Una modifica di indiscutibile rilievo in materia di trattamento dei dati sanitari per finalità di ricerca scientifica e medica deriva dalla recente riscrittura dell’art. 110 del D.lgs. 196/2003 (Codice in materia di protezione dei dati personali). Più esattamente, in base al cit. art. 110, così come modificato dall’art. 44, comma 1 bis del D.L. n. 19/2024, il Garante per la privacy è chiamato ad individuare le garanzie da osservare nei casi in cui per il trattamento dei dati sulla base dei dati sulla salute di cui all’art. 9 del Regolamento per scopi di ricerca medica, biomedica ed epidemiologica, non è possibile acquisire il consenso degli interessati ai sensi dell’art. 106, comma 2, lett. d) del Codice. L’art. 20, comma 3 e 4 del D.lgs. 101 del 2018, ha conferito al Garante il compito di verificare la conformità al Regolamento delle disposizioni contenute nei Codici di deontologia e buona condotta di cui agli allegati A.1, A.2, A.3 ed A.5 del Codice, rinominandole Regole deontologiche, adottate con provvedimento n. 514/2018 del Garante (che costituiscono l’attuale allegato A.5 al Codice). Soprattutto negli ultimi anni, l’Autorità Garante ha adottato copiosi provvedimenti in materia rilevando come il mutato contesto renda urgente l’adozione di nuove regole deontologiche in tale settore. Conseguentemente ha ritenuto necessario per un verso individuare le garanzie di cui al cit. art. 110 del Codice e per un altro l’adozione di nuove regole e misure per trattamenti a fini statistici o di ricerca scientifica ex art. 2 quater e 106 del Codice. Peraltro, il cit. art. 110 nella sua originaria formulazione già consentiva al titolare del trattamento di non chiedere il consenso all’interessato per il trattamento dei dati suscettibili di rivelare lo stato di salute quando a causa di particolari ragioni era impossibile informare gli interessati; affinché scattasse il divieto in questione era tuttavia necessario che si procedesse preventivamente ad un triplice adempimento e cioè in primis la richiesta del parere del comitato etico sul progetto di ricerca, indi lo svolgimento di una valutazione d’impatto ai sensi dell’art. 35 del Regolamento, infine la consultazione preventiva del Garante ex art. 36 del Regolamento. Orbene, la nuova formulazione del cit. art. 110, eliminando definitivamente l’obbligo dei suddetti adempimenti, ridetta la disciplina soprattutto all’interno del primo comma ai sensi del quale il consenso dell’interessato per il trattamento dei dati relativi alla salute per fini di ricerca scientifica in campo medico, biomedico od epidemiologico non è necessario quando “la ricerca è effettuata in base a disposizioni di legge o di regolamento od al diritto dell’Unione europea in conformità all’articolo 9, paragrafo 2, lettera j), del Regolamento (trattamento per fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica od a fini statistici), incluso il caso in cui la ricerca in oggetto “rientri in un programma di ricerca biomedica o sanitaria”. Ancora, il legislatore ha altresì escluso la necessità del consenso allorquando per via di particolari ragioni “informare gli interessati risulta impossibile od implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento della finalità di ricerca”. In tali casi il titolare del trattamento dovrà però adottare “misure appropriate per tutelare i diritti, le libertà ed i legittimi interessi dell’interessato, qualora il programma di ricerca sia oggetto di motivato parere favorevole del competente comitato etico a livello territoriale”, domandando al Garante l’individuazione delle misure da osservare ex art. 106 del Codice (“Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica”).

Gli interventi chiarificatori del garante sulla nuova normativa

Su questo nuovo sfondo è intervenuto il recente Provvedimento n. 298 del 9 maggio 2024 da parte del Garante Privacy (pubblicato sulla G.U. n. 130 del 5 giugno 2024 recante “Regole deontologiche per i trattamenti di dati personali  a fini statistici e di ricerca scientifica”) nel cui contenuto precettivo sono state individuate nuove garanzie per trattamenti di dati sanitari per finalità di ricerca medica, biomedica ed epidemiologica quando i soggetti sono deceduti o non contattabili per specifici motivi etici od organizzativi. Il Garante, sulla base degli articoli 2 quater e 106 del Codice Privacy, individua le garanzie necessarie per bilanciare l’esigenza di ricerca con la tutela dei dati personali.

Più precisamente, laddove ricorrano specifici motivi etici od organizzativi, il titolare del trattamento è tenuto ad adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato. Deve inoltre acquisire il parere favorevole del competente comitato etico a livello territoriale sul progetto di ricerca, come previsto dall’art. 110 del Codice. Nel progetto di ricerca andranno motivate accuratamente le ragioni etiche od organizzative per cui informare gli interessati e acquisirne il consenso risulti impossibile, richieda uno sforzo sproporzionato o rischi di compromettere il raggiungimento delle finalità della ricerca.

Inoltre, è necessario documentare i ragionevoli sforzi compiuti per tentare di contattare gli interessati. Il titolare dovrà anche svolgere e pubblicare la valutazione d’impatto ai sensi dell’art. 35 del Regolamento, dopo averne dato comunicazione al Garante. Tale procedura garantisce un bilanciamento tra l'interesse pubblico della ricerca scientifica e la protezione dei diritti degli individui coinvolti.

Vengono poi in rilievo quelle situazioni dove la mancata raccolta dei dati riferiti al numero di interessati che non è possibile contattare, dato il numero complessivo dei soggetti che si intende arruolare nella ricerca, produrrebbe conseguenze significative per lo studio in termini di qualità dei risultati della ricerca stessa, considerando i criteri di inclusione previsti dallo studio, le modalità di arruolamento, la numerosità statistica del campione prescelto, nonché il periodo di tempo trascorso dal momento in cui i dati riferiti agli interessati sono stati originariamente raccolti. Ulteriormente, tra i motivi di impossibilità organizzativa rientrano altresì i casi in cui contattare gli interessati comporterebbe uno sforzo sproporzionato, visto l’elevato numero del campione di soggetti in questione, sia quelli in cui, dopo aver compiuto ogni ragionevole sforzo per contattarli, i soggetti risultino deceduti o non contattabili. Infine, i motivi etici vengono ricondotti alle ipotesi in cui l’interessato ignori la propria condizione, oppure quando la rivelazione di notizie concernenti lo studio, fornite dall’interessato insieme all’informativa, possano generare in lui qualsivoglia tipologia di danno materiale o psicologico. Per quanto riguarda la necessaria promozione, le regole deontologiche riflettono l’osservanza del principio di rappresentatività (art. 2 quater del Codice) che si intende soddisfatto sulla base della natura giuridica dei soggetti proponenti, istituzionalmente o statutariamente tenuti allo svolgimento di ricerca medica quali università e ricercatori ivi operanti, altri enti od istituti di ricerca, società scientifiche, enti, istituti di ricerca e soci delle società scientifiche, istituti di ricovero e cura a carattere scientifico, fondazioni  ed enti morali di ricerca, nonché enti pubblici istituzionalmente competenti al perseguimento di tali compiti. Orbene, tali soggetti sono invitati a dare comunicazione all’Autorità della sottoscrizione delle regole deontologiche, anche attraverso le proprie associazioni di categorie o strutture pubbliche maggiormente rappresentative, quali l’Istituto superiore di sanità, entro il termine di 60 giorni dalla pubblicazione della deliberazione in oggetto nella G.U., fornendo informazioni e documentazioni idonee a comprovare la loro rappresentatività ex art. 23, comma 2, secondo periodo del Reg. interno. Le nuove Regole deontologiche 2024 e l’ultima riscrittura dell’art. 110 Codice Privacy semplificano il trattamento di dati sanitari per finalità di ricerca medica, biomedica ed epidemiologica, ma impongono rigorosi adempimenti: parere del comitato etico, valutazione d’impatto DPIA art. 35 GDPR, comunicazione al Garante Privacy e adozione delle «misure appropriate» ex art. 106. Il nostro studio legale ti affianca per: Contattaci subito per una consulenza su misura e garantisci la piena compliance privacy dei tuoi protocolli di ricerca sanitaria.