Protezione dati nella ricerca clinica: riforma dell’articolo 110

Protezione dei dati personali nella ricerca: l’articolo 110

In Italia, il Codice Privacy è stato modificato dal D.Lgs. 101/2018 per armonizzare la normativa nazionale al GDPR.

L’articolo 110 è una delle disposizioni chiave per la ricerca scientifica e medica. Prima della recente modifica, l’articolo prevedeva che, in mancanza del consenso dell’interessato, il trattamento potesse essere effettuato solo previa autorizzazione del Garante, basata su una valutazione d’impatto e sul parere favorevole del comitato etico competente.

La riforma dell’articolo 110 ha eliminato l’obbligo della consultazione preventiva del Garante nei casi in cui i dati siano trattati per finalità di ricerca medica, biomedica o epidemiologica, a condizione che siano rispettate le garanzie previste nel provvedimento del Garante del 9 maggio 2024. La nuova disciplina consente quindi una maggiore snellezza procedurale, a fronte di obblighi di accountability rafforzata per i titolari del trattamento.

Protezione dei dati in assenza di consenso: i criteri del Garante

Il Garante per la protezione dei dati personali ha riaffermato i presupposti che possono giustificare l’omissione dell’informativa nei confronti degli interessati, richiamando quanto già delineato nelle prescrizioni generali emanate nel 2019. In particolare, l’esenzione può essere ammessa per ragioni di carattere etico oppure per esigenze di ordine organizzativo.

Nel primo caso, il fondamento etico sussiste qualora la comunicazione dell’informativa possa rivelare al partecipante aspetti dello studio clinico che, se conosciuti, potrebbero arrecare conseguenze negative a livello psicologico o materiale. Si pensi, ad esempio, a situazioni in cui il soggetto, attraverso l’informativa, venga a conoscenza di informazioni cliniche potenzialmente dannose per il suo benessere.

Quanto invece ai motivi organizzativi, essi si manifestano quando il mancato utilizzo di dati riferiti a un numero significativo di soggetti non contattabili comprometterebbe la validità scientifica dello studio, ad esempio incidendo sulla rappresentatività del campione. Una prima casistica riguarda gli studi che prevedono l’inclusione di un numero elevatissimo di partecipanti. Tuttavia, il Garante precisa che questa ipotesi dovrebbe rimanere del tutto eccezionale. Un’altra situazione legittimante è quella in cui, nonostante siano stati compiuti tentativi concreti e documentati per rintracciare gli interessati, questi risultino deceduti o comunque irraggiungibili.

Sebbene il Garante non abbia stabilito criteri rigidi per determinare cosa costituisca uno “sforzo ragionevole” nel contattare gli interessati, alcuni orientamenti emergono dalla sua prassi recente. Un esempio rilevante è rappresentato dal provvedimento del 26 ottobre 2023, relativo all’Azienda Ospedaliero-Universitaria Città della Salute e della Scienza di Torino (doc. web n. 9963509), in cui l’Autorità ha considerato congruo un tentativo di contatto articolato in cinque azioni distinte, rispetto a un campione di circa 600 pazienti, dei quali 400 erano deceduti e altri 60 non erano stati rintracciati.

Requisiti di protezione dati nella ricerca osservazionale retrospettiva

Tuttavia, chi intende condurre uno studio osservazionale di tipo retrospettivo deve comunque rispettare una serie di condizioni fondamentali, valutate caso per caso. In particolare, per riassumere:

• adottare misure di protezione adeguate, calibrate sui rischi specifici del progetto, per garantire che i diritti e gli interessi delle persone coinvolte siano rispettati, nel pieno spirito del principio di responsabilizzazione;
• ottenere il parere favorevole del comitato etico territorialmente competente, quale prerequisito per avviare la ricerca;
• motivare e documentare all’interno del protocollo le circostanze di natura etica o gestionale che impediscono di acquisire il consenso informato, oppure che renderebbero sproporzionato l’impegno necessario a ottenerlo o rischioso per la validità stessa dello studio;
• effettuare una valutazione d’impatto sulla protezione dei dati personali (DPIA), come previsto dall’art. 35 del GDPR, renderla pubblicamente accessibile (es. tramite sito web istituzionale) e comunicarne l’avvenuta pubblicazione al Garante.

In sintesi, se da un lato viene semplificata la procedura autorizzativa per le ricerche che coinvolgono dati relativi a soggetti non più raggiungibili, dall’altro rimane imprescindibile per il titolare dimostrare la piena legittimità del trattamento attraverso una progettazione trasparente, responsabile e conforme alle disposizioni vigenti.

In conclusione, la riforma dell’art. 110 comporta nuove responsabilità per i titolari di trattamento, i quali, pur godendo di un percorso meno vincolato rispetto al passato, devono dimostrare maggiore attenzione nella giustificazione delle scelte operate, nell’adozione di misure trasparenti e nel rispetto dei principi fondamentali del GDPR.

Protezione dei dati e ricerca scientifica nel GDPR: l’articolo 89

Il GDPR prevede specifiche disposizioni per il trattamento dei dati a fini di ricerca scientifica. In particolare, l’articolo 9, paragrafo 2, lettera j), consente il trattamento di categorie particolari di dati personali quando tale trattamento è necessario per finalità di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, e purché siano previste misure di garanzia adeguate.

L’articolo 89 del Gdpr costituisce il fulcro normativo che consente, in via eccezionale e controllata, l’utilizzo dei dati personali per scopi di archiviazione nel pubblico interesse, ricerca scientifica o storica e fini statistici, introducendo un bilanciamento tra l’interesse collettivo alla conoscenza e l’esigenza di tutelare i diritti e le libertà degli individui. Questo articolo rappresenta una sorta di “clausola di salvaguardia” nel GDPR, poiché stabilisce che, in presenza di tali finalità, è possibile derogare ad alcuni diritti degli interessati (come l’accesso, la rettifica, la limitazione o l’opposizione), a condizione che siano adottate “garanzie appropriate e misure tecniche e organizzative adeguate”.

Nel contesto della ricerca scientifica e clinica, tale previsione è di cruciale importanza. Consente infatti ai ricercatori, a certe condizioni, di trattare dati anche senza poter garantire pienamente l’esercizio di alcuni diritti da parte degli interessati, qualora ciò possa compromettere gli obiettivi stessi della ricerca. Tuttavia, questa possibilità non è assoluta: l’articolo 89 impone che vengano messe in atto misure concrete per minimizzare i rischi per gli interessati, tra cui figurano tecniche come la pseudonimizzazione, la limitazione della raccolta dei dati al minimo necessario, la separazione delle informazioni identificative e l’accesso controllato ai dati.

La norma assume un valore ancora più rilevante in rapporto all’art. 110 del Codice Privacy, recentemente riformato, che disciplina i casi in cui è possibile procedere alla ricerca medica o biomedica anche senza il consenso esplicito degli interessati. In questo scenario, le garanzie di cui all’art. 89 GDPR diventano strumenti essenziali per dimostrare che il trattamento è conforme al principio di accountability e non arreca un pregiudizio eccessivo ai diritti delle persone coinvolte.

Misure di protezione dei dati calibrate per la ricerca clinica

L’art. 89 non fornisce un elenco esaustivo delle misure da adottare, lasciando al titolare del trattamento l’onere di scegliere, progettare e documentare gli accorgimenti più adeguati al caso concreto. Ciò significa che la valutazione del rischio, l’adozione di misure di sicurezza, la pseudonimizzazione e, ove richiesto, la consultazione del comitato etico, devono essere calibrate sulla base delle caratteristiche dello studio, della sensibilità dei dati trattati e del contesto operativo.

Nel quadro generale del GDPR e della normativa italiana, l’articolo 89 si configura dunque come la cornice entro cui è possibile contemperare le esigenze della scienza con quelle della riservatezza, rendendo possibile lo sviluppo di progetti di ricerca di grande valore pubblico, senza per questo sacrificare le tutele fondamentali della persona.

Interpretazione ampia della ricerca scientifica e protezione dei dati

Il Considerando 159 riporta che quando i dati personali vengono utilizzati per scopi di ricerca scientifica, il Regolamento trova piena applicazione anche a tali trattamenti. Il concetto di “ricerca scientifica” deve essere interpretato in modo ampio, ricomprendendo al suo interno una varietà di attività come la ricerca di base, la ricerca applicata, lo sviluppo tecnologico, le attività di dimostrazione, nonché i progetti finanziati da soggetti privati.

Rientrano tra le finalità scientifiche anche gli studi condotti a tutela dell’interesse pubblico nel campo della salute. Proprio in ragione della particolarità di questi trattamenti, il GDPR prevede disposizioni specifiche che si applicano, ad esempio, alla condivisione o divulgazione dei dati personali raccolti per fini di ricerca. Qualora i risultati di uno studio – specie se di natura medica o sanitaria – giustifichino l’adozione di provvedimenti che incidono direttamente sulla persona, si applicheranno tutte le norme generali del Regolamento, a tutela dell’interessato.

Tuttavia, il Considerando 159 precisa che qualsiasi limitazione deve essere proporzionata e necessaria, e può trovare applicazione solo se vi sono garanzie adeguate, come richiesto dall’articolo 89 del Regolamento. La finalità di questo approccio è duplice: da un lato, garantire che la ricerca scientifica possa svilupparsi in modo efficace, anche in settori sensibili come quello medico e biomedico; dall’altro, evitare che l’invocazione generica del concetto di “ricerca” diventi un pretesto per trattamenti arbitrari o sproporzionati.

In definitiva, il Considerando 159 offre un orientamento chiaro: favorire la ricerca, ma sempre nel rispetto del principio di minimizzazione e dell’equilibrio tra interesse collettivo e diritti individuali. Esso funge da ponte tra le esigenze operative dei ricercatori e le tutele richieste dalla normativa in materia di protezione dei dati personali, rappresentando uno strumento chiave per valutare la liceità e la correttezza dei trattamenti effettuati in ambito scientifico.

Protezione dei dati nella ricerca: formazione e prospettive future

Un aspetto spesso sottovalutato riguarda la formazione del personale coinvolto nella ricerca. Il GDPR richiede che chiunque tratti dati personali sia adeguatamente formato. I centri di ricerca devono quindi predisporre programmi formativi periodici e documentare le attività svolte. La consapevolezza è un elemento chiave per garantire la corretta gestione dei dati e prevenire violazioni.

In ultima analisi, la sfida più grande che il GDPR lancia alla comunità scientifica non è quella di rispettare una norma, ma di interiorizzarne il senso profondo: trattare i dati personali con rispetto, precauzione e lungimiranza, nonostante la velocità e la pressione della ricerca moderna. Proteggere i dati significa proteggere la fiducia della collettività, elemento imprescindibile affinché la scienza possa continuare a essere uno strumento di progresso, e non un fattore di esclusione o di rischio.

In un mondo dove l’innovazione tecnologica è sempre più intrecciata con la dimensione personale dell’informazione, la protezione dei dati non è più una cornice esterna alla ricerca, ma un elemento costitutivo della sua stessa legittimità. E sarà proprio la capacità di integrare queste garanzie nei processi scientifici non come ostacolo, ma come valore a determinare la qualità, l’affidabilità e la sostenibilità della ricerca del futuro.