[doc. web n. 9971457]

Provvedimento del 7 dicembre 2023

Registro dei provvedimenti
n. 582 del 7 dicembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE-Regolamento generale sulla protezione dei dati (di seguito “Regolamento”);

VISTI, in particolare, gli artt. 35 e 36 del Regolamento relativi, rispettivamente, alla valutazione d'impatto sulla protezione dei dati e alla consultazione preventiva dell’Autorità;

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO l’art. 110 comma 1, secondo periodo del Codice che, in relazione al trattamento di dati personali per ricerca medica, biomedica e epidemiologica, dispone in particolare che “il consenso non è inoltre necessario quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante ai sensi dell'articolo 36 del Regolamento”;

VISTE le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica adottate dal Garante, ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101, con provvedimento n. 515, del 19 dicembre 2018 (doc. web n. 9069637, di seguito “Regole deontologiche”);

VISTE le Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica, allegato n. 5 al Provvedimento che individua le prescrizioni contenute nelle Autorizzazioni generali che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice, del 5 giugno 2019 (doc. web 9124510, di seguito “Prescrizioni”);

VISTA l’istanza di consultazione preventiva presentata, ai sensi degli artt. 110 del Codice e 36 del Regolamento, dalla Azienda Ospedaliero Universitaria di Parma (di seguito “Azienda”), avente ad oggetto un emendamento allo studio retrospettivo, osservazionale, no profit denominato “Effetti dell’infezione da Sars-CoV-2 sugli accessi al pronto soccorso e sui ricoveri della popolazione di età pediatrica e adolescenziale: studio retrospettivo - (CoV2Ped)” (di seguito “Studio”), sul quale il Garante ha rilasciato il parere favorevole di competenza con il provvedimento del 7 aprile 2022 (doc. web 9772545);

RILEVATO che l’Azienda, unitamente all’istanza ha trasmesso in atti le versioni aggiornate del Protocollo (versione del 27 marzo 2023), della valutazione di impatto sul trattamento dei dati svolta ai sensi dell’art. 35 del Regolamento, del modello di informativa redatta ai sensi degli artt. 13 e 14 del Regolamento e del parere favorevole del Comitato etico territorialmente competente;

RILEVATO che nell’istanza l’Azienda ha dichiarato, ai sensi dell’art. 168 del Codice, che:

- lo Studio si pone l’obiettivo “di descrivere eventuali cambiamenti nel quadro epidemiologico e clinico in seguito alla pandemia da SARS-CoV-2, in termini spaziali (confronto fra province) e temporali (confronto fra periodi diversi), dell’occorrenza dei ricoveri e degli accessi in Pronto Soccorso negli Ospedali della Regione Emilia-Romagna, per le diverse patologie o classi di patologie. In considerazione di quanto è stato osservato dal punto di vista clinico nei reparti di pediatria e nei Pronto Soccorso pediatrici dopo il 1° marzo 2022 e alla luce dell’analisi preliminare dei dati già raccolti (in particolare, per quanto riguarda l’andamento degli accessi e dei ricoveri in età pediatrica per infezioni respiratorie e per disturbi mentali)”;

- “ritiene utile estendere ulteriormente l’intervallo di tempo” (1° marzo 2020-28 febbraio 2022) [...] indicato nella versione v2.0 del 30/11/2021 del protocollo di studio, includendo il periodo 1° marzo 2020-30 aprile 2023” e a tal fine […] ha chiesto di poter “estendere l’intervallo di tempo analizzato”,

- con particolare riferimento all’indicazione dei motivi per i quali non è possibile fornire l'informativa ai nuovi pazienti che si intendono arruolare nello Studio e acquisirne il consenso, nella valutazione d’impatto, replicando i contenuti di quella sottoposta al Garante in occasione della precedente istanza di consultazione preventiva, “gli obiettivi primari e secondari di questo studio poggiano sul confronto tra il numero di accessi in Pronto Soccorso e di ricoveri nei soggetti di età <18 anni, nel periodo 1 marzo 2020-30 Aprile 2023 rispetto ai 3 anni precedenti (1 marzo 2017-28 febbraio 2020). Si stima che per ogni anno sarebbero coinvolti circa 6000 soggetti/anno per un totale di 36.000 soggetti nell’arco dei 5 6 anni oggetto dello studio. Tale numerosità campionaria renderebbe estremamente difficoltoso l’ottenimento del consenso informato da parte di tutti i soggetti coinvolti oltre a richiedere uno sforzo enorme che porterebbe comunque al mancato raggiungimento di gran parte dei soggetti identificati determinando una forte riduzione del potere statistico delle analisi eseguite e quindi dello studio”.

- “i supporti digitali e il dataset saranno conservati presso l’Archivio degli studi clinici della Clinica Pediatrica di Parma fino alla conclusione dello studio (Padiglione 15, piano 2, stanza 091) per essere poi distrutti. Il fascicolo dello studio, in cui è conservata la documentazione protocollata attinente allo studio […] privo di dati personali riferiti ai pazienti, sarà conservato per cinque anni dalla conclusione dello studio e successivamente smaltito”;

- “I dati personali trattati nell’ambito dello studio, privi dei dati idonei a rendere identificabili gli interessati, saranno conservati in modo sicuro fino alla conclusione dello studio, e saranno successivamente distrutti. Il fascicolo dello studio, contenente la documentazione protocollata attinente allo studio (richiesta iniziale da parte del Responsabile scientifico, approvazione rilasciata dal Comitato Etico territorialmente competente, autorizzazione del legale rappresentante dell’Azienda), sarà conservato per cinque anni dalla conclusione dello studio e successivamente smaltito” (cfr. modello di informazioni da rendere agli interessati, ai sensi degli artt. 13 e 14 del Regolamento, paragrafo “Periodo di conservazione dei dati personali”);

RILEVATO che l’Ufficio ha avviato una specifica istruttoria nei confronti dell’Azienda volta a chiarire:

- il periodo di osservazione dei dati, tenuto conto che, con il citato provvedimento del 7 aprile 2022, il Garante ha reso il parere favorevole di competenza che costituisce la base giuridica per il trattamento dei dati personali dei pazienti non contattabili che nel periodo dal 1° marzo 2020 al 28 febbraio 2022 sono stati ricoverati ovvero hanno avuto un accesso al pronto soccorso presso una delle Aziende Sanitarie della Regione Emilia Romagna, ritenendosi pertanto superfluo che l’istanza di consultazione preventiva avente ad oggetto il richiamato emendamento riguardi anche i dati il cui trattamento è già stato autorizzato alla luce del predetto provvedimento del Garante;

- le ragioni che determinano, anche per l’acquisizione di tali ulteriori dati, l’impossibilità di acquisire il consenso degli interessati, atteso anche l’evidente mutamento del contesto emergenziale di riferimento;

RILEVATO che l’Azienda, con nota del 20 luglio 2023, in riscontro alla richiesta di informazioni dell’Ufficio del 7 luglio 2023 (prot. n. 104975), ha dichiarato “di aver recepito le osservazioni in merito alla superfluità che l’istanza di consultazione preventiva includa anche i periodi di osservazione dei dati il cui trattamento è già stato autorizzato” e rappresentato che:

lo Studio “vuole valutare l’impatto dell’infezione da SARS-CoV-2 sull’epidemiologia complessiva dei ricoveri e degli accessi in Pronto Soccorso nella popolazione di età inferiore ai 18 anni, indipendentemente dal fatto che il paziente sia ricoverato per infezione da SARS-CoV-2. […]. L’allargamento del periodo di osservazione può permettere di valutare l’andamento dei ricoveri per disturbi mentali e degli accessi in Pronto Soccorso per traumi domestici e avvelenamenti/intossicazioni con la ripresa dell’attività scolastica e della vita di comunità avvenute nel 2022. Inoltre, nel corso dell’ultima stagione autunnale-invernale si è osservato un importante incremento della patologia respiratoria con un andamento epidemiologico apparentemente differente da quello pre-COVID […]. Acquisire informazioni precise al riguardo è essenziale ai fini scientifici per l’appropriatezza delle indicazioni di tipo preventivo e per l’organizzazione dell’assistenza”;

“nel corso dell’elaborazione dei dati, effettuata in virtù di precedente autorizzazione resa dalla Spettabile Autorità Garante (Provv. n. 118 del 07/04/2022), sono pertanto emerse esigenze ulteriori tali da rendere necessario estendere l’analisi retrospettiva”;

“I dati già raccolti hanno mostrato che per ogni anno sono stati valutati più di 16.000 bambini ricoverati e più di 150.000 accessi al Pronto Soccorso. Tale numerosità campionaria renderebbe estremamente difficoltoso l’ottenimento del consenso informato da parte di entrambi i genitori di tutti i soggetti coinvolti anche nell’anno 1° marzo 2022 fino al 28 febbraio del 2023”;

In relazione al mutamento del contesto emergenziale l’Azienda ha dichiarato che, “sebbene la popolazione abbia percepito una riduzione dei contagi da Covid-19 nel corso dell’anno 2022, deve comunque essere tenuto in considerazione il peculiare ambito nel quale opera il Titolare del trattamento, il cui agire è stato fortemente condizionato dalla pandemia”. Pur a seguito della cessazione dello stato di emergenza, numerose Ordinanze e Circolari ministeriali, evidenziavano il persistere di esigenze indifferibili di contrasto al diffondersi della pandemia da Covid-19 in relazione all’accesso alle strutture sanitarie, socio-sanitarie e socio-assistenziali, nelle quali, in ragione della presenza di persone fragili o in condizioni di fragilità, sussisteva una maggiore pericolosità del contagio. “Solo il 05/05/2023 l’OMS ha emanato lo “Statement on the fifteenth meeting of the IHR (2005) Emergency Committee on the COVID-19 pandemic”, con il quale la pandemia è stata dichiarata ufficialmente cessata”.

Da ultimo, con specifico riferimento all’indicazione del periodo di conservazione dei dati personali raccolti nell’ambito dello Studio, l’Azienda ha chiarito che i “dati personali trattati, fin dall’avvio dello studio, privi dei dati idonei a rendere identificabili gli interessati, saranno conservati presso l’Archivio degli studi clinici della Clinica Pediatrica di Parma (Padiglione 15, piano 2, stanza 091) fino alla conclusione dello stesso. A seguito dell’emendamento, che intende estendere il periodo di raccolta e osservazione, alla nuova data di conclusione dello studio (indicata, nell’aggiornamento della DPIA, al novembre 2023) i supporti digitali e il dataset saranno distrutti. Il fascicolo dello studio, in cui è conservata la documentazione protocollata attinente allo studio (richiesta iniziale da parte del Responsabile scientifico, approvazione rilasciata dal Comitato Etico territorialmente competente, autorizzazione del legale rappresentante dell’Azienda…), privo di dati personali riferiti ai pazienti, sarà conservato per cinque anni dalla conclusione dello studio (inteso in tutta la sua durata) e successivamente smaltito. Tale tempistiche, così dettagliate, saranno integrate nel modello di “Informazioni sul trattamento dei dati personali” destinate agli interessati”;

RILEVATO che il trattamento di dati personali per scopi di ricerca scientifica deve essere effettuato nel rispetto del Regolamento, del Codice, delle Prescrizioni, nonché delle Regole deontologiche che costituiscono condizione essenziale di liceità e correttezza dei trattamenti (art. 2-quater del Codice e art. 21, comma 5 del d.lgs. 10 agosto 2018, n. 101).

Con specifico riferimento al perseguimento di scopi di ricerca scientifica in campo medico, biomedico e epidemiologico, si evidenzia che essi sono ammessi previa acquisizione del consenso dell'interessato. Tale presupposto non è necessario  “[...] quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca In tali ultimi casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante ai sensi dell'articolo 36 del Regolamento” (art. 110 del Codice, art. 9, par. 2, lett. j) e par. 4 del Regolamento).

In tali ultimi casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante, ai sensi dell'articolo 36 del Regolamento (art. 110 del Codice, art. 9, par. 2, lett. j) e par. 4 del Regolamento);

RILEVATO che l’art. 89, par. 1 del Regolamento dispone, in particolare, che “Il trattamento a fini [...] di ricerca scientifica è soggetto a garanzie adeguate per i diritti e le libertà dell'interessato, in conformità del presente regolamento. Tali garanzie assicurano che siano state predisposte misure tecniche e organizzative, in particolare al fine di garantire il rispetto del principio della minimizzazione dei dati. Tali misure possono includere la pseudonimizzazione, purché le finalità in questione possano essere conseguite in tal modo [...]”;

RILEVATO che i dati devono essere trattati nel rispetto di principio di trasparenza (art. 5, par. 1, lett. a) del Regolamento). In relazione ai correlati obblighi informativi, qualora i dati siano ottenuti presso terzi, il titolare del trattamento può non rendere le informazioni di cui ai paragrafi da 1 a 4 dell’art. 14 del Regolamento, nella misura in cui la comunicazione di tali informazioni risulti impossibile o implichi uno sforzo sproporzionato. Ciò, in particolare, nell’ambito dei trattamenti svolti per finalità di ricerca scientifica, ferme restando le condizioni e le garanzie di cui all'articolo 89, par. 1 del Regolamento. In tali casi, il titolare del trattamento è comunque tenuto ad adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, anche rendendo pubbliche le informazioni (art. 14, par. 5, lett. b) del Regolamento). Sul punto, l’art. 6, comma 3 delle Regole deontologiche, dispone che “Quando i dati sono raccolti presso terzi, ovvero il trattamento effettuato per scopi statistici o scientifici riguarda dati raccolti per altri scopi, e l’informativa comporta uno sforzo sproporzionato rispetto al diritto tutelato, il titolare adotta idonee forme di pubblicità (…)” indicando delle specifiche modalità a titolo esemplificativo;

RILEVATO che i dati devono essere trattati nel rispetto del principio di limitazione della conservazione in base al quale i dati devono essere conservati solo per il tempo necessario al perseguimento degli scopi della raccolta o se del caso definito in base a specifici obblighi normativi (art. 5, par. 1 lett. b) e e) del Regolamento);

RITENUTO che l’Azienda in qualità di promotore dello Studio e di titolare del trattamento abbia correttamente individuato le basi giuridiche del trattamento per la raccolta dei dati personali degli interessat nell’ulteriore periodo di osservazione retrospettiva dal 1° marzo 2022 al 28 febbraio 2023, specificando adeguatamente i motivi che giustificano l’impossibilità di riuscire ad informare gli interessati e acquisirne un valido consenso, atteso che, nello Studio in esame, i dati già raccolti hanno mostrato che per ogni anno sono stati valutati più di 16.000 bambini ricoverati e più di 150.000 accessi al Pronto Soccorso. Tale numerosità campionaria renderebbe estremamente difficoltoso non solo da un punto di vista organizzativo ma anche da un punto di vista economico -attesa la natura no profit dello Studio- l’ottenimento del consenso da parte di entrambi i genitori di tutti i soggetti coinvolti nel periodo compreso dal 1° marzo 2022 al 28 febbraio 2023.

Inoltre, la stessa Azienda, in occasione della precedente istanza di consultazione preventiva, avente ad oggetto il medesimo Studio, -seppure riferito ad un diverso periodo temporale di osservazione dei dati-, aveva rappresentato che “il tempo necessario a raccogliere il consenso degli interessati [circa 16.000, dal 1° marzo 2022 - 28 febbraio 2023] potrebbe vanificare l’attualità della ricerca correlata al periodo pandemico, compromettendo il raggiungimento degli obiettivi dello Studio”;

RILEVATO che l’emendamento allo Studio ha ottenuto il parere favorevole del competente comitato etico a livello territoriale, elemento che si configura quale condizione di liceità e correttezza del trattamento dei dati personali per le finalità in esame, laddove non sia possibile acquisire il consenso degli interessati (cfr.  provv. n. 202 del 29 ottobre 2020, doc. web 9517401 e provv. n. 406 del 1° novembre 2021, doc. web 9731827);

RILEVATO che l’Azienda, nella documentazione trasmessa, non ha indicato misure efficaci per un corretto adempimento degli obblighi di trasparenza correlati ai trattamenti in esame (ai sensi degli artt. 5, par. 2 lett. a) 13, 14 del Regolamento e 6, comma 3 delle Regole deontologiche);

RITENUTO pertanto, necessario che la stessa provveda alla pubblicazione dell’informativa nella versione emendata sui siti web del Promotore e delle Aziende sanitarie della Regione Emilia Romagna, in conformità con gli artt. 14 del Regolamento e 6, comma 3 delle Regole deontologiche;

RITENUTO che l’Azienda abbia adeguatamente motivato il periodo di conservazione dei dati fin dall’avvio dello Studio ed in particolare che a seguito dell’emendamento in esame i dati personali saranno conservati in forma pseudonimizzata fino al mese di novembre 2023 e successivamente cancellati. A tale riguardo, l’Azienda ha inoltre dato idonee istruzioni in tal senso alle persone autorizzate al trattamento, prevedendo altresì il divieto di utilizzare i predetti dati personali per altre finalità e che tali tempistiche saranno specificate e correttamente indicate nel modello di informativa da rendere agli interessati;

RITENUTO che la valutazione di impatto individui nel suo insieme misure tecniche e organizzative idonee a ricondurre i rischi correlati ai trattamenti necessari per la realizzazione dello Studio ad un livello accettabile che coincidono con quelle indicate per lo Studio già autorizzato dal Garante con il citato provvedimento del 7 aprile 2023;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore l’avv. Guido Scorza;

TUTTO CIO’ PREMESSO IL GARANTE

ai sensi dell’art. 110 del Codice e dell’art. 36 del Regolamento, esprime alla Azienda Ospedaliero Universitaria di Parma, Via Gramsci 14 – 43126 Parma, Partita Iva/C.F.01874240342, parere favorevole in ordine al trattamento dei dati personali per finalità di ricerca medica, biomedica ed epidemiologica, riferiti alla coorte di pazienti arruolati nell’ambito dell’emendamento allo studio retrospettivo, osservazionale, no profit denominato “Effetti dell’infezione da Sars-CoV-2 sugli accessi al pronto soccorso e sui ricoveri della popolazione di età pediatrica e adolescenziale: studio retrospettivo - (CoV2Ped)” a condizione che:

- provveda alla pubblicazione dell’informativa nella versione emendata sul proprio sito web e su quelli delle Aziende sanitarie della Regione Emilia Romagna, in conformità con gli art. 14 del Regolamento 6, comma 3 delle Regole deontologiche.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 dicembre 2023

IL PRESIDENTE
Scorza

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei