Le FAQ pubblicate dal Garante privacy chiariscono le regole di trattamento da parte degli Istituti di ricovero e cura a carattere scientifico (IRCCS) dei dati personali raccolti a fini di cura della salute per ulteriori scopi di ricerca scientifica.
Nello specifico, si precisa che, oltre che sul consenso dei partecipanti alla ricerca, gli IRCSS possono fondare il trattamento dei dati personali raccolti a scopo di cura per ulteriori finalità di ricerca sull’art. 110-bis, comma 4 del Codice privacy, in base al quale non costituisce trattamento ulteriore dei dati raccolti per l’attività clinica, quello svolto a fini di ricerca.
Ricordiamo che gli Istituti di ricovero e cura a carattere scientifico (IRCCS) rappresentano pilastri del Servizio sanitario nazionale, operando con autonomia e personalità giuridica per perseguire obiettivi di eccellenza nella ricerca biomedica e nella gestione dei servizi sanitari.
Secondo il decreto legislativo n. 288 del 16 ottobre 2003, gli IRCCS si dedicano alla ricerca clinica e traslazionale e offrono prestazioni di alta specialità.
Indice degli argomenti
La normativa sulla protezione dei dati personali
Gli IRCCS, in qualità di titolari del trattamento dei dati, devono individuare una base giuridica idonea per la gestione dei dati personali ai fini della ricerca scientifica, in linea con le normative vigenti e autorizzate dal Ministero della Salute.
Tale gestione include la necessità di derogare al divieto generale di trattamento di categorie particolari di dati, come quelli sulla salute e, se del caso, quelli genetici.
IRCCS e dati personali: il consenso degli interessati
Gli IRCCS possono fondare i trattamenti sul consenso degli interessati, ai sensi degli artt. 6, par. 1, lett. a) e 9, par. 2, lett. a) del Regolamento.
Tale manifestazione di volontà si differenzia dal c.d. consenso informato all’adesione volontaria alla ricerca da parte degli interessati, previsto dalla specifica disciplina di settore e dai pertinenti standard etici.
Il consenso al trattamento dei dati personali deve godere di particolari caratteristiche; esso deve essere preventivo, specifico (ossia riferito ad un singolo progetto di ricerca, redatto conformemente alla norme di settore), libero, informato (ossia preceduto da idonea informativa sul trattamento), espresso, inequivocabile, reso o documentato per iscritto e sempre revocabile (artt. 6, par. 1, lett. a), 7, 9, par. 2, lett. a) del Regolamento, art. 110 del Codice, art. 7 delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica, All. A5 al Codice).
Alternativa al consenso: l’articolo 110-bis del Codice
Gli IRCCS possono anche basare il trattamento dei dati personali raccolti per scopi di cura per ulteriori finalità di ricerca in campo medico, biomedico ed epidemiologico sull’articolo 110-bis del Codice in materia di protezione dei dati personali, il quale consente l’utilizzo dei dati raccolti per scopi di cura anche per ulteriori finalità di ricerca senza costituire un nuovo trattamento.
Nello specifico, si precisa che “non costituisce trattamento ulteriore da parte di terzi il trattamento dei dati personali raccolti per l’attività clinica, a fini di ricerca, da parte degli Istituti di ricovero e cura a carattere scientifico, pubblici e privati, in ragione del carattere strumentale dell’attività di assistenza sanitaria svolta dai predetti istituti rispetto alla ricerca, nell’osservanza di quanto previsto dall’articolo 89 del Regolamento”.
L’art. 110-bis, comma 4 del Codice costituisce una di quelle disposizioni di legge, che si inseriscono nello spazio di normazione lasciato agli Stati membri, ai sensi dell’art. 9, par. 2, lett. j) del Regolamento, alle quali fa riferimento l’art. 110 (primo comma, seconda parte) del Codice nella parte in cui prevede che: “1.
Il consenso dell’interessato per il trattamento dei dati relativi alla salute, a fini di ricerca scientifica in campo medico, biomedico o epidemiologico, non è necessario quando la ricerca è effettuata in base a disposizioni di legge o di regolamento o al diritto dell’Unione europea in conformità all’articolo 9, paragrafo 2, lettera j), del Regolamento, […] ed è condotta e resa pubblica una valutazione d’impatto ai sensi degli articoli 35 e 36 del Regolamento”.
In questo contesto, gli IRCCS devono pubblicare una valutazione d’impatto (VIP) sui propri siti web. Se la pubblicazione integrale della VIP può ledere diritti di proprietà intellettuale, il titolare del trattamento può pubblicarla per estratto.
Il mancato adempimento di tali obblighi comporta l’applicazione di una sanzione amministrativa, ai sensi dell’art. 166, comma 1 del Codice e dell’art. 83, par. 4 del Regolamento.
Obblighi informativi e modalità di raccolta dati
Gli obblighi informativi variano in base alla modalità di raccolta dei dati: se raccolti direttamente dagli interessati, l’IRCCS deve fornire informazioni chiare e intelligibili prima della raccolta.
Se i dati provengono da banche dati interne o da terzi, le informazioni possono essere rese pubbliche attraverso il sito web del promotore e, in caso di studi multicentrici, anche sui siti web dei centri partecipanti.
Conclusione
Gli IRCCS, quindi, svolgono un ruolo cruciale nella ricerca scientifica, bilanciando l’avanzamento delle conoscenze mediche con il rispetto della privacy dei pazienti.
La normativa fornisce un quadro chiaro per garantire che il trattamento dei dati personali avvenga in modo conforme, proteggendo al contempo i diritti degli interessati.
