[doc. web n. 9997356]

Provvedimento del 22 febbraio 2024

Registro dei provvedimenti
n. 95 del 22 febbraio 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE-Regolamento generale sulla protezione dei dati (di seguito “Regolamento”);

VISTI, in particolare, gli artt. 35 e 36 del Regolamento relativi, rispettivamente, alla valutazione d'impatto sulla protezione dei dati e alla consultazione preventiva dell’Autorità;

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO l’art. 110 del Codice relativo alla ricerca medica, biomedica e epidemiologica;

VISTE le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica adottate dal Garante, ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101, con provvedimento n. 515, del 19 dicembre 2018 (doc. web n. 9069637, di seguito “Regole deontologiche”);

VISTE le Prescrizioni relative al trattamento dei dati genetici e  dei dati personali effettuato per scopi di ricerca scientifica, allegati n. 4 e  5 al Provvedimento che individua le prescrizioni contenute nelle Autorizzazioni generali che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice, del 5 giugno 2019 (doc. web 9124510, di seguito “Prescrizioni”);

ESAMINATA  l’istanza di consultazione preventiva presentata, ai sensi degli artt. 110 del Codice e 36 del Regolamento, dall'Associazione di ricerca denominata "Gruppo Oncologico Italiano di Ricerca Clinica" (di seguito Gruppo) per la realizzazione dello studio “Analisi retrospettiva di pazienti con carcinoma a cellule renali metastatico trattati con CABOzantinib: una firma GENomica per descrivere la risposta di lunga durata (CABOGEN)” (di seguito Studio), unitamente al protocollo dello Studio, alla valutazione di impatto (Vip) svolta ai sensi dell’art. 35 del Regolamento) e ai pareri dei comitati etici territorialmente competenti acquisiti al momento della presentazione dell’istanza (nota del 19 ottobre 2023);

TENUTO CONTO che l’Ufficio del Garante ha avviato uno specifico approfondimento istruttorio in relazione alla predetta istanza di consultazione preventiva (nota del 24 novembre 2023, prot. n. 157722);

RILEVATO che il Gruppo nell’istanza e in sede istruttoria (nota del 14 dicembre 2023) in relazione allo Studio ha rappresentato, ai sensi dell’art. 168 del Codice, che:

- lo scopo dello Studio è “descrivere il profilo genomico, ovvero i geni e le mutazioni, di pazienti con carcinoma renale metastatico (mRCC) che rispondono a lungo termine al trattamento con cabozantinib e di pazienti che non rispondono a lungo termine al trattamento con cabozantinib”. [...] “Obiettivi secondari sono la descrizione di OS (overall survival), ORR (objective response rate) e DOR (duration of response) in base al profilo genomico rilevato, e la descrizione del profilo genomico in base alla linea di trattamento (seconda, terza o successiva) e alle caratteristiche anamnestiche (peso, ECOG PS, sedi di metastasi, risposta a precedenti linee di trattamento)”;

- verranno trattate 5 macro categorie di informazioni di carattere personale relative a: “Informazioni sociodemografiche” che includono la “razza” dei pazienti; Dati relativi alla storia medica; Anamnesi oncologica e linee di trattamento, Sicurezza di Cabozantinib (volta a rilevare l’eventuale presenza di aventi avversi al farmaco); Analisi mutazionale (genomica): che comporta il trattamento di dati genetici;

- “lo studio [...] sarà condotto presso 12 centri clinici italiani e coinvolgerà circa 80 pazienti in totale maggiori di età e che rispondano ai criteri di inclusione indicati nel protocollo”;

- il Protocollo di studio è stato sottoposto ai Comitati Etici territorialmente competenti, dei dodici centri clinici coinvolti nello studio, prima della presentazione dell’istanza in esame;

- “per la realizzazione dello Studio potrebbe risultare difficile acquisire il consenso della gran parte dei pazienti che s’intende arruolare nella coorte retrospettiva […] per le seguenti ragioni:

- decessi di pazienti in ragione dell’età avanzata e delle pregresse condizioni cliniche; oggettiva difficoltà di raggiungere numerosi interessati coinvolti nello Studio che ancorché in vita, non sono contattabili al fine di rendere loro le informazioni sul trattamento dei dati personali e acquisirne il consenso; sopravvenuta incapacità di intendere e di volere dovuta all’aggravarsi dello stato clinico; sforzo oggettivamente sproporzionato rispetto agli obiettivi dello Studio comportante il rischio concreto di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca. [...] Il numero stimato di soggetti interessati che non sarà possibile contattare, rispetto al numero complessivo dei soggetti che s’intende coinvolgere nella ricerca, è stato stimato al massimo intorno al 50%, circa 40 pazienti su 80; [...]”;

- “La mancata considerazione delle informazioni sanitarie riferite ai pazienti deceduti o non raggiungibili produrrebbe conseguenze significative per lo Studio in termini di alterazione dei relativi risultati compromettendo il conseguimento delle finalità della ricerca stessa e la raccolta di tali dati è fondamentale per evitare potenziali bias di selezione nello Studio”;

- “i singoli centri di sperimentazione e il Promotore, cui sono imputabili responsabilità distinte nell’ambito degli studi clinici, si configurano, quali autonomi titolari del trattamento”;

- “il GOIRC si avvale della società Ecol Studio SpA, divisione Yghea con sede legale in Italia, “che agisce quindi in qualità di CRO (Contract Research Organization) e che, a tale scopo, è stata nominata responsabile esterno del trattamento, ai sensi dell’art. 28 del Regolamento” [...]”;

- la società Ecol Studio nominerà sub-responsabile del trattamento la società “Nubilaria S.r.l., con sede legale in Italia che agirà in qualità di sviluppatrice della piattaforma e-CRF, nella quale vengono raccolti i dati clinici di ogni paziente arruolato nello studio clinico [...]”;

- la Società Nubilaria “non è in possesso di documentazione con dati identificativi dei pazienti” in quanto “sono pseudonimizzati by design [attraverso il sistema] ACTide [che] assegna un codice paziente univoco”;

- “Lo Sperimentatore Principale e i membri dello staff da lui delegati raccoglieranno i dati personali dalle cartelle cliniche degli Interessati e li inseriranno in forma pseudonimizzata nella e-CRF configurata sulla piattaforma ACTIDE. I dati identificativi degli Interessati saranno quindi trattati esclusivamente presso i Centri Clinici da parte dello Sperimentatore Principale e dai membri dello staff da lui delegati, nella fase iniziale di arruolamento e di raccolta retrospettiva dei dati, e durante le attività di monitoraggio da parte dei Clinical Monitor incaricati dalla CRO Yghea. Fuori da tali ipotesi, i dati saranno trattati solo in forma pseudonimizzata o aggregata e non saranno diffusi a soggetti diversi dal GOIRC, dai Centri e dalla CRO per le finalità della conduzione dello Studio”;

- il Gruppo si avvale anche della “Roche S.p.A., azienda farmaceutica e di diagnostica, nel contesto di trattamento dei dati per il progetto CABOGEN, […]nominato soggetto responsabile esterno del trattamento dei dati e si occupa della profilazione genomica tumorale. Roche si avvale di FMI Germany GmbH e Foundation Medicine Inc. come sub-responsabili esterni del trattamento dei dati per svolgere specifiche attività nel contesto della profilazione genomica tumorale. FMI Germany GmbH è una società tedesca affiliata a Foundation Medicine Inc., una società americana specializzata nella profilazione genomica dei tumori; Foundation Medicine Inc. è un leader nel campo della medicina per analizzare il profilo genomico dei tumori e fornire informazioni utili per la personalizzazione delle terapie; FMI Germany GmbH si occupa di analizzare il campione [di tessuto metastatico] in un laboratorio clinico di riferimento con sede a Penzberg in Germania e si avvale, per l’analisi dei dati, di Foundation Medicine Inc. con sede negli Stati Uniti. Verrà inviato da FMI Germany GmbH un file con i dati grezzi derivati dalle analisi sul sequenziamento del DNA e identificati da un codice specifico”;

- “Il campione di tessuto oggetto di analisi proviene dal blocchetto del campione tumorale del paziente, conservato in paraffina, che è stato prelevato al momento della diagnosi iniziale della malattia (tumore primitivo o metastasi). Il campione di tessuto è attualmente conservato presso l’anatomia patologica di ciascun centro clinico. Al termine delle analisi il campione sarà restituito al centro clinico di provenienza”;

- “La base giuridica del trattamento dei dati personali è da rinvenirsi, quanto alla raccolta prospettica dei dati, nel "consenso" dei soggetti interessati, ovvero dei pazienti considerati come candidabili per partecipare allo Studio;

- “In ordine alla raccolta retrospettiva dei dati, già raccolti dai centri ospedalieri, la base giuridica del trattamento è la “consultazione preventiva”, ai sensi degli artt. 110 Codice Privacy italiano e 36 del Regolamento Generale sulla Protezione dei Dati (GDPR), che, unitamente al “parere favorevole dei comitati etici competenti”, integra un presupposto giuridico equipollente al consenso.
Verrà raccolto il consenso informato degli interessati alla partecipazione allo studio e al trattamento dei dati personali, in tutti i casi in cui sarà possibile fornire loro un’adeguata informazione, e quindi acquisirne il relativo consenso”;

- “I Centri partecipanti effettueranno ogni ragionevole sforzo per contattare tutti i pazienti che soddisfano i criteri di idoneità all’arruolamento allo Studio, all´esito di tali attività che comprendono anche la verifica dello stato in vita, la consultazione dei dati riportati nella documentazione clinica, l´impiego dei recapiti telefonici eventualmente forniti, nonché l´acquisizione dei dati di contatto presso l´anagrafe degli assistiti o della popolazione residente, alcuni dei soggetti interessati potranno risultare deceduti o non rintracciabili al momento dell´arruolamento nello studio.

Per i pazienti che dovessero risultare deceduti o non rintracciabili, l’esecuzione dei necessari tentativi per contattare/rintracciare i pazienti sarà documentata dallo Sperimentatore Principale attraverso la compilazione e sottoscrizione di un Modulo di Dichiarazione Sostitutiva al Consenso”;

- “Il numero stimato di soggetti interessati che non sarà possibile contattare, rispetto al numero complessivo dei soggetti che si intende coinvolgere nella ricerca, è stato stimato al massimo intorno al 50%, circa 40 pazienti su 80. Questo a causa dell’elevata incidenza della mortalità per la patologia oggetto dello Studio, nonché dell’eventualità che i pazienti non facciano più ritorno al Centro per motivi di follow up, essendo inclusi nel campione pazienti in stadio avanzato della malattia e tenuto conto del periodo di tempo trascorso dal momento in cui i dati riferiti agli Interessati sono stati originariamente raccolti” (secondo quanto indicato nello Vip);

- “Verranno, inoltre, adottate idonee forme di pubblicità dell’informativa, ex art. 14 del Regolamento e ex art. 6 della Regole Deontologiche, mediante diffusione di “Informativa Pubblica” presso tutti i centri partecipanti, specificando al riguardo che la pubblicazione avverrà “in sezioni facilmente accessibili e “per l’intera durata dello Studio” e che rimane “ferma la raccolta del consenso dell’Interessato non appena questo dovesse recarsi per qualsiasi motivo al Centro Clinico anche al fine di consentirgli di esercitare i diritti previsti dal Regolamento”;

- il decesso dei pazienti verrà desunto, in particolare, delle rispettive cartelle cliniche, secondo quanto indicato nel protocollo dello studio;

- “nel Foglio Informativo e Consenso allo studio è prevista la possibilità per il paziente di scegliere se essere informato o meno o, se rendere disponibili ai familiari, informazioni in merito ai risultati delle indagini genetiche in presenza di incidental findings”;

- i dati saranno trattati in forma pseudonimizzata attraverso la piattaforma Actide, fatta eccezione per le attività di monitoraggio;

- i dati saranno oggetto di trattamento previa applicazione delle misure tecniche e organizzative individuate nella valutazione di impatto per ridurre i rischi connessi ai trattamenti ad un livello accettabile. In particolare in relazione ai dati genetici è previsto che “la trasmissione degli stessi qualora eventualmente dovesse avvenire a mezzo posta elettronica, avverrà in forma di allegato e non come testo. Sarà prevista la cifratura dei dati rendendo nota al destinatario la chiave tramite canale separato, l’allegato sarà protetto con password resa nota separatamente. Verrà garantito il trattamento disgiunto dei dati genetici e sanitari dagli altri dati personali che permettono di identificare direttamente gli interessati. Saranno presenti sistemi di autenticazione basati sull'uso combinato di informazioni note ai soggetti designati e dei dispositivi in loro possesso. L’accesso ai locali contenenti i dati genetici sarà possibile solo previa identificazione delle persone autorizzate che accedono eventualmente dopo l'orario di chiusura”;

- “Nel caso di trasferimento di dati al di fuori dell'Unione Europea, è garantita una protezione equivalente. Nel contesto dello Studio Cabogen, il trasferimento fuori dall’Unione europea avviene per i dati trasferiti tra Roche e il proprio sub-responsabile Foundation Medicine Inc. poiché Foundation Medicine ha sede negli Stati Uniti il trasferimento dei dati è legittimato dalla decisione di adeguatezza adottata il 10 luglio 2023 dalla Commissione europea.
Inoltre, il trasferimento di dati personali tra Roche e Foundation Medicine Inc. è regolato dall'utilizzo di clausole contrattuali standard, conformi alle decisioni dell'Unione Europea in materia di trasferimento di dati personali verso paesi terzi. [...] Pertanto, attraverso l'adozione di clausole contrattuali standard tra Roche e Foundation Medicine Inc., il trasferimento di dati personali è sottoposto a meccanismi di protezione adeguati ed equivalenti a quelli richiesti dal GDPR. Ciò assicura che i diritti degli interessati siano rispettati e che i dati personali siano trattati in conformità alle normative vigenti sulla protezione dei dati” secondo quanto indicato nella Vip”;

- “il periodo necessario per lo svolgimento ed il completamento dello studio, compreso il trattamento necessario per la finalità di ricerca scientifica, è di due anni mentre il periodo di conservazione, presso il promotore ed i centri partecipanti, dei documenti essenziali relativi allo studio [...], è di sette anni dopo il completamento della sperimentazione”, ”ciò si rende necessario “anche per la messa a disposizione dei documenti e dei dati in caso di verifiche o ispezioni delle autorità competenti […]”;

- “al termine del periodo di conservazione i dati non verranno anonimizzati bensì cancellati”;

OSSERVATO che:

- il trattamento di dati personali per scopi di ricerca scientifica deve essere effettuato nel rispetto del Regolamento, del Codice, delle Prescrizioni, nonché delle Regole deontologiche che costituiscono condizione essenziale di liceità e correttezza dei trattamenti (art. 2-quater del Codice e art. 21, comma 5 del d.lgs. 10 agosto 2018, n. 101);

- Per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)”. Inoltre, “si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, paragrafo 1, n. 1 del Regolamento).

- “Tra tali dati personali dovrebbero essere compresi anche i dati personali che rivelano l'origine razziale o etnica, essendo inteso che l'utilizzo dei termini «origine razziale» nel presente regolamento non implica l'accettazione da parte dell'Unione di teorie che tentano di dimostrare l'esistenza di razze umane distinte” (cons. 51 del Regolamento);

- il perseguimento di scopi di ricerca scientifica in campo medico, biomedico e epidemiologico è ammesso previa acquisizione del consenso dell'interessato; “Il consenso non è necessario (...) quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca” (art. 110 del Codice). A tale riguardo, le Prescrizioni specificano quali sono le circostanze nelle quali non è possibile acquisire il consenso degli interessati correlandole a specifiche motivazioni di ordine etico e organizzativo e richiedendo che esse siano debitamente motivate nel progetto di ricerca (punto 5.3 delle Prescrizioni). In tali ultimi casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante ai sensi dell'articolo 36 del Regolamento (art. 110 del Codice, art. 9, par. 2, lett. j) e par. 4, e art. 89 del Regolamento);

- rileva il principio di minimizzazione dei dati in base al quale i dati devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. c) del Regolamento);

- in applicazione del principio di minimizzazione, il trattamento di dati personali per scopi di ricerca scientifica in campo medico, biomedico o epidemiologico può riguardare i dati relativi alla salute degli interessati e, solo ove indispensabili per il raggiungimento delle finalità della ricerca, congiuntamente anche i dati relativi alla vita sessuale o all’orientamento sessuale, nonché all’origine razziale ed etnica (punto 5.4 delle Prescrizioni);

- i dati personali, inoltre, devono essere trattati nel rispetto del principio di trasparenza (art. 5, par. 1, lett. a) del Regolamento), fornendo preventivamente agli interessati, in un linguaggio semplice e chiaro, le informazioni di cui all’art. 13 del Regolamento, in caso di dati raccolti direttamente presso di essi, ovvero ai sensi dell’art. 14, in caso di dati raccolti presso soggetti terzi;

- in base al principio di limitazione della conservazione i dati siano “conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all'articolo 89, paragrafo 1, fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato” (art. 5, par. 1 lett. e) del Regolamento);

- tra i principi applicabili al trattamento stabiliti all’art. 5 del Regolamento, rileva quello di responsabilizzazione (accountability), in base al quale “il titolare del trattamento deve conformarsi ed essere in grado di comprovare sia il rispetto dei principi e degli adempienti previsti dal Regolamento” (artt. 5, par. 2, 24 e del Regolamento) e che ad esso si collega un altro dovere posto in capo al titolare del trattamento, ossia quello di assicurare che il diritto e la disciplina in materia di protezione dei dati personali degli interessati siano tutelati e applicati sin dalla progettazione e per impostazione predefinita (privacy by design e by default, art. 25 del Regolamento);

- in ossequio all’obbligo della protezione dei dati sin dalla progettazione, i titolari devono, inoltre, assumere una condotta attiva nell’applicazione dei principi, ponendosi l’obiettivo di ottenere un reale effetto di tutela. Il requisito di cui all’articolo 25 del Regolamento obbliga i titolari a provvedere affinché la protezione dei dati sia integrata nel trattamento fin dalla progettazione e per impostazione predefinita durante l’intero ciclo di vita del trattamento. Il titolare adotta misure tecniche e organizzative adeguate che sono concepite per attuare in modo efficace i principi di protezione dei dati e integra nel trattamento le necessarie garanzie per conformare i trattamenti alla disciplina in materia di protezione dei dati e per tutelare i diritti e le libertà degli interessati;

- nell’ambito delle operazioni di trattamento dei dati personali occorre poi individuare correttamente i ruoli di titolare (artt. 4, n. 7 e 24) e, se del caso, di responsabile (art. 4, n. 8 e 28), rispetto ai quali il Regolamento si pone in linea di continuità con il quadro normativo previgente;

- il titolare è il soggetto sul quale ricadono le decisioni di fondo relativamente alle finalità e ai mezzi del trattamento dei dati personali degli interessati nonché la responsabilità generale (cd. “accountability”) sui trattamenti posti in essere dallo stesso o da altri “per [suo] conto”, in qualità di responsabili ai sensi dell’art. 28 del Regolamento;

- il ruolo del responsabile del trattamento è, invece, caratterizzato dallo svolgimento di attività delegate dal titolare il quale, all’esito di proprie scelte organizzative, può individuare uno o più soggetti particolarmente qualificati allo svolgimento delle stesse - in termini di conoscenze specialistiche, di affidabilità, risorse e sicurezza del trattamento (cfr. cons. 81 del Regolamento) -, delimitando l’ambito delle rispettive attribuzioni e fornendo specifiche istruzioni sui trattamenti da effettuare (cfr. Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR Versione 2.0, Adottate il 7 luglio 2021);

- Il Regolamento individua infine nel Capo V le condizioni giuridiche per i trasferimenti di dati personali verso paesi terzi affinché sia assicurato un livello di protezione adeguato dei dati oggetto di trasferimento (artt. 44 e ss; cfr. anche par. 3, Guidelines 05/2021 cit., Decisione di Esecuzione della Commissione (UE) 2021/914) e con le raccomandazioni del Comitato Europeo sulla protezione dei dati in merito alle misure supplementari, Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data). In particolare, è previsto che, in assenza di una decisione di adeguatezza ai sensi dell’art. 45 del Regolamento, i trasferimenti di dati personali verso Paesi terzi siano consentiti ove il titolare o il responsabile del trattamento forniscano garanzie adeguate che prevedano diritti azionabili e mezzi di ricorso effettivi per gli interessati (artt. 46 e 47 del Regolamento);

OSSERVATO, altresì, che in relazione al trattamento dei dati per scopi di ricerca in campo medico, biomedico e epidemiologico il Garante ha adottato in particolare i seguenti pareri del 20 giugno 2019, doc. web 9123447; 29 ottobre 2020, n. 202, doc. web 9517401; 10 dicembre 2020 doc. web 9520597; 17 settembre 2020, doc. web 9479364; del 17 settembre 2020, doc. web 9479382; 29 ottobre 2020, n. 202, doc. web 9517401; 10 dicembre 2020, doc. web 9520597; 17 settembre 2020, doc. web 9479364; 17 settembre 2020, doc. web 9479382; 1° novembre 2021, doc. web 9731827; del 30 giugno 2022, doc. web 9791886; 24 novembre 2022 doc. web. 9842737; 2 marzo 2023, doc. web 9875254; 22 giugno 2023, doc. web 9919244; 6 luglio 2023, doc. web 9919999; 18 luglio 2023, doc. web 9920977; 31 agosto 2023, 28 settembre 2023, 12 ottobre 2023, 26 ottobre doc. web 9960973 e dell’11, 16 novembre, 7 e 21 dicembre 2023 in corso di pubblicazione;

RITENUTO che il Gruppo, in qualità di titolare del trattamento abbia correttamente individuato le basi giuridiche del trattamento, specificando adeguatamente i motivi di tipo organizzativo che giustificano l’impossibilità ad informare gli interessati e acquisirne un valido consenso, secondo quanto previsto al punto 5.3 delle Prescrizioni, correlati alla morte degli interessati o alla loro non rintracciabilità attestata a seguito della consultazione dei dati riportati nella documentazione clinica o presso l’anagrafe della popolazione residente nonché a seguito di svariati e documentati tentativi di contatto telefonici;

RITENUTO, pertanto, che la mancata considerazione delle informazioni sanitarie riferite ai pazienti deceduti o non raggiungibili produrrebbe conseguenze significative per lo Studio in termini di alterazione dei relativi risultati compromettendo il conseguimento delle finalità della ricerca stessa e la raccolta di tali dati è ritenuta fondamentale per evitare potenziali bias di selezione nello Studio;

RILEVATO che il GOIRC ha sottoposto il Protocollo di studio ai Comitati Etici territorialmente competenti, dei dodici centri clinici coinvolti nello studio, producendo agli atti i pareri di n. 4 Centri partecipanti, ottenuti al momento della presentazione dell’istanza, dichiarando sul punto che i trattamenti di dati personali non avranno inizio prima dell’ottenimento del relativo parere favorevole da parte degli altri Centri partecipanti coinvolti, ciò in quanto  si configura quale condizione di liceità e correttezza del trattamento dei dati personali per le finalità in esame, laddove non sia possibile acquisire il consenso degli interessati (cfr. provv. n. 202 del 29 ottobre 2020, doc. web 9517401 e provv. n. 406 del 1° novembre 2021, doc. web 9731827);

RITENUTO che il Gruppo, prevendendo la pubblicazione dell’informativa sul sito internet di tutti i centri partecipanti e per tutta la durata dello Studio, in sezioni facilmente accessibili al pubblico, abbia individuato una misura efficace per il corretto adempimento degli obblighi di trasparenza correlati ai trattamenti di dati personali relativi a soggetti deceduti o con contattabili. Ciò, anche tenuto conto che nel merito le informative risultano adeguate anche a garantire la libera scelta degli interessati di conoscere o meno eventuali notizie inattese che dovessero emergere a seguito del trattamento dei loro dati genetici;

RITENUTO che il Gruppo abbia correttamente individuato il periodo di conservazione dei dati trattati, stabilito in 7 anni, anche per la messa a disposizione dei documenti e dei dati in caso di verifiche o ispezioni delle autorità competenti e che al termine del periodo di conservazione i dati saranno cancellati attraverso specifiche procedure tecniche descritte nella Vip, che verranno documentate da una apposita dichiarazione di “Final Decomissioning – Disposal Confirmation” che darà evidenza dell’avvenuta distruzione e pulizia dei sistemi anche presso i responsabili e sub-responsabili del trattamento, secondo appropriati standard di sicurezza; 

RITENUTO che il Gruppo abbia dato corretta applicazione all’art. 89 del Regolamento, prevedendo che i dati trattati siano preventivamente, e durante tutta la fase del trattamento, minimizzati attraverso adeguate tecniche di pseudonimizzazione descritte nella documentazione trasmessa e in particolare nella Vip;

RITENUTO che la valutazione di impatto, tenuto anche conto della natura multicentrica dello Studio, delle tipologie di dati trattati ivi inclusi quelli genetici e relativi all’origine razziale ed etnica degli interessati, individui, nel suo insieme misure tecniche e organizzative idonee a ricondurre i rischi correlati ai trattamenti necessari per la realizzazione dello Studio ad un livello accettabile. In particolare, una specifica sezione della Vip è dedicata all’individuazione dei rischi (quali ad es. l’accesso illegittimo ai dati, le modifiche indesiderate ai dati, la perdita dei dati), delle principali minacce che potrebbero concretizzare tali rischi, e delle misure previste per mitigarli alla luce delle probabilità e gravità stimate del rischio;

RITENUTO che il Gruppo abbia correttamente definito i ruoli (di titolari, responsabili e sub-responsabili ai sensi degli artt. 24 e 28 del Regolamento) dei soggetti a vario titolo coinvolti nella realizzazione dello Studio, implementando una struttura organizzativa tale da escludere che soggetti terzi non autorizzati possano essere coinvolti nelle operazioni di trattamento dei dati sulla salute e genetici dei pazienti arruolati nel richiamato Studio;

RITENUTO che in base alle dichiarazioni rese ai sensi dell’art. 168 del Codice, il Gruppo abbia, altresì, correttamente individuato le condizioni di liceità per l’eventuale trasferimento dei dai verso paesi terzi, fermo restando che in omaggio al principio di accountability spetta in ogni caso al Gruppo stesso valutarne in concreto la corrispondenza ai requisiti richiesti dal Regolamento (artt. 5, par. 2 e 44 e ss.);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

TUTTO CIO’ PREMESSO IL GARANTE

ai sensi dell’art. 110 del Codice e dell’art. 36 del Regolamento, esprime all'Associazione di ricerca denominata "Gruppo Oncologico Italiano di Ricerca Clinica", con sede legale in via Antonio Gramsci 14, Parma 16, cap 43126 CF 92009810349, parere favorevole per la raccolta e il trattamento dei dati personali dei pazienti deceduti o non contattabili arruolati nello studio “Analisi retrospettiva di pazienti con carcinoma a cellule renali metastatico trattati con CABOzantinib: una firma GENomica per descrivere la risposta di lunga durata (CABOGEN)”.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, il 22 febbraio 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei