Gazzetta n. 130 del 5 giugno 2024 (vai al sommario) GARANTE PER LA PROTEZIONE DEI DATI PERSONALI DELIBERA 9 maggio 2024 Regole deontologiche per trattamenti di dati personali a fini statistici e di ricerca scientifica, ai sensi degli articoli 2-quater e 106 del Codice. (Provvedimento n. 298). IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia, l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale; Visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche' alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, «Regolamento generale sulla protezione dei dati» (di seguito «regolamento»); Visto il decreto legislativo 30 giugno 2003, n. 196, recante il «Codice in materia di protezione dei dati personali», (di seguito «codice»); Visto l'art. 110 del codice cosi' come novellato dall'art. 44, comma 1-bis, della legge 29 aprile 2024, n. 56, di conversione del decreto-legge n. 19 del 2 marzo 2024, recante ulteriori disposizioni urgenti per l'attuazione del PNRR nella parte in cui prevede che «Il consenso non e' inoltre necessario quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalita' della ricerca. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le liberta' e i legittimi interessi dell'interessato, il programma di ricerca e' oggetto di motivato parere favorevole del competente comitato etico a livello territoriale. Nei casi di cui al presente comma, il Garante individua le garanzie da osservare ai sensi dell'art. 106, comma 2, lettera d), del presente codice»; Visto l´art. 2-quater del codice che attribuisce al Garante il compito di promuovere, nell'osservanza del principio di rappresentativita' e tenendo conto delle raccomandazioni del Consiglio d'Europa sul trattamento dei dati personali, l'adozione di regole deontologiche per i trattamenti previsti dalle disposizioni di cui agli articoli 6, paragrafo 1, lettere c) ed e), 9, paragrafo 4, e al Capo IX del regolamento, di verificarne la conformita' alle disposizioni vigenti, anche attraverso l'esame di osservazioni di soggetti interessati e di contribuire a garantirne la diffusione e il rispetto; Visto l'art. 106 del codice rubricato Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica in base al quale il Garante promuove, ai sensi dell'art. 2-quater, regole deontologiche per i soggetti pubblici e privati, ivi comprese le societa' scientifiche e le associazioni professionali, interessati al trattamento dei dati per fini statistici o di ricerca scientifica, volte a individuare garanzie adeguate per i diritti e le liberta' dell'interessato in conformita' all'art. 89 del regolamento; Viste le regole deontologiche per trattamenti a fini statistici o di ricerca scientifica adottate dal Garante, ai sensi dell'art. 20, comma 4, del decreto legislativo 10 agosto 2018, n. 101, con provvedimento n. 515, del 19 dicembre 2018, allegato A5 al codice (doc. web n. 9069637) (di seguito «regole deontologiche»); Viste le prescrizioni per trattamenti a fini statistici e di ricerca scientifica di cui al provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell'art. 21, comma 1, del decreto legislativo 10 agosto 2018, n. 101 (doc. web n. 9124510), (di seguito «prescrizioni»); Visto il regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all'esercizio dei poteri demandati al Garante e, in particolare, l'art. 23 (Deliberazione del 4 aprile 2019, di seguito «regolamenti interno»); Vista la documentazione in atti; Viste le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000 sull'organizzazione e il funzionamento dell'ufficio del Garante per la protezione dei dati personali, in www.gpdp.it - doc. web n. 1098801; Relatore il prof. Pasquale Stanzione; Premesso: 1. Quadro normativo di riferimento In base all'art. 110 del codice, cosi' come modificato dall'art. 44, comma 1-bis, del decreto-legge n. 19 del 2 marzo 2024, il Garante e' chiamato a individuare le garanzie da osservare nei casi in cui per il trattamento dei dati sulla salute di cui all'art. 9 del regolamento per scopi di ricerca medica, biomedica ed epidemiologica, non e' possibile acquisire il consenso degli interessati, ai sensi dell'art. 106, comma 2, lettera d), del codice. Si osserva, inoltre che l'art. 20, commi 3 e 4, del decreto legislativo 101 del 2018, ha conferito al Garante il compito di verificare la conformita' al regolamento delle disposizioni contenute nei codici di deontologia e buona condotta di cui agli allegati A.1, A.2, A.3, A.4 e A.5 al codice, rinominandole regole deontologiche. Con il provvedimento n. 514 del 19 dicembre 2018 il Garante ha adottato pertanto le regole deontologiche per trattamenti a fini statistici o di ricerca scientifica che costituiscono l'attuale allegato A.5 al codice. L'Autorita', nel processo di revisione dei codici di deontologia e di buona condotta, ha svolto un intervento rigorosamente circoscritto alla verifica della compatibilita' delle regole ivi contenute con il rinnovato quadro normativo nonche', laddove necessario, di mero aggiornamento dei riferimenti normativi presenti nel codice di deontologia e di attualizzazione della terminologia utilizzata al fine di renderla coerente con quella unionale e nazionale. Come si evince dal richiamato provvedimento del 19 dicembre 2018, sono numerose le disposizioni che l'Autorita' ha ritenuto incompatibili con il regolamento e con il codice in quanto il previgente codice di deontologia e di buona condotta non poteva tener conto del nuovo approccio alla protezione dei dati personali basato, in particolare, sul rischio e sui principi di responsabilizzazione e di protezione dei dati sin dalla progettazione e per impostazione predefinita che permeano il regolamento (art. 5, paragrafo 2, e articoli 24, 25, 32 e 35 del regolamento). Cio' ha inevitabilmente portato a un ridimensionamento degli ambiti regolamentati dalle vigenti regole deontologiche. Nel corso degli ultimi anni, il Garante ha adottato numerosi provvedimenti in materia rilevando, grazie anche al costante dialogo con gli operatori del settore, come il mutato contesto (che si caratterizza anche per un cambiamento sostanziale delle modalita' di realizzazione dell'attivita' di ricerca medica, sempre piu' supportata dall'utilizzo di nuove tecnologie) renda urgente l'adozione di nuove regole deontologiche in tale settore. Poste tali premesse, si ritiene pertanto necessaria l'adozione della presente deliberazione volta da una parte a individuare le garanzie di cui all'art. 110 del codice e dell'altra a promuovere l'adozione di nuove regole deontologiche per trattamenti a fini statistici o di ricerca scientifica, ai sensi degli articoli 2-quater e 106 del codice. 2. Individuazione delle garanzie da applicare ai sensi dell'art. 110 del codice Nelle more dell'approvazione delle nuove regole deontologiche e ferma la vigenza di quelle di cui all'allegato A5 del codice, il Garante ai sensi dell'art. 110 del codice individua le seguenti garanzie, necessarie per i trattamenti di dati sulla salute per finalita' di ricerca medica, biomedica e epidemiologica, riferiti a soggetti deceduti o non contattabili per i seguenti motivi etici o organizzativi. Sono motivi etici quelli riconducibili alla circostanza che l'interessato ignora la propria condizione. Rientrano in questa categoria le ricerche per le quali l'informativa sul trattamento dei dati da rendere agli interessati comporterebbe la rivelazione di notizie concernenti la conduzione dello studio la cui conoscenza potrebbe arrecare un danno materiale o psicologico agli interessati stessi. Sono motivi di impossibilita' organizzativa quelli riconducibili alla circostanza che la mancata raccolta dei dati riferiti al numero di interessati che non e' possibile contattare, rispetto al numero complessivo dei soggetti che si intende arruolare nella ricerca, produrrebbe conseguenze significative per lo studio in termini di qualita' dei risultati della ricerca stessa; cio' avuto riguardo, in particolare, ai criteri di inclusione previsti dallo studio, alle modalita' di arruolamento, alla numerosita' statistica del campione prescelto, nonche' al periodo di tempo trascorso dal momento in cui i dati riferiti agli interessati sono stati originariamente raccolti. I motivi di impossibilita' organizzativa concernono sia quelli derivanti dalla circostanza, da considerarsi del tutto residuale, che contattare gli interessati implicherebbe uno sforzo sproporzionato vista la particolare elevata numerosita' del campione, sia quelli derivanti dalla circostanza, alternativa alla precedente, che all'esito di ogni ragionevole sforzo compiuto per contattarli (anche attraverso la verifica dello stato in vita, la consultazione dei dati riportati nella documentazione clinica, l'impiego dei recapiti telefonici eventualmente forniti, nonche' l'acquisizione dei dati di contatto pubblicamente accessibili) essi risultino al momento dell'arruolamento nello studio, deceduti o non contattabili. In tali casi, il titolare del trattamento oltre ad adottare misure appropriate per tutelare i diritti, le liberta' e i legittimi interessi dell'interessato, e acquisire il parere favorevole del competente comitato etico a livello territoriale sul progetto di ricerca come previsto dall'art. 110 del codice deve accuratamente motivare e documentare, nel progetto di ricerca, la sussistenza delle ragioni etiche o organizzative per le quali informare gli interessati e quindi acquisire il consenso, risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalita' della ricerca, se del caso documentando altresi' i ragionevoli sforzi profusi per tentare di contattarli. Nei predetti casi, i titolari del trattamento di dati sulla salute per finalita' di ricerca medica, biomedica e epidemiologica riferiti a soggetti deceduti o non contattabili devono altresi' svolgere e pubblicare la valutazione di impatto, ai sensi dell'art. 35 del regolamento, dandone comunicazione al Garante. 3. Promovimento delle nuove regole deontologiche per trattamenti a fini statistici o di ricerca scientifica ai sensi degli articoli 2-quater e 106 del codice 3.1. Principio di rappresentativita' e categorie interessate Le regole deontologiche sono promosse nell'osservanza del principio di rappresentativita' (art. 2-quater del codice) che si intende soddisfatto sulla base della natura giuridica dei soggetti proponenti, istituzionalmente o statutariamente tenuti allo svolgimento di ricerche mediche quali universita', altri enti o istituti di ricerca, societa' scientifiche, ricercatori che operano nell'ambito di dette universita', enti, istituti di ricerca e soci di dette societa' scientifiche, istituti di ricovero e cura a carattere scientifico, fondazioni enti morali di ricerca, nonche' enti pubblici istituzionalmente competenti al perseguimento di tali compiti (art. 2-quater del codice art. 23, comma 2 e 24, comma 5 del regolamento interno). Con la presente deliberazione i predetti soggetti e ulteriori soggetti pubblici e privati appartenenti a categorie interessate aventi titolo a sottoscrivere le regole deontologiche sono altresi' invitati a darne comunicazione all'Autorita', anche attraverso le proprie associazioni di categoria o strutture pubbliche maggiormente rappresentative, quali l'Istituto superiore di sanita', entro il termine di sessanta giorni dalla pubblicazione della presente deliberazione nella Gazzetta Ufficiale della Repubblica italiana e a fornire informazioni e documentazione idonee a comprovare, in particolare, la loro rappresentativita' (art. 23, comma 2, secondo periodo del regolamento interno). 3.2 Interesse qualificato Il Garante e' altresi' chiamato a valutare la sussistenza di un interesse in capo a soggetti comunque interessati all'applicazione delle regole deontologiche ancorche' non tenuti alla sottoscrizione delle stesse (quali ad esempio associazioni di malati), invitandoli a darne comunicazione all'Autorita', entro il termine di sessanta giorni dalla pubblicazione della presente deliberazione nella Gazzetta Ufficiale della Repubblica italiana e a fornire informazioni e documentazione idonee a comprovare, in particolare, il proprio interesse qualificato alla materia (articoli 23, comma 3 e 24, comma 5 del regolamento interno). 3.3 Ambiti di intervento delle regole deontologiche. L'Autorita', nell'incoraggiare la piu' proficua cooperazione tra i soggetti interessati nell'organizzazione e nello svolgimento dei lavori volti alla redazione delle nuove regole deontologiche, evidenzia che esse dovranno avere ad oggetto, in particolare, gli ambiti di cui all'art. 106, comma 2, del codice. Tutto cio' premesso il Garante: 1. individua le garanzie di cui al punto 2 della presente deliberazione per i trattamenti di dati personali relativi alla salute necessari a fini di ricerca medica, biomedica e epidemiologica necessari quando, a causa di particolari ragioni, informare gli interessati e quindi acquisirne il consenso risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalita' della ricerca, ai sensi degli articoli 106, comma 2, lettera d), e 110 del codice; 2. promuove l'adozione delle regole deontologiche per trattamenti di dati personali a fini statistici e di ricerca scientifica, ai sensi degli articoli 2-quater e 106 del codice; 3. stabilisce, ai sensi degli articoli 23, comma 2 e 24, comma 5, del regolamento interno, che: il principio di rappresentativita' si intende soddisfatto tenuto conto degli elementi di cui al punto 3.1 della presente deliberazione e le categorie interessate sono indicate al medesimo punto; i predetti soggetti, che ritengano di avere titolo a sottoscrivere le regole per trattamenti a fini statistici o di ricerca scientifica, sono invitati a darne comunicazione all'Autorita'; 4. stabilisce, ai sensi degli articoli 23, comma 3 e 24, comma 5, del regolamento interno, che: si definiscono portatori di un interesse qualificato i soggetti di cui al punto 3.2 della presente deliberazione; tali soggetti sono invitati a darne comunicazione all'Autorita' e a fornire informazioni e documentazione idonee a comprovare, in particolare, il proprio interesse qualificato alla materia. Le comunicazioni di cui al paragrafo 3 della presente deliberazione dovranno pervenire all'Autorita' all'indirizzo di posta elettronica certificata protocollo@pec.gpdp.it entro il termine di sessanta giorni dalla pubblicazione della presente deliberazione nella Gazzetta Ufficiale della Repubblica italiana. Il Garante dispone la trasmissione della presente deliberazione all'ufficio pubblicazione leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana. Roma, 9 maggio 2024 Il presidente e relatore: Stanzione Il segretario generale: Mattei