Salta al contenuto

DIRITTI E PREVENZIONE > COME TUTELARE LA TUA PRIVACY

ricerca avanzata

Provvedimento di blocco del trattamento dei dati personali contenuti in una biobanca - 6 ottobre 2016 [5508051]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
5508051
Data:
06/10/16
Argomenti:
Sanità e ricerca scientifica , DNA , Dati sanitari
Tipologia:
Blocco del trattamento

[doc. web n. 5508051]

Provvedimento di blocco del trattamento dei dati personali contenuti in una biobanca - 6 ottobre 2016*

Registro dei provvedimenti
n. 389 del 6 ottobre 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d. lgs. 30 giugno 2003, n. 196, di seguito "Codice");

VISTA l'autorizzazione generale al trattamento dei dati genetici n. 8/2014, rilasciata dal Garante l'11 dicembre 2014 e reperibile sul sito internet dell'Autorità, www.garanteprivacy.it, doc. web n. 3632835;

CONSIDERATO che la vicenda relativa alla cessione a terzi della biobanca a fini di ricerca, appartenente al complesso aziendale della Shar.Dna Spa, in liquidazione, che contiene circa 230.000 campioni biologici estratti da circa 11.700 individui, abitanti in Ogliastra, insieme ai relativi dati personali demografici, genealogici, clinici e genetici e riguardanti rapporti di parentela risalenti fino al 1600, è da tempo all'attenzione dell'Ufficio del Garante (v. Relazione annuale 2014, p. 71 e Relazione annuale 2015, p. 80);

RILEVATO che, dagli accertamenti effettuati dall'Ufficio, il compendio fallimentare della Shar.dna Spa, avente ad oggetto l'attività di ricerca scientifica in campo medico genetico, comprensiva dei diritti di utilizzo dei campioni biologici, della documentazione clinica, delle dichiarazioni cartacee di consenso dei donatori, delle apparecchiature e del contenuto della biobanca, il 28 giugno 2016, è stato aggiudicato alla Tiziana Life Sciences Plc, con sede a Londra, dal Tribunale di Cagliari e che la procedura di vendita e di cessione del predetto ramo di azienda si è conclusa con la stipula dell'atto notarile avvenuta in data 5 luglio 2016;

RILEVATO che, in base ai predetti accertamenti, nella stessa data, la società cessionaria ha costituito in Italia un'altra società, la LonGevia Genomics Srl, con socio unico la Tiziana Life Sciences Plc, alla quale, sulla base delle dichiarazioni in atti, quest'ultima intende conferire il patrimonio aziendale proveniente dal fallimento della Shar.dna Spa, comprensivo della biobanca, per proseguire il progetto di ricerca avviato dalla società fallita, nonché per svolgere attività di ricerca scientifica sul genoma umano, la diagnosi di malattie e lo sviluppo di nuovi farmaci mediante la medicina personalizzata;

RILEVATO, all'esito dei medesimi accertamenti, effettuati anche in loco, che la Tiziana Life Sciences Plc è già stata immessa nel possesso di parte dell'archivio cartaceo della società fallita (contenente la documentazione clinica e le dichiarazioni di consenso dei donatori di 8 dei 10 comuni coinvolti nel progetto di ricerca), nonché dei dischi rigidi estratti dai sistemi informatici non più funzionanti della banca dati di Shar.Dna Spa e di due unità di memoria esterne (nelle quali, secondo quanto dichiarato, sono memorizzati sotto forma di backup, gli applicativi e la banca dati con i dati personali degli interessati elaborati nell'ambito dell'attività di ricerca scientifica);

CONSIDERATO che, secondo quanto dichiarato in atti, non sarebbe attualmente possibile accedere alla predetta banca dati, dal momento che sono ancora in fase di predisposizione i sistemi informatici hardware e software necessari al ripristino dell'operatività della banca dati e che i campioni biologici, prelevati nel corso del progetto di ricerca, sono stati nel frattempo posti sotto sequestro dalla Procura della Repubblica di Lanusei nell'ambito delle indagini relative alla denuncia di sottrazione di 14.000 campioni biologici dalla sede del Parco Genetico dell'Ogliastra Scarl (Parco Gen.O.S.) a Perdasdefogu;

VISTI il reclamo e le segnalazioni in atti, inoltrate a questa Autorità da un centinaio di donatori, nelle quali si lamenta, tra l'altro, la mancanza, nell'informativa resa a suo tempo agli interessati, di indicazioni relative al ruolo di Parco Gen.O.S. nel trattamento dei dati e al periodo di conservazione dei dati genetici e dei campioni biologici, l'indebita raccolta dagli archivi anagrafici comunali dei dati personali necessari a ricostruire gli alberi genealogici dell'intera popolazione dell'Ogliastra (ivi compresi coloro che non avevano acconsentito a partecipare al progetto di ricerca), la carenza di misure di sicurezza adeguate a custodire i campioni contenuti nella biobanca, nonché l'impossibilità per gli interessati di esercitare i loro diritti relativi in particolare alla revoca del consenso al trattamento dei dati già rilasciato in precedenza -ovvero alla manifestazione del consenso al loro trattamento da parte del nuovo titolare- a causa della mancanza di indicazioni chiare in merito al/ai soggetti che attualmente rivestono tale qualità con riferimento alla biobanca;

RILEVATO che, in base alla documentazione in atti, il progetto di ricerca in Ogliastra, mirante a individuare i fattori genetici responsabili di una serie di patologie di varia natura, è stato condotto dal CNR-Istituto di genetica delle popolazioni di Sassari, in collaborazione con Shar.dna Spa, fino alla dichiarazione di fallimento di quest'ultima (in data 26 giugno 2012) ed è poi stato seguito a cura del prof. Mario Pirastu, responsabile di tale Istituto, prima e del CNR-Istituto di Ricerca Genetica e Biomedica di Cagliari-Unità organizzativa di supporto con sede a Sassari, poi;

RILEVATO che, in base alla predetta documentazione, la società fallita e il CNR-Istituto di genetica delle popolazioni di Sassari, per l'esecuzione del progetto di ricerca, si avvalevano della collaborazione di Parco Gen.O.S. che forniva, dietro corrispettivo, alcuni servizi, quali la raccolta dei dati demografici e genealogici dei donatori, il prelievo dei campioni di sangue, l'estrazione del Dna e la conservazione dei campioni biologici presso il laboratorio di Perdasdefogu;

CONSIDERATO che l'avvenuta cessione del ramo d'azienda della Shar.dna Spa, così come rappresentata, comporta effetti non solo sulla titolarità di beni e rapporti giuridici, ma anche sulla titolarità del trattamento dei dati personali e dei campioni biologici contenuti nella biobanca oggetto di cessione, determinando, di conseguenza, non solo il subentro della Tiziana Life Plc in tutti i rapporti giuridici e in tutte le posizioni attive e passive facenti capo alla società in liquidazione (salvo, riguardo ai contratti, i rapporti aventi carattere personale), ma anche l'assunzione da parte di quest'ultima della qualifica di "titolare del trattamento", unitamente al CNR, ai sensi dell'art. 4, comma 1 lett. f) del Codice, con riferimento all'attività di ricerca scientifica condotta in Ogliastra;

CONSIDERATO quindi che la predetta cessione non ha esaurito i suoi effetti solo sul piano civilistico, ma ha investito anche l'aspetto relativo alla protezione dei dati personali dei soggetti che, prima di allora, avevano avuto contatti, soltanto con la Shar.dna Spa e con il CNR-Istituto di genetica delle popolazioni di Sassari, i quali all'epoca rivestivano la qualifica di contitolari del trattamento;

CONSIDERATO che, in relazione all'avvenuto mutamento nella qualità del titolare del trattamento dei dati personali e dei campioni biologici contenuti nella biobanca, occorre verificare la necessaria sussistenza di un valido presupposto legittimante, rispetto al nuovo soggetto giuridico che ha acquisito tale qualità e che tale presupposto è rinvenibile, allo stato, in una nuova manifestazione del consenso da parte degli interessati previa idonea informativa, in conformità a quanto prevede la disciplina sulla protezione dei dati personali riguardo, in particolare, all'utilizzo di dati sensibili e genetici per scopi di ricerca scientifica (artt. 23, 90 e 107 del Codice; aut. gen. n. cit. n. 8/2014, punto 3, lett.c));

RILEVATO che la Tiziana Life Sciences Plc ha dichiarato in atti di voler effettuare il trattamento dei dati e dei campioni biologici contenuti nella biobanca per proseguire il progetto di ricerca avviato dalla società in liquidazione, nonché per svolgere ulteriori e diverse attività di ricerca scientifica in campo medico-genetico;

CONSIDERATO che, sulla base di una preliminare valutazione, la Tiziana Life Sciences Plc intende quindi effettuare il trattamento dei dati e dei campioni contenuti nella biobanca in termini sostanzialmente compatibili con gli scopi per i quali questi sono stati raccolti, ai sensi degli artt. 11, 16 e 99 del Codice;

RILEVATO che, sulla base delle risultanze in atti, la Tiziana Life Sciences Plc ha costituito una società a responsabilità limitata, denominata LonGevia Genomics, con sede nel territorio italiano, avente come oggetto sociale, lo svolgimento di attività di ricerca scientifica, destinata alla prosecuzione del progetto di ricerca avviato dalla Shar.dna e delle altre attività di ricerca scientifica in campo medico-genetico connesse all'utilizzo della biobanca;

RILEVATO che, sebbene la Tiziana Life Sciences Plc non abbia ancora conferito alla Longevia Genomics Srl il compendio fallimentare acquisito, quest'ultima ha già posto in essere le azioni necessarie per l'esercizio effettivo e reale delle attività di ricerca scientifica nel contesto delle quali sono oggetto di trattamento i dati personali e i campioni biologici contenuti nella biobanca, con particolare riferimento all'acquisizione della disponibilità dei locali del Parco tecnologico Polaris di Pula, nei quali effettuare tali attività, all'allestimento dei predetti locali con le attrezzature necessarie, al reperimento di personale specializzato per il ripristino del funzionamento della banca dati e alla conservazione dei beni della società fallita dei quali la società acquirente è già entrata in possesso;

CONSIDERATO quindi che il trattamento, a scopo di ricerca scientifica, dei dati personali e dei campioni biologici contenuti nella biobanca è disciplinato dalla normativa nazionale sulla protezione dei dati personali, dal momento che, alla luce di quanto rilevato, la Tiziana Life Plc risulta svolgere, tramite un'organizzazione stabile sul territorio italiano, un'attività effettiva e reale nel contesto della quale si svolge tale trattamento e, dispone, pertanto, di uno stabilimento nel territorio dello Stato (v. sentenze della Corte di Giustizia UE, 28 luglio 2016, causa C-191/15 Amazon EU; 1° ottobre 2015, causa C-230/14 Weltimmo; 13 maggio 2014, causa C-131/12 Google Spain);

RILEVATO che la vicenda presenta taluni profili di criticità in ordine ad alcuni aspetti del trattamento, anche con riferimento all'insieme delle prescrizioni contenute nell'autorizzazione generale n. 8/2014 riguardante il trattamento dei dati genetici;

RILEVATO tuttavia che, nelle more del completamento dell'istruttoria avviata sulla vicenda, per la quale è necessario acquisire ulteriori informazioni e documenti, presso i vari soggetti coinvolti, occorre predisporre cautele idonee ad assicurare il rispetto della disciplina sulla protezione dei dati personali, con particolare riferimento alla necessità che gli interessati siano informati (all'atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione) dell'avvenuto mutamento nella titolarità del trattamento e degli eventuali ulteriori trattamenti di dati che il nuovo titolare intende effettuare a scopo di ricerca scientifica in campo medico-genetico, fermo restando quanto previsto dagli artt. 13, comma 5, lett. c), e 110, comma 1, del Codice e dall'autorizzazione generale n. 8/2014 cit. (v. punto n. 8.1); ciò, in modo da consentire agli interessati di manifestare il proprio consenso al trattamento dei dati da parte della Tiziana Life Sciences Plc, ovvero di esercitare i loro diritti con riferimento ai dati personali e all'utilizzo dei campioni biologici contenuti nella biobanca (artt. 7, 13, 23, 90, 107 e 110 del Codice, aut. gen. n. cit. n. 8/2014, punti 5 e 6);

CONSIDERATO che il Garante ha il compito di vietare anche d'ufficio il trattamento, in tutto o in parte, o di disporre il blocco dei dati personali quando, in considerazione della natura dei dati o, comunque, delle modalità del trattamento o degli effetti che esso può determinare, vi è il concreto rischio del verificarsi di un pregiudizio rilevante per uno o più interessati (artt. 154, comma 1, lett. d) e 143, comma 1, lett. c), del Codice);

RITENUTA, pertanto, ai sensi delle predette disposizioni, la necessità di disporre nei confronti della Tiziana Life Plc in via d'urgenza – con effetto immediato a decorrere dalla data di ricezione del presente provvedimento e con riserva di ogni altra determinazione, anche sanzionatoria nei riguardi dei diversi soggetti coinvolti nella vicenda in esame, all'esito della definizione dell'istruttoria avviata sul caso – la misura temporanea del blocco del trattamento dei dati personali contenuti nella biobanca, con conseguente obbligo a carico di tale soggetto di astenersi da ogni ulteriore trattamento dei dati e utilizzo dei campioni biologici degli interessati ad eccezione delle sole operazioni di trattamento necessarie per:

- garantire un'adeguata conservazione dei dati e dei campioni della biobanca, allorché, venute meno le esigenze cautelari, venga acquisita la disponibilità di questi ultimi;

- ricontattare gli interessati, al fine di rendere loro un'idonea informativa e raccogliere una nuova manifestazione di consenso nei termini illustrati nel presente provvedimento;

- fornire adeguato riscontro alle eventuali richieste degli interessati volte a esercitare i diritti in materia di protezione dei dati personali;

TENUTO CONTO che, ai sensi dell'art. 170 del Codice, chiunque essendovi tenuto non osserva il presente provvedimento di blocco è punito con la reclusione da tre mesi a due anni;

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE il dott. Antonello Soro;

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 154, comma 1, lett. d), 143, comma 1, lett. c), e 144, del Codice, dispone nei confronti della Tiziana Life Plc in via d'urgenza – con effetto immediato a decorrere dalla data di ricezione del presente provvedimento e con riserva di ogni altra determinazione, anche sanzionatoria nei confronti dei soggetti coinvolti nella vicenda in esame, all'esito della definizione dell'istruttoria avviata sul caso – la misura temporanea del blocco del trattamento dei dati personali contenuti nella biobanca, con conseguente obbligo a carico di tale soggetto di astenersi da ogni ulteriore trattamento dei dati degli interessati e utilizzo dei campioni biologici ad eccezione delle sole operazioni di trattamento necessarie per:

- garantire un'adeguata conservazione dei dati e dei campioni della biobanca, allorché, venute meno le esigenze cautelari, venga acquisita la disponibilità di questi ultimi;

- ricontattare gli interessati, al fine di rendere loro un'idonea informativa e raccogliere una nuova manifestazione di consenso nei termini illustrati nel presente provvedimento;

- fornire adeguato riscontro alle eventuali richieste degli interessati volte a esercitare i diritti in materia di protezione dei dati personali.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 6 ottobre 2016

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia

 

*Tribunale di Cagliari. Sezione prima civile.

Nella causa civile di primo grado iscritta al n. 11812 del ruolo generale degli affari civili contenziosi dell'anno 2016 promossa da TIZIANA LIFE SCIENCES P.L.C., con sede in Londra, in persona del legale rappresentante pro tempore contro il GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, con sede in Roma, in persona del legale rappresentante pro tempore, il Tribunale, definitivamente pronunciando, disattesa ogni contraria istanza, eccezione e deduzione:

1) accoglie il ricorso e, per l'effetto, annulla il provvedimento del Garante per la Protezione dei Dati Personali n. 389 del 6 ottobre 2016, emesso nei confronti della ricorrente;

2) ordina al Garante per la Protezione dei Dati Personali la pubblicazione, a proprie spese, del presente dispositivo per una volta sul quotidiano Il Corriere della Sera e sul quotidiano L'Unione Sarda, nonché sul proprio sito internet;

3) compensa integralmente le spese processuali.

Visto l'art. 429 primo comma c.p.c., fissa in giorni 60 il termine per il deposito della sentenza.

Così deciso in Cagliari il 18 maggio 2017.