Questo articolo è stato pubblicato su AboutPharma Online il 14 marzo 2019.
Le discipline previste dal Ctr e dal Gdpr trovano simultanea applicazione nell’ambito della sperimentazione clinica. La Commissione europea ha pertanto ritenuto opportuno consultare l’Edpb per chiarire l’interazione ed il coordinamento tra le due normative. In questo modo, i soggetti interessati a condurre una sperimentazione clinica possono adeguarsi a tali previsioni normative con maggiore consapevolezza, in vista dell’effettiva applicazione del Ctr che è attesa a partire dal 2020, a seguito della predisposizione del portale e della banca dati delle sperimentazioni cliniche dell’Ue.
In questo parere, l’Edpb si è concentrato sull’individuazione della corretta base giuridica per il trattamento dei dati dei pazienti nel corso delle sperimentazioni cliniche (uso primario) e per eventuali trattamenti degli stessi dati per diverse finalità scientifiche (uso secondario), arrivando ad identificare casi in cui il consenso del partecipante può non ritenersi necessario.
Occorre precisare che le indicazioni dell’Edpb dovranno necessariamente essere integrate con la normativa nazionale in materia di trattamento dei dati relativi alla salute, adottata ai sensi dell’articolo 9, comma 4 del Gdpr e in particolare con quanto previsto dall’articolo 2-septies del nuovo codice privacy, in base al quale il Garante per la protezione dei dati personali adotta provvedimenti che indichino le misure di garanzia da adottare: a tal proposito, la bozza del Provvedimento del Garante del 13 dicembre 2018, oggetto di consultazione pubblica, ha individuato le prescrizioni delle autorizzazioni generali previgenti che possono essere ritenute compatibili con il Gdpr. O ancora, ad esempio, tenendo conto di quanto previsto dall’articolo 110 bis del nuovo codice privacy, il quale prevede l’autorizzazione del Garante, nel caso in cui il trattamento ulteriore per finalità scientifica sia svolto da parte di soggetti terzi, diversi dal titolare che ha trattato i dati per le finalità primarie.
Uso primario dei dati: trattamento nell’ambito delle finalità previste dal protocollo di ricerca
Nell’ambito del cosiddetto uso primario, l’Edpb ha ritenuto opportuno distinguere due principali tipologie di trattamento. Le attività poste in essere per finalità di affidabilità e sicurezza e quelle realizzate specificamente per scopi di ricerca nell’ambito della sperimentazione.
Nel primo caso, la base giuridica per il trattamento dei dati è stata individuata dall’Edpb nell’articolo 6(1)(c) del Gdpr, ossia nella necessità per il titolare del trattamento di adempiere ad obblighi previsti dalla legge (es. redazione dei safety reports, archiviazione dei dati nel fascicolo della sperimentazione, comunicazione dei dati alle autorità competenti, etc.). La corrispondente base giuridica applicabile al trattamento di categorie particolari di dati personali, inclusi quelli relativi alla salute, è l’articolo 9(2)(i) del Gdpr che fa riferimento alla necessità del trattamento “per motivi di interesse pubblico nel settore della sanità pubblica come quello … di assicurare standard elevati di qualità e sicurezza dei servizi sanitari, dei medicinali e dei dispositivi medici”.
Differisce, invece, la base giuridica per il trattamento dei dati finalizzato specificamente alla ricerca scientifica nell’ambito degli scopi previsti dal protocollo di ricerca. In questo caso, a seconda delle circostanze specifiche della sperimentazione clinica, il trattamento dei dati può fondarsi sul consenso esplicito del soggetto interessato o su una differente base giuridica, come meglio illustrato di seguito.
Criticità del consenso come base giuridica per il trattamento
Il requisito del consenso informato dei partecipanti è previsto sia dal Ctr che dal Gdpr ma con una logica ed una finalità differenti. Il consenso informato richiesto dal Ctr mira alla salvaguardia della dignità umana e dell’integrità della persona mentre il consenso esplicito nell’ottica del Gdpr è necessario come presupposto per il trattamento dei dati, compresi i dati sanitari. Ai sensi del Gdpr, deve trattarsi di un consenso esplicito, fornito liberamente senza costrizioni, specifico, informato ed univoco. Proprio perché il consenso deve essere concesso liberamente, è necessario che il soggetto interessato abbia un’effettiva possibilità di scelta.
Tuttavia, nel contesto di una sperimentazione clinica, sarebbe paradossale l’ipotesi in cui un soggetto prestasse il proprio consenso alla partecipazione alla sperimentazione ai fini del Ctr e, al contempo, lo negasse per il trattamento dei propri dati, risultando in questo modo di fatto impossibile partecipare alla sperimentazione clinica (che implica necessariamente il trattamento dei dati personali del paziente). Sotto questo profilo, ben difficilmente l’eventuale consenso del partecipante soddisferebbe i requisiti imposti dal Gdpr, prima di tutti quello di essere “libero”.
L’Edpb dubita, inoltre, del fatto che il consenso possa rappresentare una base giuridica idonea in tutte quelle situazioni in cui vi sia uno sbilanciamento di potere tra il soggetto che partecipa alla sperimentazione ed il titolare del trattamento/sponsor, ad esempio nei casi in cui il partecipante alla sperimentazione non versi in buona salute, o appartenga a classi economicamente e socialmente svantaggiate o laddove vi sia una situazione di dipendenza istituzionale o gerarchica.
Pertanto, secondo l’Edpb, il consenso potrebbe non essere un’idonea base giuridica per il trattamento dei dati personali dei partecipanti ad una sperimentazione clinica.
Il trattamento può avvenire su una base giuridica alternativa al consenso
Alla luce delle perplessità in merito alla libertà del consenso nel contesto di una sperimentazione clinica, sembra giuridicamente preferibile l’adozione di differenti basi giuridiche da parte del titolare del trattamento.
L’Edpb suggerisce in particolare le seguenti basi giuridiche:
- L’articolo 6(1)(e) Gdpr che prevede l’ipotesi in cui il trattamento si renda “necessario per l’esecuzione di un compito di interesse pubblico” (ad esempio, nel caso in cui lo svolgimento di una sperimentazione clinica rientri direttamente nel mandato e nei compiti di un organismo pubblico o privato in forza del diritto nazionale).
- L’articolo 6(1)(f) Gdpr, che prevede il caso in cui il trattamento dei dati sia necessario “per il perseguimento del legittimo interesse del titolare del trattamento o di terzi”.
Per il trattamento di categorie particolari di dati personali come i dati genetici e i dati relativi alla salute, la sussistenza di una delle basi giuridiche previste dall’articolo 6 non è tuttavia sufficiente ed occorre combinare, ai fini della legittimità del trattamento, una delle basi del trattamento previste dall’articolo 9 del Gdpr. In particolare, l’Edpb suggerisce alternativamente, a seconda dei casi, la lettera (i), che richiede la sussistenza di un pubblico interesse nell’area della sanità pubblica o la lettera (j), che richiama gli scopi scientifici come obiettivo del trattamento, sempre che siano rispettate le salvaguardie sancite dall’articolo 89 del Gdpr come la pseudonimizzazione dei dati.
Dunque, l’Edpb sembra confermare che sussistono basi giuridiche per il trattamento dei dati dei pazienti nel contesto di una sperimentazione clinica diverse dal consenso e che, dunque, in presenza di tali basi giuridiche, la raccolta del consenso ai sensi del Gdpr non sia necessaria (ma resta essenziale la raccolta del consenso informato ai sensi del Ctr).
Uso secondario dei dati della sperimentazione clinica per diversi scopi scientifici
È possibile che il titolare del trattamento abbia interesse a trattare i dati anche al di fuori del protocollo della sperimentazione clinica per i quali sono stati raccolti. In questo caso, il Ctr richiede che il titolare ottenga un consenso specifico per questa ulteriore finalità.
Ai sensi del Gdpr, si rende quindi necessario individuare una specifica base giuridica per questo ulteriore trattamento, che potrà corrispondere o meno alla base giuridica utilizzata per il trattamento dei dati nel corso della sperimentazione clinica, ossia per l’uso primario. Dunque, laddove altre basi giuridiche non possano ritenersi applicabili a tale uso secondario, il consenso del partecipante potrà tornare ad essere necessario, posto che, in questo diverso scenario, tale consenso possa dirsi rispettoso dei requisiti richiesti dal Gdpr (ossia sia libero, specifico ed informato).
In relazione all’uso secondario dei dati sanitari utilizzati per la sperimentazione clinica per ulteriori finalità di ricerca scientifica, l’Edpb ha chiarito che non è possibile escludere a priori e in via generale la presunzione di compatibilità della medesima con le finalità iniziali secondo quanto previsto dall’articolo 5(1)(b) Gdpr. Pertanto, non si può escludere che il titolare del trattamento possa trattare i dati per una diversa finalità senza dover individuare una nuova base giuridica. Vista la complessità del tema, l’Edpb dovrà pronunciarsi in futuro sull’argomento. Nel frattempo, il comitato non esclude l’applicazione della presunzione di compatibilità anche nel settore della sperimentazione clinica.
