L’art. 110 del Codice della Privacy pone il Titolare, l’Autorità Garante e gli operatori di fronte a problematiche complesse e talvolta insormontabili, tali da frenare lo sviluppo stesso della ricerca, in particolare nel settore medico, biomedico ed epidemiologico

L’articolo 110 del Codice della Privacy – D. lgs. 196 del 2003 e s.m.i. – stabilisce il rigoroso rispetto di alcuni adempimenti per il trattamento dei dati relativi alla salute a fini di ricerca medica, biomedica ed epidemiologica, senza che sia necessario raccogliere il consenso dell’interessato ovvero:

• quando la ricerca è effettuata in base a disposizioni di legge o di regolamento o al diritto dell’Unione europea in conformità all’articolo 9, paragrafo 2, lettera j), del Regolamento, ivi incluso il caso in cui la ricerca rientri in un programma di ricerca biomedica o sanitaria previsto ai sensi dell’articolo 12-bis del decreto legislativo 30 dicembre 1992, n. 502, ed è condotta e resa pubblica una valutazione d’impatto ai sensi degli articoli 35 e 36 del Regolamento;
• quando, a causa di particolari ragioni, informare gli interessati risulti impossibile o implichi uno sforzo sproporzionato, oppure rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca.

Gli adempimenti in capo al Titolare del trattamento

In detti casi, vengono espressamente stabiliti gli adempimenti che il Titolare del trattamento deve attuare.

Il primo di essi è l’adozione da parte del Titolare di misure adeguate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato.

È inoltre necessario il parere favorevole del programma di ricerca del comitato etico competente territorialmente e dell’Autorità Garante; quest’ultima interpellata mediante la consultazione preventiva di cui all’art. 36 del GDPR.

Il Titolare deve altresì rispettare anche le prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica, allegato n. 5 al Provvedimento che individua le prescrizioni contenute nelle Autorizzazioni generali che risultano compatibili con il Regolamento e con il d.lgs. n. 101/2018 di adeguamento del Codice, del 5 giugno 2019 (doc. web 9124510), nonché i parametri di cui all’art. 89 GDPR per come meglio definiti nelle regole deontologiche per trattamenti a fini statistici o di ricerca scientifica adottate dal Garante, ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101, con provvedimento n. 515, del 19 dicembre 2018 (doc. web n. 9069637).

Il tema dell’anonimizzazione

Premesso quanto sopra, il Titolare del trattamento, all’esito della ricerca clinica ed al termine del periodo di conservazione, in alternativa all’eliminazione dei dati in questione, può decidere di conservare gli stessi, per specifiche e tassative finalità (es. per finalità statistiche), per poter valutare le risultanze dello studio, per fornire contributi in ordine al miglioramento dei protocolli scientifici e per esigenze di ricerca in generale. In tali ipotesi i dati devono essere inevitabilmente sottoposti ad anonimizzazione, così da elidere la possibilità di re-identificazione degli interessati.

Il tema dell’anonimizzazione è stato oggetto di vari dibattiti ed analisi, quali ad esempio il Parere 05/2014 dell’allora WP29, nel cui ambito vengono analizzati i pro e i contro delle singole tecniche, giungendo alla conclusione che:

• non esiste un’unica tecnica di anonimizzazione di per sé valida, efficace, universale. In base alle caratteristiche del set dei dati di partenza e dell’obiettivo perseguito, può risultare più adeguata una tecnica rispetto ad un’altra, oppure un insieme di tecniche rispetto all’utilizzo di una sola;
• il Titolare deve sempre dimostrare la propria accountability, essendo l’anonimizzazione un trattamento a tutti gli effetti, sebbene spesso venga percepita – erroneamente – come una mera misura di sicurezza.

Il paradosso tra la teoria e la pratica

Ebbene, proprio il trattamento dell’anonimizzazione conduce al paradosso tra la teoria e la pratica.

Invero, il Titolare, nel settore della ricerca clinica, effettua trattamenti per periodi temporali molto spesso ampi (15-20 anni) e, deve fornire ex ante all’Autorità Garante una procedura dettagliata su come intenderà anonimizzare i dati nel prosieguo del trattamento, prevedendo non solo la metodologia scelta, bensì anche le misure di valutazione del rischio in fase dinamica e tutti i presidi di sicurezza atti a comprovare il rispetto delle misure appropriate di cui sopra.

Il paradosso consiste nel fatto che ad oggi non è dato sapere quale sarà l’evoluzione tecnologica nei prossimi anni, con la conseguenza che le tecniche e le misure previste in una procedura oggi ben potrebbero (rectius potranno) rilevarsi del tutto inadeguate a distanza di anni.

A rendere più complicata la questione vi è anche un ulteriore aspetto.

In un provvedimento relativo all’Azienda Ospedaliera Universitaria Integrata di Verona (docweb. 9791886 del 30.06.2022), l’Autorità Garante è entrata nel merito anche della scelta della tecnica statistica di anonimizzazione, al fine di ridurre al minimo il rischio di re-indentificazione dell’interessato, stabilendo, per la fase successiva all’applicazione delle tecniche previste, i parametri in funzione dei quali, al presentarsi di eventi singolari, il Titolare debba procedere ad una nuova valutazione dei rischi.

Tenuto conto anche del paradosso “pratico temporale” degno della nota trilogia cinematografica “Ritorno al Futuro”, è fondamentale, quindi, per il Titolare:

• procedere con una mappatura adeguata dei dati oggetto dello studio clinico con riferimento al risultato statistico perseguito,
• scegliere il metodo di anonimizzazione più adatto, redigendo una specifica procedura che sia coerente con le misure adeguate per tutelare i diritti e le libertà degli interessati, per come determinate nell’ambito della valutazione d’impatto, ed
• impostare anche, in chiave di Privacy by design e by default, di cui all’art. 25 GDPR, l’impossibilità di re-identificare gli interessati.

Conclusioni

Risulta evidente come per dar seguito a quanto sopra sarà necessario per il Titolare avvalersi di figure professionali dotate di competenze tecniche specifiche e con un’accurata conoscenza delle tecniche di anonimizzazione e delle loro possibili correlazioni ed integrazioni per scegliere, caso per caso, la metodologia migliore, che si interfaccino in modo complementare con quelle giuridiche; è sicuramente un nuovo settore di lavoro che darà vita a nuove questioni e quindi a nuove opportunità.

In conclusione, guardando il tutto nell’ottica ottimistica del consulente che vuole risolvere il problema, parafrasando una nota battuta del film “Ritorno al Futuro” potremo trasformare il copione in:

“Doc abbiamo un problema” e farlo diventare: “Doc abbiamo delle nuove opportunità”.

Emanuele Citro
Legal Team Inveo Advisory