del Regolamento”.
In sostanza, gli IRCCS che hanno raccolto il dato per diagnosi e cura (sono comunque ospedali) possono utilizzare il dato stesso per ricerca senza che tale trattamento sia considerato “ulteriore” (quindi, sembrerebbe di capire, in una sorta di uso “primario allargato”).
In questo caso, il Garante precisa (e questa è una novità rispetto alle previsioni dell’art. 110-bis ) che l’IRCCS dovrà svolgere una valutazione d’impatto (analogamente a quanto previsto nel nuovo art. 110) la quale dovrà poi essere pubblicata (FAQ 4).
A prescindere dai rischi di cyber security che comporta tale pubblicazione (su cui forse sarebbe opportuna una riflessione), la FAQ 5 stabilisce la possibilità di pubblicare solo un estratto ove la DPIA possa ledere diritti di proprietà intellettuale e segreti commerciali.
Le novità sugli obblighi informativi
Ma la vera apertura a favore degli IRCS appare alla FAQ 6 dove, illustrando le modalità per ottemperare agli obblighi informativi, il Garante spiega che i dati trattati dagli IRCCS per ricerca possono essere non solo quelli raccolti per diagnosi e cura e quelli della banche dati degli IRCCS stessi, altresì quelle raccolti da banche dati esterne all’IRCCS stesso.
Ciò vuol dire che l’IRCCS può trattare (sulla base della sola DPIA) dati che acquisisce da titolari terzi che gestiscono banche dati esterne all’IRCCS.
Qui il Garante sembra creare una base giuridica ad hoc per questo trattamento di trasferimento che spalanca le porte alla ricerca di tali soggetti.
Posizione di privilegio degli IRCCS nella ricerca scientifica
Chi scrive ha più volte manifestato – in varie sedi – la necessità di favorire la ricerca e le difficoltà che crea questo approccio “consensocentrico” della ricerca.
Per cui ben vengano le FAQ del Garante, che non solo chiariscono la possibilità per gli IRCCS di utilizzare l’art. 110-bis comma 4 (la norma c’era, ma nessuna la utilizzava per timore), ma altresì allargano tale possibilità di trattamento anche in relazione ai contenuti nelle banche dati di soggetti terzi.
Tale apertura, inoltre, si interseca con un quadro giuridico che negli ultimi due anni mira a potenziare le attività di ricerca degli IRCCS e ad agevolare il trasferimento tecnologico degli output di tali ricerche.
La legge 3 agosto 2022 n. 129 (nata nell’alveo della Missione 6 Componente 2 del PNRR per un riordino del quadro normativo degli IRCCS e una revisione delle politiche di ricerca del Ministero della Salute) ha proprio come obiettivo quello di migliorare il rapporto fra ricerca, innovazione, cure sanitarie e trasferimento tecnologico.
La legge (molto in sintesi) stabilisce il “potenziamento del ruolo degli IRCCS, …, al fine di promuovere in via prioritaria l’eccellenza in materia di ricerca preclinica, clinica, traslazionale, clinico-organizzativa nonché l’innovazione e il trasferimento tecnologico”, ma altresì che occorre stabilire “misure idonee a garantire la tutela della proprietà intellettuale degli IRCCS, anche con riguardo al trasferimento tecnologico dei risultati della ricerca, disciplinando il regime di incompatibilità del dipendente pubblico con le fasi di trasferimento tecnologico, di spin off e di startup, nonché il rapporto con le imprese nella fase di sponsorizzazione della ricerca e nella scelta del partner scientifico e industriale per lo sviluppo di brevetti detenuti dall’IRCCS di appartenenza”.
Tali principi hanno poi trovato attuazione precisa nel D.lgs. 200/2022.
Parallelamente, l’art. 3 della legge 102/2023 (nata questa nell’alveo della Missione 1 componente 2 del PNRR volta a perseguire la digitalizzazione, innovazione e competitività del sistema produttivo) ha poi modificato l’art. 65 del Codice della Proprietà Industriale (CPI) ribaltando il c.d. “Professor’s Privilege”.
Più precisamente, oggi i diritti nascenti dall’invenzione industriale fatta nell’esecuzione o nell’adempimento di un contratto, di un rapporto di lavoro o d’impiego, con vari soggetti – tra cui anche gli IRCCS spettino alla struttura di appartenenza dell’inventore.
Conclusioni
Dunque, ampia apertura sull’uso dei dati, potenziamento del trasferimento di tecnologia e titolarità delle invenzioni.
Senza dubbio una nuova strada per gli IRCCS.
Speriamo la sappiano sfruttare per il bene del paese.
