giovedì 3 maggio 2018 8872

Trattamento dei dati e ricerca scientifica tra normativa europea e nazionale

Le regole previste dal GDPR e dalla bozza del decreto di adeguamento

Silvia Stefanelli, avvocato

Lo scorso 25 aprile la Commissione europea ha presentato una serie di nuove proposte per facilitare l’utilizzo dei dati all’interno della UE: l’obiettivo dichiarato è spingere l’economia dei dati (secondo i progetti della COM 2017-9 del 10 gennaio 2017 - Costruire una economia dei Dati) per la crescita dei mercati, la creazione di nuovi posti di lavoro (in particolare PMI e start-up) e lo sviluppo della tecnologia.

Nella stessa giornata la Commissione ha emanato nell’ambito dei progetti di sanità digitale una nuova Comunicazione: la COM(2018) 233 (Communication on enabling the digital transformation of health and care in the Digital Single Market; empowering citizens and building a healthier society).
I tre punti cardine sono la possibilità dei cittadini di condividere i loro dati oltre le frontiere nazionali, l’uso dei dati per promuovere la ricerca la prevenzione e la medicina personalizzata, lo sviluppo di strumenti digitali per l'empowerment dei cittadini e l'assistenza sanitaria centrata sulla persona.

Tutti i provvedimenti sono basati su una piena e corretta applicazione del nuovo Reg. UE 2016/679 (c.d. GDPR ovvero General Data Protection Regulation) che diventerà pienamente efficace il prossimo 25 maggio.
Ora, questi obiettivi comunitari potrebbero trovare difficoltà ed ostacoli in Italia in ragione di alcune scelte legislative che sembrano scaturire dalla bozza di decreto di adeguamento del GDPR, ancora oggi in discussione.
In particolare sorgono molti dubbi in relazione alle scelte italiane relative all’uso dei dati nell’ambito della ricerca. Non vi è dubbio infatti che il GDPR, pur mantenendo alto il livello di sicurezza dei dati, sembri voler allargare le maglie per favorire l’utilizzo dei dati in tale settore.

Molto sinteticamente:
- l’art. 5 lett b) sancisce - senza distinguere tra dati personali e sensibili - che il trattamento per finalità di ricerca è compatibile con la finalità iniziale per la quale i dati sono stati raccolti (c.d secondary use), alla sola condizione che vengano applicate le prescrizioni dell’art. 89 comma 1;
- l’art. 9 lett j) stabilisce la possibilità di trattare tali dati senza il consenso dell’interessato sempre a patto che sia rispettto l’art. 89;
- il più volte richiamato art. 89 stabilisce che il trattamento a fini di ricerca scientifica o storica è soggetto a garanzie adeguate per i diritti e le libertà dell’interessato. Tali garanzie assicurano che siano state predisposte misure tecniche e organizzative, in particolare al fine di garantire il rispetto del principio della minimizzazione dei dati.

In sostanza ai sensi del nuovo Reg. UE 2016/679 il soggetto che tratta dati anche sensibili ai fini di ricerca scientifica:
1. deve porre in essere garanzie adeguate per i diritti e le libertà dell’interessato;
2. tali garanzie comportano che siano state predisposte misure tecniche e organizzative;
3. tra le misure si deve in particolar modo garantire il rispetto del principio della minimizzazione dei dati;
4. tali misure possono includere la pseudonimizzazione;
5. ove possibile occorre procedere alla totale anonimizzazione dei dati;
6. non occorre il consenso dell’interessato.

Assolutamente più stringente, invece, la bozza del decreto di adeguamento italiano. Oltre al dovere di informare l’interessato (art. 71), è previsto espressamente un generale obbligo di ottenere il consenso dell’interessato (art. 73).
Nell’ambito poi della ricerca medica tale obbligo del consenso può venir meno solo in due ipotesi:
1. quando la ricerca è effettuata in base a norme di legge o di regolamento nazionali o comunitarie, ma in questo caso è prevista come obbligatoria l’effettuazione di una valutazione di impatto ex art. 35 GDPR;
2. quando non è possibile fornire l’informativa all’interessato e quindi ottenere il consenso, in quanto tali adempimenti obbligherebbero ad uno sforzo sproporzionato, il titolare del trattamento deve adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, il programma di ricerca deve essere oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve altresì esserci una autorizzazione dal Garante o comunque la ricerca deve essere sottoposta alla sua preventiva consultazione ai sensi dell’art. 36 del GDPR.

Infine l’art. 77 della bozza del decreto - richiamando in toto la disciplina di cui all’attuale art. 110-bis Codice Privacy introdotta dalla recente legge 167/2017 - disciplina il riutilizzo dei dati (previsione non regolamentata dal GDPR) prevedendo che ove non sia possibile informare gli interessati ed ottenere il consenso sarà possibile il riutilizzo solo previa autorizzazione del Garante Privacy che andrà a definire le misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, in conformità all’art. 89 del Regolamento. Sono peraltro esclusi dal riutilizzo i dati genetici.

Ora, non vi è dubbio che tutta la più articolata disciplina sopra sintetizzata e contenuta nella bozza del decreto di adeguamento trova il suo fondamento nell’art. 9 comma 4 del GDPR che legittima gli Stati membri ad introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute. Quindi il legislatore nazionale, se lo riterrà, potrà senza dubbio “stringere” le maglie sul trattamento ai fini di ricerca un maniera molto più rigida rispetto a quanto previsto dal GDPR.

La domanda è un’altra: è veramente necessaria una impalcatura così articolata e limitante? Il GDPR rivoluziona il trattamento dei dati e rappresenta, con tutta probabilità, la più avanzata struttura normativa a livello internazionale; l’ambizioso obiettivo è coniugare protezione dei dati da una parte con lo sviluppo economico e tecnologico, dall’altra.
Il Considerando n. 4 del GDPR rappresenta bene questa nuova frontiera sancendo che: “Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità”.

Quindi l’obiettivo non è solo proteggere i dati, ma trovare un punto di equilibrio tra protezione e utilizzo ai fini sociali: e la ricerca svolge senza dubbio una funzione sociale.
Siamo proprio sicuri allora che la disciplina del GDPR non sia sufficiente a proteggere i dati lasciando quindi più spazio alla ricerca italiana? E tale domanda rimbalza anche nel confronto con gli altri Stati membri: infatti pur non avendo oggi piena conoscenza di come gli altri Paesi abbiamo adeguato i loro ordinamenti al GDPR, è del tutto possibile che per buona parte si siano limitati a recepire il dettato dello stesso GDPR.

E allora la domanda diventa: siamo veramente sicuri che pazienti in Italia debbano essere tutelati “di più” degli altri pazienti dalla Ue? E siamo sicuri che la ricerca in Italia non vada troppo in sofferenza a causa di questa disciplina così stringente?

Notizie dalla Liguria

Sanità Integrativa: una sfida sostenibile e credibile al servizio dei bisogni di salute dei cittadini

Workshop Aiop - Genova, 10 aprile 2019

Accordo con il MIUR per il finanziamento delle Borse di studio dei medici specializzandi

Notizie Aiop Nazionale

Trattamento dei dati e ricerca scientifica tra normativa europea e nazionale

Le regole previste dal GDPR e dalla bozza del decreto di adeguamento

Please login or register to post comments.

Rassegna Stampa Regionale

Rassegna Stampa Nazionale

Link Istituzionali

AIOP

SITI AIOP REGIONALI

NELLA RETE

CONTATTACI