Il 3 marzo 2022, il decreto del Ministero della Salute recante le “Misure volte a facilitare e sostenere la realizzazione degli studi clinici di medicinali senza scopo di lucro e degli studi osservazionali e a disciplinare la cessione di dati e risultati di sperimentazioni senza scopo di lucro a fini registrativi, ai sensi dell’art. 1, comma 1, lettera c), del decreto legislativo 14 maggio 2019, n. 52”1, è entrato ufficialmente in vigore. In particolare, lo scopo del Decreto è quello di supportare gli studi clinici di medicinali senza scopo di lucro e di studi osservazionali, nonché – per quanto rileva il lato protezione dei dati personali – la cessione di dati e di risultati di sperimentazione cliniche, senza scopo di lucro a fini registrativi. La portata applicativa del Decreto è specificata all’art. 1 nel quale si fa riferimento alle sperimentazioni cliniche non a fini commerciali o senza scopo di lucro e alle sperimentazioni cliniche a basso livello di intervento e agli studi osservazionali.
Nello specifico, per sperimentazione clinica senza scopo di lucro, si intende la sperimentazione che presenta determinati requisiti quali:
-
l’assenza di una finalità di sviluppo industriale o commerciale di più farmaci o ai fini di sfruttamento economico;
-
la promozione deve provenire da una struttura, un ente, un’istituzione pubblica, una fondazione o un ente morale, di ricerca scientifica senza fini di lucro, un istituto di ricovero e cura a carattere scientifico o una persona fisica dipendente delle strutture summenzionate o un’impresa sociale;
-
la promozione deve provenire da un soggetto non titolare di un’autorizzazione all’immissione in commercio del medicinale in sperimentazione e che non sia detentore di un interesse economico;
-
la titolarità dei dati e dei risultati relativi alla sperimentazione, così come di ogni decisione inerente alla loro pubblicazione, sia esclusiva del promotore.
Con riguardo alla cessione dei dati di sperimentazione senza finalità di lucro e dei relativi risultati – profilo che, come anticipato, rileva nell’ambito della disciplina sulla protezione dei dati – l’art. 3 del summenzionato decreto prevede che la stessa sia consentita durante la sperimentazione e altresì in seguito alla sua conclusione, a fini registrativi. La cessione deve essere regolata mediante un contratto tra il promotore e il cessionario. Il promotore ha l’obbligo di trasmettere all’AIFA, al Comitato etico competente e ai centri di sperimentazione coinvolti una comunicazione ufficiale con la quale informa dell’avvenuta cessione dei dati e/o dei risultati. Una volta effettuata la cessione, il cessionario subentra a tutti gli effetti nella titolarità del trattamento dei dati personali correlati alla sperimentazione.
Nonostante il decreto dedichi nello specifico una disposizione alla cessione dei dati, i profili relativi alla protezione dei dati non sono del tutto chiari. Com’è noto per aversi cessione dei dati personali, è necessario rispettare le prerogative previste dal Regolamento europeo 679/2016 (“GDPR”). In prima istanza, è dirimente l’individuazione dei soggetti coinvolti nella cessione e la loro relativa qualifica. Nel caso in questione, la cessione dei dati coinvolgerebbe due soggetti qualificati titolari del trattamento, ai sensi dell’art. 4 del GDPR, ossia il cessionario e il promotore. In secondo luogo, la cessione può avvenire previa individuazione di una base giuridica legittimante. Parrebbe, dalla lettura della disposizione dinanzi citata, che l’unico riferimento alla base giuridica potrebbe rinvenirsi nel contratto tra il cessionario e il promotore, e, di conseguenza, sarebbe da individuarsi all’art. 6, par. 1, lett. b) del GDPR. Tuttavia, trattandosi di dati appartenenti a categorie particolari, risulta improbabile che la sola stipula del contratto possa essere sufficiente, tenuto conto altresì del fatto che deve esservi una delle condizioni di cui all’art. 9 del GDPR. L’incertezza relativa alla corretta individuazione della base giuridica si riflette altresì nell’assenza di un riferimento precipuo alle misure di sicurezza da implementare nel caso di cessione di dati e soprattutto di dati relativi alle sperimentazioni cliniche.
Sul tema, è opportuno citare che l’Autorità garante per la protezione dei dati è intervenuta attraverso la pubblicazione delle “Linee guida per i trattamenti di dati personali nell’ambito delle sperimentazioni cliniche di medicinali”2, le quali, seppur datate e facenti riferimento alla precedente disciplina, rappresentano un’insostituibile guida per comprendere tale trattamento. In particolare, tra gli aspetti da prendere in considerazione, possono elencarsi:
-
l’informativa da rendere nei confronti dei soggetti interessati coinvolti, con la relativa specifica alla cessione dei dati personali;
-
la raccolta del consenso; eventuale trasferimento dei dati all’estero;
-
l’indicazione del periodo di conservazione dei dati e il possibile successivo riuso;
-
la sicurezza e la custodia dei dati, con riguardo all’adozione di misure di sicurezza.
Il Decreto non menziona nessuno degli aspetti sopracitati, ma si limita – giova ribadirlo – a indicare esclusivamente che la cessione possa avvenire e che la stessa si perfeziona tra due soggetti, il promotore e il cessionario, qualificati titolari del trattamento. L’assenza di un’attenzione ai profili in materia di protezione dei dati potrebbe portare, di conseguenza, a delle forti criticità, nonché a dei rischi per i diritti e le libertà dei soggetti interessati coinvolti.
Fabiola Iraci Gambazza
