a due anni dal «gdpr»

Quei nodi irrisolti della privacy che complicano la ricerca contro il Covid

Una delle questioni emerse è quella del responsabile del trattamento dati da attribuire alla figura dello sperimentatore principale o principal investigator

di Alessio Briganti

default onloading pic
(Alessandro Serranò / AGF)

Una delle questioni emerse è quella del responsabile del trattamento dati da attribuire alla figura dello sperimentatore principale o principal investigator


4' di lettura

Le restrittive misure di contenimento, predisposte dai Paesi Ue ed extra Ue per contrastare i tragici effetti della recente pandemia da Covid-19, hanno determinato una profonda crisi economica, da cui sarà difficile uscire in tempi brevi. Mai come adesso, dunque, il ruolo della ricerca scientifica risulta fondamentale per porre fine allo stato emergenziale in cui viviamo, da un lato sperimentando nuove cure per chi è già ammalato, dall'altro creando un valido vaccino che neutralizzi il morbo per l'avvenire.

Il ritardo a due anni dal Gdpr
Per perseguire gli obiettivi citati, sono stati avviati numerosi studi scientifici multicentrici, sovente a carattere europeo o internazionale, promossi da fondazioni ed istituti di ricerca italiani. In fase di pianificazione di dette attività, tra i tanti aspetti da considerare, è necessario verificare l'impatto privacy delle medesime, adottando misure che rendano tali sperimentazioni conformi al Regolamento Europeo n. 679/2016 (di seguito, il “Gdpr”) e, più in generale, a tutta la normativa in materia di protezione dei dati personali. Sul punto, spiace costatare che, a due anni dall'entrata in vigore del Gdpr, molto poco è stato fatto per chiarire alcune problematiche su cui gli operatori del settore continuano a dividersi e ad avere opinioni discordi, in assenza di un pronunciamento chiaro e articolato da parte del Garante; in particolare, una delle questioni che è emersa nuovamente in occasione delle tante sperimentazioni avviate per combattere il Covid-19 è quella afferente il ruolo privacy (Responsabile o Designato del trattamento) da attribuire alla figura dello Sperimentatore principale o Principal investigator (di seguito, il “PI”), elemento di raccordo tra gli Enti promotori degli studi e i Centri ospedalieri che vi partecipano.

Il vuoto nella ricerca scientifica
Purtroppo, nelle autorizzazioni generali in materia di trattamento dei dati genetici e di trattamento per scopi di ricerca scientifica (aggiornate al 5 giugno 2019), non è stata minimamente affrontata questa delicata tematica, da sempre fonte di attriti e diversità di vedute tra il Promotore dello studio ed i Centri aderenti. Infatti, essendo di solito il Principal investigator un medico alle dipendenze dell'ospedale, come tale, in prima battuta, viene nominato per iscritto Designato del trattamento dal Centro stesso (ex art. 29 del Gdpr o 2-quaterdecies del Codice privacy). Ebbene, a mio avviso, ciò è senz'altro corretto nella misura in cui l'azienda ospedaliera effettua la nomina nei limiti del trattamento di cui risulta autonomo titolare; tuttavia, a bene vedere, il «Pi» partecipa altresì ad operazioni di trattamento di dati di cui, invece, il Promotore è autonomo e distinto titolare, non il Centro presso cui lavora. Difatti, il «Pi» accede al database di proprietà del Promotore, ricevendo dallo stesso le credenziali di accesso per farlo, ad esempio per verificare l'esattezza dei dati sanitari caricati dai monitor dello studio.

Il nodo della nomina
Ebbene, in una simile circostanza, il Promotore, anche in ossequio al principio della c.d. “accountability”, non può consentire ad una persona fisica di accedere al trattamento di cui è titolare senza averla nominata “qualche cosa” sotto il profilo privacy, vale a dire o Responsabile o Designato del trattamento; ciò in quanto, un titolare non può permettere ad un terzo di accedere al proprio trattamento senza fornirgli adeguate istruzioni ed essersi accertato che quest'ultimo le rispetti, specialmente se i dati in questione sono sanitari (dunque appartenenti alle particolari categorie ex articolo 9 del Gdpr). Immaginiamo, ad esempio, che un PI subisca il furto delle proprie credenziali di accesso alla banca dati del Promotore; di fatto, si tratterebbe di un vero e proprio data breach la cui responsabilità ricadrebbe sul Promotore in quanto titolare del trattamento. A tal proposito, quest'ultimo non solo dovrebbe valutare se notificare o meno al Garante privacy l'avvenuta violazione, bensì anche porre rimedio all'incidente informatico, adottando delle contromisure adeguate cui lo stesso PI dovrebbe attenersi; ma a quale titolo il Promotore, in quanto titolare del trattamento per fini di ricerca scientifica, potrebbe imporre prescrizioni e procedure, se la persona fisica a cui le sta imponendo non è stato precedentemente nominato suo Responsabile o Designato?

Il chiarimento necessario
Così ragionando, non risulta corretto l'ostruzionismo di molti Centri ospedalieri ad accettare che anche il Promotore nomini il PI proprio Responsabile o Designato del trattamento, soltanto in base alla sterile considerazione che lo stesso sia soltanto un dipendente dell'ospedale (e, dunque, non vada nominato da nessun'altro diverso autonomo titolare); difatti, uno studio clinico rappresenta una realtà così complessa, sotto il profilo privacy, che non sempre è possibile applicare in toto gli schemi tradizionalmente conosciuti. Pertanto, a mio avviso, il rispetto del principio cardine dell'accountability e della privacy by design impone al Promotore di nominare il PI della sperimentazione proprio Responsabile o Designato del trattamento, anche se quest'ultimo, sotto il profilo giuslavoristico, ha un rapporto di dipendenza solo con il Centro partecipante e non anche con l'ente. In conclusione, la questione appena esposta evidenzia come, al fine di evitare impostazioni non corrette (e, soprattutto, non rispondenti alla realtà), sarebbe davvero auspicabile un provvedimento ad hoc del Garante in materia di ricerca scientifica, magari preceduto da una consultazione pubblica al riguardo, allo scopo di dissipare tutti gli ostacoli e le incertezze ermeneutiche che ancora oggi gli operatori del settore si trovano ad affrontare, in un comparto di particolare rilevanza strategica – l'emergenza Covid-19 lo dimostra – come quello della sperimentazione in campo medico

Brand connect

Loading...

Newsletter

Notizie e approfondimenti sugli avvenimenti politici, economici e finanziari.

Iscriviti
Loading...