Il Garante per la protezione dei dati personali italiano nel mese di giugno ha divulgato delle nuove FAQ aventi ad oggetto i “Presupposti giuridici e principali adempimenti per il trattamento da parte degli IRCCS dei dati personali raccolti a fini di cura della salute per ulteriori scopi di ricerca”.
Con tale documento il Garante ha voluto chiaramente indicare agli IRCCS le modalità da seguire al fine di poter procedere al trattamento dei dati dei pazienti già raccolti per motivi di cura per finalità ulteriori, quali gli scopi di ricerca.
Le FAQ risultano espressamente indirizzate ai soli IRCCS, ovvero gli Istituti di Ricovero e Cura a Carattere Scientifico, che il Garante stesso, riprendendone la definizione normativa, individua quali “enti del Servizio sanitario nazionale a rilevanza nazionale dotati di autonomia e personalità giuridica che, secondo standard di eccellenza, perseguono finalità di ricerca, prevalentemente clinica e traslazionale, nel campo biomedico e in quello dell’organizzazione e gestione dei servizi sanitari ed effettuano prestazioni di ricovero e cura di alta specialità” (art. 1 d.lgs. 288/2003). Trattasi, più comunemente, di ospedali di eccellenza, pubblici e privati, che perseguono finalità di ricerca nel campo biomedico ed in quello della organizzazione e gestione dei servizi sanitari.
Quali basi giuridiche possono utilizzare le suddette strutture per trattare per ulteriori scopi di ricerca i dati personali dei pazienti precedentemente raccolti per finalità di cura?
Secondo quanto previsto dal Garante, gli Istituti, in qualità di titolari del trattamento, devono:
- Anzitutto, individuare una base giuridica, ovviamente tra quelle indicate nel GDPR, in concreto idonea a legittimare il trattamento dei dati personali per la realizzazione di progetti di ricerca scientifica;
- Indicare l’appropriata eccezione in forza della quale derogare al generale divieto di trattamento che interessa i c.d. “dati particolari” (o “sensibili”). A tale specifica finalità, seguita il Garante, gli IRCCS possono fondare tali trattamenti su:
- il consenso espresso degli interessati;
- l’articolo 110-bis, co. 4, del Codice della Privacy, ai sensi del quale “Non costituisce trattamento ulteriore da parte di terzi il trattamento dei dati personali raccolti per l’attività clinica, a fini di ricerca, da parte degli Istituti di ricovero e cura a carattere scientifico, pubblici e privati, in ragione del carattere strumentale dell’attività di assistenza sanitaria svolta dai predetti istituti rispetto alla ricerca, nell’osservanza di quanto previsto dall’articolo 89 del Regolamento”.
Secondo espressa indicazione del Garante, tale disposizione andrebbe, infatti, a costituire una di quelle disposizioni di legge di cui all’articolo 9, pr.2, lett. j) del GDPR, che renderebbe non necessaria la raccolta del consenso dell’interessato per il trattamento di dati relativi alla salute a fini di ricerca scientifica in campo medico.
Da ciò ne deriva che, come espressamente previsto al predetto articolo 9 del Regolamento, laddove gli Istituti dovessero fondare la legittimità del trattamento dei dati sensibili proprio sul predetto articolo 110-bis del Codice della Privacy, i medesimi dovranno altresì provvedere obbligatoriamente allo svolgimento ed alla successiva pubblicazione sui propri siti istituzionali di una Valutazione d’Impatto (VIP), pena l’applicazione di una sanzione amministrativa.
Peraltro, laddove lo svolgimento della VIP dovesse indicare che il trattamento di cui in oggetto potrebbe presentare un rischio elevato in caso di mancata adozione da parte del titolare di specifiche misure volte all’attenuazione del rischio, gli Istituti saranno altresì tenuti a provvedere alla consultazione preventiva del Garante ex art. 36 del Regolamento.
Il Garante, infine, si preoccupa di indicare con quali modalità gli Istituti potranno adempiere agli obblighi informativi. In che modo gli IRCCS potranno portare a conoscenza dei soggetti interessati le dovute informative privacy e renderli, dunque, edotti in merito al trattamento cui i loro dati personali verranno sottoposti?
A tal fine è necessario distinguere:
– nel caso in cui i dati siano raccolti direttamente presso gli interessati, l’IRCCS è tenuto a fornire preventivamente e direttamente in una forma chiara, concisa ed intellegibile, le informazioni, ai sensi dell’art. 13, par. 3 del Regolamento, eventualmente limitandosi ad evidenziare quegli elementi informativi di cui l’interessato non dispone già, ai sensi dell’art. 13, par. 4 del Regolamento;
– nel caso in cui, invece, i dati siano raccolti presso banche dati interne dell’Istituto ovvero presso terzi, le informazioni potranno essere rese secondo le modalità di cui all’art. 14, par. 5, lett. b) del Regolamento che ne ammette la pubblicazione, nel rispetto, ovviamente delle indicazioni fornite dalle Regole deontologiche.
“A titolo esemplificativo, e salve le necessarie valutazioni che in omaggio al principio di accountability vanno comunque svolte caso per caso dal titolare del trattamento, si segnalano altresì come efficaci modalità per rendere note le informazioni ai sensi dell’art. 14, par. 5, lett. b) del Regolamento e dell’art. 6, comma 3 delle Regole deontologiche, la pubblicazione sul sito web del promotore e, nel caso di studi multicentrici, anche sui siti web dei centri partecipanti, per tutta la durata dello studio”.