Deliberazione
N. 52 del 24 Luglio 2008. Garante per la Protezione dei Dati Personali
Gazzetta Ufficiale n.190 del 14 agosto 2008
IL
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente,
del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Giuseppe
Fortunato, componente, e del dott. Giovanni Buttarelli, segretario generale;
Vista la deliberazione 29 novembre 2007, n. 62, con la quale l'Autorita'
ha avviato una procedura di consultazione pubblica su un documento, adottato
in pari data, contenente «Linee guida per i trattamenti di dati
personali nell'ambito delle sperimentazioni cliniche di medicinali»
e pubblicato, unitamente alla medesima deliberazione, sul sito web dell'Autorita';
Visti i commenti e le osservazioni pervenuti a questa Autorita' a seguito
della consultazione pubblica per la quale era stato fissato il termine
del 15 febbraio 2008;
Considerate le risultanze degli incontri intercorsi con i rappresentanti
di categoria e con altri enti e organismi che hanno partecipato alla consultazione
pubblica;
Ritenuto, in base agli approfondimenti svolti, di individuare un quadro
unitario di misure e accorgimenti necessari e opportuni volti a fornire
orientamenti utili per i promotori e gli altri operatori che, a vario
titolo, intervengono nelle sperimentazioni cliniche riguardo al trattamento
dei dati delle persone coinvolte;
Visto il Codice in materia di protezione dei dati personali (decreto legislativo
30 giugno 2003, n. 196);
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio formulate dal segretario generale ai
sensi dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore il dott. Giuseppe Chiaravalloti;
Delibera:
a) di adottare in via definitiva le «Linee guida per i trattamenti
di dati personali nell'ambito delle sperimentazioni cliniche di medicinali»
unitamente ad un modello di riferimento per l'informativa e la manifestazione
del consenso al trattamento dei dati personali, contenuti nei documenti
allegati quali parti integranti della presente deliberazione (Allegati
A e n. 1);
b) che copia della presente deliberazione, unitamente ai menzionati allegati,
sia trasmessa al Ministero della giustizia - Ufficio pubblicazione leggi
e decreti, per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica
italiana, ai sensi dell'art. 143, comma 2, del Codice;
c) che copia dei predetti documenti sia, altresi', trasmessa per opportuna
conoscenza, al Ministero della salute, all'Istituto superiore di sanita',
all'Agenzia italiana del farmaco e alla Conferenza Stato-Regioni.
Roma, 24 luglio 2008
Il presidente
Pizzetti
Il
relatore
Chiaravalloti
Il
segretario generale
Buttarelli
ALLEGATO
A
1. Considerazioni preliminari
Gli studi condotti su esseri umani nell'ambito della sperimentazione clinica
mirano a scoprire o verificare gli effetti di medicinali sperimentali,
compresa qualsiasi reazione avversa, al fine di accertarne la sicurezza
e l'efficacia. Tali studi vengono generalmente promossi da una societa'
farmaceutica (committente o sponsor, di seguito individuata come «promotore»)
a livello nazionale e (specie a cura di societa' facenti parte di gruppi
multinazionali) internazionale. A tal fine detto soggetto, dopo aver predisposto
un protocollo che descrive la progettazione, gli obiettivi e la metodologia
della sperimentazione, cura la presentazione alle autorita' competenti
e ai comitati etici interessati della documentazione necessaria all'attivazione
della sperimentazione. Le attivita' collegate allo studio vengono eseguite
presso una o piu' strutture ospedaliere o universitarie o istituti di
ricerca pubblici o privati autorizzati in base alla legge (centri di sperimentazione)
e appositamente individuati dalle societa' committenti. Vengono raccolti,
in conformita' al protocollo e a piu' riprese nel corso dello studio,
varie informazioni di carattere medico/clinico e i campioni biologici
delle persone che accettano di far parte dello studio tramite visite mediche
e accertamenti diagnostici effettuati da medici sperimentatori. A queste
informazioni non ha accesso soltanto il personale sanitario operante presso
i centri. Il promotore supervisiona, infatti, l'andamento dello studio,
per garantire che esso venga effettuato in osservanza del protocollo.
Cio', avvalendosi di propri collaboratori (clinical study monitor) i quali,
nell'ambito della loro attivita' di monitoraggio, visitano i centri di
sperimentazione e, se necessario, esaminano la documentazione medica originale
degli individui partecipanti allo studio messa a loro disposizione dai
medici (ad es. cartelle ospedaliere, registri clinici, note di laboratorio,
referti ecc.). Le informazioni medico/cliniche raccolte da medici sperimentatori
presso ciascun centro vengono trasmesse al promotore a piu' riprese nel
corso dello studio, ovvero al termine della sperimentazione presso il
centro. Conclusa la fase della sperimentazione presso il centro, le medesime
informazioni sono normalmente inserite dal promotore, direttamente o tramite
soggetti esterni di cui si avvale, su un data-base unico attraverso il
quale viene effettuato il controllo e la validazione dei dati e, successivamente,
l'elaborazione statistica, con l'obiettivo di conseguire i risultati dello
studio da documentare poi in un rapporto. Negli studi promossi da promotori
che operano nell'ambito di gruppi multinazionali, il destinatario dei
dati medico/clinici raccolti dai medici sperimentatori e' solitamente
la societa' capogruppo che puo' avere sede al di fuori del territorio
nazionale. Inoltre, i promotori si avvalgono sovente di soggetti esterni
(clinical study monitor, organizzazioni di ricerca a contratto, laboratori
di analisi, ecc.) che possono risiedere in Paesi anche al di fuori dell'Unione
europea, per svolgere uno o piu' compiti relativi all'esecuzione della
sperimentazione (ad es., il monitoraggio dello studio, l'inserimento,
la validazione e l'analisi statistica dei dati, la farmacovigilanza, l'esecuzione
degli esami clinici e di laboratorio previsti dal protocollo). Cio', comporta
che numerose informazioni o campioni biologici vengano condivisi tra diverse
categorie di soggetti che possono accedervi o averne la disponibilita'
e che possono essere situati anche in Paesi terzi che non offrono un livello
di protezione adeguato dei dati personali (il promotore; gli addetti al
monitoraggio dello studio; i soggetti esterni che collaborano con il promotore
per l'inserimento dei dati e il loro trattamento statistico; il laboratorio
di analisi, ecc.). Al fine di confermare la validita' della conduzione
dello studio e l'integrita' dei dati raccolti anche in occasione di eventuali
verifiche da parte delle autorita' dotate di poteri ispettivi, le informazioni
ottenute nel corso dello studio sono oggetto di conservazione per un periodo
di tempo considerevole dopo il completamento della sperimentazione. In
base agli approfondimenti svolti, la raccolta, la circolazione e la conservazione
massiva, anche in Paesi terzi, di molteplici informazioni attinenti alla
salute e, in alcuni casi, alla vita sessuale, delle persone coinvolte
in sperimentazioni cliniche presentano vari aspetti di criticita' con
riferimento alla protezione dei dati personali e necessitano, pertanto,
dell'adozione di elevate cautele volte a prevenire rischi specifici per
gli interessati. Al fine di individuare tali cautele, l'Autorita' ha svolto
preliminarmente alcuni accertamenti ispettivi presso talune societa' farmaceutiche;
ha indetto una specifica consultazione pubblica su un documento articolato
indicante le misure e gli accorgimenti ritenuti allo stato idonei per
il trattamento dei dati nell'ambito delle sperimentazioni cliniche di
medicinali; ha, infine, effettuato diversi altri approfondimenti, anche
di carattere tecnico, con i principali organismi interessati alla consultazione,
volti a verificare i profili critici evidenziati nelle osservazioni pervenute
all'Autorita'. Le cautele ipotizzate in sede di consultazione pubblica
hanno trovato conforto all'esito della stessa e degli specifici approfondimenti
tecnici svolti successivamente. Tutte le riflessioni e i commenti pervenuti
sono stati comunque oggetto di specifica analisi e considerazione nell'elaborazione
delle presenti «Linee guida» che recano alcune circoscritte
modifiche rispetto al precedente documento, giustificate dall'idoneita'
delle osservazioni formulate. Le presenti «Linee guida» sono
pertanto rivolte a individuare gli accorgimenti e le misure necessari
e opportuni riguardo al trattamento dei dati personali dei partecipanti
a sperimentazioni cliniche da parte dei promotori degli studi. Gli accorgimenti
e le misure indicati vanno, altresi', prese in considerazione da tutti
gli altri titolari di trattamenti di dati personali effettuati a fini
di sperimentazione clinica, quali promotori diversi dalle societa' farmaceutiche,
organizzazioni di ricerca a contratto e centri di sperimentazione. Prima
di indicare quali cautele risultano idonee a seguito del complesso procedimento
curato dal Garante, sono necessarie alcune premesse sulla natura dei dati
trattati, sul ruolo dei promotori e degli altri soggetti coinvolti nelle
sperimentazioni cliniche di medicinali rispetto al trattamento dei medesimi
dati, nonche' sul quadro normativo di base al quale occorre fare riferimento
per un trattamento lecito e corretto dei dati.
2. Normativa applicabile
Gli studi condotti nell'ambito della sperimentazione clinica devono essere
gestiti nel rispetto dei principi etici i quali traggono origine dalla
Dichiarazione di Helsinki (fatta nel giugno 1964, e successive modificazioni),
dei requisiti previsti dagli standard internazionali di buona pratica
clinica (Gcp) adottati anche dall'Unione europea (e recepiti nell'ordinamento
italiano, v. decreto legislativo 6 novembre 2007, n. 200; decreto legislativo
24 giugno 2003, n. 211; decreto ministeriale 15 luglio 1997 e, da ultimo,
decreto ministeriale 21 dicembre 2007) e delle procedure operative standard
delle societa' promotrici (Sop). Il centro di sperimentazione deve condurre
lo studio in conformita' al protocollo e alle procedure operative standard
del promotore e non puo' discostarsi in alcun modo da essi, ne' apportarvi
modifiche, senza accordo con il promotore stesso. Cio', eccetto casi eccezionali
correlati al sorgere di rischi immediati per gli individui inclusi nella
sperimentazione o a cambiamenti implicanti solo aspetti marginali dello
studio (art. 10, comma 1, lettera a), decreto legislativo n. 211/2003;
decreto ministeriale 15 luglio 1997, all. 1/1B punto 1.38, all. 1/4A punto
4.5.1. e 4.5.2, all. 1/5A punto 5.1 e all. 1/5B punto 5.20). La normativa
applicabile prevede diverse ipotesi in cui le informazioni medico/cliniche
raccolte dal centro devono essere comunicate al promotore dello studio.
Si tratta in primo luogo dei dati medico/clinici riferiti a ciascun partecipante
allo studio i quali devono essere registrati dal medico su schede raccolta
dati (Crf) trasmesse al promotore della sperimentazione (decreto ministeriale
15 luglio 1997, all. 1/1A punto 1.11). I centri sono tenuti, inoltre,
a notificare al promotore le reazioni e gli eventi avversi (Ae e Adr),
correlabili alla somministrazione del medicinale in sperimentazione o
comunque al suo svolgimento, insieme a ogni altra informazione pertinente
di follow-up (articoli 16, 17 e 18 decreto legislativo 24 giugno 2003,
n. 211). Al fine di tutelare l'identita' delle persone coinvolte nello
studio la medesima normativa prevede che il centro partecipante alla sperimentazione
debba assegnare un codice di identificazione a ciascun interessato, al
momento del suo coinvolgimento, e utilizzarlo al posto del relativo nominativo
in ciascuna comunicazione al promotore di dati collegati allo studio (decreto
ministeriale 15 luglio 1997, all. 1/1B punto 1.58 e all. 1/4B punto 4.11.1,
v. anche art. 16, comma 5, decreto legislativo n. 211/2003). Una lista,
che consente di associare ai codici i dati nominativi dei pazienti, e'
detenuta esclusivamente da ciascun centro di sperimentazione che la custodisce
come documento riservato essenziale alla conduzione dello studio clinico
(decreto ministeriale 15 luglio 1997, all. 1/1A punti 1.21 e 1.23, all.
1/2 punto 2.11, all. 1/4B punto 4.9.4 e 4.9.5, all. 1/5A punto 5.5.12,
all. 1/8 punto 8.1 e 8.4.3). Anche le schede raccolta dati, le segnalazioni
e i rapporti relativi agli eventi e alle reazioni avversi, in quanto documenti
essenziali alla conduzione dello studio, devono essere conservati, in
base alla citata normativa, sia presso il promotore, sia presso i singoli
centri, per un periodo di tempo non inferiore a sette anni dal completamento
della sperimentazione, ovvero per un periodo piu' lungo richiesto da altre
disposizioni applicabili o da un accordo tra il promotore e detti centri
(art. 18 decreto legislativo n. 200/2007; decreto legislativo n. 219/2006,
all. 1, punto 5.2, lettera c); decreto ministeriale 15 luglio 1997, all.
1/4B, punto 4.9.4, 4.9.5, 5.5.11 e 5.5.12).
3. Natura dei dati trattati
I promotori hanno sviluppato in genere specifiche procedure interne per
consentire ai medici sperimentatori di codificare i dati medico/clinici
delle persone coinvolte nello studio: solitamente, si utilizzano codici
numerici che consentono di identificare univocamente i singoli interessati
all'interno dello stesso studio, senza utilizzare il nominativo, l'indirizzo
o numeri di identificazione personale. Tuttavia, alcuni promotori stabiliscono
nel protocollo dello studio che i medici sperimentatori debbano registrare
sulle schede raccolta dati e sulle segnalazioni di reazioni e eventi avversi
- da trasmettere ai primi - le iniziali del nome e cognome dei singoli
individui partecipanti, oltre ai rispettivi codici identificativi. Inoltre,
in base alle finalita' della ricerca e alle caratteristiche dello studio,
il protocollo puo' prevedere che i medici raccolgano informazioni ulteriori
rispetto ai dati medico/clinici riferiti agli interessati, quali dati
di carattere demografico (data di nascita e/o eta', sesso, origine etnica,
peso e statura) o relativi alla storia medica dei soggetti, agli stili
di vita o alla vita sessuale. Queste informazioni, riportate sui documenti
essenziali alla conduzione dello studio, sono conservate dai centri partecipanti
e dal promotore per un periodo di tempo che, a seconda della disciplina
applicabile, puo' essere collegato all'intera durata dell'autorizzazione
all'impiego del medicinale nei diversi Paesi. Sebbene sia previsto che
soltanto ciascun centro abbia la disponibilita' della lista che consente
di associare il nominativo della persona al relativo codice identificativo
e che il promotore non debba venire a conoscenza della sua identita',
quest'ultimo, tramite propri collaboratori addetti al monitoraggio, nell'ambito
delle visite effettuate presso il centro di sperimentazione volte a controllare
che lo studio e' effettuato in osservanza del protocollo, ha tuttavia
accesso sotto il controllo dei medici alla documentazione sanitaria originale
delle persone coinvolte nello studio (per verificare l'accuratezza e la
completezza dei dati), nonche' alla lista contenente i dati nominativi
degli interessati (per controllare le procedure riguardanti l'acquisizione
del consenso informato). Va, inoltre, rilevato che tra le informazioni
raccolte nel corso degli studi in esame compaiono, in genere, uno o piu'
elementi specifici caratteristici dell'identita' delle persone coinvolte
(ivi compresa la statura o particolari patologie). Come confermato dalle
indicazioni formulate dal Gruppo dei garanti europei nel Parere n. 4/2007
(Wp 136) sulla definizione di dato personale, la combinazione di tali
elementi e' suscettibile di consentire il riconoscimento dell'interessato
(ad esempio, mediante combinazione delle iniziali del nome e del cognome
della persona con la data di nascita o con la sua collocazione geografica
desumibile dai dati identificativi del centro di sperimentazione e del
medico sperimentatore). Le modalita' di codifica previste dai promotori
rappresentano una specifica cautela adottata in applicazione delle disposizioni
normative vigenti a tutela della riservatezza degli individui partecipanti
a uno studio clinico che pero' non e', di per se', tale da rendere anonimi
i dati oggetto di trattamento nell'ambito della sperimentazione (art.
16, comma 5, decreto legislativo n. 211/2003; decreto ministeriale 15
luglio 1997, all. 1/1B punto 1.58 e all. 1/4B punto 4.11.1; v. anche autorizzazione
del Garante n. 2/2008 al trattamento dei dati idonei a rivelare lo stato
di salute e la vita sessuale, specie punto 1.2, lettera a), disponibile
sul sito Internet dell'Autorita', doc. web n. 1529389). Le predette modalita'
di utilizzo del codice identificativo mirano, del resto, a consentire,
in base alla specifica disciplina applicabile, l'identificazione della
singola persona in casi determinati; ad esempio, per consentire al medico
sperimentatore, che e' il solo ad avere un contatto diretto con il paziente,
di modificare o interrompere la terapia farmacologica somministrata in
caso di eventi o reazioni avversi; oppure, per permettere agli addetti
al monitoraggio di controllare, per conto del promotore, l'accuratezza
e la completezza delle informazioni raccolte verificandone la corrispondenza
con quelle contenute nella documentazione medica originale degli individui
partecipanti; o, ancora, per consentire al promotore di utilizzare le
informazioni raccolte per difendere i propri diritti nell'ambito di eventuali
azioni legali. Analogamente, ai fini delle valutazioni da operare sull'identificabilita',
vanno tenuti in considerazione il tempo di conservazione della lista di
identificazione, gli eventuali rischi di disfunzione o malfunzionamento
delle misure tecnico-organizzative eventualmente adottate per la custodia
e la sicurezza dei dati e quelli di violazione delle regole di riservatezza
e confidenzialita' previste dalle disposizioni normative applicabili (articoli
3, comma 1, lettera c) e 11, comma 3, decreto legislativo n. 211/2003),
nonche' le precauzioni che gli addetti al monitoraggio sono tenuti a utilizzare
per mantenere riservata l'identita' delle persone che si sottopongono
alla sperimentazione (decreto ministeriale 15 luglio 1997, all. 1/1A punto
1.21 e all. 1/2, punto 2.11). La quantita' e la tipologia di informazioni
fornite al promotore, le modalita' di trattamento previste e le diverse
categorie di soggetti che possono accedere ai dati della sperimentazione
comportano, quindi, la possibilita' di identificare gli interessati, sia
pure indirettamente, mediante il riferimento ad altre informazioni detenute
dal promotore medesimo o a qualsiasi altra informazione non necessariamente
nella disponibilita' di quest'ultimo, ma detenuta da terzi. Cio', considerando,
in conformita' alla disciplina comunitaria, l'insieme dei mezzi che possono
essere ragionevolmente utilizzati dal promotore, come pure da soggetti
terzi, per identificare gli interessati (considerando 26 della direttiva
95/46/Ce). Pertanto, le informazioni collegate al codice identificativo
di ciascun paziente sono da ritenere dati personali idonei a rivelare
lo stato salute e, in qualche caso, la vita sessuale del singolo interessato
(articoli 2, al. 1, lettera a) e 8 direttiva 95/46/Ce; art. 4, comma 1,
lettera b) e d), del Codice). La loro acquisizione da parte del promotore
nell'ambito delle sperimentazioni cliniche e le successive attivita' svolte
su questi ultimi configurano un trattamento di dati al quale e' applicabile
la disciplina del Codice sulle informazioni sensibili (art. 26), nonche'
le ulteriori cautele poste a tutela dei diritti e della riservatezza degli
interessati dall'autorizzazione del Garante n. 2/2008 al trattamento dei
dati sulla salute e sulla vita sessuale (Provv. 19 giugno 2008, n. 33,
doc. web n. 1529389) e, ove applicabile, dall'autorizzazione del Garante
al trattamento dei dati genetici (Provv. 22 febbraio 2007, doc. web n.
1389918).
4. Notificazione
Alcuni trattamenti effettuati nell'ambito delle sperimentazioni cliniche
di medicinali sono soggetti all'obbligo di notificazione al Garante. Si
tratta, in particolare, dei trattamenti di dati che ricadono nelle ipotesi
considerate dall'art. 37, comma 1, del Codice, vale a dire quelli relativi
a dati genetici, oppure effettuati a fini di indagine epidemiologica (art.
37, comma 1, lettera a) e b)). Il Garante ha sottratto dall'obbligo di
notificazione alcuni tra i trattamenti che rientrano in tali ipotesi,
individuando i presupposti in base ai quali non devono essere notificati
i trattamenti riguardanti dati genetici o finalizzati a indagini epidemiologiche
effettuati da esercenti le professioni sanitarie anche in forma associata
(Provv. 31 marzo 2004, doc. web n. 852561). A proposito di tali categorie
di trattamenti, va nuovamente rilevato che l'esonero disposto da questa
Autorita' opera soltanto nei riguardi di quelli eventualmente effettuati
da medici sperimentatori per attivita' di cura della salute associate
alle sperimentazioni cliniche, sempre che si tratti di trattamenti non
sistematici e non organizzati in banche dati accessibili a terzi per via
telematica. Si pensi, ad esempio, al caso del medico che, nell'ambito
delle visite o degli accertamenti diagnostici previsti in uno studio clinico,
venga a conoscenza e tratti saltuariamente, senza trasmetterle al committente
dello studio, informazioni di tipo genetico riguardanti le malattie ereditarie
dei pazienti coinvolti, a fini di cura della salute o di tutela dell'incolumita'
fisica degli interessati (cfr. Nota 26 aprile 2004, doc. web n. 996680).
5. Titolarita' dei trattamenti finalizzati alla sperimentazione
Risulta essenziale verificare quale rapporto intercorre tra i promotori
di sperimentazioni cliniche e i centri di sperimentazione, per cio' che
riguarda il trattamento dei dati personali. In questo quadro, occorre
approfondire il ruolo effettivamente svolto da tali societa' per quanto
concerne l'individuazione delle finalita' e delle modalita' del trattamento,
anche alla luce delle delucidazioni fornite dal Garante a proposito della
figura del «titolare» e del «responsabile del trattamento»
(cfr. Parere 18 maggio 2000, doc. web n. 30935). Al riguardo, va evidenziato
che il promotore, prima dell'avvio della sperimentazione, identifica i
possibili centri partecipanti verificandone l'idoneita' e il relativo
interesse; predispone il protocollo da osservare nel corso dello studio;
quindi, impartisce ai centri le necessarie direttive sul trattamento dei
dati, ivi compresi i profili relativi alla loro custodia e sicurezza,
nonche' le istruzioni relative alle modalita' di utilizzo dei sistemi
informativi eventualmente previsti, e, se necessario, forniti al centro;
verifica poi, a mezzo di propri collaboratori, l'osservanza del protocollo
e delle proprie procedure interne da parte del centro; predispone i documenti
da impiegare per informare le persone partecipanti e per ottenerne il
consenso anche per cio' che riguarda il trattamento dei dati che li riguardano;
infine, avverte i centri quando non e' piu' necessario conservare la documentazione
relativa allo studio. Il promotore non effettua, quindi, alcuna attivita'
di raccolta diretta dei dati, ne' puo' interloquire con gli individui
inclusi nella sperimentazione; compiti, questi, spettanti ai medici sperimentatori.
Tuttavia, il promotore acquisisce, come detto, in diverse ipotesi i dati
dei pazienti raccolti dai centri e sugli stessi effettua diverse operazioni
di trattamento; tramite i propri collaboratori addetti al monitoraggio
esamina, infatti, presso i centri le informazioni contenute nella documentazione
medica originale e nella lista di identificazione delle persone coinvolte
nello studio; e' destinatario dei dati registrati da ciascun centro sulle
schede raccolta dati e sulle segnalazioni di reazioni e eventi avversi;
ne cura direttamente, ovvero tramite soggetti esterni ai quali puo' demandare
alcuni o tutti i compiti in materia di sperimentazione, il loro inserimento
sul data-base, nonche' il controllo, la validazione e la successiva elaborazione
statistica dei dati al fine di conseguire i risultati dello studio. D'altra
parte, va rilevato che il centro non e' assoggettato a vincoli di subordinazione
nei confronti del promotore: accetta il protocollo concordandone con il
promotore alcuni aspetti, compresi quelli relativi alla formulazione del
consenso informato delle persone partecipanti in ottemperanza al parere
del comitato etico di riferimento; esegue la sperimentazione con propria
autonomia organizzativa, sebbene nel rispetto del protocollo, delle procedure
operative standard e delle direttive del promotore; per l'esecuzione della
sperimentazione si avvale di collaboratori che ritiene idonei ed e' responsabile
del loro operato; fornisce l'informativa alle persone coinvolte nello
studio e acquisisce il loro consenso anche per cio' che attiene al trattamento
dei dati che le riguardano; permette che i collaboratori del promotore
accedano alla documentazione medica originale dei soggetti coinvolti per
svolgere le attivita' di monitoraggio; gestisce e custodisce sotto la
propria responsabilita' tale documentazione. Dalla ricostruzione delle
attivita' svolte anche nell'ambito degli accertamenti ispettivi effettuati,
i singoli centri di sperimentazione e i promotori hanno in genere responsabilita'
distinte nell'ambito degli studi clinici e si configurano, quindi, quali
autonomi titolari o, a seconda dei casi, contitolari del trattamento (art.
28 del Codice). Per poter effettuare lecitamente il trattamento dei dati
relativi alle sperimentazioni, tali soggetti sono pertanto tenuti al rispetto
delle disposizioni del Codice e delle prescrizioni della citata autorizzazione
generale del Garante con particolare riferimento ai profili relativi alle
modalita' di trattamento e ai requisiti dei dati, alla notificazione all'Autorita',
alla designazione degli incaricati e di eventuali responsabili, nonche'
alla custodia e sicurezza delle medesime informazioni (articoli 11, 29,
30, 31-35, 37 e 38 del Codice; v. anche autorizzazione n. 2/2008 cit.,
specie punto 1.2). La trasmissione dei dati dello studio da parte dei
centri di sperimentazione ai promotori configura una vera e propria «comunicazione»
di dati e un trattamento di dati da parte di terzi, i quali vanno indicati
nominativamente e distintamente nell'informativa agli interessati e nel
modello di consenso, anche per cio' che riguarda l'esercizio del diritto
di accesso e degli altri diritti previsti dagli articoli 7 e 8 del Codice
(articoli 13, 23 e 26 del Codice).
6. Altri soggetti che intervengono nella sperimentazione dei farmaci
Il promotore puo' stipulare un contratto con soggetti esterni (organizzazioni
di ricerca a contratto, laboratori di analisi, ecc.) per demandare loro
alcuni, o tutti i compiti e le funzioni di sua competenza inerenti alle
sperimentazioni di farmaci, specificandoli per iscritto (decreto ministeriale
15 luglio 1997, all. 1/5A, punto 5.2). In tal caso questi soggetti, i
quali possono essere singole persone fisiche ovvero societa', istituzioni
e altri organismi, possono svolgere nell'ambito degli studi clinici attivita'
che, a seconda delle mansioni di volta in volta affidate, comportano il
trattamento di dati personali riferiti ai singoli individui inclusi nelle
sperimentazioni, come accade nelle ipotesi in cui essi vengano incaricati
del monitoraggio degli studi, dell'inserimento, della validazione o dell'analisi
statistica dei dati, ovvero della farmacovigilanza. In tutte queste ipotesi
e' necessario che il promotore definisca chiaramente, nei contratti di
affidamento o in altri atti idonei, il ruolo svolto nel trattamento dei
dati personali da eventuali collaboratori esterni ai quali demanda attivita'
o parti di attivita' inerenti agli studi clinici (articoli 28, 29 e 30
del Codice). Nell'ambito delle sperimentazioni questi soggetti eseguono
generalmente attivita' per conto e, in alcuni casi, in nome del promotore,
nel rispetto delle modalita' operative standard di quest'ultimo, o di
proprie procedure visionate e approvate dal promotore stesso, ovvero di
puntuali direttive di volta in volta impartite per iscritto da quest'ultimo.
A tal fine, il promotore espleta spesso un'attivita' di formazione specifica
nei confronti di tali collaboratori e, talvolta, si riserva il diritto
di esprimere il proprio gradimento sui singoli. I medesimi soggetti possono
inoltre utilizzare le informazioni e i documenti eventualmente ottenuti
dai centri di sperimentazione nell'ambito dello studio soltanto in funzione
dell'espletamento delle mansioni loro delegate; a conclusione della collaborazione,
consegnano di regola al promotore tutte le informazioni e la documentazione
che ne e' conseguita. Con specifico riferimento alle attivita' di monitoraggio,
i promotori di studi clinici possono avvalersi, come detto, non solo di
personale interno all'azienda, ma anche di collaboratori esterni. In entrambi
i casi, gli addetti al monitoraggio (clinical study monitor) vengono selezionati,
nominati e addestrati in modo specifico dal promotore che stabilisce l'estensione
e il tipo di monitoraggio da effettuare; nello svolgimento della loro
attivita' sono tenuti a osservare le procedure del promotore e le sue
specifiche istruzioni; sono inoltre soggetti al controllo del promotore
medesimo al quale devono sottoporre un rapporto scritto dopo ogni visita
ai centri di sperimentazione o dopo ogni comunicazione riguardante la
sperimentazione stessa (decreto ministeriale 15 luglio 1997, all. 1/5
punto 5.18). La relazione fra i promotori, da un lato e, dall'altro, i
soggetti esterni ai quali vengono affidate alcune, o tutte le mansioni
riguardanti gli studi clinici (ivi compresi gli addetti al monitoraggio)
vanno utilmente inquadrate nell'ambito di un rapporto fra «titolare»
e «incaricati» (unicamente persone fisiche) o, eventualmente,
in base al grado di autonomia da osservare nel trattamento dei dati, «responsabili
del trattamento» (persone fisiche o giuridiche). Tali soggetti devono
quindi essere designati, in conformita' alle disposizioni del Codice sugli
incaricati e sui responsabili, e ricevere idonee istruzioni alle quali
attenersi nel trattamento dei dati della sperimentazione (articoli 29
e 30). I soggetti che, in quanto collaboratori dei promotori, accedono
ai dati personali delle persone incluse nello studio per le finalita'
della sperimentazione devono essere inoltre menzionati, anche per categorie,
nell'informativa da fornire agli interessati; qualora vengano designati
piu' responsabili, occorre indicare anche gli estremi identificativi di
almeno uno di essi, nonche' le modalita' per reperire, anche on-line,
il loro elenco aggiornato (art. 13 del Codice). Diversamente, qualora
i promotori ritengano, in base alla legge, di non poter designare i soggetti
esterni di cui si avvalgono quali «incaricati» o «responsabili»,
in quanto i ruoli svolti da questi non possono essere ricondotti alle
predette figure previste dal Codice, il flusso delle informazioni riferite
agli individui partecipanti di cui siano eventualmente destinatari tali
collaboratori costituirebbe una comunicazione di dati personali che potrebbe
essere effettuata lecitamente in presenza del consenso specifico e informato
degli interessati o di altro presupposto equipollente (articoli 11, comma
1, lettera a), 13, 23 e 26 del Codice). Analoghe cautele devono essere
adottate dai centri di sperimentazione nel caso in cui essi demandino
attivita' o parti di attivita' inerenti agli studi clinici a soggetti
esterni quali, ad esempio, laboratori di analisi (articoli 13, 29 e 30
del Codice, autorizzazione del Garante al trattamento dei dati genetici
del 22 febbraio 2007, doc. web n. 1389918, in particolare punti 4.3, 8
e 9). I promotori devono prestare, comunque, particolare attenzione nella
scelta dei soggetti, responsabili e incaricati, ai quali affidare, ai
sensi degli articoli 29 e 30 del Codice, alcune o tutte le mansioni inerenti
alle sperimentazioni di farmaci, specie con riferimento al monitoraggio
dello studio, assicurandosi che essi possiedano requisiti di esperienza,
capacita' e affidabilita' tali da fornire idonee garanzie del pieno rispetto
delle istruzioni da impartire e delle regole di riservatezza e confidenzialita'
previste dalla disciplina in materia di protezione di dati personali e
dalle disposizioni di settore. Gli addetti al monitoraggio devono essere
sottoposti a regole di condotta analoghe al segreto professionale. Il
loro processo di designazione deve prevedere la frequenza di una specifica
attivita' formativa concernente l'illustrazione dei rischi e delle responsabilita'
derivanti dal trattamento di queste informazioni, le istruzioni da rispettare
per la loro custodia e sicurezza, nonche' le regole di riservatezza e
confidenzialita' previste dalle disposizioni normative applicabili (articoli
3, comma 1, lettera c) e 11, comma 3, decreto legislativo n. 211/2003;
articoli 11, 29, 30, 31 e ss. decreto legislativo n. 196/2003) e le specifiche
precauzioni da utilizzare per tutelare l'identita' degli interessati anche
nei riguardi dello stesso promotore (decreto ministeriale 15 luglio 1997,
all. 1/1A punto 1.21 e all. 1/2, punto 2.11).
7. Informativa ai pazienti
I promotori, di regola, individuano le informazioni da comunicare alle
persone coinvolte nello studio e la procedura da seguire per raccogliere
il loro consenso tramite i centri di sperimentazione, anche per cio' che
riguarda il trattamento dei dati che li riguardano, per consentirne l'esame
da parte dei comitati etici interessati (articoli 6, 7, 8 e 11 decreto
legislativo n. 211/2003). Tuttavia, ritenendo erroneamente di non dover
applicare la disciplina di protezione dei dati alle informazioni riconducibili
agli individui inclusi nella sperimentazione, alcuni promotori invitano
i centri a informare i pazienti interessati che i dati che li riguardano
saranno trasmessi dal medico dello studio a chi lo ha commissionato esclusivamente
in forma anonima. Questa indicazione, oltre a essere erronea, non consente
alle persone interessate di comprendere quali siano i ruoli effettivamente
svolti dal promotore e dagli altri soggetti, della cui collaborazione
questo eventualmente si avvalga, riguardo al trattamento dei dati. Cosi'
formulata, l'informativa agli individui partecipanti in sperimentazioni
cliniche e', quindi, inidonea ai sensi del Codice (art. 13); non permette
altresi' agli interessati di esprimere una volonta' consapevole riguardo
al fatto che i trattamenti effettuati presso il promotore o i soggetti
che con esso eventualmente collaborano (anche al di fuori del territorio
nazionale) concernono informazioni che, seppure codificate, come sopra
evidenziato, sono riconducibili ai medesimi interessati. L'informativa
da fornire agli interessati tramite i centri di sperimentazione deve invece
comprendere, anche con formule sintetiche, ma pur sempre agevolmente comprensibili,
indicazioni specifiche relative a: a) la natura dei dati trattati dal
promotore e la circostanza che tali dati vengono trasmessi all'estero;
b) il ruolo effettivamente svolto dal promotore riguardo al trattamento
dei dati e le finalita' e modalita' di quest'ultimo; c) i soggetti o le
categorie di soggetti ai quali i dati possono essere comunicati o che
possono venirne a conoscenza in qualita' di incaricati o di responsabili;
d) l'esercizio del diritto d'accesso e gli altri diritti in materia di
dati personali nei confronti del promotore e degli altri soggetti eventualmente
destinatari dei dati (articoli 7 e 8 del Codice). Al fine di agevolare
l'individuazione degli elementi essenziali da precisare nell'informativa,
il Garante individua nel prospetto allegato (all. n. 1) un modello di
riferimento che potra' essere utilizzato facoltativamente dai promotori
per adempiere, tramite i centri di sperimentazione, all'obbligo dell'informativa,
in armonia con i principi di semplificazione, armonizzazione ed efficacia
previsti dal Codice nel quadro di un elevato livello di tutela dei diritti
degli interessati (art. 2 del Codice). Nelle ipotesi in cui lo studio
preveda il trattamento di informazioni genetiche (ad esempio, nelle indagini
farmacogenetiche o farmacogenomiche) tali elementi devono essere integrati
da indicazioni chiare in ordine a profili specifici dell'utilizzo di dati
genetici e di campioni biologici individuati nella citata autorizzazione
del Garante (punto 5 aut. 22 febbraio 2007, doc. web n. 1389918; cfr.
anche decreto ministeriale 21 dicembre 2007, appendice 14). Inoltre, deve
essere cura dei centri di sperimentazione garantire che il personale coinvolto
nelle sperimentazioni cliniche e, in particolare, nei colloqui preliminari
volti all'acquisizione del consenso informato, sia formato adeguatamente
anche sugli aspetti rilevanti della disciplina sulla protezione dei dati
personali, in modo da essere in grado di spiegare accuratamente e con
completezza agli interessati gli elementi essenziali riguardanti il trattamento
dei dati. I promotori, nell'individuare i centri presso i quali condurre
sperimentazioni cliniche, devono verificare l'adeguatezza del personale
del centro a gestire tale procedura predisponendo, ove necessario, appositi
interventi formativi. Il profilo della formazione andrebbe considerato
anche dai comitati etici nelle valutazioni relative all'idoneita' del
medico sperimentatore e dei suoi collaboratori.
8. Consenso al trattamento dei dati
Anche il modello che i centri di sperimentazione devono sottoporre agli
interessati per acquisire le dichiarazioni di consenso al trattamento
dei dati che li riguardano viene di regola predisposto dai promotori e
sottoposto all'esame dei comitati etici interessati (articoli 6, 7, 8
e 11 decreto legislativo n. 211/2003). Le formule solitamente utilizzate
per la manifestazione del consenso si limitano ad autorizzare il medico
a far esaminare la documentazione medica originale delle persone che si
sottopongono alla sperimentazione da parte del personale del promotore
addetto al monitoraggio (o da personale esterno da questi delegato), dei
componenti del comitato etico e delle autorita' sanitarie competenti,
al fine di verificare le procedure dello studio e/o l'accuratezza dei
dati raccolti (decreto ministeriale 15 luglio 1997, all. 1/4B punto 4.8.10).
Tali formule non consentono, invece, agli interessati di esprimere la
propria volonta' circa gli ulteriori trattamenti di dati effettuati presso
lo sponsor e/o i soggetti che, anche all'estero, collaborano eventualmente
con esso nell'ambito della sperimentazione. Il promotore e i suoi eventuali
collaboratori non possono utilizzare lecitamente i dati personali degli
individui partecipanti allo studio clinico se non provvedono ad acquisire
previamente dagli interessati, tramite i centri di sperimentazione, idonee
e specifiche manifestazioni di consenso riguardo ai trattamenti di dati
da essi effettuati (articoli 23 e 26 del Codice). Per facilitare anche
tale adempimento da parte dei promotori, in armonia con i citati principi
di semplificazione, armonizzazione ed efficacia, e' individuata nell'allegato
n. 1 anche una formula di riferimento per l'acquisizione del consenso,
da sottoporre agli interessati, unitamente al modello d'informativa, tramite
i centri di sperimentazione. Particolare attenzione deve essere prestata
anche alle modalita' con cui il consenso degli interessati viene acquisto,
specie quando si tratta di persone che, per il loro particolare stato
di vulnerabilita', sono suscettibili di essere sottoposti a forme di coercizione
o influenza tali da ostacolare la libera espressione del loro consenso.
Si pensi a pazienti affetti da malattie incurabili o in situazioni di
emergenza, a persone indigenti o ospitate nelle case di riposo o, ancora,
ad appartenenti a gruppi «strutturati gerarchicamente», come
gli studenti di medicina, il personale subordinato di un ospedale o di
un laboratorio, i dipendenti di una societa' farmaceutica, ecc. In tali
casi, oltre ad adottare le specifiche cautele richieste dalla normativa
di settore (decreto ministeriale 15 luglio 1997, all. 1/1B punto 1.61
e all. 1/4B punto 4.8), e' opportuno utilizzare procedure per acquisire
il consenso informato degli interessati che non si limitino ad approcci
meramente formali e individualizzati con i singoli individui, organizzando,
ad esempio, momenti di confronto con la generalita' o con gruppi di partecipanti,
o coinvolgendo le associazioni, anche locali, di pazienti interessati.
9. Esercizio dei diritti di cui all'art. 7 del Codice
Le persone partecipanti a sperimentazioni cliniche di medicinali possono
esercitare in ogni momento i diritti di cui all'art. 7 del Codice, tra
i quali quello di accedere ai dati che li riguardano e di ottenerne la
comunicazione in forma intelligibile, ovvero l'integrazione, l'aggiornamento
o la rettifica, rivolgendosi direttamente al centro di sperimentazione
o, per il tramite del medico sperimentatore (che e' a conoscenza della
loro identita' e, mediante l'accesso alla lista di identificazione, puo'
individuare il codice identificativo di ciascun interessato), al promotore.
Quest'ultimo, come pure il centro di sperimentazione, anche per il tramite
dei rispettivi responsabili, eventualmente designati, qualora siano destinatari
di simili istanze (per la presentazione delle quali non sono, peraltro,
richieste particolari formalita) devono fornire senza ritardo all'interessato
un riscontro compiuto e analitico (articoli 7, 8, 9, 10 e 146 del Codice).
In particolare, va fornito riscontro alle richieste di accesso ai dati
personali estrapolando dagli archivi le informazioni detenute e comunicandole
all'interessato con modalita' tali da renderne agevole la comprensione,
nonche', se richiesto, trasponendole su supporto cartaceo o informatico,
non potendo opporre rifiuto se non nei casi espressamente previsti dal
Codice (art. 8). In tema di ricerche in ambito medico, biomedico ed epidemiologico
il principio alla base della disciplina in materia e' che il riscontro
a istanze di integrazione, aggiornamento e rettificazione dei dati puo'
essere fornito annotando le modifiche richieste dall'interessato senza
modificare questi ultimi, quando il risultato di tali operazioni non produce
effetti significativi sul risultato della ricerca (art. 110, comma 2,
del Codice; art. 16, comma 2, codice di deontologia e di buona condotta
per i trattamenti di dati personali per scopi statistici e scientifici,
allegato A.4. al Codice, doc. web n. 1038384). Dal momento che la partecipazione
allo studio clinico e' su base volontaria, gli interessati possono interrompere
in ogni momento e senza fornire alcuna giustificazione la loro partecipazione
allo studio (art. 3, comma 1, lettera b) e c) decreto legislativo n. 211/2003;
decreto ministeriale 15 luglio 1997, all. 1/1B punto 1.28 e all. 1/4B
punto 4.8; decreto ministeriale 21 dicembre 2007, all. 1 punto 6.1.2.5;
art. 7, comma 4, lettera a), del Codice). In questo caso, non e' piu'
possibile raccogliere ulteriori dati che riguardano gli interessati e
i campioni biologici eventualmente prelevati e conservati in una forma
che consente di identificarli vanno distrutti (punto 6, aut. al trattamento
dei dati genetici del 22 febbraio 2007, doc. web n. 1389918; v. anche
decreto ministeriale 21 dicembre 2007, all. 2 punto 6.1.2.5). Resta impregiudicata
la possibilita' di utilizzare i dati eventualmente gia' raccolti per determinare,
senza alterarli, i risultati della ricerca (v. al riguardo, paragrafo
3.3 Raccomandazione del Consiglio d'Europa R(83)10 del 23 settembre del
1983 relativa alla protezione dei dati a carattere personale utilizzati
a fini di ricerca scientifica e di statistiche; paragrafo 6.1 Raccomandazione
del Consiglio d'Europa (97)18 del 30 settembre 1997 relativa alla protezione
dei dati personali raccolti e trattati per scopi statistici).
10. Trasferimento di dati all'estero
Nelle sperimentazioni cliniche dei medicinali accade, frequentemente,
che le informazioni e i campioni biologici degli individui partecipanti,
raccolti dai medici sperimentatori in un Paese, vengano trasferiti a soggetti
ubicati in altri Paesi, anche al di fuori dell'Unione europea, o siano
resi accessibili a diverse categorie di soggetti aventi sede in tali Paesi.
Cio', avviene specialmente negli studi promossi da promotori che operano
nell'ambito di gruppi multinazionali nei quali gli stessi promotori, gli
addetti al monitoraggio dello studio, il laboratorio di analisi e gli
altri soggetti esterni che collaborano con il promotore, possono avere
sede in Paesi terzi. Tali informazioni, in quanto riconducibili alle singole
persone coinvolte nello studio, possono essere trasferite lecitamente
in Paesi extra-Ue che non garantiscono un livello adeguato di protezione
dei dati personali a condizione che i pazienti interessati ne siano stati
previamente informati e abbiano manifestato per iscritto un consenso specifico
(art. 43, comma 1, lettera a) del Codice), ovvero vengano adottate garanzie
equipollenti e adeguate per i diritti degli interessati (art. 44, comma
1, lettera b) del Codice). In particolare, costituiscono garanzie sufficienti
per la tutela della vita privata e dei diritti degli interessati le clausole
contrattuali standard per il trasferimento di dati personali a «responsabili
del trattamento» residenti in Paesi terzi (cfr. decisione della
Commissione europea del 27 dicembre 2001, n. 2002/16/Ce e Provv. del Garante
10 aprile 2002 n. 3, doc. web n. 1065361), nonche' quelle previste per
il trasferimento di dati effettuati da un «titolare del trattamento»
avente sede nell'Unione europea a un diverso «titolare» residente
al di fuori del territorio europeo (cfr. decisione della Commissione europea
del 15 giugno 2001, n. 2001/497/Ce e Provv. del Garante del 10 ottobre
2001, doc. web n. 42156; decisione del 27 dicembre 2004, n. 2004/915/Ce
e Provv. del Garante del 9 giugno 2005, doc. web n. 1151949). Ai fini
dell'utilizzazione delle citate clausole e' necessario definire preventivamente,
con chiarezza e precisione, i ruoli svolti dai soggetti nell'ambito del
trasferimento dei dati e delle operazioni di trattamento effettuate in
conformita' ai parametri indicati (l'esportatore deve risultare effettivamente
«titolare» del trattamento e, l'importatore, deve essere l'effettivo
«responsabile» o «titolare» autonomo del trattamento),
nonche' specificare le attivita' principali di trattamento cui sottoporre
le informazioni personali oggetto di trasferimento. Per cio' che concerne
il trasferimento di dati verso organizzazioni stabilite negli Stati Uniti
d'America fornisce, parimenti, adeguate garanzie per l'interessato l'idonea
adesione ai principi in materia di riservatezza contenuti nel c.d. accordo
del «Safe Harbor» (cfr. decisione della Commissione europea
del 26 luglio 2000 n. 2000/520/Ce e Provv. del Garante del 10 ottobre
2001, doc. web n. 30939).
11. Periodo di conservazione e trattamento di dati per ulteriori fini
di ricerca
I dati e i campioni biologici delle persone che si sottopongono alle sperimentazioni
devono essere conservati per un arco di tempo non superiore a quello necessario
per conseguire le finalita' per le quali sono stati raccolti e trattati
(art. 11, comma 1, lettera e) del Codice, aut. cit. del 22 febbraio 2007,
doc. web n. 1389918). Al riguardo, la normativa applicabile alle sperimentazioni
cliniche prevede che i documenti essenziali relativi allo studio (compresa
la documentazione medica riferita ai singoli individui) debbano essere
conservati presso il promotore e i centri partecipanti per almeno sette
anni dopo il completamento della sperimentazione, ovvero per un periodo
di tempo considerevolmente piu' lungo in conformita' alla disciplina applicabile
o agli accordi intervenuti il promotore medesimo e centri partecipanti
(art. 18 decreto legislativo n. 200/2007; decreto legislativo n. 219/2006,
all. 1, punto 5.2, lettera c); decreto ministeriale 15 luglio 1997, all.
1/4B, punti 4.9.4 e 4.9.5 e all. 1/5A, punti 5.5.11 e 5.5.12). In termini
generali, in applicazione della disposizione del Codice sopra richiamata
sulla durata di conservazione, i dati devono essere conservati presso
i soggetti esterni che eventualmente collaborano con il promotore per
la gestione e l'analisi statistica, per il solo periodo di tempo non superiore
a quello necessario per definire il rapporto finale della sperimentazione
o pubblicare i risultati dello studio. La possibilita' di fissare un periodo
di tempo piu' lungo rispetto a quello previsto dalla normativa applicabile
per la conservazione dei medesimi dati presso il promotore e i centri
partecipanti puo', invece, essere valutata anche alla luce della durata
dell'autorizzazione d'immissione in commercio del medicinale in sperimentazione
o di eventuali ulteriori esigenze di analisi dei dati, connesse ad esempio,
a nuove domande d'immissione in commercio o di estensione dell'autorizzazione,
ovvero al manifestarsi di evidenze significative per la sicurezza dei
pazienti. I promotori di uno studio clinico possono utilizzare lecitamente
in future attivita' di studio e di ricerca i dati e i campioni biologici
riconducibili a ciascuna delle persone coinvolte, anche avvalendosi dei
soggetti esterni che hanno collaborato con essi per l'esecuzione della
sperimentazione, a condizione che gli interessati ne siano stati previamente
e adeguatamente informati e abbiano manifestato per iscritto un consenso
specifico e distinto rispetto a quello manifestato per lo studio principale
(articoli 11, comma 1, lettera e), 13, 23, 26 e 1999 del Codice; aut.
del 22 febbraio 2007, doc. web n. 1389918).
12. Custodia e sicurezza dei dati
A seguito degli approfondimenti, anche tecnici, svolti nell'ambito degli
accertamenti ispettivi effettuati presso alcuni promotori e altri soggetti
coinvolti nelle sperimentazioni, nonche' di quelli effettuati, nell'ambito
della consultazione pubblica, con i principali organismi interessati,
sono stati individuati idonei accorgimenti e misure da porre a garanzia
degli interessati nei trattamenti di dati effettuati per l'esecuzione
di tali studi. La particolare delicatezza dei dati trattati nella sperimentazione
impone l'adozione di specifici accorgimenti tecnici per incrementare il
livello di sicurezza dei dati (art. 31 del Codice), senza pregiudizio
di ogni altra misura minima che ciascun titolare del trattamento deve
adottare ai sensi del Codice (art. 33 e ss.). Cio', con particolare riferimento
alle operazioni di registrazione con strumenti elettronici dei dati delle
persone coinvolte nello studio presso i centri di sperimentazione, al
loro trasferimento in via telematica verso un unico database presso il
promotore o gli altri soggetti che svolgono, per conto di quest'ultimo,
la validazione e l'elaborazione statistica dei dati, nonche' alla gestione
della medesima banca dati. In relazione a tali operazioni di trattamento,
i promotori di sperimentazioni cliniche di medicinali, le organizzazioni
di ricerca a contratto e i centri di sperimentazione, ciascuno per la
parte di propria competenza in relazione al ruolo ricoperto nel trattamento
dei dati e alle conseguenti responsabilita' ai fini dell'adozione delle
misure di sicurezza, devono adottare: a) laddove siano utilizzati sistemi
di memorizzazione o archiviazione dei dati, idonei accorgimenti per garantire
la protezione dei dati registrati dai rischi di accesso abusivo, furto
o smarrimento parziali o integrali dei supporti di memorizzazione o dei
sistemi di elaborazione portatili o fissi (ad esempio, attraverso l'applicazione
parziale o integrale di tecnologie crittografiche a file system o database,
oppure tramite l'adozione di altre misure informatiche di protezione che
rendano inintelligibili i dati ai soggetti non legittimati); b) protocolli
di comunicazione sicuri basati sull'utilizzo di standard crittografici
per la trasmissione elettronica dei dati raccolti dai centri di sperimentazione
al database centralizzato presso il promotore o gli altri soggetti che
effettuano la successiva validazione ed elaborazione statistica dei dati;
c) con specifico riferimento al menzionato database: idonei sistemi di
autenticazione e di autorizzazione per gli incaricati in funzione dei
ruoli e delle esigenze di accesso e trattamento; procedure per la verifica
periodica della qualita' e coerenza delle credenziali di autenticazione
e dei profili di autorizzazione assegnati agli incaricati del trattamento;
sistemi di audit log per il controllo degli accessi al database e per
il rilevamento di eventuali anomalie. Il Garante si riserva, in relazione
alle sperimentazioni cliniche multinazionali, di promuovere a livello
comunitario e internazionale standard di sicurezza per i trattamenti di
dati personali che prevedano un livello di protezione ancora piu' elevato
in un quadro di armonizzazione delle misure e degli accorgimenti da adottare
in tali ambiti per la custodia e la sicurezza dei dati.
13. Altre tipologie di studi clinici
Le indicazioni fornite nelle presenti «Linee guida» a garanzia
dei soggetti interessati possono, in linea generale, essere prese in considerazione
come quadro unitario di riferimento per un uso lecito e corretto dei dati
personali anche nell'ambito di altre tipologie di sperimentazioni cliniche,
vale a dire quelle riguardanti i dispositivi medici (art. 7 decreto legislativo
14 dicembre 1992, n. 507; art. 14 decreto legislativo 24 febbraio 1997,
n. 46; decreto ministeriale 2 agosto 2005) e quelle non promosse da societa'
farmaceutiche o da altre strutture private per lo sviluppo industriale
di un farmaco (c.d. sperimentazioni «non aventi fini di lucro»,
cfr. art. 1 decreto legislativo n. 200/2007 e decreto ministeriale 17
dicembre 2004). In queste ipotesi, occorre verificare, innanzitutto, il
ruolo dei soggetti coinvolti nello studio rispetto al trattamento dei
dati (promotore, centro di sperimentazione, centro coordinatore, organizzazione
di ricerca a contratto, laboratorio di analisi, ecc.) in modo da poter
individuare il soggetto o i soggetti, titolari del trattamento, tenuti
agli adempimenti previsti dal Codice in materia di notificazione, designazione
di incaricati e di eventuali responsabili, consenso informato al trattamento
dei dati, predisposizione di adeguate misure per la custodia e sicurezza
dei dati, esercizio dei diritti di accesso e degli altri diritti riguardanti
i dati personali. Occorre, inoltre, accertare, in base alle previsioni
dello studio, eventuali flussi di dati, anche attraverso la loro messa
a disposizione o consultazione (ad esempio, a fini di monitoraggio), verso
soggetti esterni situati anche al di fuori dell'Unione europea, in modo
da verificare la necessita' di acquisire il consenso specifico e informato
degli interessati e/o di adottare garanzie equipollenti e adeguate (articoli
11, comma 1, lettera a), 13, 23, 26, 43 e 44 del Codice). Vanno poi formulate
in questa sede alcune precisazioni con riferimento ad altri studi, nei
quali i medicinali sono prescritti e somministrati ai soggetti che accettano
di parteciparvi secondo la normale pratica clinica (sperimentazioni «non
interventistiche», v. art. 1 decreto legislativo n. 200/2007). Questi
studi, c.d. «osservazionali», qualora non siano strettamente
associati ad attivita' di tutela della salute svolte da medici o organismi
sanitari, ovvero -a differenza delle sperimentazioni cliniche sui medicinali-
non possano ritenersi comparabili a tali attivita' in termini di ricaduta
personalizzata sull'interessato, rientrano nell'ambito di applicazione
delle previsioni del codice di deontologia e di buona condotta per i trattamenti
di dati personali per scopi statistici e scientifici (Allegato A.4. al
Codice, doc. web n. 1038384) la cui osservanza, oltre a rappresentare
un obbligo deontologico, costituisce condizione essenziale per la liceita'
e la correttezza del trattamento medesimo (art. 12, comma 3, del Codice).
Anche nell'ambito di questi studi, il trattamento di informazioni medico/cliniche
puo' essere effettuato, in linea generale, per gli scopi della ricerca
con riferimento ai soli dati personali degli individui che vi acconsentono
specificatamente dopo aver ricevuto un'idonea informativa sul trattamento
dei dati (articoli 106, 107 e 110 del Codice; punto 1.2, lettera a) aut.
n. 2/2008 cit.). Cio', indipendentemente dal fatto che lo studio preveda
di raccogliere queste informazioni direttamente presso gli interessati
o presso terzi. In presenza di particolari e comprovate circostanze (di
carattere etico, metodologico o di impossibilita' organizzativa), dalle
quali derivi l'impossibilita' di informare gli interessati, il trattamento
puo' essere effettuato, anche in assenza del loro consenso, a condizione
che il programma di ricerca sia stato oggetto di motivato parere favorevole
del competente comitato etico e venga ottenuta l'autorizzazione del Garante,
che puo' essere rilasciata anche con provvedimenti di carattere generale,
relativi a determinate categorie di titolari o di trattamenti (articoli
110 ult. parte e 40 del Codice). Si pensi, ad esempio, ad alcuni studi
di tipo retrospettivo in cui il tempo trascorso dal momento in cui i dati
da analizzare sono stati raccolti, l'entita' del campione da selezionare
e le caratteristiche sulla base delle quali viene effettuato il campionamento
(ad esempio, un gruppo di persone affette da patologie ad alta incidenza
di mortalita) possono rendere ragionevolmente impossibile raggiungere
gli interessati e fornire loro un'adeguata informativa. Il Garante si
riserva di adottare provvedimenti piu' specifici di prescrizione e di
divieto che potranno derivare dalle verifiche di eventuali violazioni
riguardanti singoli soggetti promotori, nonche' di apportare alle presenti
«Linee guida» eventuali integrazioni riguardanti le concrete
modalita' di trattamento dei dati, anche alla luce dell'esperienza maturata
nell'applicazione delle stesse e delle nuove tecnologie eventualmente
intervenute.
ALLEGATO N. 1
Informativa
e manifestazione del consenso al trattamento dei dati personali 1
Titolari
del trattamento e relative finalità
Il Centro di sperimentazione (indicare il nome del centro) e l'Azienda
farmaceutica (indicare il nome del promotore), che ha commissionato lo
studio che Le e' stato descritto, ciascuno per gli ambiti di propria competenza
e in accordo alle responsabilita' previste dalle norme della buona pratica
clinica (decreto-legge n. 211/2003), tratteranno i Suoi dati personali,
in particolare quelli sulla salute e, soltanto nella misura in cui sono
indispensabili in relazione all'obiettivo dello studio, altri dati relativi
alla Sua origine, ai Suoi stili di vita e alla Sua vita sessuale (ecc.)
(variabili da specificare a seconda delle caratteristiche dello studio),
esclusivamente in funzione della realizzazione dello studio e a fini di
farmacovigilanza.
A tal fine i dati indicati saranno raccolti dal Centro di sperimentazione
e trasmessi all'Azienda farmaceutica e alle persone o societa' esterne
che agiscono per loro conto, tra le quali ... (inserire gli estremi identificativi
di almeno uno dei terzi cui i dati saranno trasmessi) anche in Paesi non
appartenenti all'Unione europea che non garantiscono un adeguato livello
di protezione dei dati personali (da inserire nel caso si preveda di trasferire
i dati al di fuori dell'Ue specificando gli estremi identificativi dei
destinatari) 2
Il trattamento dei dati personali relativi a ... (variabili da specificare
a seconda delle caratteristiche dello studio) e' indispensabile allo svolgimento
dello studio: il rifiuto di conferirli non Le consentira' di parteciparvi
(indicare inoltre gli eventuali dati che possono invece essere forniti
facoltativamente).
1. Da sottoporre agli interessati unitamente al modulo di consenso informato
che descrive le caratteristiche scientifiche dello studio, anche mediante
integrazione dello stesso.
2. Quando non e' possibile conoscere al momento della redazione dell'informativa
l'elenco completo dei soggetti terzi a cui i dati saranno trasmessi anche
in paesi extra-UE occorre specificare come e quando l'elenco completo
verra' reso disponibile.
|