Serie Generale n. 190 del 14-8-2008
DECRETI E DELIBERE DI ALTRE AUTORITA'
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
DELIBERAZIONE 24 luglio 2008
Linee guida per i trattamenti di dati personali nell'ambito delle sperimentazioni cliniche di medicinali. (Deliberazione n. 52). (GU Serie Generale n.190 del 14-08-2008)

IL GARANTE PER LA PROTEZIONE
DEI DATI PERSONALI
Nella riunione odierna, in presenza del prof. Francesco Pizzetti,
presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del
dott. Giuseppe Fortunato, componente, e del dott. Giovanni
Buttarelli, segretario generale;
Vista la deliberazione 29 novembre 2007, n. 62, con la quale
l'Autorità ha avviato una procedura di consultazione pubblica su un
documento, adottato in pari data, contenente «Linee guida per i
trattamenti di dati personali nell'ambito delle sperimentazioni
cliniche di medicinali» e pubblicato, unitamente alla medesima
deliberazione, sul sito web dell'Autorità;
Visti i commenti e le osservazioni pervenuti a questa Autorità a
seguito della consultazione pubblica per la quale era stato fissato
il termine del 15 febbraio 2008;
Considerate le risultanze degli incontri intercorsi con i
rappresentanti di categoria e con altri enti e organismi che hanno
partecipato alla consultazione pubblica;
Ritenuto, in base agli approfondimenti svolti, di individuare un
quadro unitario di misure e accorgimenti necessari e opportuni volti
a fornire orientamenti utili per i promotori e gli altri operatori
che, a vario titolo, intervengono nelle sperimentazioni cliniche
riguardo al trattamento dei dati delle persone coinvolte;
Visto il Codice in materia di protezione dei dati personali
(decreto legislativo 30 giugno 2003, n. 196);
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio formulate dal segretario
generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore il dott. Giuseppe Chiaravalloti;
Delibera:
a) di adottare in via definitiva le «Linee guida per i trattamenti
di dati personali nell'ambito delle sperimentazioni cliniche di
medicinali» unitamente ad un modello di riferimento per l'informativa
e la manifestazione del consenso al trattamento dei dati personali,
contenuti nei documenti allegati quali parti integranti della
presente deliberazione (Allegati A e n. 1);
b) che copia della presente deliberazione, unitamente ai menzionati
allegati, sia trasmessa al Ministero della giustizia - Ufficio
pubblicazione leggi e decreti, per la sua pubblicazione nella
Gazzetta Ufficiale della Repubblica italiana, ai sensi dell'art. 143,
comma 2, del Codice;
c) che copia dei predetti documenti sia, altresì, trasmessa per
opportuna conoscenza, al Ministero della salute, all'Istituto
superiore di sanità, all'Agenzia italiana del farmaco e alla
Conferenza Stato-Regioni.
Roma, 24 luglio 2008

Il presidente
Pizzetti

Il relatore
Chiaravalloti

Il segretario generale
Buttarelli

Allegato A
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Linee guida per i trattamenti di dati personali nell'ambito
delle sperimentazioni cliniche di medicinali
(Deliberazione n. 52 del 24 luglio 2008)
1. Considerazioni preliminari
Gli studi condotti su esseri umani nell'ambito della
sperimentazione clinica mirano a scoprire o verificare gli effetti di
medicinali sperimentali, compresa qualsiasi reazione avversa, al fine
di accertarne la sicurezza e l'efficacia. Tali studi vengono
generalmente promossi da una società farmaceutica (committente o
sponsor, di seguito individuata come «promotore») a livello nazionale
e (specie a cura di società facenti parte di gruppi multinazionali)
internazionale.
A tal fine detto soggetto, dopo aver predisposto un protocollo
che descrive la progettazione, gli obiettivi e la metodologia della
sperimentazione, cura la presentazione alle autorità competenti e ai
comitati etici interessati della documentazione necessaria
all'attivazione della sperimentazione.
Le attività collegate allo studio vengono eseguite presso una o
più strutture ospedaliere o universitarie o istituti di ricerca
pubblici o privati autorizzati in base alla legge (centri di
sperimentazione) e appositamente individuati dalle società
committenti. Vengono raccolti, in conformità al protocollo e a più
riprese nel corso dello studio, varie informazioni di carattere
medico/clinico e i campioni biologici delle persone che accettano di
far parte dello studio tramite visite mediche e accertamenti
diagnostici effettuati da medici sperimentatori.
A queste informazioni non ha accesso soltanto il personale
sanitario operante presso i centri. Il promotore supervisiona,
infatti, l'andamento dello studio, per garantire che esso venga
effettuato in osservanza del protocollo. Ciò, avvalendosi di propri
collaboratori (clinical study monitor) i quali, nell'ambito della
loro attività di monitoraggio, visitano i centri di sperimentazione
e, se necessario, esaminano la documentazione medica originale degli
individui partecipanti allo studio messa a loro disposizione dai
medici (ad es. cartelle ospedaliere, registri clinici, note di
laboratorio, referti ecc.).
Le informazioni medico/cliniche raccolte da medici sperimentatori
presso ciascun centro vengono trasmesse al promotore a più riprese
nel corso dello studio, ovvero al termine della sperimentazione
presso il centro. Conclusa la fase della sperimentazione presso il
centro, le medesime informazioni sono normalmente inserite dal
promotore, direttamente o tramite soggetti esterni di cui si avvale,
su un data-base unico attraverso il quale viene effettuato il
controllo e la validazione dei dati e, successivamente,
l'elaborazione statistica, con l'obiettivo di conseguire i risultati
dello studio da documentare poi in un rapporto.
Negli studi promossi da promotori che operano nell'ambito di
gruppi multinazionali, il destinatario dei dati medico/clinici
raccolti dai medici sperimentatori è solitamente la società
capogruppo che può avere sede al di fuori del territorio nazionale.
Inoltre, i promotori si avvalgono sovente di soggetti esterni
(clinical study monitor, organizzazioni di ricerca a contratto,
laboratori di analisi, ecc.) che possono risiedere in Paesi anche al
di fuori dell'Unione europea, per svolgere uno o più compiti
relativi all'esecuzione della sperimentazione (ad es., il
monitoraggio dello studio, l'inserimento, la validazione e l'analisi
statistica dei dati, la farmacovigilanza, l'esecuzione degli esami
clinici e di laboratorio previsti dal protocollo). Ciò, comporta che
numerose informazioni o campioni biologici vengano condivisi tra
diverse categorie di soggetti che possono accedervi o averne la
disponibilità e che possono essere situati anche in Paesi terzi che
non offrono un livello di protezione adeguato dei dati personali (il
promotore; gli addetti al monitoraggio dello studio; i soggetti
esterni che collaborano con il promotore per l'inserimento dei dati e
il loro trattamento statistico; il laboratorio di analisi, ecc.).
Al fine di confermare la validità della conduzione dello studio
e l'integrità dei dati raccolti anche in occasione di eventuali
verifiche da parte delle autorità dotate di poteri ispettivi, le
informazioni ottenute nel corso dello studio sono oggetto di
conservazione per un periodo di tempo considerevole dopo il
completamento della sperimentazione.
In base agli approfondimenti svolti, la raccolta, la circolazione
e la conservazione massiva, anche in Paesi terzi, di molteplici
informazioni attinenti alla salute e, in alcuni casi, alla vita
sessuale, delle persone coinvolte in sperimentazioni cliniche
presentano vari aspetti di criticità con riferimento alla protezione
dei dati personali e necessitano, pertanto, dell'adozione di elevate
cautele volte a prevenire rischi specifici per gli interessati.
Al fine di individuare tali cautele, l'Autorità ha svolto
preliminarmente alcuni accertamenti ispettivi presso talune società
farmaceutiche; ha indetto una specifica consultazione pubblica su un
documento articolato indicante le misure e gli accorgimenti ritenuti
allo stato idonei per il trattamento dei dati nell'ambito delle
sperimentazioni cliniche di medicinali; ha, infine, effettuato
diversi altri approfondimenti, anche di carattere tecnico, con i
principali organismi interessati alla consultazione, volti a
verificare i profili critici evidenziati nelle osservazioni pervenute
all'Autorità.
Le cautele ipotizzate in sede di consultazione pubblica hanno
trovato conforto all'esito della stessa e degli specifici
approfondimenti tecnici svolti successivamente.
Tutte le riflessioni e i commenti pervenuti sono stati comunque
oggetto di specifica analisi e considerazione nell'elaborazione delle
presenti «Linee guida» che recano alcune circoscritte modifiche
rispetto al precedente documento, giustificate dall'idoneità delle
osservazioni formulate.
Le presenti «Linee guida» sono pertanto rivolte a individuare gli
accorgimenti e le misure necessari e opportuni riguardo al
trattamento dei dati personali dei partecipanti a sperimentazioni
cliniche da parte dei promotori degli studi. Gli accorgimenti e le
misure indicati vanno, altresì, prese in considerazione da tutti gli
altri titolari di trattamenti di dati personali effettuati a fini di
sperimentazione clinica, quali promotori diversi dalle società
farmaceutiche, organizzazioni di ricerca a contratto e centri di
sperimentazione.
Prima di indicare quali cautele risultano idonee a seguito del
complesso procedimento curato dal Garante, sono necessarie alcune
premesse sulla natura dei dati trattati, sul ruolo dei promotori e
degli altri soggetti coinvolti nelle sperimentazioni cliniche di
medicinali rispetto al trattamento dei medesimi dati, nonchè sul
quadro normativo di base al quale occorre fare riferimento per un
trattamento lecito e corretto dei dati.
2. Normativa applicabile
Gli studi condotti nell'ambito della sperimentazione clinica
devono essere gestiti nel rispetto dei principi etici i quali
traggono origine dalla Dichiarazione di Helsinki (fatta nel giugno
1964, e successive modificazioni), dei requisiti previsti dagli
standard internazionali di buona pratica clinica (Gcp) adottati anche
dall'Unione europea (e recepiti nell'ordinamento italiano, v. decreto
legislativo 6 novembre 2007, n. 200; decreto legislativo 24 giugno
2003, n. 211; decreto ministeriale 15 luglio 1997 e, da ultimo,
decreto ministeriale 21 dicembre 2007) e delle procedure operative
standard delle società promotrici (Sop). Il centro di
sperimentazione deve condurre lo studio in conformità al protocollo
e alle procedure operative standard del promotore e non può
discostarsi in alcun modo da essi, nè apportarvi modifiche, senza
accordo con il promotore stesso. Ciò, eccetto casi eccezionali
correlati al sorgere di rischi immediati per gli individui inclusi
nella sperimentazione o a cambiamenti implicanti solo aspetti
marginali dello studio (art. 10, comma 1, lettera a), decreto
legislativo n. 211/2003; decreto ministeriale 15 luglio 1997, all.
1/1B punto 1.38, all. 1/4A punto 4.5.1. e 4.5.2, all. 1/5A punto 5.1
e all. 1/5B punto 5.20).
La normativa applicabile prevede diverse ipotesi in cui le
informazioni medico/cliniche raccolte dal centro devono essere
comunicate al promotore dello studio. Si tratta in primo luogo dei
dati medico/clinici riferiti a ciascun partecipante allo studio i
quali devono essere registrati dal medico su schede raccolta dati
(Crf) trasmesse al promotore della sperimentazione (decreto
ministeriale 15 luglio 1997, all. 1/1A punto 1.11). I centri sono
tenuti, inoltre, a notificare al promotore le reazioni e gli eventi
avversi (Ae e Adr), correlabili alla somministrazione del medicinale
in sperimentazione o comunque al suo svolgimento, insieme a ogni
altra informazione pertinente di follow-up (articoli 16, 17 e 18
decreto legislativo 24 giugno 2003, n. 211).
Al fine di tutelare l'identità delle persone coinvolte nello
studio la medesima normativa prevede che il centro partecipante alla
sperimentazione debba assegnare un codice di identificazione a
ciascun interessato, al momento del suo coinvolgimento, e utilizzarlo
al posto del relativo nominativo in ciascuna comunicazione al
promotore di dati collegati allo studio (decreto ministeriale
15 luglio 1997, all. 1/1B punto 1.58 e all. 1/4B punto 4.11.1, v.
anche art. 16, comma 5, decreto legislativo n. 211/2003). Una lista,
che consente di associare ai codici i dati nominativi dei pazienti,
è detenuta esclusivamente da ciascun centro di sperimentazione che
la custodisce come documento riservato essenziale alla conduzione
dello studio clinico (decreto ministeriale 15 luglio 1997, all. 1/1A
punti 1.21 e 1.23, all. 1/2 punto 2.11, all. 1/4B punto 4.9.4 e
4.9.5, all. 1/5A punto 5.5.12, all. 1/8 punto 8.1 e 8.4.3).
Anche le schede raccolta dati, le segnalazioni e i rapporti
relativi agli eventi e alle reazioni avversi, in quanto documenti
essenziali alla conduzione dello studio, devono essere conservati, in
base alla citata normativa, sia presso il promotore, sia presso i
singoli centri, per un periodo di tempo non inferiore a sette anni
dal completamento della sperimentazione, ovvero per un periodo più
lungo richiesto da altre disposizioni applicabili o da un accordo tra
il promotore e detti centri (art. 18 decreto legislativo n. 200/2007;
decreto legislativo n. 219/2006, all. 1, punto 5.2, lettera c);
decreto ministeriale 15 luglio 1997, all. 1/4B, punto 4.9.4, 4.9.5,
5.5.11 e 5.5.12).
3. Natura dei dati trattati
I promotori hanno sviluppato in genere specifiche procedure
interne per consentire ai medici sperimentatori di codificare i dati
medico/clinici delle persone coinvolte nello studio: solitamente, si
utilizzano codici numerici che consentono di identificare
univocamente i singoli interessati all'interno dello stesso studio,
senza utilizzare il nominativo, l'indirizzo o numeri di
identificazione personale.
Tuttavia, alcuni promotori stabiliscono nel protocollo dello
studio che i medici sperimentatori debbano registrare sulle schede
raccolta dati e sulle segnalazioni di reazioni e eventi avversi - da
trasmettere ai primi - le iniziali del nome e cognome dei singoli
individui partecipanti, oltre ai rispettivi codici identificativi.
Inoltre, in base alle finalità della ricerca e alle caratteristiche
dello studio, il protocollo può prevedere che i medici raccolgano
informazioni ulteriori rispetto ai dati medico/clinici riferiti agli
interessati, quali dati di carattere demografico (data di nascita e/o
età, sesso, origine etnica, peso e statura) o relativi alla storia
medica dei soggetti, agli stili di vita o alla vita sessuale. Queste
informazioni, riportate sui documenti essenziali alla conduzione
dello studio, sono conservate dai centri partecipanti e dal promotore
per un periodo di tempo che, a seconda della disciplina applicabile,
può essere collegato all'intera durata dell'autorizzazione
all'impiego del medicinale nei diversi Paesi.
Sebbene sia previsto che soltanto ciascun centro abbia la
disponibilità della lista che consente di associare il nominativo
della persona al relativo codice identificativo e che il promotore
non debba venire a conoscenza della sua identità, quest'ultimo,
tramite propri collaboratori addetti al monitoraggio, nell'ambito
delle visite effettuate presso il centro di sperimentazione volte a
controllare che lo studio è effettuato in osservanza del protocollo,
ha tuttavia accesso sotto il controllo dei medici alla documentazione
sanitaria originale delle persone coinvolte nello studio (per
verificare l'accuratezza e la completezza dei dati), nonchè alla
lista contenente i dati nominativi degli interessati (per controllare
le procedure riguardanti l'acquisizione del consenso informato).
Va, inoltre, rilevato che tra le informazioni raccolte nel corso
degli studi in esame compaiono, in genere, uno o più elementi
specifici caratteristici dell'identità delle persone coinvolte (ivi
compresa la statura o particolari patologie). Come confermato dalle
indicazioni formulate dal Gruppo dei garanti europei nel Parere n.
4/2007 (Wp 136) sulla definizione di dato personale, la combinazione
di tali elementi è suscettibile di consentire il riconoscimento
dell'interessato (ad esempio, mediante combinazione delle iniziali
del nome e del cognome della persona con la data di nascita o con la
sua collocazione geografica desumibile dai dati identificativi del
centro di sperimentazione e del medico sperimentatore).
Le modalità di codifica previste dai promotori rappresentano una
specifica cautela adottata in applicazione delle disposizioni
normative vigenti a tutela della riservatezza degli individui
partecipanti a uno studio clinico che però non è, di per sè, tale
da rendere anonimi i dati oggetto di trattamento nell'ambito della
sperimentazione (art. 16, comma 5, decreto legislativo n. 211/2003;
decreto ministeriale 15 luglio 1997, all. 1/1B punto 1.58 e all. 1/4B
punto 4.11.1; v. anche autorizzazione del Garante n. 2/2008 al
trattamento dei dati idonei a rivelare lo stato di salute e la vita
sessuale, specie punto 1.2, lettera a), disponibile sul sito Internet
dell'Autorità, doc. web n. 1529389). Le predette modalità di
utilizzo del codice identificativo mirano, del resto, a consentire,
in base alla specifica disciplina applicabile, l'identificazione
della singola persona in casi determinati; ad esempio, per consentire
al medico sperimentatore, che è il solo ad avere un contatto diretto
con il paziente, di modificare o interrompere la terapia
farmacologica somministrata in caso di eventi o reazioni avversi;
oppure, per permettere agli addetti al monitoraggio di controllare,
per conto del promotore, l'accuratezza e la completezza delle
informazioni raccolte verificandone la corrispondenza con quelle
contenute nella documentazione medica originale degli individui
partecipanti; o, ancora, per consentire al promotore di utilizzare le
informazioni raccolte per difendere i propri diritti nell'ambito di
eventuali azioni legali. Analogamente, ai fini delle valutazioni da
operare sull'identificabilità, vanno tenuti in considerazione il
tempo di conservazione della lista di identificazione, gli eventuali
rischi di disfunzione o malfunzionamento delle misure
tecnico-organizzative eventualmente adottate per la custodia e la
sicurezza dei dati e quelli di violazione delle regole di
riservatezza e confidenzialità previste dalle disposizioni normative
applicabili (articoli 3, comma 1, lettera c) e 11, comma 3, decreto
legislativo n. 211/2003), nonchè le precauzioni che gli addetti al
monitoraggio sono tenuti a utilizzare per mantenere riservata
l'identità delle persone che si sottopongono alla sperimentazione
(decreto ministeriale 15 luglio 1997, all. 1/1A punto 1.21 e all.
1/2, punto 2.11).
La quantità e la tipologia di informazioni fornite al promotore,
le modalità di trattamento previste e le diverse categorie di
soggetti che possono accedere ai dati della sperimentazione
comportano, quindi, la possibilità di identificare gli interessati,
sia pure indirettamente, mediante il riferimento ad altre
informazioni detenute dal promotore medesimo o a qualsiasi altra
informazione non necessariamente nella disponibilità di
quest'ultimo, ma detenuta da terzi. Ciò, considerando, in
conformità alla disciplina comunitaria, l'insieme dei mezzi che
possono essere ragionevolmente utilizzati dal promotore, come pure da
soggetti terzi, per identificare gli interessati (considerando 26
della direttiva 95/46/Ce).
Pertanto, le informazioni collegate al codice identificativo di
ciascun paziente sono da ritenere dati personali idonei a rivelare lo
stato salute e, in qualche caso, la vita sessuale del singolo
interessato (articoli 2, al. 1, lettera a) e 8 direttiva 95/46/Ce;
art. 4, comma 1, lettera b) e d), del Codice). La loro acquisizione
da parte del promotore nell'ambito delle sperimentazioni cliniche e
le successive attività svolte su questi ultimi configurano un
trattamento di dati al quale è applicabile la disciplina del Codice
sulle informazioni sensibili (art. 26), nonchè le ulteriori cautele
poste a tutela dei diritti e della riservatezza degli interessati
dall'autorizzazione del Garante n. 2/2008 al trattamento dei dati
sulla salute e sulla vita sessuale (Provv. 19 giugno 2008, n. 33,
doc. web n. 1529389) e, ove applicabile, dall'autorizzazione del
Garante al trattamento dei dati genetici (Provv. 22 febbraio 2007,
doc. web n. 1389918).
4. Notificazione
Alcuni trattamenti effettuati nell'ambito delle sperimentazioni
cliniche di medicinali sono soggetti all'obbligo di notificazione al
Garante. Si tratta, in particolare, dei trattamenti di dati che
ricadono nelle ipotesi considerate dall'art. 37, comma 1, del Codice,
vale a dire quelli relativi a dati genetici, oppure effettuati a fini
di indagine epidemiologica (art. 37, comma 1, lettera a) e b)).
Il Garante ha sottratto dall'obbligo di notificazione alcuni tra
i trattamenti che rientrano in tali ipotesi, individuando i
presupposti in base ai quali non devono essere notificati i
trattamenti riguardanti dati genetici o finalizzati a indagini
epidemiologiche effettuati da esercenti le professioni sanitarie
anche in forma associata (Provv. 31 marzo 2004, doc. web n. 852561).
A proposito di tali categorie di trattamenti, va nuovamente rilevato
che l'esonero disposto da questa Autorità opera soltanto nei
riguardi di quelli eventualmente effettuati da medici sperimentatori
per attività di cura della salute associate alle sperimentazioni
cliniche, sempre che si tratti di trattamenti non sistematici e non
organizzati in banche dati accessibili a terzi per via telematica. Si
pensi, ad esempio, al caso del medico che, nell'ambito delle visite o
degli accertamenti diagnostici previsti in uno studio clinico, venga
a conoscenza e tratti saltuariamente, senza trasmetterle al
committente dello studio, informazioni di tipo genetico riguardanti
le malattie ereditarie dei pazienti coinvolti, a fini di cura della
salute o di tutela dell'incolumità fisica degli interessati (cfr.
Nota 26 aprile 2004, doc. web n. 996680).
5. Titolarità dei trattamenti finalizzati alla sperimentazione
Risulta essenziale verificare quale rapporto intercorre tra i
promotori di sperimentazioni cliniche e i centri di sperimentazione,
per ciò che riguarda il trattamento dei dati personali. In questo
quadro, occorre approfondire il ruolo effettivamente svolto da tali
società per quanto concerne l'individuazione delle finalità e delle
modalità del trattamento, anche alla luce delle delucidazioni
fornite dal Garante a proposito della figura del «titolare» e del
«responsabile del trattamento» (cfr. Parere 18 maggio 2000, doc. web
n. 30935).
Al riguardo, va evidenziato che il promotore, prima dell'avvio
della sperimentazione, identifica i possibili centri partecipanti
verificandone l'idoneità e il relativo interesse; predispone il
protocollo da osservare nel corso dello studio; quindi, impartisce ai
centri le necessarie direttive sul trattamento dei dati, ivi compresi
i profili relativi alla loro custodia e sicurezza, nonchè le
istruzioni relative alle modalità di utilizzo dei sistemi
informativi eventualmente previsti, e, se necessario, forniti al
centro; verifica poi, a mezzo di propri collaboratori, l'osservanza
del protocollo e delle proprie procedure interne da parte del centro;
predispone i documenti da impiegare per informare le persone
partecipanti e per ottenerne il consenso anche per ciò che riguarda
il trattamento dei dati che li riguardano; infine, avverte i centri
quando non è più necessario conservare la documentazione relativa
allo studio.
Il promotore non effettua, quindi, alcuna attività di raccolta
diretta dei dati, nè può interloquire con gli individui inclusi
nella sperimentazione; compiti, questi, spettanti ai medici
sperimentatori. Tuttavia, il promotore acquisisce, come detto, in
diverse ipotesi i dati dei pazienti raccolti dai centri e sugli
stessi effettua diverse operazioni di trattamento; tramite i propri
collaboratori addetti al monitoraggio esamina, infatti, presso i
centri le informazioni contenute nella documentazione medica
originale e nella lista di identificazione delle persone coinvolte
nello studio; è destinatario dei dati registrati da ciascun centro
sulle schede raccolta dati e sulle segnalazioni di reazioni e eventi
avversi; ne cura direttamente, ovvero tramite soggetti esterni ai
quali può demandare alcuni o tutti i compiti in materia di
sperimentazione, il loro inserimento sul data-base, nonchè il
controllo, la validazione e la successiva elaborazione statistica dei
dati al fine di conseguire i risultati dello studio.
D'altra parte, va rilevato che il centro non è assoggettato a
vincoli di subordinazione nei confronti del promotore: accetta il
protocollo concordandone con il promotore alcuni aspetti, compresi
quelli relativi alla formulazione del consenso informato delle
persone partecipanti in ottemperanza al parere del comitato etico di
riferimento; esegue la sperimentazione con propria autonomia
organizzativa, sebbene nel rispetto del protocollo, delle procedure
operative standard e delle direttive del promotore; per l'esecuzione
della sperimentazione si avvale di collaboratori che ritiene idonei
ed è responsabile del loro operato; fornisce l'informativa alle
persone coinvolte nello studio e acquisisce il loro consenso anche
per ciò che attiene al trattamento dei dati che le riguardano;
permette che i collaboratori del promotore accedano alla
documentazione medica originale dei soggetti coinvolti per svolgere
le attività di monitoraggio; gestisce e custodisce sotto la propria
responsabilità tale documentazione.
Dalla ricostruzione delle attività svolte anche nell'ambito
degli accertamenti ispettivi effettuati, i singoli centri di
sperimentazione e i promotori hanno in genere responsabilità
distinte nell'ambito degli studi clinici e si configurano, quindi,
quali autonomi titolari o, a seconda dei casi, contitolari del
trattamento (art. 28 del Codice). Per poter effettuare lecitamente il
trattamento dei dati relativi alle sperimentazioni, tali soggetti
sono pertanto tenuti al rispetto delle disposizioni del Codice e
delle prescrizioni della citata autorizzazione generale del Garante
con particolare riferimento ai profili relativi alle modalità di
trattamento e ai requisiti dei dati, alla notificazione
all'Autorità, alla designazione degli incaricati e di eventuali
responsabili, nonchè alla custodia e sicurezza delle medesime
informazioni (articoli 11, 29, 30, 31-35, 37 e 38 del Codice; v.
anche autorizzazione n. 2/2008 cit., specie punto 1.2). La
trasmissione dei dati dello studio da parte dei centri di
sperimentazione ai promotori configura una vera e propria
«comunicazione» di dati e un trattamento di dati da parte di terzi, i
quali vanno indicati nominativamente e distintamente nell'informativa
agli interessati e nel modello di consenso, anche per ciò che
riguarda l'esercizio del diritto di accesso e degli altri diritti
previsti dagli articoli 7 e 8 del Codice (articoli 13, 23 e 26 del
Codice).
6. Altri soggetti che intervengono nella sperimentazione dei farmaci
Il promotore può stipulare un contratto con soggetti esterni
(organizzazioni di ricerca a contratto, laboratori di analisi, ecc.)
per demandare loro alcuni, o tutti i compiti e le funzioni di sua
competenza inerenti alle sperimentazioni di farmaci, specificandoli
per iscritto (decreto ministeriale 15 luglio 1997, all. 1/5A, punto
5.2). In tal caso questi soggetti, i quali possono essere singole
persone fisiche ovvero società, istituzioni e altri organismi,
possono svolgere nell'ambito degli studi clinici attività che, a
seconda delle mansioni di volta in volta affidate, comportano il
trattamento di dati personali riferiti ai singoli individui inclusi
nelle sperimentazioni, come accade nelle ipotesi in cui essi vengano
incaricati del monitoraggio degli studi, dell'inserimento, della
validazione o dell'analisi statistica dei dati, ovvero della
farmacovigilanza.
In tutte queste ipotesi è necessario che il promotore definisca
chiaramente, nei contratti di affidamento o in altri atti idonei, il
ruolo svolto nel trattamento dei dati personali da eventuali
collaboratori esterni ai quali demanda attività o parti di attività
inerenti agli studi clinici (articoli 28, 29 e 30 del Codice).
Nell'ambito delle sperimentazioni questi soggetti eseguono
generalmente attività per conto e, in alcuni casi, in nome del
promotore, nel rispetto delle modalità operative standard di
quest'ultimo, o di proprie procedure visionate e approvate dal
promotore stesso, ovvero di puntuali direttive di volta in volta
impartite per iscritto da quest'ultimo. A tal fine, il promotore
espleta spesso un'attività di formazione specifica nei confronti di
tali collaboratori e, talvolta, si riserva il diritto di esprimere il
proprio gradimento sui singoli. I medesimi soggetti possono inoltre
utilizzare le informazioni e i documenti eventualmente ottenuti dai
centri di sperimentazione nell'ambito dello studio soltanto in
funzione dell'espletamento delle mansioni loro delegate; a
conclusione della collaborazione, consegnano di regola al promotore
tutte le informazioni e la documentazione che ne è conseguita.
Con specifico riferimento alle attività di monitoraggio, i
promotori di studi clinici possono avvalersi, come detto, non solo di
personale interno all'azienda, ma anche di collaboratori esterni. In
entrambi i casi, gli addetti al monitoraggio (clinical study monitor)
vengono selezionati, nominati e addestrati in modo specifico dal
promotore che stabilisce l'estensione e il tipo di monitoraggio da
effettuare; nello svolgimento della loro attività sono tenuti a
osservare le procedure del promotore e le sue specifiche istruzioni;
sono inoltre soggetti al controllo del promotore medesimo al quale
devono sottoporre un rapporto scritto dopo ogni visita ai centri di
sperimentazione o dopo ogni comunicazione riguardante la
sperimentazione stessa (decreto ministeriale 15 luglio 1997, all. 1/5
punto 5.18).
La relazione fra i promotori, da un lato e, dall'altro, i
soggetti esterni ai quali vengono affidate alcune, o tutte le
mansioni riguardanti gli studi clinici (ivi compresi gli addetti al
monitoraggio) vanno utilmente inquadrate nell'ambito di un rapporto
fra «titolare» e «incaricati» (unicamente persone fisiche) o,
eventualmente, in base al grado di autonomia da osservare nel
trattamento dei dati, «responsabili del trattamento» (persone fisiche
o giuridiche). Tali soggetti devono quindi essere designati, in
conformità alle disposizioni del Codice sugli incaricati e sui
responsabili, e ricevere idonee istruzioni alle quali attenersi nel
trattamento dei dati della sperimentazione (articoli 29 e 30).
I soggetti che, in quanto collaboratori dei promotori, accedono
ai dati personali delle persone incluse nello studio per le finalità
della sperimentazione devono essere inoltre menzionati, anche per
categorie, nell'informativa da fornire agli interessati; qualora
vengano designati più responsabili, occorre indicare anche gli
estremi identificativi di almeno uno di essi, nonchè le modalità
per reperire, anche on-line, il loro elenco aggiornato (art. 13 del
Codice).
Diversamente, qualora i promotori ritengano, in base alla legge,
di non poter designare i soggetti esterni di cui si avvalgono quali
«incaricati» o «responsabili», in quanto i ruoli svolti da questi non
possono essere ricondotti alle predette figure previste dal Codice,
il flusso delle informazioni riferite agli individui partecipanti di
cui siano eventualmente destinatari tali collaboratori costituirebbe
una comunicazione di dati personali che potrebbe essere effettuata
lecitamente in presenza del consenso specifico e informato degli
interessati o di altro presupposto equipollente (articoli 11,
comma 1, lettera a), 13, 23 e 26 del Codice).
Analoghe cautele devono essere adottate dai centri di
sperimentazione nel caso in cui essi demandino attività o parti di
attività inerenti agli studi clinici a soggetti esterni quali, ad
esempio, laboratori di analisi (articoli 13, 29 e 30 del Codice,
autorizzazione del Garante al trattamento dei dati genetici del
22 febbraio 2007, doc. web n. 1389918, in particolare punti 4.3, 8 e
9).
I promotori devono prestare, comunque, particolare attenzione
nella scelta dei soggetti, responsabili e incaricati, ai quali
affidare, ai sensi degli articoli 29 e 30 del Codice, alcune o tutte
le mansioni inerenti alle sperimentazioni di farmaci, specie con
riferimento al monitoraggio dello studio, assicurandosi che essi
possiedano requisiti di esperienza, capacità e affidabilità tali da
fornire idonee garanzie del pieno rispetto delle istruzioni da
impartire e delle regole di riservatezza e confidenzialità previste
dalla disciplina in materia di protezione di dati personali e dalle
disposizioni di settore. Gli addetti al monitoraggio devono essere
sottoposti a regole di condotta analoghe al segreto professionale. Il
loro processo di designazione deve prevedere la frequenza di una
specifica attività formativa concernente l'illustrazione dei rischi
e delle responsabilità derivanti dal trattamento di queste
informazioni, le istruzioni da rispettare per la loro custodia e
sicurezza, nonchè le regole di riservatezza e confidenzialità
previste dalle disposizioni normative applicabili (articoli 3,
comma 1, lettera c) e 11, comma 3, decreto legislativo n. 211/2003;
articoli 11, 29, 30, 31 e ss. decreto legislativo n. 196/2003) e le
specifiche precauzioni da utilizzare per tutelare l'identità degli
interessati anche nei riguardi dello stesso promotore (decreto
ministeriale 15 luglio 1997, all. 1/1A punto 1.21 e all. 1/2, punto
2.11).
7. Informativa ai pazienti
I promotori, di regola, individuano le informazioni da comunicare
alle persone coinvolte nello studio e la procedura da seguire per
raccogliere il loro consenso tramite i centri di sperimentazione,
anche per ciò che riguarda il trattamento dei dati che li
riguardano, per consentirne l'esame da parte dei comitati etici
interessati (articoli 6, 7, 8 e 11 decreto legislativo n. 211/2003).
Tuttavia, ritenendo erroneamente di non dover applicare la
disciplina di protezione dei dati alle informazioni riconducibili
agli individui inclusi nella sperimentazione, alcuni promotori
invitano i centri a informare i pazienti interessati che i dati che
li riguardano saranno trasmessi dal medico dello studio a chi lo ha
commissionato esclusivamente in forma anonima. Questa indicazione,
oltre a essere erronea, non consente alle persone interessate di
comprendere quali siano i ruoli effettivamente svolti dal promotore e
dagli altri soggetti, della cui collaborazione questo eventualmente
si avvalga, riguardo al trattamento dei dati.
Così formulata, l'informativa agli individui partecipanti in
sperimentazioni cliniche è, quindi, inidonea ai sensi del Codice
(art. 13); non permette altresì agli interessati di esprimere una
volontà consapevole riguardo al fatto che i trattamenti effettuati
presso il promotore o i soggetti che con esso eventualmente
collaborano (anche al di fuori del territorio nazionale) concernono
informazioni che, seppure codificate, come sopra evidenziato, sono
riconducibili ai medesimi interessati.
L'informativa da fornire agli interessati tramite i centri di
sperimentazione deve invece comprendere, anche con formule
sintetiche, ma pur sempre agevolmente comprensibili, indicazioni
specifiche relative a:
a) la natura dei dati trattati dal promotore e la circostanza
che tali dati vengono trasmessi all'estero;
b) il ruolo effettivamente svolto dal promotore riguardo al
trattamento dei dati e le finalità e modalità di quest'ultimo;
c) i soggetti o le categorie di soggetti ai quali i dati
possono essere comunicati o che possono venirne a conoscenza in
qualità di incaricati o di responsabili;
d) l'esercizio del diritto d'accesso e gli altri diritti in
materia di dati personali nei confronti del promotore e degli altri
soggetti eventualmente destinatari dei dati (articoli 7 e 8 del
Codice).
Al fine di agevolare l'individuazione degli elementi essenziali
da precisare nell'informativa, il Garante individua nel prospetto
allegato (all. n. 1) un modello di riferimento che potrà essere
utilizzato facoltativamente dai promotori per adempiere, tramite i
centri di sperimentazione, all'obbligo dell'informativa, in armonia
con i principi di semplificazione, armonizzazione ed efficacia
previsti dal Codice nel quadro di un elevato livello di tutela dei
diritti degli interessati (art. 2 del Codice). Nelle ipotesi in cui
lo studio preveda il trattamento di informazioni genetiche (ad
esempio, nelle indagini farmacogenetiche o farmacogenomiche) tali
elementi devono essere integrati da indicazioni chiare in ordine a
profili specifici dell'utilizzo di dati genetici e di campioni
biologici individuati nella citata autorizzazione del Garante (punto
5 aut. 22 febbraio 2007, doc. web n. 1389918; cfr. anche decreto
ministeriale 21 dicembre 2007, appendice 14).
Inoltre, deve essere cura dei centri di sperimentazione garantire
che il personale coinvolto nelle sperimentazioni cliniche e, in
particolare, nei colloqui preliminari volti all'acquisizione del
consenso informato, sia formato adeguatamente anche sugli aspetti
rilevanti della disciplina sulla protezione dei dati personali, in
modo da essere in grado di spiegare accuratamente e con completezza
agli interessati gli elementi essenziali riguardanti il trattamento
dei dati. I promotori, nell'individuare i centri presso i quali
condurre sperimentazioni cliniche, devono verificare l'adeguatezza
del personale del centro a gestire tale procedura predisponendo, ove
necessario, appositi interventi formativi. Il profilo della
formazione andrebbe considerato anche dai comitati etici nelle
valutazioni relative all'idoneità del medico sperimentatore e dei
suoi collaboratori.
8. Consenso al trattamento dei dati
Anche il modello che i centri di sperimentazione devono
sottoporre agli interessati per acquisire le dichiarazioni di
consenso al trattamento dei dati che li riguardano viene di regola
predisposto dai promotori e sottoposto all'esame dei comitati etici
interessati (articoli 6, 7, 8 e 11 decreto legislativo n. 211/2003).
Le formule solitamente utilizzate per la manifestazione del
consenso si limitano ad autorizzare il medico a far esaminare la
documentazione medica originale delle persone che si sottopongono
alla sperimentazione da parte del personale del promotore addetto al
monitoraggio (o da personale esterno da questi delegato), dei
componenti del comitato etico e delle autorità sanitarie competenti,
al fine di verificare le procedure dello studio e/o l'accuratezza dei
dati raccolti (decreto ministeriale 15 luglio 1997, all. 1/4B punto
4.8.10). Tali formule non consentono, invece, agli interessati di
esprimere la propria volontà circa gli ulteriori trattamenti di dati
effettuati presso lo sponsor e/o i soggetti che, anche all'estero,
collaborano eventualmente con esso nell'ambito della sperimentazione.
Il promotore e i suoi eventuali collaboratori non possono
utilizzare lecitamente i dati personali degli individui partecipanti
allo studio clinico se non provvedono ad acquisire previamente dagli
interessati, tramite i centri di sperimentazione, idonee e specifiche
manifestazioni di consenso riguardo ai trattamenti di dati da essi
effettuati (articoli 23 e 26 del Codice). Per facilitare anche tale
adempimento da parte dei promotori, in armonia con i citati principi
di semplificazione, armonizzazione ed efficacia, è individuata
nell'allegato n. 1 anche una formula di riferimento per
l'acquisizione del consenso, da sottoporre agli interessati,
unitamente al modello d'informativa, tramite i centri di
sperimentazione.
Particolare attenzione deve essere prestata anche alle modalità
con cui il consenso degli interessati viene acquisto, specie quando
si tratta di persone che, per il loro particolare stato di
vulnerabilità, sono suscettibili di essere sottoposti a forme di
coercizione o influenza tali da ostacolare la libera espressione del
loro consenso. Si pensi a pazienti affetti da malattie incurabili o
in situazioni di emergenza, a persone indigenti o ospitate nelle case
di riposo o, ancora, ad appartenenti a gruppi «strutturati
gerarchicamente», come gli studenti di medicina, il personale
subordinato di un ospedale o di un laboratorio, i dipendenti di una
società farmaceutica, ecc. In tali casi, oltre ad adottare le
specifiche cautele richieste dalla normativa di settore (decreto
ministeriale 15 luglio 1997, all. 1/1B punto 1.61 e all. 1/4B punto
4.8), è opportuno utilizzare procedure per acquisire il consenso
informato degli interessati che non si limitino ad approcci meramente
formali e individualizzati con i singoli individui, organizzando, ad
esempio, momenti di confronto con la generalità o con gruppi di
partecipanti, o coinvolgendo le associazioni, anche locali, di
pazienti interessati.
9. Esercizio dei diritti di cui all'art. 7 del Codice
Le persone partecipanti a sperimentazioni cliniche di medicinali
possono esercitare in ogni momento i diritti di cui all'art. 7 del
Codice, tra i quali quello di accedere ai dati che li riguardano e di
ottenerne la comunicazione in forma intelligibile, ovvero
l'integrazione, l'aggiornamento o la rettifica, rivolgendosi
direttamente al centro di sperimentazione o, per il tramite del
medico sperimentatore (che è a conoscenza della loro identità e,
mediante l'accesso alla lista di identificazione, può individuare il
codice identificativo di ciascun interessato), al promotore.
Quest'ultimo, come pure il centro di sperimentazione, anche per
il tramite dei rispettivi responsabili, eventualmente designati,
qualora siano destinatari di simili istanze (per la presentazione
delle quali non sono, peraltro, richieste particolari formalita)
devono fornire senza ritardo all'interessato un riscontro compiuto e
analitico (articoli 7, 8, 9, 10 e 146 del Codice). In particolare, va
fornito riscontro alle richieste di accesso ai dati personali
estrapolando dagli archivi le informazioni detenute e comunicandole
all'interessato con modalità tali da renderne agevole la
comprensione, nonchè, se richiesto, trasponendole su supporto
cartaceo o informatico, non potendo opporre rifiuto se non nei casi
espressamente previsti dal Codice (art. 8). In tema di ricerche in
ambito medico, biomedico ed epidemiologico il principio alla base
della disciplina in materia è che il riscontro a istanze di
integrazione, aggiornamento e rettificazione dei dati può essere
fornito annotando le modifiche richieste dall'interessato senza
modificare questi ultimi, quando il risultato di tali operazioni non
produce effetti significativi sul risultato della ricerca (art. 110,
comma 2, del Codice; art. 16, comma 2, codice di deontologia e di
buona condotta per i trattamenti di dati personali per scopi
statistici e scientifici, allegato A.4. al Codice, doc. web n.
1038384).
Dal momento che la partecipazione allo studio clinico è su base
volontaria, gli interessati possono interrompere in ogni momento e
senza fornire alcuna giustificazione la loro partecipazione allo
studio (art. 3, comma 1, lettera b) e c) decreto legislativo n.
211/2003; decreto ministeriale 15 luglio 1997, all. 1/1B punto 1.28 e
all. 1/4B punto 4.8; decreto ministeriale 21 dicembre 2007, all. 1
punto 6.1.2.5; art. 7, comma 4, lettera a), del Codice). In questo
caso, non è più possibile raccogliere ulteriori dati che riguardano
gli interessati e i campioni biologici eventualmente prelevati e
conservati in una forma che consente di identificarli vanno distrutti
(punto 6, aut. al trattamento dei dati genetici del 22 febbraio 2007,
doc. web n. 1389918; v. anche decreto ministeriale 21 dicembre 2007,
all. 2 punto 6.1.2.5). Resta impregiudicata la possibilità di
utilizzare i dati eventualmente già raccolti per determinare, senza
alterarli, i risultati della ricerca (v. al riguardo, paragrafo 3.3
Raccomandazione del Consiglio d'Europa R(83)10 del 23 settembre del
1983 relativa alla protezione dei dati a carattere personale
utilizzati a fini di ricerca scientifica e di statistiche; paragrafo
6.1 Raccomandazione del Consiglio d'Europa (97)18 del 30 settembre
1997 relativa alla protezione dei dati personali raccolti e trattati
per scopi statistici).
10. Trasferimento di dati all'estero
Nelle sperimentazioni cliniche dei medicinali accade,
frequentemente, che le informazioni e i campioni biologici degli
individui partecipanti, raccolti dai medici sperimentatori in un
Paese, vengano trasferiti a soggetti ubicati in altri Paesi, anche al
di fuori dell'Unione europea, o siano resi accessibili a diverse
categorie di soggetti aventi sede in tali Paesi. Ciò, avviene
specialmente negli studi promossi da promotori che operano
nell'ambito di gruppi multinazionali nei quali gli stessi promotori,
gli addetti al monitoraggio dello studio, il laboratorio di analisi e
gli altri soggetti esterni che collaborano con il promotore, possono
avere sede in Paesi terzi.
Tali informazioni, in quanto riconducibili alle singole persone
coinvolte nello studio, possono essere trasferite lecitamente in
Paesi extra-Ue che non garantiscono un livello adeguato di protezione
dei dati personali a condizione che i pazienti interessati ne siano
stati previamente informati e abbiano manifestato per iscritto un
consenso specifico (art. 43, comma 1, lettera a) del Codice), ovvero
vengano adottate garanzie equipollenti e adeguate per i diritti degli
interessati (art. 44, comma 1, lettera b) del Codice). In
particolare, costituiscono garanzie sufficienti per la tutela della
vita privata e dei diritti degli interessati le clausole contrattuali
standard per il trasferimento di dati personali a «responsabili del
trattamento» residenti in Paesi terzi (cfr. decisione della
Commissione europea del 27 dicembre 2001, n. 2002/16/Ce e Provv. del
Garante 10 aprile 2002 n. 3, doc. web n. 1065361), nonchè quelle
previste per il trasferimento di dati effettuati da un «titolare del
trattamento» avente sede nell'Unione europea a un diverso «titolare»
residente al di fuori del territorio europeo (cfr. decisione della
Commissione europea del 15 giugno 2001, n. 2001/497/Ce e Provv. del
Garante del 10 ottobre 2001, doc. web n. 42156; decisione del
27 dicembre 2004, n. 2004/915/Ce e Provv. del Garante del 9 giugno
2005, doc. web n. 1151949). Ai fini dell'utilizzazione delle citate
clausole è necessario definire preventivamente, con chiarezza e
precisione, i ruoli svolti dai soggetti nell'ambito del trasferimento
dei dati e delle operazioni di trattamento effettuate in conformità
ai parametri indicati (l'esportatore deve risultare effettivamente
«titolare» del trattamento e, l'importatore, deve essere l'effettivo
«responsabile» o «titolare» autonomo del trattamento), nonchè
specificare le attività principali di trattamento cui sottoporre le
informazioni personali oggetto di trasferimento.
Per ciò che concerne il trasferimento di dati verso
organizzazioni stabilite negli Stati Uniti d'America fornisce,
parimenti, adeguate garanzie per l'interessato l'idonea adesione ai
principi in materia di riservatezza contenuti nel c.d. accordo del
«Safe Harbor» (cfr. decisione della Commissione europea del 26 luglio
2000 n. 2000/520/Ce e Provv. del Garante del 10 ottobre 2001, doc.
web n. 30939).
11. Periodo di conservazione e trattamento di dati per ulteriori fini
di ricerca
I dati e i campioni biologici delle persone che si sottopongono
alle sperimentazioni devono essere conservati per un arco di tempo
non superiore a quello necessario per conseguire le finalità per le
quali sono stati raccolti e trattati (art. 11, comma 1, lettera e)
del Codice, aut. cit. del 22 febbraio 2007, doc. web n. 1389918). Al
riguardo, la normativa applicabile alle sperimentazioni cliniche
prevede che i documenti essenziali relativi allo studio (compresa la
documentazione medica riferita ai singoli individui) debbano essere
conservati presso il promotore e i centri partecipanti per almeno
sette anni dopo il completamento della sperimentazione, ovvero per un
periodo di tempo considerevolmente più lungo in conformità alla
disciplina applicabile o agli accordi intervenuti il promotore
medesimo e centri partecipanti (art. 18 decreto legislativo n.
200/2007; decreto legislativo n. 219/2006, all. 1, punto 5.2,
lettera c); decreto ministeriale 15 luglio 1997, all. 1/4B, punti
4.9.4 e 4.9.5 e all. 1/5A, punti 5.5.11 e 5.5.12).
In termini generali, in applicazione della disposizione del
Codice sopra richiamata sulla durata di conservazione, i dati devono
essere conservati presso i soggetti esterni che eventualmente
collaborano con il promotore per la gestione e l'analisi statistica,
per il solo periodo di tempo non superiore a quello necessario per
definire il rapporto finale della sperimentazione o pubblicare i
risultati dello studio.
La possibilità di fissare un periodo di tempo più lungo
rispetto a quello previsto dalla normativa applicabile per la
conservazione dei medesimi dati presso il promotore e i centri
partecipanti può, invece, essere valutata anche alla luce della
durata dell'autorizzazione d'immissione in commercio del medicinale
in sperimentazione o di eventuali ulteriori esigenze di analisi dei
dati, connesse ad esempio, a nuove domande d'immissione in commercio
o di estensione dell'autorizzazione, ovvero al manifestarsi di
evidenze significative per la sicurezza dei pazienti.
I promotori di uno studio clinico possono utilizzare lecitamente
in future attività di studio e di ricerca i dati e i campioni
biologici riconducibili a ciascuna delle persone coinvolte, anche
avvalendosi dei soggetti esterni che hanno collaborato con essi per
l'esecuzione della sperimentazione, a condizione che gli interessati
ne siano stati previamente e adeguatamente informati e abbiano
manifestato per iscritto un consenso specifico e distinto rispetto a
quello manifestato per lo studio principale (articoli 11, comma 1,
lettera e), 13, 23, 26 e 1999 del Codice; aut. del 22 febbraio 2007,
doc. web n. 1389918).
12. Custodia e sicurezza dei dati
A seguito degli approfondimenti, anche tecnici, svolti
nell'ambito degli accertamenti ispettivi effettuati presso alcuni
promotori e altri soggetti coinvolti nelle sperimentazioni, nonchè
di quelli effettuati, nell'ambito della consultazione pubblica, con i
principali organismi interessati, sono stati individuati idonei
accorgimenti e misure da porre a garanzia degli interessati nei
trattamenti di dati effettuati per l'esecuzione di tali studi. La
particolare delicatezza dei dati trattati nella sperimentazione
impone l'adozione di specifici accorgimenti tecnici per incrementare
il livello di sicurezza dei dati (art. 31 del Codice), senza
pregiudizio di ogni altra misura minima che ciascun titolare del
trattamento deve adottare ai sensi del Codice (art. 33 e ss.). Ciò,
con particolare riferimento alle operazioni di registrazione con
strumenti elettronici dei dati delle persone coinvolte nello studio
presso i centri di sperimentazione, al loro trasferimento in via
telematica verso un unico database presso il promotore o gli altri
soggetti che svolgono, per conto di quest'ultimo, la validazione e
l'elaborazione statistica dei dati, nonchè alla gestione della
medesima banca dati.
In relazione a tali operazioni di trattamento, i promotori di
sperimentazioni cliniche di medicinali, le organizzazioni di ricerca
a contratto e i centri di sperimentazione, ciascuno per la parte di
propria competenza in relazione al ruolo ricoperto nel trattamento
dei dati e alle conseguenti responsabilità ai fini dell'adozione
delle misure di sicurezza, devono adottare:
a) laddove siano utilizzati sistemi di memorizzazione o
archiviazione dei dati, idonei accorgimenti per garantire la
protezione dei dati registrati dai rischi di accesso abusivo, furto o
smarrimento parziali o integrali dei supporti di memorizzazione o dei
sistemi di elaborazione portatili o fissi (ad esempio, attraverso
l'applicazione parziale o integrale di tecnologie crittografiche a
file system o database, oppure tramite l'adozione di altre misure
informatiche di protezione che rendano inintelligibili i dati ai
soggetti non legittimati);
b) protocolli di comunicazione sicuri basati sull'utilizzo di
standard crittografici per la trasmissione elettronica dei dati
raccolti dai centri di sperimentazione al database centralizzato
presso il promotore o gli altri soggetti che effettuano la successiva
validazione ed elaborazione statistica dei dati;
c) con specifico riferimento al menzionato database:
idonei sistemi di autenticazione e di autorizzazione per gli
incaricati in funzione dei ruoli e delle esigenze di accesso e
trattamento;
procedure per la verifica periodica della qualità e coerenza
delle credenziali di autenticazione e dei profili di autorizzazione
assegnati agli incaricati del trattamento;
sistemi di audit log per il controllo degli accessi al
database e per il rilevamento di eventuali anomalie.
Il Garante si riserva, in relazione alle sperimentazioni cliniche
multinazionali, di promuovere a livello comunitario e internazionale
standard di sicurezza per i trattamenti di dati personali che
prevedano un livello di protezione ancora più elevato in un quadro
di armonizzazione delle misure e degli accorgimenti da adottare in
tali ambiti per la custodia e la sicurezza dei dati.
13. Altre tipologie di studi clinici
Le indicazioni fornite nelle presenti «Linee guida» a garanzia
dei soggetti interessati possono, in linea generale, essere prese in
considerazione come quadro unitario di riferimento per un uso lecito
e corretto dei dati personali anche nell'ambito di altre tipologie di
sperimentazioni cliniche, vale a dire quelle riguardanti i
dispositivi medici (art. 7 decreto legislativo 14 dicembre 1992, n.
507; art. 14 decreto legislativo 24 febbraio 1997, n. 46; decreto
ministeriale 2 agosto 2005) e quelle non promosse da società
farmaceutiche o da altre strutture private per lo sviluppo
industriale di un farmaco (c.d. sperimentazioni «non aventi fini di
lucro», cfr. art. 1 decreto legislativo n. 200/2007 e decreto
ministeriale 17 dicembre 2004). In queste ipotesi, occorre
verificare, innanzitutto, il ruolo dei soggetti coinvolti nello
studio rispetto al trattamento dei dati (promotore, centro di
sperimentazione, centro coordinatore, organizzazione di ricerca a
contratto, laboratorio di analisi, ecc.) in modo da poter individuare
il soggetto o i soggetti, titolari del trattamento, tenuti agli
adempimenti previsti dal Codice in materia di notificazione,
designazione di incaricati e di eventuali responsabili, consenso
informato al trattamento dei dati, predisposizione di adeguate misure
per la custodia e sicurezza dei dati, esercizio dei diritti di
accesso e degli altri diritti riguardanti i dati personali. Occorre,
inoltre, accertare, in base alle previsioni dello studio, eventuali
flussi di dati, anche attraverso la loro messa a disposizione o
consultazione (ad esempio, a fini di monitoraggio), verso soggetti
esterni situati anche al di fuori dell'Unione europea, in modo da
verificare la necessità di acquisire il consenso specifico e
informato degli interessati e/o di adottare garanzie equipollenti e
adeguate (articoli 11, comma 1, lettera a), 13, 23, 26, 43 e 44 del
Codice).
Vanno poi formulate in questa sede alcune precisazioni con
riferimento ad altri studi, nei quali i medicinali sono prescritti e
somministrati ai soggetti che accettano di parteciparvi secondo la
normale pratica clinica (sperimentazioni «non interventistiche», v.
art. 1 decreto legislativo n. 200/2007). Questi studi, c.d.
«osservazionali», qualora non siano strettamente associati ad
attività di tutela della salute svolte da medici o organismi
sanitari, ovvero -a differenza delle sperimentazioni cliniche sui
medicinali- non possano ritenersi comparabili a tali attività in
termini di ricaduta personalizzata sull'interessato, rientrano
nell'ambito di applicazione delle previsioni del codice di
deontologia e di buona condotta per i trattamenti di dati personali
per scopi statistici e scientifici (Allegato A.4. al Codice, doc. web
n. 1038384) la cui osservanza, oltre a rappresentare un obbligo
deontologico, costituisce condizione essenziale per la liceità e la
correttezza del trattamento medesimo (art. 12, comma 3, del Codice).
Anche nell'ambito di questi studi, il trattamento di informazioni
medico/cliniche può essere effettuato, in linea generale, per gli
scopi della ricerca con riferimento ai soli dati personali degli
individui che vi acconsentono specificatamente dopo aver ricevuto
un'idonea informativa sul trattamento dei dati (articoli 106, 107 e
110 del Codice; punto 1.2, lettera a) aut. n. 2/2008 cit.). Ciò,
indipendentemente dal fatto che lo studio preveda di raccogliere
queste informazioni direttamente presso gli interessati o presso
terzi.
In presenza di particolari e comprovate circostanze (di carattere
etico, metodologico o di impossibilità organizzativa), dalle quali
derivi l'impossibilità di informare gli interessati, il trattamento
può essere effettuato, anche in assenza del loro consenso, a
condizione che il programma di ricerca sia stato oggetto di motivato
parere favorevole del competente comitato etico e venga ottenuta
l'autorizzazione del Garante, che può essere rilasciata anche con
provvedimenti di carattere generale, relativi a determinate categorie
di titolari o di trattamenti (articoli 110 ult. parte e 40 del
Codice). Si pensi, ad esempio, ad alcuni studi di tipo retrospettivo
in cui il tempo trascorso dal momento in cui i dati da analizzare
sono stati raccolti, l'entità del campione da selezionare e le
caratteristiche sulla base delle quali viene effettuato il
campionamento (ad esempio, un gruppo di persone affette da patologie
ad alta incidenza di mortalita) possono rendere ragionevolmente
impossibile raggiungere gli interessati e fornire loro un'adeguata
informativa.
Il Garante si riserva di adottare provvedimenti più specifici di
prescrizione e di divieto che potranno derivare dalle verifiche di
eventuali violazioni riguardanti singoli soggetti promotori, nonchè
di apportare alle presenti «Linee guida» eventuali integrazioni
riguardanti le concrete modalità di trattamento dei dati, anche alla
luce dell'esperienza maturata nell'applicazione delle stesse e delle
nuove tecnologie eventualmente intervenute.

Allegato n. 1

Informativa e manifestazione del consenso al trattamento
dei dati personali

Titolari del trattamento e relative finalità
Il Centro di sperimentazione (indicare il nome del centro) e
l'Azienda farmaceutica (indicare il nome del promotore), che ha
commissionato lo studio che Le è stato descritto, ciascuno per gli
ambiti di propria competenza e in accordo alle responsabilità
previste dalle norme della buona pratica clinica (decreto-legge n.
211/2003), tratteranno i Suoi dati personali, in particolare quelli
sulla salute e, soltanto nella misura in cui sono indispensabili in
relazione all'obiettivo dello studio, altri dati relativi alla Sua
origine, ai Suoi stili di vita e alla Sua vita sessuale (ecc.)
(variabili da specificare a seconda delle caratteristiche dello
studio), esclusivamente in funzione della realizzazione dello studio
e a fini di farmacovigilanza.
A tal fine i dati indicati saranno raccolti dal Centro di
sperimentazione e trasmessi all'Azienda farmaceutica e alle persone o
società esterne che agiscono per loro conto, tra le quali ...
(inserire gli estremi identificativi di almeno uno dei terzi cui i
dati saranno trasmessi) anche in Paesi non appartenenti all'Unione
europea che non garantiscono un adeguato livello di protezione dei
dati personali (da inserire nel caso si preveda di trasferire i dati
al di fuori dell'Ue specificando gli estremi identificativi dei
destinatari) 2..
Il trattamento dei dati personali relativi a ... (variabili da
specificare a seconda delle caratteristiche dello studio) è
indispensabile allo svolgimento dello studio: il rifiuto di
conferirli non Le consentirà di parteciparvi (Indicare inoltre gli
eventuali dati che possono invece essere forniti facoltativamente).
1 Da sottoporre agli interessati unitamente al modulo
di consenso informato che descrive le caratteristiche
scientifiche dello studio, anche mediante integrazione
dello stesso.
2 Quando non è possibile conoscere al momento della
redazione dell'informativa l'elenco completo dei soggetti
terzi a cui i dati saranno trasmessi anche in paesi
extra-UE occorre specificare come e quando l'elenco
completo verrà reso disponibile.
Natura dei dati
Il medico che La seguirà nello studio La identificherà con un
codice: i dati che La riguardano raccolti nel corso dello studio, ad
eccezione del Suo nominativo, saranno trasmessi all'Azienda
farmaceutica, registrati, elaborati e conservati unitamente a tale
codice, alla Sua data di nascita, al sesso, al Suo peso e alla Sua
statura (tutte le variabili di cui sopra da precisare secondo le
specifiche dello studio). Soltanto il medico e i soggetti autorizzati
potranno collegare questo codice al Suo nominativo.
Modalità del trattamento
I dati, trattati mediante strumenti anche elettronici, saranno
diffusi solo in forma rigorosamente anonima, ad esempio attraverso
pubblicazioni scientifiche, statistiche e convegni scientifici. La
Sua partecipazione allo studio implica che, in conformità alla
normativa sulle sperimentazioni cliniche dei medicinali, il personale
dell'Azienda farmaceutica o delle società esterne che eseguono per
conto della prima il monitoraggio e la verifica dello studio, il
Comitato etico e le autorità sanitarie italiane e straniere potranno
conoscere i dati che La riguardano, contenuti anche nella Sua
documentazione clinica originale, con modalità tali da garantire la
riservatezza della Sua identità.
Esercizio dei diritti
Potrà esercitare i diritti di cui all'art. 7 del Codice (es.
accedere ai Suoi dati personali, integrarli, aggiornarli,
rettificarli, opporsi al loro trattamento per motivi legittimi, ecc.)
rivolgendosi direttamente al centro di sperimentazione (indicare il
nome di una persona fisica o di un ufficio responsabile e un
recapito) o, per il suo tramite, all'azienda farmaceutica.
Potrà interrompere in ogni momento e senza fornire alcuna
giustificazione la Sua partecipazione allo studio: in tal caso, i
campioni biologici a Lei correlati verranno distrutti. Non saranno
inoltre raccolti ulteriori dati che La riguardano, ferma restando
l'utilizzazione di quelli eventualmente già raccolti per
determinare, senza alterarli, i risultati della ricerca.
Consenso
Sottoscrivendo tale modulo acconsento al trattamento dei miei
dati personali e al loro trasferimento al di fuori dell'Unione
europea (da inserire se effettuato specificando gli estremi
identificativi dei destinatari) per gli scopi della ricerca nei
limiti e con le modalità indicate nell'informativa fornitami con il
presente documento.
Nome e Cognome dell'interessato (in stampatello)
Firma dell'interessato
Data