L’art. 44, comma 1bis del D.L. 19/2024, convertito con modificazioni dalla L. 56/2024, ha riformato l’art. 110 del Codice Privacy, che rappresenta la principale fonte normativa in materia di trattamento dei dati personali nell’ambito della ricerca medica, biomedica ed epidemiologica. 

Prima della riforma, in caso di trattamento di dati riferiti a pazienti deceduti o non contattabili, era necessario ottenere il parere favorevole del Comitato Etico di competenza e sottoporre il progetto di ricerca e la relativa valutazione di impatto alla consultazione preventiva del Garante privacy, ai sensi dell’art. 36 del Regolamento UE 2016/679.

Ora, a seguito della modifica dell’art. 110 del Codice Privacy, quando, in caso di ricerca retrospettiva, risulta impossibile informare gli interessati o l’obbligo di informazione comporta uno sforzo sproporzionato, oppure vi è il rischio di pregiudicare gravemente il conseguimento delle finalità della ricerca e i risultati dello studio, è sufficiente rispettare le specifiche garanzie previste dal Garante, fermo ovviamente l’ottenimento del parere favorevole sul progetto di ricerca rilasciato dal Comitato Etico competente a livello territoriale.

Il novellato art. 110 del Codice Privacy, infatti, conferisce al Garante il compito di promuovere ai sensi dell’art. 106, comma 2, lettera d), del Codice stesso Regole Deontologiche volte a individuare garanzie adeguate per i diritti e le libertà dell’interessato in conformità all’articolo 89 del Regolamento UE 2016/679.

Con provvedimento del 9.05.2024, in corso di pubblicazione sulla Gazzetta Ufficiale, il Garante ha dunque promosso l’avvio della procedura per l’adozione delle (nuove) Regole Deontologiche per i trattamenti di dati personali a fini statistici e di ricerca scientifica.

Le Regole Deontologiche, nel rispetto del principio di rappresentatività, potranno essere promosse da tutti quei soggetti che, istituzionalmente o statutariamente, sono tenuti allo svolgimento di ricerche mediche quali università, altri enti o istituti di ricerca, società scientifiche, ricercatori che operano nell’ambito di dette università, enti, istituti di ricerca e soci di dette società scientifiche, istituti di ricovero e cura a carattere scientifico, fondazioni, enti morali di ricerca, nonché enti pubblici istituzionalmente competenti al perseguimento di tali compiti.

Il Garante ha invitato detti soggetti ed eventuali altri soggetti che ritengono di avere titolo a sottoscrivere le Regole, a darne comunicazione scritta, fornendo informazioni e documentazione idonea a comprovare la loro rappresentatività, entro il termine di 60 giorni dalla pubblicazione del provvedimento in Gazzetta Ufficiale.

Nelle more dell’approvazione delle nuove Regole Deontologiche – ferma in ogni caso l’applicazione di quelle attualmente in vigore (allegato A5 del Codice Privacy) – il Garante ha individuato garanzie necessarie per i trattamenti di dati sulla salute per finalità di ricerca medica, biomedica e epidemiologica riferiti a soggetti deceduti o non contattabili per motivi etici o organizzativi, precisando che:

  • sono motivi etici quelli riconducibili alla circostanza che l’interessato ignora la propria condizione; secondo il Garante rientrano in questa categoria le ricerche per le quali l’informativa sul trattamento dei dati da rendere agli interessati comporterebbe la rivelazione di notizie concernenti la conduzione dello studio la cui conoscenza potrebbe arrecare un danno materiale o psicologico agli interessati stessi;
  • sono motivi organizzativi quelli riconducibili alla circostanza che la mancata raccolta dei dati riferiti al numero di interessati che non è possibile contattare, rispetto al numero complessivo dei soggetti che si intende arruolare nella ricerca, produrrebbe conseguenze significative per lo studio in termini di qualità dei risultati della ricerca stessa; ciò avuto riguardo, in particolare, ai criteri di inclusione previsti dallo studio, alle modalità di arruolamento, alla numerosità statistica del campione prescelto, nonché al periodo di tempo trascorso dal momento in cui i dati riferiti agli interessati sono stati originariamente raccolti. Secondo il Garante i motivi di impossibilità organizzativa concernono sia quelli derivanti dalla circostanza, da considerarsi del tutto residuale, che contattare gli interessati implicherebbe uno sforzo sproporzionato vista la particolare elevata numerosità del campione, sia quelli derivanti dalla circostanza che all’esito di ogni ragionevole sforzo compiuto per contattarli essi risultino, al momento dell’arruolamento nello studio, deceduti o non contattabili.

Sussistendo detti presupposti imprescindibili, il titolare del trattamento deve:

  • motivare e documentare nel progetto di ricerca la sussistenza delle ragioni etiche o organizzative, se del caso, documentando altresì i ragionevoli sforzi profusi per tentare di contattarli;
  • acquisire il parere favorevole sul progetto di ricerca del Comitato Etico competente a livello territoriale;
  • adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato;
  • svolgere e pubblicare la valutazione di impatto ai sensi dell’art. 35 del Regolamento UE 2016/679, dandone comunicazione al Garante.