Nel settore della ricerca medico scientifica, di certo anche a seguito della recente entrata in vigore del Gdpr, in questo momento è particolarmente avvertita l’esigenza e la grande responsabilità di applicare agli studi scientifici il principio della cosiddetta “privacy by design”, secondo cui prima di intraprendere un trattamento di dati, occorre progettare tutti i relativi passaggi in modo da renderli pienamente conformi alla normativa privacy (a maggior ragione se il trattamento afferisce la particolare categoria di dati di cui all’art. 9 del Gdpr, in passato denominati “dati sensibili”).
Tuttavia, questa progettazione nella ricerca clinica può risultare alquanto complicata, da un lato per il numero e la caratura dei soggetti coinvolti, tra cui, per citarne solo alcuni, il centro ospedaliero che raccoglie i dati sanitari dei pazienti, il medico curante, gli sperimentatori, il comitato etico che deve approvare lo studio e l’ente promotore del progetto, dall’altro per la necessità di coordinare provvedimenti e leggi nazionali – basti pensare che le “Linee guida per i trattamenti di dati personali nell’ambito delle sperimentazioni cliniche di medicinali” sono risalenti al 2008, ossia a circa 10 anni fa – con la neointrodotta normativa comunitaria.
Gli autori
Laura Bellicini e Alessio Briganti sono rispettivamente partner e manager di Legalitax Studio Legale e Tributario
Tra i tanti problemi interpretativi che gli operatori del settore sono chiamati ad affrontare nella pratica quotidiana, certamente grande rilevanza hanno le informazioni da inserire nel documento (forse) più importante e delicato di tutto il trattamento, ovvero l’informativa ex art 13 del Gdpr da rendere ai pazienti del centro ospedaliero i quali, oltre a ricevere le cure richieste, accolgono l’invito a partecipare alla ricerca clinica: infatti, in tale documento vanno esplicitati il titolare del trattamento, le sue finalità e modalità, i soggetti cui possono essere comunicati i dati, l’eventuale trasferimento dei dati extra UE, la durata del trattamento, i recapiti del Responsabile della protezione dei dati (se nominato) e i diritti dell’interessato.
E già nell’indicare la prima informazione, apparentemente semplice, quale sarebbe la titolarità del trattamento, emerge tutta la complessità interpretativa, posto che – come anticipato – le risalenti Linee guida, tra una molteplicità di soggetti coinvolti, non aiutano a distinguere il titolare del trattamento e le finalità con esso perseguite, contribuendo a ingenerare una notevole confusione.
Difatti, nelle Linee guida del 2008, è presente un format di informativa per i pazienti, adottato da anni da tutte le aziende ospedaliere, nel quale si legge: “Il Centro di sperimentazione e il Promotore che ha commissionato lo studio che […] è stato descritto, ciascuno per gli ambiti di propria competenza e in accordo alle responsabilità previste dalle norme della buona pratica clinica […], tratteranno i […] dati personali, in particolare quelli sulla salute […] soltanto nella misura in cui sono indispensabili in relazione all’obiettivo dello studio, […], esclusivamente in funzione della realizzazione dello studio e a fini di farmacovigilanza”.
Ebbene, nel corso degli anni, con specifico riguardo alla titolarità dei dati trattati, questa formulazione eccessivamente stringata (e a nostro avviso non proprio felice) è stata copiata pedissequamente e in maniera del tutto acritica nelle informative privacy per i pazienti arruolati nei progetti di ricerca clinica, finendo per aumentare negli operatori del settore i dubbi interpretativi.
La situazione si è ulteriormente aggravata in questi ultimi mesi, in occasione del doveroso ripensamento di tali informative, a seguito e per effetto dell’introduzione della c.d. “informativa rafforzata” ex art. 13 del Gdpr (rafforzata, in quanto contenente un maggior numero di informazioni utili rispetto alla versione precedente).
In particolare, nei format rivisti dagli uffici legali dei centri clinici, sono comparse forme di “contitolarità” – tra il centro stesso e il promotore dello studio – in merito ai dati sanitari dei pazienti trattati solo per finalità di ricerca scientifica, con tutte le conseguenze che ne conseguono (anche, ad esempio, in termini di obbligo di stipula di un dettagliato accordo interno ex art. 26 del Gdpr, da mettere a disposizione dell’interessato); oppure, si è arrivati a sostenere che il paziente, in caso di problemi o doglianze, dovesse rivolgersi al Responsabile della protezione dei dati (di seguito, l’“Rpd”) dell’ospedale e non, invece, a quello dell’ente promotore.
La causa di queste impostazioni a nostro avviso non corrette non è soltanto da ricercarsi nella criptica e infelice formula presente nelle Linee guida del 2008, bensì anche in una certa confusione sulle diverse finalità del trattamento perseguite, rispettivamente, dall’azienda sanitaria e dal promotore.
Difatti, in primo luogo il paziente si reca in ospedale per curarsi e quest’ultimo, quale titolare del trattamento di siffatti dati sulla salute per finalità terapeutiche, è tenuto a rilasciare un’apposita informativa in tal senso.
Tuttavia, nella medesima circostanza (o successivamente), può accadere che lo stesso paziente possa decidere (anche) di aderire ad uno studio scientifico, ideato dal promotore (che, salvo rare eccezioni, è altro soggetto rispetto al centro ospedaliero e che sta conducendo la ricerca presso il centro dove è ricoverato il paziente e/o altri centri clinici, come nel caso di studi multicentrici), il quale assumerà la qualifica di autonomo titolare del trattamento, per scopi di ricerca, degli stessi dati sanitari (o di parte di essi) contestualmente trattati dal centro per finalità di cura.
Da quanto illustrato si evince che l’ospedale e l’ente promotore si trovano a trattare i medesimi dati sulla salute del paziente, ma lo fanno per due finalità assolutamente diverse, ossia la cura e la ricerca medica; conseguentemente anche le rispettive informative devono essere diverse, nonché riportare informazioni diverse e indicare titolari del trattamento e RPD diversi.
Dati e studi: non c’è contitolarità del trattamento
Così ragionando, non ha senso e non appare corretto impostare l’informativa privacy da rilasciare ai pazienti di uno studio scientifico, prevedendo la contitolarità del trattamento per finalità di ricerca tra il promotore e l’ospedale; a meno che quest’ultimo non agisca da vero e proprio co-promotore, partecipando realmente all’attività scientifica e condividendo scelte di fondo e modalità operative con l’ente promotore.
In altri termini, il fatto che nelle Linee guida del 2008 sia scritto che il centro medico (dove si raccolgono i dati per lo studio) e il promotore trattino i dati sanitari ciascuno per gli ambiti di propria competenza, non vuole di certo significare che detti soggetti sono contitolari del trattamento per finalità di ricerca, bensì esattamente il contrario, ossia che gli stessi sono autonomi titolari del trattamento per scopi, rispettivamente, di cura e di attività scientifica.
Pertanto, nell’informativa privacy da fornire al paziente che accetta di essere arruolato nell’ambito di uno studio clinico, quest’ultimo deve avere ben presente che il titolare del trattamento è l’ente promotore (anche se i dati sulla salute vengono raccolti presso l’ospedale) e che l’RPD da contattare in caso di problemi e/o segnalazioni è quello nominato dall’ente promotore (salvo le rare ipotesi in cui il centro clinico sia esso stesso ideatore e conduttore, insieme al promotore, del progetto di ricerca scientifica, assumendo la veste di co-promotore).
Pertanto, al fine di evitare impostazioni non corrette (e, soprattutto, non rispondenti alla realtà) nella stesura delle informative per i pazienti che aderiscono agli studi, sarebbe davvero auspicabile un nuovo provvedimento del Garante che chiarisse tale delicata questione, anche alla luce delle novità introdotte dalla normativa europea recentemente entrata in vigore; ciò con lo scopo di dissipare tutti gli ostacoli e le incertezze che ancora oggi gli operatori del settore si trovano ad affrontare, in un comparto di particolare e strategica rilevanza come quello della ricerca scientifica in campo medico.
