Come cambiano la disciplina sulla tutela dei dati personali qualora si intendano cedere i dati personali raccolti nell’ambito di sperimentazioni cliniche senza scopo di lucro?
Il 3 marzo 2022 è entrato in vigore il decreto ministeriale del 30 novembre 2021, con cui il Ministero della Salute ha adottato alcune norme volte a facilitare e sostenere la realizzazione di studi clinici di medicinali senza scopo di lucro e di studi osservazionali, nonché a consentire la cessione di dati e risultati di sperimentazioni cliniche senza scopo di lucro a fini registrativi.
La possibilità di eseguire tale cessione rappresenta un’importante novità per gli operatori del settore, poiché il decreto ministeriale del 17 dicembre 2004 – abrogato dal decreto in commento – vietava di utilizzare i dati di clinical trial svolti a fini non commerciali per lo sviluppo industriale di farmaci o comunque a fini di lucro.
Le novità normative in questione pongono una serie di interrogativi per gli interpreti, sia sotto il profilo regolatorio che in relazione alla compliance con la normativa privacy.
Che cosa s’intende per sperimentazioni cliniche senza scopo di lucro?
In primo luogo, è bene chiarire cosa s’intenda per “sperimentazione clinica senza scopo di lucro”, che l’art. 1(2)(a) del decreto ministeriale definisce come “una sperimentazione che rientri nella definizione di cui all’art. 2, comma 2, del regolamento (UE) n. 536/2014 e presenti tutti i seguenti requisiti:
- che non sa finalizzata allo sviluppo industriale e/o commerciale di uno o più medicinali, o comunque a fini di sfruttamento economico dei medesimi e/o dei dati e risultati della sperimentazione stessa;
- che il promotore sia una struttura, un ente, un’istituzione pubblica o ad essa equiparata, una fondazione o un ente morale, di ricerca e/o sanitaria, un’associazione, una società scientifica senza fini di lucro, un istituto di ricovero e cura a carattere scientifico, ovvero una persona fisica che sia dipendente delle suddette strutture e che svolga il ruolo di promotore nell’embito dei propri incarichi lavorativi, ovvero un’impresa sociale che promuova la sperimentazione clinica nel contesto dell’attività d’impresadi interesse generale esercitata in via stabile e principale, ai sensi dell’art. 2 del decreto legislativo 3 luglio 2017, n. 112, e successive modificazioni;
- che il promotore non sia titolare dell’autorizzazione all’immissione in commercio (A.I.C.) del medicinale in sperimentazione e che non abbia cointeressenze di tipo economico – anche per mezzo di diritti di proprietà intellettuale – con la persona fisica o giuridica titolare dell’ A.I.C.;
- che la titolarità dei dati e dei risultati relativi alla sperimentazione, così come di ogni decisione inerente alla loro pubblicazione, sia esclusiva del promotore”.
L’art. 3 del decreto prevede inoltre che “È consentita la cessione dei dati di sperimentazioni senza scopo di lucro, nonché dei risultati delle stesse, sia in corso di sperimentazione, sia a sperimentazione conclusa, a fini registrativi”, che deve “essere regolata mediante un contratto tra il promotore e il cessionario”.
Ove tali dati e risultati siano utilizzabili a fini registrativi, il soggetto interessato ad acquisirli e il promotore della sperimentazione devono individuare di comune accordo un esperto di consulenza brevettuale che stimi il valore delle informazioni oggetto di cessione, nella prospettiva del loro sfruttamento commerciale.
È evidente come tali informazioni includeranno anche dati personali, in primo luogo quelli relativi ai pazienti che hanno preso parte dalla sperimentazione. Infatti, il comma 5 dell’art. 3 del Decreto precisa che “Per effetto della cessione, il cessionario subentra a tutti gli effetti nella titolarità del trattamento dei dati personali correlati alla sperimentazione”.
Quali adempimenti devono allora porre in essere il promotore cedente ed l’azienda farmaceutica cessionaria per assicurare che la cessione di cui si discute avvenga nel rispetto della normativa privacy? Sotto tale profilo, il disposto normativo non contiene alcuna indicazione e lascia agli interpreti il delicato compito di individuare le soluzioni da adottarsi nel caso concreto.
Individuazione della base giuridica del trattamento
Una questione di primaria importanza attiene all’individuazione della corretta base giurdica del trattamento, per consentire che la cessione dei dati, sanitari e comuni, raccolti nell’ambito della sperimentazione clinica. Tale cessione rappresenta una comunicazione di dati personali fra due titolari del trattamento e deve perciò essere eseguita in conformità con gli artt. 6 e 9 del GDPR.
Innanzitutto, è evidente come la base giuridica del trattamento non possa essere individuata né nell’adempimento di un obbligo di legge né nell’esecuzione del contratto fra il cedente e il cessionario, in quanto: (i) tali basi giuridiche non potrebbero consentire il trasferimento di categorie particolari di dati personali, quali dati sanitari e genetici, (ii) il decreto non prevede alcun obbligo normativo di procedere con la cessione di dati e risultati della sperimentazione clinica (requisito necessario per poter fare affidamento sull’art. 6(1)(c) del GDPR) e (iii) gli interessati i cui dati verrebbero ceduti non sarebbero parti del contratto di cessione (requisito quest’ultimo necessario perché si possa fare affidamento sull’art. 6(1)(b) del GDPR).
Si ritiene invece che per poter cedere i dati personali raccolti nell’ambito della sperimentazione clinica senza scopo di lucro, il cedente dovrà ottenere il consenso libero, specifico, informato ed inequivocabile degli interessati, nonché espresso, ove si tratti di categorie particolari di dati personali.
La necessità di ottenere un consenso “specifico” può rappresentare un ostacolo per le aziende farmaceutiche, considerando che la possibilità di cessione dei dati della sperimentazione clinica o l’identità del soggetto cessionario potrebbero emergere solo in un momento successivo a quello in cui i dati degli interessati sono stati raccolti. Se l’unica strada fosse quella di ricontattare tutti i partecipanti alla sperimentazione per ottenere un nuovo consenso, gli operatori del settore potrebbero scegliere di non procedere con la cessione.
Una possibile soluzione potrebbe essere quella di indicare nell’informativa privacy consegnata al momento della raccolta dei dati che questi potrebbero essere oggetto di cessione ad aziende farmaceutiche che operano in un determinato settore. In questa maniera si potrebbero fornire agli interessati informazioni sufficientemente dettagliate, superando gli ostacoli sopra individuati.
Questo profilo è particolarmente delicato, perché potrebbe inficiare la legittimità del trattamento dei dati in questione da parte del cessionario. Sarebbe perciò auspicabile un chiarimento da parte del Garante sul punto.
E’ sufficiente un unico consenso degli interessati?
D’altra parte, bisogna domandarsi se tale consenso debba essere distinto da quello eventualmente necessario per consentire il trattamento dei dati personali nell’ambito della sperimentazione clinica.
A tal proposito, il considerando 32 del GDPR chiarisce che “il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per la stessa o le stesse finalità. Qualora il trattamento abbia più finalità, il consenso dovrebbe essere prestato per tutte queste”.
Inoltre, il considerando 50 del del GDPR stabilisce che “Il trattamento dei dati personali per finalità diverse da quelle per le quali i dati personali sono stati inizialmente raccolti dovrebbe essere consentito solo se compatibile con le finalità per le quali i dati personali sono stati inizialmente raccolti. […] Per accertare se la finalità di un ulteriore trattamento sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento dovrebbe, dopo aver soddisfatto tutti i requisiti per la liceità del trattamento originario, tener conto tra l’altro di ogni nesso tra tali finalità e le finalità dell’ulteriore trattamento previsto, del contesto in cui i dati personali sono stati raccolti, in particolare le ragionevoli aspettative dell’interessato in base alla sua relazione con il titolare del trattamento con riguardo al loro ulteriore utilizzo; della natura dei dati personali; delle conseguenze dell’ulteriore trattamento previsto per gli interessati; e dell’esistenza di garanzie adeguate sia nel trattamento originario sia nell’ulteriore trattamento previsto”.
Pertanto, la necessità di raccogliere o meno un consenso dedicato, per consentire la cessione dei dati raccolti nell’ambito della sperimentazione non a scopo di lucro, dipende dalla possibilità di considerare tale finalità del trattamento compatibile con quella che permette la partecipazione degli interessati alla sperimentazioni clinica.
Il Garante per la protezione dei dati personali ha chiarito in diverse occasioni come la comunicazione di dati personali a terzi per il perseguimento delle finalità di marketing di tali terzi debba considerarsi una finalità distinta e dunque incompatibile con quella che il cedente persegue per dare esecuzione alle proprie attività di marketing. In buona sostanza, in tali circostanze il cedente deve ottenere due consensi distinti: il primo per poter svolgere iniziative promozionali nel proprio interesse e il secondo per condividere i dati con terzi, che li utilizzerebbero per dare esecuzione alle proprie attività promozionali.
Nonostante le innegabili differenze fra ricerca scientifica e attività svolte per finalità di marketing, si ritiene che le citate considerazioni del Garante trovino applicazione anche alla cessione di dati personali eseguita in applicazione del Decreto. Esiste infatti un’intrinseca differenza fra il trattamento di dati personali volto a consentire la partecipazione ad una sperimentazione scientifica e la successiva comunicazione di tali dati a soggetti diversi dal promotore della sperimentazione, per fini registrativi.
Si ritiene pertanto che il promotore cedente dovrà raccogliere due consensi distinti dagli interessati: il primo, per consentirne la partecipazione al trial – salvo che per tale finalità non si individui una diversa base giuridica, dipendendo da una valutazione caso per caso – e il secondo per poter cedere i suoi dati ai sensi dell’art. 3 del Decreto in commento.
Per completezza si evidanzia come tali consensi non vadano confusi con il c.d. “consenso informato” dei pazienti, necessario per la loro partecipazione alla sperimentazione clinica ai sensi del Regolamento (UE) 536/2014.
Ulteriori obblighi del cedente e del cessionario
Verifiche sulla liceità del trattamento eseguito dal cedente
L’individuazione della base giuridica adeguata a consentire la cessione dei dati personali raccolti nell’ambito della sperimentazione clinica rappresenta solo un primo passo per garantire la liceità del successivo trattamento eseguito dall’azienda farmaceutica cessionaria.
Si ritiene infatti che quest’ultima abbia l’onere di eseguire una verifica, quantomeno a campione, dell’operato svolto dal cedente nella raccolta e successivo trattamento dei dati personali ceduti. In caso contrario, l’azienda cessionaria rischierebbe di investire il corrispettivo dei dati e risultati del trial per poi scoprire, in un secondo momento, che i dati personali che ne costituiscono una parte rilevante non sono utilizzabili, in quanto raccolti in violazione della normativa privacy.
Anche a tal proposito, occorre fare riferimento ai molti provvedimenti adottati dal Garante in materia di cessione di dati personali per finalità di marketing. L’Autorità ha evidenziato in diverse occasioni che il cessionario dei dati non può disinteressarsi della liceità del trattamento avvenuto prima della cessione, dovendo invece verificare che i dati personali acquisiti siano stati raccolti lecitamente. Le stesse considerazioni possono essere applicate alla cessione di dati e risultati di una sperimentazione clinica senza scopo di lucro.
Di conseguenza, l’azienda farmaceutica cessionaria di tali informazioni dovrà verificare che: (i) gli interessati siano stati debitamente informati dal cedente in merito alla possibile cessione dei loro dati al cessionario, tramite un’informativa privacy redatta in conformità con gli artt. 13 e 14 del GDPR, (ii) il promotore della sperimentazione abbia fatto affidamento su una base giuridica adeguata per la raccolta dei dati personali, (iii) gli interessati abbiano prestato il proprio consenso libero, specifico, informato e inequivobile alla cessione dei loro dati all’azienda cessionaria e tale consenso non sia stato successivamente revocato, (iv) il promotore della sperimentazione abbia messo in atto misure adeguate per consentire agli interessati di revocare il proprio consenso alla cessione in qualunque momento e senza incorrere in conseguenze negative e (v) tutti gli adempimenti menzionati siano stati adeguatamente documentati dal promotore della sperimentazione, poiché il cessionario potrebbe dover rendere conto all’Autorità di controllo competente o agli interessati della liceità del trattamento dei dati dallo stesso svolto.
In buona sostanza, tali adempimenti hanno l’obiettivo di assicurare che il cessionario acquisisca solo dati personali raccolti lecitamente. In caso contrario, il cessionario rischia non soltanto di subire sanzioni pecuniarie significative ma anche di essere soggetto ad un provvedimento dell’Autorità di controllo competente, che gli impedisca di utilizzare i dati personali acquisiti nell’ambito della cessione.
Le aziende farmaceutiche dovrebbero perciò tenere in considerazione tali rischi, eseguendo le verifiche opportune prima della sottoscrizione del contratto di cessione e disciplinando adeguatamente eventuali responsabilità del promotore cedente nel contratto stesso.
Esecuzione di una valutazione d’impatto del trasferimento dei dati personali
A seguito della nota sentenza “Schrems II” della Corte di Giustizia dell’Unione Europea, chiunque trasferisca dati personali verso Paesi al di fuori dello Spazio Economico Europeo, che non siano considerati adeguati ai sensi del GDPR, è tenuto ad eseguire una valutazione dell’impatto del trasferimento prima di procedere col trasferimento stesso. Tale valutazione ha l’obiettivo di assicurare che il trasferimento avvenga solo se sia possibile assicurare un livello di tutela dei dati trasferiti sostanzialmente equivalente a quello garantito all’interno dell’Unione Europea.
Ne deriva che, prima di procedere con la cessione, il promotore cedente dovrà verificare se la cessione comporti il trasferimento dei dati personali raccolti nell’ambito della sperimentazione verso Paesi non adeguati e, in tal caso, eseguire una valutazione d’impatto del trasferimento prima di procedere con la cessione stessa. La valutazione permetterà di individuare eventuali misure contrattuali, organizzative e tecniche da implementare per assicurare l’adeguata protezione dei dati personali.
Conclusioni
Le considerazioni che precedono individuano solo alcune delle questioni che gli operatori del settore dovranno affrontare nell’esecuzione di una cessione di dati e risultati di sperimentazioni cliniche senza scopo di lucro, per assicurare il rispetto della normativa privacy. D’altra parte, le risposte agli interrogativi posti si basano sui principi generali del GDPR, in assenza di disposizioni chiare all’interno del Decreto e di un quadro normativo puntuale che disciplini le specificità di un settore tanto importante e peculiare, quale quello della ricerca scientifica.
Da questo punto di vista, sono molto attese le linee guida sul trattamento dei dati personali svolto per finalità di ricerca scientifica, che lo European Data Protection Board avrebbe dovuto pubblicare entro la fine del 2021. D’altra parte, sarebbe auspicabile che anche il Garante per la protezione dei dati personali fornisca chiarimenti sulla portata degli obblighi derivanti dal nuovo Decreto, anche aggiornando le “Linee guida per i trattamenti di dati personali nell’ambito delle sperimentazioni cliniche di medicinali” adottate il 24 luglio 2008.
La rilevanza della ricerca scientifica, sia sotto il profilo sociale che sotto quello economico, richiede un quadro normativo chiaro e trasparente, in grado di favorire gli investimenti da parte degli operatori del settore.
Su un argomento simile, potrebbe interessarti: “Al via il nuovo regolamento sulle sperimentazioni cliniche nell’UE: i chiarimenti di AIFA”.
Autore: Cristina Criscuoli
