Ricerca clinica, verso una svolta per gli Irccs sull’uso dei dati sanitari?

Condurre uno studio retrospettivo senza dover raccogliere il consenso dei pazienti è possibile per gli Istituti di ricovero e cura a carattere scientifico (Irccs). Ed è quello che ha fatto la Fondazione Irccs Policlinico San Matteo di Pavia nell’ambito dello “Studio retrospettivo monocentrico sull’identificazione delle sfide e dei bisogni insoddisfatti nel percorso diagnostico-terapeutico dei pazienti con tumori delle vie biliari” applicando il disposto dell’art. 110bis, 4° co., del Codice Privacy.

Il quadro regolatorio

L’art 110bis del Codice Privacy, introdotto con il D.lgs. 101/2018, disciplina l’uso secondario o ulteriore dei dati personali per finalità di ricerca scientifica da parte di un Titolare del trattamento diverso da quello che li ha raccolti e si applica nei casi in cui informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca che si intende condurre.

Sulla base dell’articolo, il soggetto terzo che intende trattare dei dati personali per ulteriori attività di ricerca, ove non riesca a raccogliere il consenso degli interessati, è tenuto a adottare misure di sicurezza appropriate e a richiedere un’autorizzazione al Garante Privacy.

Il quarto comma della norma introduce un trattamento di favore nei confronti degli Irccs che trova la sua ratio negli obiettivi propri di questi istituti che riguardano non solo la cura, ma anche la ricerca scientifica. In questi casi, il trattamento dei dati personali per finalità di ricerca scientifica può essere considerato come strumentale rispetto al trattamento primario dei dati per finalità di cura. Coloro che si rivolgono a questi centri dovrebbero pertanto essere consapevoli del possibile utilizzo dei loro dati anche per finalità di ricerca.

L’art. 110bis, 4° co. – che sembra riferirsi non ad un vero e proprio trattamento ulteriore da parte di terzi, ma ad una ridistribuzione interna di dati raccolti per finalità di cura – per molto tempo è rimasto inutilizzato e precisamente sino alla pubblicazione nel 2024 da parte del Garante Privacy delle “Faq – Presupposti giuridici e principali adempimenti per il trattamento da parte degli Irccs dei dati personali raccolti a fini di cura della salute per ulteriori scopi di ricerca”. La scarsa o mancata applicazione di tale norma prima delle Faq è da ricondursi presumibilmente all’atteggiamento conservativo degli operatori del settore e al difficile distaccamento da una visione consenso-centrica.

Le Faq definiscono gli adempimenti burocratici a carico degli Irccs nei casi previsti dalla norma. In particolare, è stato chiarito che per poter fondare il trattamento sull’articolo in esame, gli Irccs devono obbligatoriamente svolgere la Valutazione di impatto sulla protezione dei dati (Dpia) e pubblicarne copia sul proprio sito web, anche per estratto. Rispetto agli obblighi informativi, gli Irccs sono tenuti a dare pubblicità agli interessati delle modalità in cui i dati vengono trattati anche attraverso la pubblicazione dell’informativa privacy sul sito web dell’Istituto.

L’interpretazione fornita dal Garante tramite le Faq sembra superare l’ostacolo della raccolta del consenso pur garantendo la tutela dei diritti degli interessati quantomeno nel caso di uso secondario da parte degli Irccs.

Lo scenario normativo europeo

Il graduale abbandono del consenso quale unica base giuridica per la ricerca scientifica, trova conferma sia nella normativa nazionale ed europea sia nei provvedimenti del European data protection board (Edpb) in evoluzione. Tra queste la proposta di Regolamento Ue Digital Omnibus rivede la definizione di dati pseudonimizzati trasformandoli in dati anonimi ove il terzo che il riceve non disponga di mezzi legali atti a permettere l’identificabilità della persona fisica che si cela dietro quella informazione. Disconoscendo così la tesi per cui la sola esistenza di chiavi di lettura di un dato imporrebbe per sé stessa e indistintamente dal soggetto ricevente l’identificabilità dell’interessato. Sebbene l’Edpb e lo European data protection supervisor suggeriscano di non adottare questa proposta di modifica in quanto atta a ledere i diritti fondamentali degli individui, la modifica alla definizione di dato personale, invece, porterebbe più ampio respiro all’utilizzo secondario di dati sanitari nell’ambito della ricerca scientifica ove supportata da adeguate valutazioni del rischio sotteso alla re-identificazione degli interessati e non solo per alcune categorie di istituti.

L’esperienza del San Matteo

L’Irccs San Matteo di Pavia, in ossequio ai chiarimenti resi dal Garante, per lo studio in questione ha condotto la Dpia pubblicandola per estratto sul proprio sito istituzionale unitamente ad una specifica informativa privacy ai sensi dell’art. 14 del Gdpr identificando quale base giuridica l’art. 110bis, 4° co. del Codice Privacy.

L’Istituto ha definito che la raccolta del consenso per il trattamento dei dati personali è incompatibile con la natura retrospettiva dello studio stesso e che la sua mancata raccolta non ha impatto sui diritti e il benessere dei soggetti interessati dal trattamento. Come buona prassi, inoltre, l’informativa privacy per le prestazioni sanitarie del San Matteo prevede già, al momento della raccolta del dato per finalità di cura, anche il trattamento dei dati dei pazienti per finalità di ricerca scientifica.

Stando all’esperienza dell’Irccs di Pavia, i chiarimenti del 2024 sembrano aver sbloccato l’applicazione dell’art. 110bis, 4° co. del Codice Privacy che potrebbe potenzialmente estendersi anche agli altri istituti sanitari o centri di ricerca sia pubblici sia privati non prettamente qualificati come Irccs. Questo, unitamente alle proposte normative a livello europeo e alla possibilità di considerare un dato pseudonimizzato come anonimo, potrebbero rimettere in discussione la competitività del nostro paese e dell’Ue nel settore della ricerca scientifica.