Nell’ambito delle novità introdotte dalla Legge 29 aprile 2024, n. 56, di conversione del Decreto Legge n. 19 del 2 marzo 2024, recante ulteriori disposizioni urgenti per l’attuazione del PNRR, si inserisce la modifica dell’articolo 110 del Codice in materia di protezione dei dati personali (“Codice”).
È stato così segnato un punto importante a favore di una ricerca retrospettiva medica, biomedica ed epidemiologica meno ingessata dalle procedure di approvazione da parte dell’Autorità Garante che, ugualmente, mantiene invariato il livello di tutela dei dati personali e della privacy degli interessati coinvolti.
Le fasi preliminari allo svolgimento effettivo di uno studio retrospettivo potranno, infatti, essere più libere e agevoli, sia in termini di adempimenti finalizzati all’autorizzazione da parte del Garante privacy che di lunghe tempistiche di attesa connesse.
Si ricorda che gli studi retrospettivi si basano su dati clinici già esistenti, raccolti in un momento antecedente alla decisione di condurre una ricerca scientifica, in contrapposizione alla metodologia utilizzata nelle ricerche prospettiche che interviene su gruppi di pazienti che in quel dato momento stanno eseguendo un percorso di cura.
Peraltro, generalmente, i dati che confluiscono nello studio retrospettivo vengono sottoposti a pseudonimizzazione, una misura tecnica di sicurezza che già attenua notevolmente i rischi di riservatezza dei dati dei pazienti.
Tali aspetti, che caratterizzano gli studi retrospettivi, sono stati tra le motivazioni principali che ricercatori ed esperti privacy hanno evidenziato, valutando la preliminare consultazione preventiva del Garante privacy eccessivamente onerosa e sollecitando la modifica dell’articolo 110 del Codice verso un iter più snello e proporzionato alle finalità di interesse collettivo insite nella ricerca, cui finalmente siamo giunti.
Indice degli argomenti
Ricerca scientifica: l’ambito della deliberazione del Garante
Dopo la riforma dell’articolo 110 del Codice, il Garante per la protezione dei dati personali, con il provvedimento del 9 maggio, ha adottato una deliberazione al fine di individuare le garanzie di cui all’articolo 110 del Codice e, quindi, promuovere l’adozione di nuove regole deontologiche per trattamenti a fini statistici o di ricerca scientifica, ai sensi degli articoli 2-quater e 106 del Codice.
Si tratta delle garanzie da osservare nei casi in cui, per il trattamento dei dati sulla salute di cui all’articolo 9 del GDPR per scopi di ricerca medica, biomedica ed epidemiologica, non è possibile acquisire il consenso degli interessati, ai sensi dell’articolo 106, comma 2, lettera d) del Codice.
Gli interessati in questione sono soggetti deceduti oppure che non possono essere contattati per:
- motivi etici: quando l’interessato ignora la propria condizione e rendere l’informativa privacy comporterebbe la rivelazione di notizie in merito allo conduzione dello studio suscettibili di arrecare un danno materiale o psicologico all’interessato stesso;
- motivi organizzativi: quando non utilizzare i dati relativi ai soggetti non contattabili produrrebbe conseguenze significative sulla qualità dei risultati della ricerca o quando contattare gli interessati implicherebbe uno sforzo sproporzionato in considerazione dell’elevata numerosità del campione per lo studio.
Cosa è cambiato per chi fa ricerca scientifica
I titolari del trattamento, che per finalità di ricerca medica, biomedica ed epidemiologica trattano dati sulla salute relativi a soggetti deceduti o non contattabili, non sono più tenuti a sottoporre il progetto di ricerca e la relativa valutazione di impatto sulla protezione dei dati personali alla consultazione preventiva del Garante privacy di cui all’articolo 36 del GDPR.
Le organizzazioni e gli enti di ricerca che intendono svolgere uno studio osservazionale retrospettivo dovranno, in ogni caso e di volta in volta:
- adottare misure di sicurezza appropriate ai rischi connessi alla ricerca al fine di tutelare i diritti, le libertà e gli interessi legittimi dell’interessato, nel pieno rispetto del principio di accountability;
- acquisire il parere favorevole del Comitato etico competente a livello territoriale sul progetto di ricerca;
- spiegare e documentare nel progetto di ricerca le ragioni (etiche o organizzative) per le quali l’acquisizione del consenso dell’interessato risulta impossibile o implica uno sforzo sproporzionato o rischia di compromettere il conseguimento delle finalità della ricerca;
- svolgere e pubblicare la valutazione di impatto ai sensi dell’articolo 35 del GDPR, dandone comunicazione al Garante privacy.
Chi può partecipare alla redazione delle regole deontologiche
Alla luce della recente riforma normativa, l’Autorità ritiene necessario revisionare le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica ai sensi degli articoli 2-quater e 106 del Codice e ha avviato la procedura per la loro adozione nel rispetto del principio di rappresentatività e del coinvolgimento delle categorie interessate.
Possono proporsi e sottoscrivere le nuove regole deontologiche, tutti quei soggetti che, istituzionalmente o statutariamente, sono tenuti allo svolgimento di ricerche mediche quali università, altri enti o istituti di ricerca, società scientifiche, ricercatori che operano nell’ambito universitario, enti, istituti di ricerca e soci di dette società scientifiche, istituti di ricovero e cura a carattere scientifico, fondazioni enti morali di ricerca, nonché enti pubblici istituzionalmente competenti al perseguimento di tali compiti.
Tali soggetti sono invitati dall’Autorità a darne comunicazione scritta all’indirizzo di posta elettronica certificata: protocollo@pec.gpdp.it.
Possono, altresì, proporre la propria partecipazione (ma non sottoscriverle) anche tutti i soggetti che sono interessati all’applicazione delle regole deontologiche (per esempio, associazioni di malati), dandone comunicazione al Garante privacy e fornendo informazioni e documentazione atta a comprovare il proprio interesse qualificato alla materia.
I termini entro i quali inviare la propria richiesta sono 60 giorni dalla pubblicazione della deliberazione (contenuta nel provvedimento del 9 maggio qui esaminato) nella Gazzetta Ufficiale della Repubblica Italiana.
