Sperimentazioni cliniche: il parere dell’EDPB sul tema

Posted on 25 febbraio 2019 by Paola Generali in 2019, News

L’8 ottobre 2018, la Commissione europea (DG SANTE) ha presentato all’EDPB (European Data Protection Board) una richiesta di consultazione ai sensi dell’articolo 70 del regolamento generale sulla protezione dei dati concernente un documento su “Domande e risposte sull’interazione tra il regolamento sulle sperimentazioni cliniche (CTR) e il regolamento generale sulla protezione dei dati (GDPR)”. Il CTR, che dovrebbe entrare in vigore nel 2020, mira ad armonizzare le regole per lo svolgimento di sperimentazioni cliniche in tutta l’UE. Tale regolamento non contiene alcuna deroga al GDPR e pertanto si applicherà simultaneamente ad esso.

L’EPDB ha quindi rilasciato il suo parere concentrandosi su alcuni argomenti, in particolare:

  • la base giuridica ai sensi del GDPR per il trattamento dei dati personali nel corso di un protocollo di sperimentazione clinica (uso primario);
  • l’ulteriore uso dei dati degli studi clinici per altri scopi scientifici (uso secondario).

1.Uso primario

L’uso primario dei dati personali riguarda le operazioni di trattamento relative a uno specifico protocollo di sperimentazione clinica durante il suo l’intero ciclo di vita, dall’avvio all’archiviazione.

Non tutti trattamenti legati all’uso primario di dati relativi a sperimentazioni cliniche perseguono le stesse finalità e ricadono sotto le stesse basi giuridiche

Esistono due categorie principali di attività di trattamento dati durante il ciclo di vita di una sperimentazione clinica:

  • le operazioni di trattamento relative alle attività di ricerca;
  • le operazioni di trattamento relative alla protezione della salute e la definizione di standard di qualità e di sicurezza per i medicinali ai fini della creazione di dati affidabili (finalità di affidabilità e sicurezza).

Partendo da questi due trattamenti si possono determinare le corrispettive basi giuridiche.

Attività di ricerca: vengono individuate basi giuridiche alternative da determinare in base alla specifica sperimentazione clinica:

  • Consenso informato (al trattamento dei dati personali):
    • valido sia per i dati personali semplici, sia per quelli L’utilizzo del consenso dovrà preventivamente essere oggetto di attente valutazioni. Il titolare del trattamento dovrà infatti offrire le condizioni di un consenso liberamente fornito.
  • La revoca del consenso da parte dell’interessato:
    • non compromette le attività già eseguite e il trattamento dei dati ottenuti prima della revoca stessa;
  • In caso di revoca il titolare non potrà in alcun modo continuare a trattare i dati e, in assenza di un’ulteriore base giuridica che ne giustifichi la detenzione, dovrà prontamente cancellarli;
  • Pubblico interesse: a trattamenti nel settore della sanità pubblica, o necessario per scopi di archiviazione nell’interesse pubblico, ricerca scientifica o storica o scopi statistici in particolare quello relativo ai trattamenti necessari in settori di saluti pubblica.
  • Legittimo interesse: nei casi in cui l’interesse pubblico non è considerabile una valida base giuridica l’EDPB potrà prendere in considerazione il trattamento di dati personali necessario ai fini del legittimo interesse perseguito dal titolare del trattamento o da un terzo, tranne nei casi in cui il trattamento possa ledere diritti e dalle libertà fondamentali dell’interessato. Tuttavia, l’utilizzo di tale base giuridica è tutt’ora controverso e risulta difficile e rischioso individuare un legittimo interesse adeguato. 

Affidabilità e sicurezza: il CTR prevede degli obblighi legali in capo a sponsor e/o sperimentatore di segnalazione, archiviazione e divulgazione sulla sicurezza per questo motivo le basi individuate nel GDPR sono:

  • trattamento necessario per un obbligo legale (art. 6.1 GDPR)
  • interesse pubblico nel settore della sanità pubblica in relazione al trattamento di dati particolari a garanzia di alti standard di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell’Unione o degli Stati membri.

2.Uso secondario

Il consenso informato ai sensi del CTR per il riutilizzo dei dati di ricerca non è valido ai sensi del GDPR.

Se uno sponsor desidera utilizzare ulteriormente i dati personali raccolti per scopi scientifici diversi da quelli definiti nel protocollo di sperimentazione clinica, questi dove avere una base giuridica specifica ai sensi del GDPR uguale o diversa dalla base giuridica individuata per l’uso primario (es. consenso specifico al riutilizzo dei dati personali).

Tuttavia, il GDPR prevede che titolare del trattamento possa elaborare ulteriormente i dati senza la necessità di una nuova base giuridica laddove l’uso secondario dei dati della sperimentazione clinica sia destinato a fini di archiviazione nell’interesse pubblico, scientifico, storico o di ricerca statistica.

In conclusione, l’EDPB raccomanda una chiara distinzione tra i trattamenti svolti per finalità di affidabilità e sicurezza o per ricerca scientifica e sottolinea l’importanza di avere oltre a delle appropriate basi giuridiche anche misure di sicurezza per la protezione dei dati.

Posted by Paola Generali

Managing Director Getsolution

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *