Quali sono i diritti delle persone con malattie rare?

Per affrontare la situazione, il Garante per la protezione dei Dati Personali ha previsto una deroga all’art. 110 del Codice Privacy

La pandemia di COVID-19 ha messo in luce, fin dal suo esordio, la pressante esigenza di gestire in modo corretto i dati personali relativi alla salute dei pazienti qualora possa essere utile un loro utilizzo ai fini della ricerca scientifica e della raccolta di dati statistici. Il tema è così rilevante che lo scorso 21 aprile è intervenuto il Comitato Europeo per la Protezione dei Dati (European Data Protection Board, EDPB), adottando specifiche linee guida finalizzate ad affrontare gli aspetti giuridici fondamentali della questione.

A livello nazionale è intervenuto anche il Garante per la Protezione dei Dati Personali che, esaminate le linee guida dell’EDPB, ha dedicato una sezione delle FAQ sul COVID-19 al “Trattamento dati nel contesto delle sperimentazioni cliniche e delle ricerche mediche nell’ambito dell’emergenza sanitaria da covid-19”.

Al centro dell’attenzione ci sono due questioni. In primo luogo la base giuridica del consenso del paziente, che deve essere indispensabilmente contemperato alle esigenze di ricerca per la cura del virus; in secondo luogo, ma non meno importante, vi è ancora un’altra base giuridica da prendere in considerazione che è quella che risiede nell’art. 9.2.g) del GDPR, che prevede il trattamento necessario per motivi di interesse pubblico rilevante. Vediamo come la cosa è stata affrontata a livello europeo e nazionale; partiamo dal consenso del paziente.

Tutti i trattamenti dei dati personali che riguardano la salute del paziente devono necessariamente essere conformi ai principi dettati dall’art. 5 del Regolamento n. 679/2016 (il cosiddetto GDPR) nonché ad una delle condizioni di liceità degli articoli 6 e 9 del medesimo regolamento. Tra queste basi giuridiche, applicabili alla ricerca scientifica, il consenso dell’interessato di cui agli articoli 6.1.a) e 9.2a) del GDPR è la più valida per il trattamento dei dati nel contesto dell’emergenza sanitaria da COVID-19. Come specificato dalle Linee Guida del Comitato Europeo per la Protezione dei Dati, il consenso deve essere “libero, specifico, informato, inequivocabile o prestato mediante dichiarazione o azione positiva inequivocabile”.

Oltre al consenso rilasciato dal paziente ai sensi degli articoli 6 e 9 del GDPR, va considerato anche quello di cui all’art. 5.1 b) del GDPR che contiene una presunzione di compatibilità del cosiddetto uso secondario per finalità di ricerca scientifica stabilendo che “i dati personali sono raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»)”. Tale disposizione ammette quindi un trattamento ulteriore dei dati personali che inizialmente erano stati raccolti per altre finalità, non solo per fini di ricerca scientifica o a fini statistici, ma anche per fini di archiviazione nel pubblico interesse.

Il Garante nazionale per la Protezione dei Dati Personali nella sua analisi ha anche evidenziato che la questione del trattamento necessario per motivi di interesse pubblico rilevante (art. 9.2.g del GDPR) che avrebbe potuto creare delle difficoltà in questo specifico momento, e pertanto ha ritenuto necessario introdurre delle deroghe. Questo perché sono proprio il pubblico interesse e la salute pubblica che, in questo particolare periodo di emergenza sanitaria, rischiano di porsi in contrapposizione con gli interessi e il diritto alla protezione dei dati personali dei pazienti affetti da COVID-19, i quali assistono all’utilizzo dei propri dati per la diagnosi e la cura della malattia, per la ricerca scientifica e per fini statistici. Si rende dunque necessario un bilanciamento tra i diritti fondamentali alla vita privata e alla protezione dei dati personali dei pazienti e il pubblico interesse che si traduce nella tutela della salute pubblica.

A creare delle difficoltà in questo bilanciamento era in particolar modo quanto previsto dall’art. 110 del Codice Privacy (D.lgs. n. 196/2003 modificato dal D.lgs. n. 101/2018), che racchiude il contenuto effettivo dell’art. 9.2.j del DDPR in combinato disposto con l’art. 6.1.f. prevedendo che “Il consenso dell’interessato per il trattamento dei dati relativi alla salute, a fini di ricerca scientifica in campo medico, biomedico o epidemiologico, non è necessario quando la ricerca è effettuata in base a disposizioni di legge o di regolamento o al diritto dell’Unione europea in conformità all’articolo 9, paragrafo 2, lettera j), del Regolamento, ivi incluso il caso in cui la ricerca rientra in un programma di ricerca biomedica o sanitaria previsto ai sensi dell’articolo 12-bis del decreto legislativo 30 dicembre 1992, n. 502, ed è condotta e resa pubblica una valutazione d’impatto ai sensi degli articoli 35 e 36 del Regolamento”.

Inoltre, sempre a norma dell’art. 110, “il consenso non è inoltre necessario quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e deve essere sottoposto a preventiva consultazione del Garante”.

Tutti i requisiti sopra menzionati avrebbero potuto bloccare la raccolta dei dati per effettuare le ricerche necessarie per contrastare la crisi epidemiologica da COVID-19 e, tale blocco, non poteva evidentemente verificarsi. Da qui la decisione di intervenire con le FAQ, introducendo una deroga, seppur parziale, all’art. 110 nei casi di trattamento dei dati riguardante gli studi sperimentali e usi compassionevoli dei medicinali per uso umano per la cura e la prevenzione del virus, stabilendo che “i titolari che intendano svolgere trattamenti di dati personali che riguardano esclusivamente studi sperimentali e gli usi compassionevoli dei medicinali per uso umano, per la cura e la prevenzione del virus Covid-19, non sono obbligati, in forza della normativa relativa alla presente fase emergenziale, alla preventiva sottoposizione del progetto di ricerca, nonché della relativa valutazione di impatto, alla consultazione preventiva del Garante di cui all’art. 110 del Codice in materia di protezione dei dati personali”.

Pertanto, nonostante si applichi anche in questa particolare fase emergenziale la normativa europea e nazionale sul trattamento dei dati personali, è comunque emersa la necessità di adattare questa normativa all’esigenza di raccolta dei dati dei pazienti affetti da COVID-19 per finalità di ricerca scientifica, allo scopo di trovare i medicinali e i trattamenti adatti alla cura di questo nuovo virus, operando però un bilanciamento tra i diritti del paziente interessato, che vengono in parte limitati, e il pubblico interesse alla tutela della salute.