Art. 110-bis — Trattamento ulteriore da parte di terzi dei dati personali a fini di ricerca scientifica o a fini statistici
Il Garante può autorizzare il trattamento ulteriore di dati personali, compresi quelli dei trattamenti speciali di cui all'articolo 9 del Regolamento, a fini di ricerca scientifica o a fini statistici da parte di soggetti terzi che svolgano principalmente tali attività quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca, a condizione che siano adottate misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, in conformità all'articolo 89 del Regolamento, comprese forme preventive di minimizzazione e di anonimizzazione dei dati.
Il Garante comunica la decisione adottata sulla richiesta di autorizzazione entro quarantacinque giorni, decorsi i quali la mancata pronuncia equivale a rigetto. Con il provvedimento di autorizzazione o anche successivamente, sulla base di eventuali verifiche, il Garante stabilisce le condizioni e le misure necessarie ad assicurare adeguate garanzie a tutela degli interessati nell'ambito del trattamento ulteriore dei dati personali da parte di terzi, anche sotto il profilo della loro sicurezza.
Il trattamento ulteriore di dati personali da parte di terzi per le finalità di cui al presente articolo può essere autorizzato dal Garante anche mediante provvedimenti generali, adottati d'ufficio e anche in relazione a determinate categorie di titolari e di trattamenti, con i quali sono stabilite le condizioni dell'ulteriore trattamento e prescritte le misure necessarie per assicurare adeguate garanzie a tutela degli interessati. I provvedimenti adottati a norma del presente comma sono pubblicati nella Gazzetta Ufficiale della Repubblica italiana.
Non costituisce trattamento ulteriore da parte di terzi il trattamento dei dati personali raccolti per l'attività clinica, a fini di ricerca, da parte degli Istituti di ricovero e cura a carattere scientifico, pubblici e privati, in ragione del carattere strumentale dell'attività di assistenza sanitaria svolta dai predetti istituti rispetto alla ricerca, nell'osservanza di quanto previsto dall'articolo 89 del Regolamento.
Spiegazione
Il Garante può consentire a soggetti terzi, che svolgono principalmente ricerca scientifica o attività statistiche, di usare ulteriormente dati personali già raccolti, anche sensibili, quando informare gli interessati è impossibile, sproporzionato o compromette seriamente la ricerca. L’autorizzazione richiede misure di tutela, come minimizzazione e anonimizzazione dei dati. Il Garante decide entro 45 giorni: se non risponde, la richiesta si considera respinta. Può inoltre stabilire regole generali per categorie di trattamenti e soggetti. La ricerca svolta dagli IRCCS sui dati raccolti nell’assistenza clinica non è considerata trattamento ulteriore da parte di terzi, se rispetta le garanzie previste.
Perché esiste questa norma
La norma bilancia l’utilità pubblica della ricerca e della statistica con la protezione della riservatezza e degli altri diritti degli interessati. Consente l’uso di dati difficilmente riutilizzabili, imponendo però il controllo del Garante e misure preventive per ridurre i rischi.
Domande frequenti
Un’università può chiedere dati personali a un ospedale per una ricerca senza informare ogni paziente?
Sì, ma solo in presenza delle condizioni previste: informare gli interessati deve essere impossibile, sproporzionato o gravemente pregiudizievole per la ricerca. L’università deve ottenere l’autorizzazione del Garante e adottare misure adeguate di tutela.
Che cosa accade se il Garante non risponde entro il termine previsto?
La mancata decisione entro 45 giorni equivale al rigetto della richiesta. Il trattamento non può quindi iniziare sulla base del semplice decorso del termine.
Il Garante autorizza sempre l’uso dei dati identificativi?
No. L’autorizzazione deve prevedere garanzie adeguate e può imporre, tra l’altro, minimizzazione preventiva, anonimizzazione e specifiche misure di sicurezza. L’uso dei dati deve essere limitato a quanto necessario per la ricerca o la statistica.
Un ente di ricerca può utilizzare dati relativi alla salute ottenuti da un altro titolare?
Può essere possibile, perché la norma comprende anche i dati appartenenti a categorie particolari. Tuttavia, il riutilizzo da parte di un soggetto terzo richiede l’autorizzazione del Garante, salvo specifiche regole generali già applicabili.
Gli IRCCS devono chiedere questa autorizzazione per ogni ricerca sui dati dei propri pazienti?
Non per il solo fatto di utilizzare, a fini di ricerca, dati raccolti nell’attività clinica. Tale uso non è considerato trattamento ulteriore da parte di terzi, purché siano rispettate le garanzie previste per la ricerca.
CAPO III — TRATTAMENTO A FINI STATISTICI O DI RICERCA SCIENTIFICA