[doc. web n. 9983501]

Provvedimento del 16 novembre 2023

Registro dei provvedimenti
n. 551 del 16 novembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE-Regolamento generale sulla protezione dei dati (di seguito “Regolamento”);

VISTI, in particolare, gli artt. 35 e 36 del Regolamento relativi, rispettivamente, alla valutazione d'impatto sulla protezione dei dati e alla consultazione preventiva dell’Autorità;

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO l’art. 110, comma 1, secondo periodo del Codice relativo alla ricerca medica, biomedica e epidemiologica,

VISTE le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica adottate dal Garante, ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101, con provvedimento n. 515, del 19 dicembre 2018 (doc. web n. 9069637, di seguito “Regole deontologiche”);

VISTE le Prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica, allegato n. 5 al Provvedimento che individua le prescrizioni contenute nelle Autorizzazioni generali che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice, del 5 giugno 2019 (doc. web 9124510, di seguito “Prescrizioni”);

VISTA l’istanza di consultazione preventiva presentata, ai sensi degli artt. 110 del Codice e 36 del Regolamento, dal Consorzio Incipit Italian Networ For pediatric clincal trial (di seguito Consorzio o Sponsor) per la relizzazione de “[...] la fase retrospettiva dello Studio” senza scopo di lucro, osservazionale, retrospettivo e prospettico, multicentrico denominato “Respiriamo - Sorveglianza Ospedaliera Italiana per le Infezioni del Tratto Respiratorio Inferiore” (Studio) [...], senza una preventiva richiesta di consenso agli interessati/pazienti che risultino non contattabili per motivi etici o per irreperibilità”, impegnandosi, sin da subito, a rendere “pubblica l’informativa relativa alla fase retrospettiva dello Studio, attraverso una specifica inserzione sui propri siti internet aziendali”, in ottemperanza all’art. 14, par. 5, lett. b) del Regolamento (nota del 7 giugno 2023);

RILEVATO che lo Sponsor ha trasmesso in atti il protocollo dello Studio, la valutazione di impatto svolta ai sensi dell’art. 35 del Regolamento, corredata del parere favorevole del responsabile della protezione dei dati, il testo dell’informativa predisposta ai sensi dell’art. 14 del Regolamento e i pareri dei Comitati etici territorialmente competenti, disponibili alla data di presentazione dell’istanza in esame, e in particolare che è stato dichiarato che “Lo Studio [...] ha ricevuto l’approvazione dal Comitato Etico del Centro Coordinatore Ospedale Pediatrico Bambino Gesù il 18 novembre 2022 – ed è stato contestualmente avviato (nella sua fase prospettiva), ricevendo poi l’approvazione di ulteriori 8 comitati etici dei centri clinici partecipanti, mentre per i rimanenti 3 centri coinvolti, lo studio è in valutazione presso i rispettivi comitati etici che esprimeranno il proprio parere nei tempi previsti da ciascun ente”;

RILEVATO che l’Ufficio del Garante ha avviato una specifica attività istruttoria in relazione alla predetta istanza di consultazione preventiva (nota del 27 giugno 2023, prot. n. 99466) alla quale il titolare del trattamento ha fornito riscontro in data 11 luglio 2023; 

RILEVATO che “lo Sponsor dello studio, INCiPiT [...], è un Consorzio no profit legalmente definito composto dai principali ospedali pediatrici italiani, dai maggiori Dipartimenti di Pediatria nonché da Reti Terapeutiche Pediatriche nazionali ed internazionali coordinate da Istituzioni Italiane. La missione di INCiPiT è favorire e supportare la progettazione, la conduzione e il completamento di tutti i tipi di studi clinici condotti in Italia nella popolazione pediatrica”;

RILEVATO che in sede istruttoria il titolare ha chiarito che “i dati personali raccolti nel corso della sperimentazione non saranno oggetto di comunicazione verso paesi non appartenenti all’Unione Europea. Si precisa, infatti, che INCiPiT Rete Italiana per le Sperimentazioni Cliniche in Pediatria è lo Sponsor unico dello Studio: non partecipa alla ricerca alcun soggetto con sede extra europea né alcuna Rete Terapeutica Pediatrica internazionale”;

RILEVATO che lo Studio è volto a “condurre una sorveglianza ospedaliera per le infezioni del tratto respiratorio inferiore [...] nei Reparti di Emergenza, nei Reparti e nelle Unità di Terapia Intensiva di dodici principali Ospedali Pediatrici e/o Dipartimenti Pediatrici situati in Italia, e che coprono aree metropolitane di diverse Regioni italiane. Lo studio comprenderà una fase di sorveglianza prospettica (già avviata) che prevede da protocollo l’arruolamento di nr. 355 pazienti ed una fase di sorveglianza retrospettiva [...] che da protocollo prevede l’arruolamento di nr. 1665 pazienti”.

Più nello specifico, è stato rappresentato che “l’Obiettivo primario dello Studio Respiriamo è di stimare l'onere dei ricoveri per LRTI attribuibili al Virus Respiratorio Sinciziale (RSV) nei neonati di età compresa tra 0 e <2 anni, in Italia; ciò include le eventuali complicazioni cliniche risultanti, l'impatto economico derivante dalla gestione della malattia del bambino e dall'utilizzo delle risorse sanitarie correlate a tale gestione. L'obiettivo sarà raggiunto agendo nell'ambito degli Ospedali Pediatrici e dei Dipartimenti Pediatrici dislocati nei maggiori Ospedali in Italia, e promuovendo quindi un networking operativo e clinico. Gli obiettivi secondari sono: Stima delle ospedalizzazioni per LRTI attribuibili ad altri agenti patogeni, ivi incluso il SARS-COV-2”; Condurre una sorveglianza retrospettiva dei ricoveri per LRTI attribuibile ad RSV e ad altri agenti patogeni, nei bambini di età compresa tra 0 e <2 anni”.

Il Protocollo reca poi l’indicazione di una serie di “end point esplorativi” tra i quali in particolare quello di “esplorare la fattibilità della costruzione di un apposito Registro delle Malattie Pediatriche rivolto alle LRTI, in aggiunta alla rete epidemiologica rappresentata dalla recente iniziativa dell'ISS (Istituto Superiore di Sanità) denominata InfluNet”. Ciò in quanto “La sorveglianza InfluNet è il "sistema nazionale di sorveglianza epidemiologica e virologica dell'influenza". InfluNet è coordinato dall’ISS, con il supporto del Ministero della Salute [...]”;

RILEVATO che in sede istruttoria, con riferimento a tale ultimo aspetto, è stato dichiarato che “lo Studio non prevede la costruzione di alcun Registro” formalmente inteso quale registro di patologia o sistema di sorveglianza ai sensi dell’art. 12 del d.l. 18 ottobre 2012, n. 179, convertito con modificazioni in legge 17 dicembre 2012, n. 221 e d.P.C.M. 3 marzo 2017. “Invero, uno degli obiettivi secondari della ricerca è esclusivamente quella di valutare [...] se sia o meno potenzialmente fattibile redigere in futuro (ove ricorressero anche adeguati presupposti normativi) un Registro di tal fatta e, sempre in via generale, valutare se detto ipotetico Registro possa potenzialmente portare a benefici in ambito clinico: nel momento in cui verrà infatti effettuata l’analisi dei dati raccolti (endpoint primari e secondari) presso i singoli Centri, lo studio intende esplorare questa mera possibilità, senza però procedere oltre”;

RILEVATO che è stato dichiarato che “La sorveglianza retrospettiva sulle infezioni del tratto respiratorio inferiore (LRTI) sarà condotta includendo i seguenti periodi stagionali: 2018/2019, 2019/2020, 2020/2021”, ciò al fine di raccogliere dati pre/durante e post Covid e compararli con i risultati prospettici che verranno raccolti a partire dal 2022;

RILEVATO che lo Sponsor ha dichiarato che “i centri clinici hanno rilevato forti criticità nell’arruolare pazienti retrospettivi, atteso che nei soggetti e nelle famiglie contattate [...] si è manifestato un forte ed evidente disagio psicologico nel dover affrontare – seppure soltanto nell’ottica della partecipazione ad uno studio osservazionale – argomenti che in passato sono stati causa di sofferenze, patemi e disagi. [...] “I pazienti a cui si riferiscono i dati retrospettivi sono neonati/bambini fino ai 2 anni, molti dei quali hanno subito il ricovero in terapia intensiva, nel periodo preso in esame (2018/2021), che [...] coincide in parte con la fase più acuta della pandemia da SARS-COV-2. Pertanto, intraprendere una procedura di contatto – principalmente telefonico – nei confronti di soggetti non consapevoli della natura dell’invito, comporterebbe evidenti danni emotivi e psicologici a livello familiare, per genitori e tutori coinvolti, causati dal ricordo e al contesto di situazione di stress emotivo, legato soprattutto alla fase pandemica che le famiglie hanno vissuto e subito. […]”;

RILEVATO che in sede istruttoria il titolare del trattamento ha dichiarato, in relazione a tale profilo, che “sono presenti articoli scientifici redatti dalla comunità scientifica attestanti lo stress psicologico che i genitori e/o tutori vivono nel momento in cui a seguito dell’ospedalizzazione dei propri figli minori, vengono ricontattati. Nello specifico questa condizione di stress è stata monitorata ed è risultato che più piccoli sono i bambini più il trauma è forte, come si evince dagli articoli”, rinviando a una copiosa letteratura scientifica (nota dell’11 luglio 2023);

RILEVATO che è stato evidenziato altresì che “molti pazienti, [...], risultano irreperibili nonostante gli sforzi e i tentativi effettuati dai centri per contattarli”. Il Consorzio ha pertanto richiesto di “poter ottenere provvedimento favorevole in quanto richiedere il rilascio del consenso risulta impossibile o implicherebbe uno sforzo sproporzionato in quanto:

- la numerosità statistica del campione prescelto è elevata (1665 pazienti c.d. retrospettivi);

- sono trascorsi diversi anni dal momento in cui i dati riferiti agli interessati sono stati originariamente raccolti”;  

RILEVATO che in relazione a tale aspetto in sede istruttoria è stato ulteriormente chiarito che “numerosi pazienti [...] i cui dati rientrerebbero tra quelli utili per lo Studio, non sono più in carico per il follow up [...] e non sono risultati quindi reperibili da parte dei Centri partecipanti, che [...], hanno svolto diligentemente attività di ricontatto dei pazienti, riscontrando gravi criticità e una percentuale raggiungibile tra 1 e 5% dei pazienti soggetti al prescreening [...]. Si fa inoltre presente che la pandemia e il periodo successivo ad essa (c.d. “postcovid”) ha fatto riscontrare una maggiore difficoltà, [...], nel contattare genitori e tutori di bambini che sono stati ospedalizzati. [...]. INCiPiT in qualità di Sponsor, propone ai centri di tentare nuovamente, consapevoli degli sforzi già effettuati, con un contatto telefonico, cui segue un’email. Si precisa tuttavia che poiché il numero di pazienti retrospettivi previsti dal Protocollo dello studio Respiriamo è pari a 1665, quindi un numero elevatissimo, si è constatato che i Centri coinvolti non hanno a disposizione risorse (umane ed economiche) sufficienti per poter ulteriormente ricercare e rintracciare i pazienti persi al follow up, vista anche la natura “no-profit” – senza scopo di lucro dello Studio; in particolare, i Centri non possono garantire la presenza di personale dedicato esclusivamente all’attività di ricerca e ricontatto dei soggetti interessati, proprio per mancanza di risorse economiche; conseguentemente, da un lato, non è possibile assumere personale da impiegare per l’implementazione delle procedure di contatto dei pazienti , mentre, dall’altro, il personale medico in forza alle strutture risulta impegnato su più fronti e, pertanto, i reparti coinvolti sono sottopressione e oberati.

Pertanto, nonostante i ragionevoli sforzi già effettuati (e che si continueranno ad effettuare nella fase di arruolamento dello Studio) che – ad avviso del Promotore – sono proporzionati al contesto dello Studio e alle disponibilità dei Centri, l’attività di arruolamento si è dimostrata estremamente complessa e pressoché impossibile da eseguire con esito favorevole per la validità scientifica dello Studio”;

RILEVATO che, con riferimento alla necessità di trattare anche dati riferiti a soggetti non contattabili, è stato rappresentato che “[...] l’impossibilità di utilizzare i dati dei pazienti retrospettivi comprometterebbe la validità scientifica dello studio, poiché questi pazienti costituiscono la popolazione maggiore di inclusione nella sperimentazione, pari a circa 4 volte il numero di pazienti prospettici coinvolti [...]. Il dato relativo ai pazienti retrospettivi pertanto incide in modo non solo significativo ma determinante e indispensabile ai fini dell’efficacia dello studio Respiriamo”;

RILEVATO che l’istanza riporta poi una tabella con l’indicazione dei soggetti coinvolti nello Studio e i ruoli di titolare o responsabile del trattamento, ai sensi degli art. 24 e 28 del Regolamento, attribuito a ciascuno di essi dalla quale risulta, in particolare, che i centri partecipanti agiscono in qualità di autonomi titolari del trattamento mentre le società incaricate di svolgere il ruolo di CRO sono state nominate quali responsabili esterni del trattamento ex art. 28 del Regolamento;

RILEVATO che lo Studio prevede la raccolta di dati anagrafici, anamnestici, relativi all’andamento dell’infezione prima e dopo l’ospedalizzazione e del trattamento presso l’ospedale e aspetti socioeconomici di bambini di età inferiore ai 2 anni; a tale riguardo è chiarito che “per la fase retrospettiva è prevista esclusivamente la raccolta dei dati già in possesso dei centri clinici e conseguente compilazione dell’eCRF”;

RILEVATO che, dai chiarimenti forniti, risulta che “I dati sono pseudonimizzati: a ogni centro viene assegnato un codice e ogni paziente viene identificato esclusivamente con un codice univoco a lui assegnato generato direttamente dal sistema pertanto in modo automatico e sequenziale”;

RILEVATO che in sede istruttoria è stato ulteriormente chiarito che i Centri selezionano i pazienti presenti nei database elettronici oppure cartacei delle strutture sanitarie sulla base dei criteri di inclusione definiti nel protocollo dello studio. “Una volta ottenuto il consenso del potenziale paziente (ovvero, in caso di esito favorevole della presente procedura, accertata l’impossibilità di contattare il paziente), viene compilato il “Subject Screening Log” [...]; mentre il nome e il cognome dell’interessato vengono riportati nel Subject Identification Log [...] e viene assegnato un numero univoco tramite cui verrà riconosciuto: randomization number. Il Subject Identification Log viene conservato nell’ ISF - Investigator Site File [...] che può essere consultato esclusivamente da medici formati appositamente e, durante le visite di monitoraggio, dal Personale “Monitor” assegnato e specificamente nominato dallo sponsor. Si precisa che Il numero univoco assegnato al paziente è l’unico elemento con cui lo stesso viene identificato per le finalità dello studio”;

RILEVATO che il tempo di conservazione dei dati trattati è indicato in 7 anni e che “i dati personali oggetto della sperimentazione saranno eventualmente diffusi in forma rigorosamente anonima ed aggregata, ad esempio attraverso pubblicazioni scientifiche, statistiche e convegni scientifici”;

RILEVATO altresì che nell’informativa resa ai sensi dell’art. 14 del Regolamento viene specificato che “laddove le informazioni personali dell’Interessato siano state rese anonime in modo che le informazioni non lo identifichino personalmente, tali informazioni possono continuare ad essere utilizzate per ulteriori ricerche scientifiche, come consentito dalla legge vigente”;

RILEVATO che in sede istruttoria in relazione ai tempi di conservazione è stato chiarito che essi sono stati definiti in 7 anni sia, come da prassi consolidata nel settore delle ricerche retrospettive, in analogia con la normativa relativa alla sperimentazione clinica dei farmaci (decreto ministeriale 15 luglio 1997 Recepimento delle linee guida dell'Unione europea di buona pratica clinica per la esecuzione delle sperimentazioni cliniche dei medicinali; il d.lgs. 24 aprile 2006, n. 219 Attuazione della direttiva 2001/83/CE (e successive direttive di modifica) relativa ad un codice comunitario concernente i medicinali per uso umano e il d.lgs. 6 novembre 2007, n. 200 Attuazione della direttiva 2005/28/CE recante principi e linee guida dettagliate per la buona pratica clinica relativa ai medicinali in fase di sperimentazione a uso umano, nonché requisiti per l'autorizzazione alla fabbricazione o importazione di tali medicinali), sia in quanto “il Titolare del trattamento ha ritenuto detto arco temporale (7 anni a decorrere dalla conclusione dello Studio) coerente e necessario per il raggiungimento delle finalità del Protocollo per le seguenti ragioni:

- elevato numero di pazienti che si intende arruolare (n. 1665 pazienti retrospettivi e n. 355 prospettivi);

- elevato numero di Centri partecipanti [...];

- conseguente elevata mole di dati che si intendono trattare (periodi stagionali riconducibili agli anni 2018/2019 - 2019/2020 - 2020/2021);

- ambiziosi obiettivi dello Studio”;

RILEVATO che la valutazione di impatto evidenzia che i rischi correlati ai trattamenti di dati personali necessari per la realizzazione dello Studio sono stati ricondotti, attraverso l’implementazione di misure tecniche e organizzative, ad un livello accettabile;

OSSERVATO che:

- il trattamento di dati personali per scopi di ricerca scientifica deve essere effettuato nel rispetto del Regolamento, del Codice, delle Prescrizioni, nonché delle Regole deontologiche che costituiscono condizione essenziale di liceità e correttezza dei trattamenti (art. 2-quater del Codice e art. 21 comma 5, del d.lgs. 10 agosto 2018, n. 101);

- il perseguimento di scopi di ricerca scientifica in campo medico, biomedico e epidemiologico è ammesso previa acquisizione del consenso dell'interessato. “Il consenso non è necessario (...) quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca” (art. 110 del Codice). A tale riguardo, le Prescrizioni specificano quali sono le circostanze nelle quali non è possibile acquisire il consenso degli interessati correlandole a specifiche motivazioni di ordine etico e organizzativo e richiedendo che esse siano debitamente motivate nel progetto di ricerca (punto 5.3 delle Prescrizioni). In tali ultimi casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante ai sensi dell'articolo 36 del Regolamento (art. 110 del Codice, art. 9, par. 2, lett. j) e par. 4, e art. 89 del Regolamento);

- i dati personali, inoltre, devono essere trattati nel rispetto del principio di trasparenza (art. 5, par. 1, lett. a) del Regolamento), fornendo preventivamente agli interessati, in un linguaggio semplice e chiaro, le informazioni di cui all’art. 13 del Regolamento, in caso di dati raccolti direttamente presso di essi, ovvero ai sensi dell’art. 14, in caso di dati raccolti presso soggetti terzi;

- in base al principio di limitazione della conservazione i dati siano “conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all'articolo 89, paragrafo 1, fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato” (art. 5, par. 1 lett. e) del Regolamento);

- tra i principi applicabili al trattamento stabiliti all’art. 5 del Regolamento, rileva quello di responsabilizzazione (accountability), in base al quale “il titolare del trattamento deve conformarsi ed essere in grado di comprovare sia il rispetto dei principi e degli adempienti previsti dal Regolamento” (artt. 5, par. 2, 24 e del Regolamento) e che ad esso si collega un altro dovere posto in capo al titolare del trattamento, ossia quello di assicurare che il diritto e la disciplina in materia di protezione dei dati personali degli interessati siano tutelati e applicati sin dalla progettazione e per impostazione predefinita (privacy by design e by default, art. 25 del Regolamento);

- in ossequio all’obbligo della protezione dei dati sin dalla progettazione, i titolari devono, inoltre, assumere una condotta attiva nell’applicazione dei principi, ponendosi l’obiettivo di ottenere un reale effetto di tutela. Il requisito di cui all’articolo 25 del Regolamento obbliga i titolari a provvedere affinché la protezione dei dati sia integrata nel trattamento fin dalla progettazione e per impostazione predefinita durante l’intero ciclo di vita del trattamento. Il titolare adotta misure tecniche e organizzative adeguate che sono concepite per attuare in modo efficace i principi di protezione dei dati e integra nel trattamento le necessarie garanzie per conformare i trattamenti alla disciplina in materia di protezione dei dati e per tutelare i diritti e le libertà degli interessati.

- il Regolamento non trova, invece, applicazione in riferimento ai dati anonimi intendendosi per tali le “(...) informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l'identificazione dell'interessato”, ciò anche per i trattamenti svolti per finalità statistiche o di ricerca (cfr. considerando n. 26 del Regolamento). Il rischio di reidentificazione dell’interessato va, tuttavia, accuratamente valutato tenendo conto di “tutti i mezzi, [...], di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente. Per accertare la ragionevole probabilità di utilizzo dei mezzi per identificare la persona fisica, si dovrebbe prendere in considerazione l'insieme dei fattori obiettivi, tra cui i costi e il tempo necessario per l'identificazione, tenendo conto sia delle tecnologie disponibili al momento del trattamento, sia degli sviluppi tecnologici” (cfr. considerando n. 26 del Regolamento e WP29 Opinion 05/2014 on Anonymisation techniques, adottato il 10 aprile 2014). Un processo di anonimizzazione non può definirsi effettivamente tale qualora non risulti idoneo ad impedire che chiunque utilizzi tali dati, in combinazione con i mezzi “ragionevolmente disponibili”, possa:

1. isolare una persona in un gruppo (single-out);

2. collegare un dato anonimizzato a dati riferibili a una persona presenti in un distinto insieme di dati (linkability);

3. dedurre nuove informazioni riferibili a una persona da un dato anonimizzato (inference);

RITENUTO che il Consorzio in qualità di titolare del trattamento abbia correttamente individuato le basi giuridiche del trattamento, specificando adeguatamente, in particolare, i motivi che giustificano l’impossibilità di tipo organizzativo ad informare gli interessati e acquisirne un valido consenso, secondo quanto previsto dal punto 5.3 delle Prescrizioni.

Al riguardo, si osserva, infatti, che in coerenza con quanto richiesto dalle richiamate Prescrizioni e in termini più generali con il principio di responsabilizzazione (art. 5, par. 2 del Regolamento), gli impedimenti di tipo organizzativo risultano adeguatamente motivati, in base a comprovati impedimenti di tipo logistico ed economico, trattandosi di uno Studio no profit che coinvolge un numero elevato di pazienti minori (circa 1665). A tale riguardo, lo Sponsor ha inoltre rappresentato di aver svolto un’attività di ricontatto dei pazienti riuscendo a contattare una percentuale minima compresa tra l’1 e il 5%.

Con riferimento ai motivi etici, il Consorzio ha prodotto copiosa documentazione scientifica che attesta “lo stress psicologico che i genitori e/o tutori vivono nel momento in cui a seguito dell’ospedalizzazione dei propri figli minori, vengono ricontattati”.;

RILEVATO che il titolare del trattamento abbia nel caso di specie considerato come causa dell’impossibilità di acquisire il consenso degli interessati prevalente e determinante quella di tipo organizzativo, avendo dichiarato ai sensi dell’art. 168 del Codice, di aver svolto un’attività di ricontatto i cui esiti andrebbero a pregiudicare la completezza del campione e quindi gli obiettivi dello Studio se non si considerassero anche i dati dei pazienti risultati irreperibili;

RITENUTO pertanto che non sia necessario nel caso in esame valutare altresì i prospettati impedimenti di tipo etico;

RILEVATO che lo Studio ha ottenuto il parere favorevole solo di alcuni dei comitati etici competenti a livello territoriale, elemento che si configura quale condizione di liceità e correttezza del trattamento dei dati personali per le finalità in esame, laddove non sia possibile acquisire il consenso degli interessati;

RITENUTO che i centri partecipanti che non abbiano ancora ottenuto il parere del Comito Etico potranno dare inizio alla raccolta dei dati riferiti a soggetti deceduti o non contattabili solo dopo l’ottenimento di tale parere (cfr.  provv. n. 202 del 29 ottobre 2020, doc. web 9517401 e provv. n. 406 del 1° novembre 2021, doc. web 9731827);

RITENUTO che il Consorzio, prevendendo la pubblicazione “sui propri siti internet Aziendali” abbia individuato una misura efficace per un corretto adempimento degli obblighi di trasparenza correlati ai trattamenti in esame, fermo restando che con tale locuzione debba intendersi che la pubblicazione delle informative verrà effettuata sul sito internet del promotore e su quella di ogni singolo centro partecipante e ritenuto necessario che la pubblicazione permanga per tutta la durata dello Studio (ai sensi degli artt. 5, par. 2, lett. a), 14 del Regolamento e 6, comma 3 delle Regole deontologiche);

RITENUTO che il Consorzio abbia correttamente individuato il periodo di conservazione dei dati trattati, motivando tale periodo sia in analogia alla tipologia di Studi più similare per la quale il periodo di conservazione è definito per legge sia in ragione dell’ingente mole di dati trattati e di operazioni che dovranno essere svolte;

RITENUTO che il Consorzio abbia correttamente definito i ruoli (di titolari, responsabili e rappresentanti ai sensi degli artt. 24, 27 e 28 del Regolamento) dei soggetti a vario titolo coinvolti nella realizzazione dello Studio, implementando una struttura organizzativa tale da escludere che soggetti terzi non autorizzati possano essere coinvolti nelle operazioni di trattamento dei dati sulla salute dei pazienti arruolati nel richiamato Studio;

RITENUTO che il Consorzio, nello Studio presentato, abbia dato corretta applicazione all’art. 89 del Regolamento, prevedendo che i dati trattati siano preventivamente e durante tutta la fase del trattamento minimizzati attraverso tecniche di pseudonimizzazione;

RILEVATO che il titolare del trattamento non descrive puntualmente le misure che intende implementare per l’anonimizzazione e l’aggregazione dei dati degli interessati coinvolti nello Studio in fase di diffusione dei risultati dello stesso ovvero al fine di poterle utilizzare per ulteriori ricerche scientifiche, limitandosi a fare un generico riferimento a tali misure;

RITENUTO necessario -anche tenuto conto di quanto riportato nell’informativa resa agli interessati in ordine al possibile riuso per scopi di ricerca scientifica, dei dati anonimizzati- sottolineare come l’anonimizzazione dei dati debba essere considerata come un trattamento dinamico da valutare in ragione dei differenti criteri indicati nel considerando 26 del Regolamento e in particolare delle concrete finalità che il titolare intende perseguire con i dati all’esito della loro anonimizzazione. Il rischio di re-identificazione degli interessati, infatti, può variare a seconda che l’anonimizzazione sia effettuata al solo scopo di archiviazione delle informazioni trattate, ovvero di ulteriore utilizzazione delle stesse eventualmente in combinazione con altre informazioni o anche per un’eventuale condivisione dei dati con la comunità scientifica;

RITENUTO pertanto necessario che il titolare del trattamento integri la VIP con l’indicazione delle tecniche di anonimizzazione che intende applicare per scongiurare il rischio di reidentificazione degli interessati in particolare in fase di diffusione dei risultati dello Studio (cfr. ex multis provv. 30 giugno 2022, doc. web 9791886, del 2 marzo 2023, doc. web 9875254, 18 luglio 2023 doc. web 9920977 e del 31 agosto 2023, in corso di pubblicazione);

RITENUTO, in ogni caso, necessario che il Consorzio, sia in ipotesi di archiviazione che in particolare di diffusione dei dati anonimizzati, si impegni altresì a rimuovere ogni singolarità, qualora, con qualsiasi mezzo, ne venga a conoscenza in una fase successiva all’applicazione delle tecniche di anonimizzazione che verranno individuate e a tenere traccia di tali eventi in modo da ripetere la valutazione del rischio di re-identificazione al raggiungimento di una soglia predefinita, adeguata rispetto al contesto, individuata sul totale di record inclusi nella banca dati;

RITENUTO che la valutazione di impatto, tenuto anche conto della natura multicentrica dello Studio, fermo quanto sopra, individui, nel suo insieme misure tecniche e organizzative idonee a ricondurre i rischi correlati ai trattamenti necessari per la realizzazione dello Studio ad un livello accettabile;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIO’ PREMESSO IL GARANTE

ai sensi dell’art. 110 del Codice e dell’art. 36 del Regolamento, esprime al consorzio Incipit con sede legale in Passeggiata del Gianicolo snc – Edificio Villino “SION”, 00165, P. IVA n. 14553381006 parere favorevole per la raccolta e il trattamento dei dati personali dei pazienti deceduti o non contattabili arruolati nello Studio “Respiriamo - Sorveglianza Ospedaliera Italiana per le Infezioni del Tratto Respiratorio Inferiore” a condizione che:

1. la pubblicazione dell’informativa predisposta ai sensi dell’art. 14 del Regolamento permanga disponibile sul sito del promotore e dei centri partecipanti per tutta la durata dello Studio;

2. descriva nella VIP le tecniche di anonimizzazione e aggregazione che intende applicare per scongiurare il rischio di reidentificazione degli interessati in fase di diffusione dei risultati dello Studio ovvero al fine di poterle utilizzare per ulteriori ricerche scientifiche;

3. si impegni altresì a rimuovere ogni singolarità qualora, con qualsiasi mezzo, ne venga a conoscenza in una fase successiva all’applicazione delle tecniche di anonimizzazione che verranno individuate e a tenere traccia di tali eventi in modo da ripetere la valutazione del rischio di re-identificazione al raggiungimento di una soglia predefinita, adeguata rispetto al contesto, individuata sul totale di record inclusi nella banca dati.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 novembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi