[doc. web n. 1829722]

Ricerca scientifica e privacy (Fondazione Centro S. Raffaele del Monte Tabor) - 14 luglio 2011

Registro dei provvedimenti
n. 299 del 14 luglio 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

VISTO il decreto legislativo 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali;

VISTA la richiesta presentata, ai sensi dell´art. 110, comma 1, del Codice, dall´Istituto di ricovero e cura a carattere scientifico "Fondazione Centro S. Raffaele del Monte Tabor" di Milano, volta a ottenere l´autorizzazione alla comunicazione dei dati personali attinenti la salute di circa sessanta pazienti per l´esecuzione del progetto di ricerca internazionale "Characterization of biological and genetic aberrations in diffuse large B-cell lymphoma" condotto dall´Università del Wisconsin, in assenza del consenso delle persone interessate (nota del 20 maggio 2010, successivamente integrata a più riprese e, da ultimo, in data 28 aprile 2011);

VISTI l´art. 110, comma 1, del Codice, e l´art. 11 del codice di deontologia e buona condotta per i trattamenti di dati personali per scopi statistici e scientifici (Provv. n. 2 del 16 giugno 2004, in G.U. 14 agosto 2004, n. 190, Allegato A.4 al Codice e reperibile sul sito Internet dell´Autorità www.garanteprivacy.it, doc. web n. 1556635) che consentono di trattare dati personali idonei a rivelare lo stato di salute per scopi di ricerca scientifica in campo medico, biomedico ed epidemiologico, anche in assenza del consenso degli interessati, quando a causa di particolari ragioni di carattere etico, metodologico o di impossibilità organizzativa non sia possibile informarli e il programma di ricerca sia oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e sia autorizzato dal Garante, anche ai sensi dell´art. 40 del Codice;

VISTA l´autorizzazione del Garante n. 2/2011 al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale (reperibile sul sito Internet dell´Autorità, doc. web n. 1822577, in corso di pubblicazione sulla Gazzetta Ufficiale) e, in particolare, il punto 1.2 che autorizza il trattamento di tali informazioni per scopi di ricerca scientifica, anche statistica, finalizzata alla tutela della salute dell´interessato, di terzi o della collettività in campo medico, biomedico o epidemiologico, rinviando a quanto disposto dagli artt. 106, 107 e 110 del Codice in ordine alla necessità di acquisire il consenso delle persone interessate;

CONSIDERATO che il progetto di ricerca in esame -cui partecipa la Fondazione- prevede di analizzare retrospettivamente i dati clinici e i reperti istologici di circa millecinquecento pazienti affetti da "linfoma diffuso a grandi cellule B" (di seguito, DLBCL) raccolti da una trentina di centri di ricerca dislocati negli Stati Uniti, in Europa e in Cina;

CONSIDERATO, in particolare, che la partecipazione della Fondazione al progetto consiste nell´invio all´Università del Wisconsin, titolare del trattamento dei dati per l´esecuzione del progetto di ricerca, dei dati clinici e dei reperti istologici asportati prima del 1° ottobre 2009 di circa sessanta pazienti con diagnosi di DLBCL, avuti in cura dal 1980 ad oggi;

CONSIDERATO che la Fondazione ha motivato la richiesta di autorizzazione evidenziando l´impossibilità di raggiungere le persone coinvolte nella ricerca stante l´età avanzata dei soggetti nei quali si manifesta prevalentemente la patologia oggetto di studio, l´elevata mortalità correlata a tale patologia, nonché la consistente quota stimata di pazienti selezionati che sono deceduti o che hanno completato i controlli di follow up oppure che risultano persi al follow up;

RILEVATO che, sulla base delle dichiarazioni in atti, gli obiettivi della ricerca non possono essere realizzati se non tramite l´analisi dei dati molecolari dei reperti istologici di pazienti con diagnosi di DLBCL che abbiano una storia clinica documentata che copra un arco temporale di almeno quattro anni e di cui siano disponibili informazioni cliniche relative all´età, al sesso, alla dimensione della lesione tumorale, allo stadio della malattia, all´indice prognostico internazionale (IPI) ai sintomi B, ai livelli ematici di LDH, alla data della diagnosi, alla data del decesso, alla terapia somministrata, alla radioterapia e alla risposta al trattamento;

TENUTO CONTO che, atteso il limitato numero di casi osservati che soddisfano i criteri di inclusione nella ricerca, la mancata considerazione delle informazioni cliniche e dei dati molecolari dei reperti istologici di quei pazienti selezionati ai quali non sia possibile rendere l´informativa sul trattamento dei dati inerente la conduzione del progetto al fine di acquisirne il consenso (ad es. in quanto irrintracciabili, irreperibili o deceduti) produrrebbe delle conseguenze significative in termini di alterazione dei relativi risultati;

RITENUTO che dalle menzionate caratteristiche della ricerca discende che le finalità perseguite non possono essere compiutamente realizzate, nel caso concreto, mediante il trattamento di dati anonimi, né senza l´identificazione, anche temporanea, delle persone interessate (v. artt. 3 e 11 Codice; v. anche punto 1.2 aut. n. 2/2009 cit.);

RITENUTO, necessario, invece, che la Fondazione provveda ad acquisire il consenso informato al trattamento dei dati da parte dei pazienti che -al momento dell´arruolamento- risultano ancora in cura presso le proprie strutture;

CONSIDERATO che lo studio prevede di estrapolare le predette informazioni dalle cartelle cliniche conservate presso la Fondazione ai sensi di legge;

CONSIDERATO che, secondo gli elementi in atti, il trattamento dei dati identificativi dei pazienti interessati sarà effettuato dalla Fondazione soltanto nella fase iniziale della selezione dei reperti istologici e dell´estrapolazione dei dati clinici riferiti ai pazienti facenti parte del campione, mentre tali dati saranno sostituiti con un codice composto dalla sigla del centro e da un numero progressivo al fine di tutelare l´identità delle persone interessate nella successiva trasmissione all´Università del Wisconsin;

CONSIDERATO che, sempre secondo tali elementi, una volta giunti presso l´Università del Wisconsin i reperti istologici e i dati clinici dei pazienti interessati saranno codificati nuovamente tramite un sistema di numerazione progressiva correlato al progetto di ricerca e che, una volta ottenuto il tessuto necessario per l´analisi molecolare, il materiale biologico residuo sarà restituito alla Fondazione;

CONSIDERATO che le persone preposte al trattamento dei dati vanno designate, in conformità alle disposizioni del Codice sugli incaricati e sui responsabili, anche per ciò che attiene alle istruzioni alle quali attenersi nel trattamento (artt. 29 e 30 del Codice);

CONSIDERATO che il progetto di ricerca non prevede che i dati personali dei pazienti interessati siano in alcun modo diffusi o comunicati a soggetti diversi dall´Università del Wisconsin, titolare del trattamento dei dati inerenti la conduzione del progetto;

CONSIDERATO che i dati clinici e i reperti istologici utilizzati per l´esecuzione del progetto vanno conservati in una forma che consenta l´identificazione delle persone interessate per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati (art. 11, comma 1, lett. e) del Codice);

RILEVATO che lo studio avrà una durata di cinque anni e che, secondo quanto dichiarato in atti, i dati clinici e i reperti istologici utilizzati per l´esecuzione del progetto di ricerca saranno conservati presso la Fondazione in una forma che consente -sia pure indirettamente- l´identificazione delle persone interessate per un periodo di tempo indeterminato ("almeno sette anni dopo il completamento della ricerca e la pubblicazione dei risultati");

RITENUTO pertanto necessario che la Fondazione individui un congruo periodo di conservazione dei dati e dei reperti, successivo alla conclusione della ricerca, al termine del quale questi dovranno essere trasformati in forma anonima (v. al riguardo, Provv. del Garante del 9 febbraio 2011, doc. web n. 1797016, del 27 aprile 2010, doc. web n. 1722683 e del 16 settembre 2010, doc. web n. 1753153);

CONSIDERATE le indicazioni fornite dall´Autorità nelle "Linee guida per i trattamenti di dati personali nell´ambito delle sperimentazioni cliniche di medicinali" circa le misure e gli accorgimenti tecnici da porre a garanzia degli interessati per incrementare il livello di sicurezza dei dati trattati per l´esecuzione di tali studi (Provv. del 24 luglio 2008, doc. web n. 1533155, par. 12);

RILEVATO che, sulla base degli elementi in atti, la Fondazione intende tramettere all´Università del Wisconsin i dati clinici dei pazienti interessati mediante "un CD-ROM (…) dotato di accesso codificato (…) tramite corriere espresso qualificato";

RITENUTO necessario adottare accorgimenti, basati su idonee tecnologie crittografiche, al fine di garantire, nell´operazione di trasmissione dei predetti dati all´Università del Wisconsin, la loro protezione dai rischi di accesso non autorizzato o di trattamento non consentito specie nell´eventualità di smarrimento o di sottrazione del supporto ottico (ad esempio, sistemi crittografici a chiave simmetrica condividendo la chiave di cifratura tramite un canale di trasmissione differente da quello utilizzato per la trasmissione del contenuto);

RILEVATO che, secondo le dichiarazioni in atti, per rendere lecito il trasferimento negli Stati Uniti delle informazioni richieste, in assenza del consenso scritto degli interessati, la Fondazione intende utilizzare le clausole contrattuali tipo allegate alla decisione della Commissione europea del 15 giugno 2001, n. 2001/497/Ce emendata dalla decisione del 27 dicembre 2004, n. 2004/915/Ce (relative ai trasferimenti di dati fra titolari di trattamento con sede nell´UE e titolari situati in Paesi terzi) in quanto esse forniscono garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonché per l´esercizio dei diritti connessi nel caso, come quello di specie, di trasferimento di dati personali verso Paesi terzi che non garantiscono un livello di protezione adeguato (v. Provv. del Garante del 10 ottobre 2001, doc. web n. 42156 e Provv. del Garante del 9 giugno 2005, doc. web n. 1151949);

VISTO l´art. 99, comma 1, del Codice il quale considera che il trattamento di dati personali effettuato per scopi scientifici è considerato compatibile con i diversi scopi per i quali i dati sono stati in precedenza raccolti o trattati;

CONSIDERATO che al presente trattamento devono trovare applicazione anche le cautele contenute nell´autorizzazione del Garante n. 2/2011 e nel codice deontologico sopra citati, in particolare per ciò che attiene ai criteri da tenere in considerazione per non rendere identificabili gli interessati nelle fasi dello studio successive all´estrapolazione dei dati e alle regole di condotta per gli incaricati e gli eventuali responsabili del trattamento;

VISTO il parere favorevole sulla ricerca in esame reso in data 3 giugno 2010 dal competente comitato etico istituito ai sensi del d.m. 12 maggio 2006;

RILEVATO che il Garante, nella citata autorizzazione n. 2/2011 (punto 6) si è riservato di prendere in considerazione, ai sensi dell´art. 41 del Codice, specifiche richieste di autorizzazione il cui accoglimento sia giustificato da circostanze del tutto particolari o da situazioni eccezionali non considerate nella medesima autorizzazione, in relazione, ad esempio, al caso in cui risulti impossibile rendere l´informativa agli interessati o la raccolta del consenso comporti un impiego di mezzi manifestamente sproporzionato;

RITENUTO che il trattamento dei dati della ricerca in esame oggetto della richiesta di autorizzazione è meritevole di considerazione in ragione della dichiarata impossibilità di rendere l´informativa ai pazienti coinvolti, nonché dello scopo scientifico perseguito, comprovato dal parere in atti del comitato etico competente, delle specifiche modalità di trattamento prospettate, ivi incluso il profilo relativo alla dichiarata adozione di garanzie adeguate per i diritti degli interessati nel trasferimento dei dati che li riguardano verso gli Stati Uniti;

RITENUTO pertanto che il predetto trattamento può essere effettuato anche in assenza del consenso informato delle persone interessate, ai sensi degli artt. 110, comma 1(ultima parte) e 41 del Codice, nel rispetto delle condizioni illustrate nella presente autorizzazione in ordine alle idonee misure di sicurezza da adottare nel trasferimento dei dati clinici degli interessati all´Università del Wisconsin, all´individuazione di un congruo periodo di conservazione dei dati e dei reperti successivo alla conclusione della ricerca, nonché all´acquisizione del consenso informato dei pazienti selezionati che -al momento dell´arruolamento- risultano ancora in cura presso le strutture della Fondazione;

VISTI gli artt. 167, comma 2, e 170 del Codice che sanzionano la violazione delle prescrizioni della presente autorizzazione;

VISTO l´art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati in violazione della disciplina rilevante in materia di trattamento di dati personali non possono essere utilizzati;

VISTI gli articoli 31 e seguenti del Codice e il disciplinare tecnico di cui all´Allegato B al medesimo Codice in materia di misure minime di sicurezza;

VISTI gli artt. 110, comma 1, e 41 del Codice;

VISTI gli atti d´ufficio;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Giuseppe Chiaravalloti;

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 110, comma 1, e 41 del Codice, autorizza la Fondazione Centro S. Raffaele del Monte Tabor di Milano, alle condizioni sopra illustrate, a trattare i dati idonei a rivelare lo stato di salute dei pazienti selezionati per l´esecuzione del progetto di ricerca internazionale "Characterization of biological and genetic aberrations in diffuse large B-cell lymphoma" condotto dall´Università del Wisconsin, anche in assenza del loro consenso informato, limitatamente ai dati e alle operazioni strettamente indispensabili e pertinenti per la conduzione della ricerca e nel rispetto delle prescrizioni indicate nella presente autorizzazione in ordine all´adozione di idonee misure di sicurezza per la trasmissione dei dati alla predetta Università e all´individuazione di un congruo periodo di conservazione dei dati e dei reperti successivo alla conclusione della ricerca.

Resta fermo l´obbligo di raccogliere il consenso informato al trattamento dei dati dei pazienti che -al momento dell´arruolamento- risultano ancora in cura presso le strutture della Fondazione.

Roma, 14 luglio 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
De Paoli