di Matteo Macilotti
Introduzione
Nell’ultimo decennio, l’approccio alla cura, soprattutto in campo oncologico, sta subendo un radicale mutamento di strategia. Lo sviluppo delle conoscenze sul genoma umano sta consentendo progressivamente di passare da un modello di cura generalista, nel quale ad ogni paziente con la medesima patologia viene somministrata la medesima cura, ad un modello di cura che tiene conto delle specifiche caratteristiche genotipiche e fenotipiche del singolo paziente al fine di individuare la cura per lui più efficace. I pazienti, infatti, dal punto di vista genotipico e fenotipico sono diversi gli uni dagli altri e non tutti rispondono allo stesso modo ad una medesima terapia, inoltre, la stessa patologia può avere numerose varianti.
Tale approccio innovativo è definito nella letteratura scientifica con l’espressione “medicina personalizzata” o “medicina di precisione”. Esso prende le mosse dallo studio delle caratteristiche genotipiche e fenotipiche (ambiente, stile di vita ecc.) di ogni singolo individuo, e si pone l’obbiettivo di integrare tra loro tali informazioni, conferendo caratteristiche uniche a patologie complesse che possono così essere diagnosticate e curate in maniera più efficiente, con un chiaro impatto sia dal punto di vista medico che socio-economico.
La medicina personalizzata è detta anche “medicina delle 4P”: personalizzata, preventiva, predittiva e partecipativa. “Personalizzata” in quanto ogni individuo è unico e ha caratteristiche proprie. “Preventiva e predittiva”, poiché ciascuno può conoscere la propria storia ed eredità genetica e comprendere come assecondarla o contrastarla sapendo a quali malattie è più suscettibile e a quali farmaci risponderà più efficacemente. Inoltre, viene detta “partecipativa” in ragione del fatto che ogni individuo sarà consapevole della propria storia medica e non sarà più solo il medico curante a stabilire quali informazioni condividere.
La medicina personalizzata, prima di potersi utilmente applicare alla fase diagnostica e di cura, richiede uno sforzo notevole da parte della ricerca medica, al fine di comprendere la complessa interazione tra le caratteristiche genetiche, lo sviluppo delle patologie, l’efficacia dei farmaci. Tale processo postula l’analisi preliminare e la condivisione tra gli attori della filiera sanitaria di un vastissimo numero di dati personali, relativi allo stato di salute, alle caratteristiche genetiche, allo stile di vita degli individui. Solo dallo studio di questa enorme mole di dati, compiuto attraverso i più moderni sistemi di analisi, è possibile circoscrivere e isolare le caratteristiche genetiche responsabili di una data patologia e trasferire tali informazioni prima alla fase diagnostica e poi alla fase di cura, individuando il farmaco o i farmaci più appropriati.
In questo contesto, il confine tra la ricerca clinica e l’applicazione clinica si affievolisce, posto che entrambi le fasi si inseriscono all’interno del processo di cura. Dal punto di vista della tutela della privacy, l’assottigliarsi del confine tra la cura e la ricerca non è un elemento neutro ma ha importanti ripercussioni sul versante della disciplina giuridica. Mentre la disciplina dei dati sanitari, data la loro “iper-sensibilità”, nel contesto della cura è improntata alla massima protezione e sicurezza individuale, lo sviluppo della ricerca medica richiede la possibilità di un’agevole circolazione dei dati e la loro massima condivisione. Nell’epoca della medicina personalizzata, la possibile frizione tra questi due elementi è soltanto apparente, posto che l’interesse alla ricerca diviene ad essere un interesse (anche) individuale, in ragione della possibilità di “traslare” rapidamente i risultati degli studi nel processo di cura.
Il presente contributo si pone, dunque, l’obbiettivo di analizzare il complesso panorama normativo approntato dai legislatori comunitario e nazionale, finalizzato alla tutela dei dati personali di carattere sanitario in questo nuovo scenario, evidenziando le criticità e le sfide che il nuovo approccio alla cura pone nel campo della tutela della privacy.
La disciplina dei dati relativi alla salute e genetici per finalità ricerca
La disciplina del trattamento dei dati relativi alla salute e genetici a scopo di ricerca medica si articola su quattro differenti livelli, che gerarchicamente possono essere descritti nel seguente ordine: (a) il GDPR – Regolamento (UE) 2016/679, (b) il D.Lgs. n. 196/2003 come modificato dal D.Lgs. n. 101/2018 (Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679), (c) il Provvedimento del Garante per la protezione dei dati personali del Garante per la protezione dei dati personali n. 146 del 5 giugno 2019 (recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del D.Lgs. n. 101 del 10 agosto 2018), (d) le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica (allegato A5) al Codice Privacy (D.Lgs. n. 196/2003) che costituiscono condizione essenziale di liceità e correttezza dei trattamenti.
Per quanto attiene al profilo definitorio, l’art. 4 Del GDPR stabilisce che i dati relativi alla salute sono i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute. Mentre il Regolamento descrive i dati genetici quali dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica, e che risultano in particolare dall’analisi di un campione biologico della persona fisica in questione.
I dati relativi alla salute e i dati genetici sono considerati dal legislatore comunitario categorie “particolari di dati personali”, ai quali egli riserva una specifica disciplina rispetto alle altre categorie di dati personali.
In linea generale, in ossequio a quanto sancito dal comma primo dell’art. 9 del Regolamento (UE) 2016/679, è vietato trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica e i dati relativi alla salute. Vi sono tuttavia delle eccezioni a tale regola esplicitate nel paragrafo 2 dell’art. 9. Tra le altre, la lettera j) paragrafo 2 dell’art. 9 del GDPR dispone che viene meno il divieto al trattamento dei dati relativi alla salute e genetici ove sia necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell’articolo 89, paragrafo 1, sulla base del diritto dell’Unione o nazionale. Ciò a patto che il trattamento sia proporzionato alla finalità perseguita, rispetti l’essenza del diritto alla protezione dei dati e preveda misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’individuo.
Seppure non sia l’unica astrattamente immaginabile, la base giuridica che di norma consente di rendere legittimo il trattamento dei dati sanitari e genetici a fini di ricerca medica è senz’altro il consenso informato reso dall’interessato. Il tema del consenso al trattamento dei dati a fini di ricerca rappresenta, senza timore di essere smentiti, il tema più discusso e delicato nell’ambito che qui ci impegna.
Mentre il trattamento dei dati sanitari per specifiche finalità di cura non richiede più, come in passato, il consenso dell’interessato, ai sensi dell’art. 9 par. 2 lett. h) e par. 3 del GDPR1, se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale2, il trattamento degli stessi dati per finalità di ricerca lo richiede. Pertanto, ed è il caso della medicina personalizzata, sovente accade che vi sia la necessità di trattare dati personali raccolti per finalità di cura, ma ciò sia possibile soltanto ove si verifichino le condizioni fissate dalla lettera j) co. 2 dell’art. 9 del GDPR oppure si ottenga uno specifico consenso da parte del paziente. In altri termini, la base giuridica che consente il trattamento per finalità di cura differisce dalla base giuridica che consente il trattamento degli stessi dati per finalità di ricerca. Tale asimmetria normativa, in ambito di liceità del trattamento, rappresenta il tema caldo del dibattito tra i professionisti del settore, posto che ad avviso di molti essa potrebbe rappresentare ragione di rallentamento dello sviluppo della medicina traslazione e personalizzata, la quale fonda la propria capacità di sviluppo sulla possibilità di condividere rapidamente i dati personali, di carattere sanitario, derivanti dai pazienti.
Ove il consenso al trattamento per attività di ricerca sia agevolmente ottenibile, perché il paziente ai cui i dati si riferiscono è facilmente raggiungibile, il problema non si pone. Tuttavia, spesso si ha la necessità di analizzare a fini di ricerca dati di pazienti che sono già deceduti, oppure dati di pazienti che sono stati sottoposti a processi di diagnosi e cura anni addietro, dati di pazienti che per le loro condizioni sono difficilmente raggiungibili, oppure si ha la necessità di analizzare una mole di dati tale rendere di fatto impossibile ricontattare singolarmente tutti i pazienti coinvolti.
Il legislatore italiano, in fase di adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679, con il D.Lgs. n. 101/2018 ha introdotto nel D.Lgs. n. 196/2003 (Codice Privacy) gli artt. 110 e 110 bis mediante i quali si è fatto carico, in qualche misura, della problematica testé evidenziata.
Il comma prima dell’art. 110 del D.Lgs. n. 196/2003, in conformità con l’art. 9 par. 2 lett. J) del GDPR dispone che “Il consenso dell’interessato per il trattamento dei dati relativi alla salute, a fini di ricerca scientifica in campo medico, biomedico o epidemiologico, non è necessario quando la ricerca è effettuata in base a disposizioni di legge o di regolamento o al diritto dell’Unione europea, ivi incluso il caso in cui la ricerca rientra in un programma di ricerca biomedica o sanitaria previsto ai sensi dell’articolo 12-bis del decreto legislativo 30 dicembre 1992, n. 502”; tuttavia il nostro legislatore ha previsto che in questo caso debba condursi ed essere resa pubblica una valutazione d’impatto ai sensi degli articoli 35 e 36 del Regolamento.
Nel caso, tuttavia, non rientrassimo in queste casistiche (ipotesi peraltro assai frequente), il comma secondo dell’art. 110 prevede che il consenso non sia necessario quando, a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca. In tali casi, il titolare del trattamento è chiamato ad adottare misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato e inoltre il programma di ricerca deve essere oggetto di motivato parere favorevole del competente comitato etico a livello territoriale e necessità di essere sottoposto a preventiva consultazione del Garante ai sensi dell’articolo 36 del Regolamento3. Pertanto, il legislatore, al fine di tutelare i soggetti interessati, ha inteso bilanciare l’impossibilità di ottenere il consenso del soggetto interessato, richiedendo ai fini del trattamento dei dati il parere del Comitato Etico e la Consultazione del Garante.
Mentre l’art. 110 del D.Lgs. n. 196/2003 si occupa del trattamento di dati personali acquisiti in via originaria a scopo di ricerca, il successivo art. 110 bis del D.Lgs. n. 196/2003 regola l’ipotesi di “trattamento ulteriore dei dati sanitari” (c.d. riuso dei dati), ossia, nel contesto della tematica che qui ci impegna, del trattamento di dati acquisiti originariamente a scopo di cura per finalità di ricerca.
La base giuridica che legittima il trattamento ulteriore di dati a scopo di ricerca è, anche in questo caso, il consenso. Tuttavia, il Garante può autorizzare il trattamento ulteriore di dati personali, compresi quelli dei trattamenti speciali di cui all’articolo 9 del Regolamento, a fini di ricerca scientifica o a fini statistici da parte di soggetti terzi che svolgano principalmente tali attività quando, a causa di particolari ragioni, informare gli interessati risulti impossibile o implichi uno sforzo sproporzionato, oppure rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca, a condizione che siano adottate misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, in conformità all’articolo 89 del Regolamento, comprese forme preventive di minimizzazione e di anonimizzazione dei dati.
Il Garante deve esprimersi sulla richiesta di autorizzazione entro quarantacinque giorni dal ricevimento della domanda, decorsi i quali la mancata pronuncia equivale a rigetto. In questo caso, dunque, opera la regola del silenzio-rigetto. Nel provvedimento di autorizzazione, non soltanto il Garante consente l’ulteriore trattamento dei dati, ma ha la facoltà di fissare le misure tecniche che ritiene necessarie per garantire la sicurezza degli interessati4, ove lo ritenga opportuno.
L’ultimo comma dell’art. 110 bis introduce una condizione speciale per gli IRCCS (Istituti di ricovero e cura a carattere scientifico) pubblici e privati, stabilendo che non costituisce trattamento ulteriore da parte di terzi il trattamento dei dati personali raccolti per l’attività clinica, a fini di ricerca, da parte di questi enti. Ciò in quanto gli IRCSS hanno per loro stessa costituzione la duplice funzione di cura e di ricerca e l’attività di assistenza sanitaria ha per questi ultimi carattere strumentale.
Tale norma rappresenta senz’altro un’apertura importante da parte del legislatore municipale se solo si considera che sono ben 51 gli IRCSS in Italia. Nel contempo, non ha mancato di suscitare anche qualche perplessità e motivo di dibattito, soprattutto da parte degli enti di ricerca che non godono di tale riconoscimento. In particolare, problematiche di non agevole soluzione sorgono nel contesto di studi multicentrici, quando a compartecipare siano IRCSS e enti di cura non IRCCS, che come abbiamo visto sono sottoposti a un diverso regime regolatorio.
Al fine dell’applicazione delle norme sopra illustrate, rappresenta una questione ermeneutica dibattuta, la definizione di quando possa ritenersi oggettivamente “impossibile informare i soggetti interessati” e quando gli sforzi per ricontattare i pazienti possano considerarsi “sproporzionati”. Sul punto, interviene in soccorso il Provvedimento dell’Autorità Garante n. 146/2019 il quale, ai sensi dell’art. 21 comma 1 del D.Lgs. n. 101/2018, individua le prescrizioni contenute nelle autorizzazioni generali già adottate ai sensi del “vecchio” Codice Privacy compatibili con il GDPR, relative al trattamento di una serie di tipologie di dati, tra i quali i dati sanitari e i genetici.
Il paragrafo 5 di tale Provvedimento introduce una serie di prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica. Esso stabilisce che i titolari del trattamento devono documentare, nel progetto di ricerca, la sussistenza delle ragioni, considerate del tutto particolari o eccezionali, per le quali informare gli interessati risulti impossibile o implichi uno sforzo sproporzionato, oppure rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca.
Il Provvedimento elenca una serie di ipotesi che possono essere, a tal fine, invocate: (a) motivi etici correlati all’ignoranza dell’interessato circa la propria condizione di salute, ovvero quando rendere l’informativa al soggetto, presupposto per l’acquisizione del consenso, comporterebbe la rivelazione di notizie relative al suo stato di salute che potrebbero causargli un danno materiale o psicologico; (b) motivi organizzativi, quando la raccolta del consenso risulta impossibile in considerazione, del numero particolarmente elevato degli interessati o dell’irreperibilità degli stessi, una volta compiuto ogni ragionevole sforzo per contattarli, o nel caso in cui potrebbe risultare pregiudicato il conseguimento delle finalità della ricerca; (c) motivi riconducibili alla gravità dello stato di salute dell’interessato, che non consentirebbe allo stesso di comprendere le indicazioni rese nell’informativa e di esprimere pertanto un consenso valido e consapevole. In questo quest’ultimo caso, resta fermo l’obbligo di rendere l’informativa all’interessato al miglioramento della propria condizione clinica, tale da consentirgli la comprensione della stessa, anche ai fini dell’esercizio dei diritti previsti dal GDPR.
Questioni aperte
Una delle questioni più spinose e cruciali nell’ambito che qui ci occupa, che non ancora ha trovato un approdo definitivo, riguarda il grado di ampiezza del consenso richiesto ai soggetti interessati affinché si possano legittimamente trattare a scopo di ricerca i dati genetici e sanitari a loro afferenti5. Nella ricerca biomedica, infatti, sovente i dati personali raccolti all’interno di un dato progetto di ricerca, possono risultare fondamentali nella conduzione di ulteriori progetti di ricerca. Inoltre, spesso al momento della raccolta dei dati non si conoscono ancora le specifiche finalità di ricerca nei quali tali dati potranno essere impiegati. È il caso, ad esempio, dell’attività delle biobanche, che conservano campioni biologici e dati dei pazienti in vista di progetti di ricerca futuri. In questo caso il consenso ottenuto dai soggetti interessati diviene ad essere necessariamente ampio, posto che non si conoscono i contenuti degli specifici progetti di ricerca relativi al loro utilizzo.
Tale problematica non è estranea al legislatore comunitario, tanto che il considerando 33 del GDPR rileva che “in molti casi non è possibile individuare pienamente la finalità del trattamento dei dati personali a fini di ricerca scientifica al momento della raccolta dei dati”. Pertanto, “dovrebbe essere consentito agli interessati di prestare il proprio consenso a taluni settori della ricerca scientifica laddove vi sia rispetto delle norme deontologiche riconosciute per la ricerca scientifica”. Inoltre, “gli interessati dovrebbero avere la possibilità di prestare il proprio consenso soltanto a determinati settori di ricerca o parti di progetti di ricerca nella misura consentita dalla finalità prevista”.
Muovendo dalla lettera di questo considerando, alcuni interpreti hanno ritenuto che esso abbia sdoganato la possibilità di derogare, nello spazio europeo, al principio per cui il consenso per essere valido deve dettagliare le specifiche finalità del trattamento, consentendo un consenso di portata ampia c.d. “broad consent”.
A mitigare tale interpretazione estensiva, sono intervenute le Linee guida 5/2020 sul consenso ai sensi del regolamento (UE) 2016/679 del 4 maggio 2020 del Comitato europeo per la protezione dei dati. Il Comitato osserva, in primo luogo, che il considerando 33 non inficia gli obblighi relativi al requisito del consenso specifico. Ciò significa che, in linea di principio, i progetti di ricerca scientifica possono includere dati personali sulla base del consenso soltanto se hanno una finalità ben descritta. Nei casi in cui le finalità del trattamento dei dati nell’ambito di un progetto di ricerca scientifica non possano essere specificate in via preliminare, il considerando 33 consente in via eccezionale che la finalità possa essere descritta a un livello più generale.
Tenuto conto delle condizioni rigorose stabilite dall’articolo 9 in merito al trattamento di categorie particolari di dati, il Comitato rileva che quando categorie particolari di dati vengono trattate sulla base del consenso esplicito, l’applicazione dell’approccio flessibile di cui al considerando 33 deve essere soggetta a un’interpretazione più rigorosa e richiede un elevato livello di controllo.
Ad avviso del Comitato, considerato nel suo insieme, il regolamento generale sulla protezione dei dati non può essere interpretato in maniera tale da consentire al titolare del trattamento di aggirare il principio chiave della specificazione delle finalità per le quali viene richiesto il consenso dell’interessato.
Del medesimo avviso l’European Data Protection Board (EPDB) nel “Document on response to the request from the European Commission for clarifications on the consistent application of the GDPR, focusing on health research”, adottato il 2 febbraio 2021, secondo il quale, quando gli scopi della ricerca non possono essere pienamente specificati, il responsabile del trattamento deve cercare altri modi per garantire che sia rispettata l’essenza dei requisiti di consenso, consentendo agli interessati di prestare il consenso per una finalità di ricerca in termini generali e successivamente per le singole fasi specifiche dei progetti che si andranno a realizzare.
Sul punto è recentemente intervenuto il Garante per la protezione dei dati personali6, in occasione di un parere reso ai sensi dell’art. 36 del GDPR richiesto da un’azienda ospedaliera veneta, la quale intendeva creare una banca dati sulla quale costruire analisi e studi futuri volti a migliorare le conoscenze della pratica clinica nel settore delle patologie del distretto toracico. L’azienda dichiara che la base giuridica per il trattamento dei dati sarebbe stata, ove possibile, il consenso informato e laddove fosse stato impossibile ottenerlo, l’art. 110 del D.Lgs. n. 196/2003, la cui procedura abbiamo analizzato sopra.
Tuttavia, visto che al momento della raccolta dei dati e dalla costituzione del relativo database non è possibile conoscere nel dettaglio in quali studi futuri i dati potranno essere impiegati, il consenso somministrato dall’Azienda ai soggetti interessati a tal scopo, non poteva che essere necessariamente ampio, comprendendo tutti i possibili studi volti a migliorare le conoscenze e la pratica clinica nel settore delle patologie del distretto toracico.
Il Garante ritiene che un consenso così configurato non possa ritenersi idoneo quale base giuridica per consentire futuri studi sui dati conservati nella banca dati, ma sia soltanto idoneo alla loro raccolta e stoccaggio nella banca dati. Pertanto, stabilisce che l’Azienda, in qualità di titolare del trattamento, all’esito dell’approvazione dei futuri progetti di ricerca da parte dei competenti Comitati etici, dovrà integrare le manifestazioni di volontà degli interessati già raccolte, con specifici consensi per giungere, in via progressiva ad ottenere un presupposto giuridico idoneo al trattamento dei dati per scopi di ricerca scientifica ovvero laddove si trovi in una delle condizioni di cui all’art. 110 del D.Lgs. n. 196/2003, dovrà avanzare specifiche istanze di consultazione preventiva ai sensi del predetto art. 110.
Conclusioni
La breve analisi normativa qui svolta mostra come la tutela della privacy giochi un ruolo primario nell’evoluzione della ricerca medica e nello sviluppo della medicina di precisione. I vincoli e le limitazioni poste al trattamento dei dati personali di carattere sanitario e genetico, coniati con il nobile obbiettivo di tutelare il diritto individuale alla riservatezza dei soggetti coinvolti, si contrappongono all’interesse che la collettività nutre allo sviluppo della ricerca medica, la quale richiede libertà d’azione nel trattamento e nella condivisione dei dati. Trovare il giusto bilanciamento tra queste due istanze è un’operazione assai complessa. La medicina personalizzata, tuttavia, aggiunge un tassello ulteriore a questo mosaico. Se è vero che la ricerca rappresenta parte del processo di cura, l’interesse all’evoluzione della ricerca non è più soltanto un interesse collettivo, ma diviene ad essere anche un interesse individuale. Tale elemento, richiede (forse) di rivedere il bilanciamento fin qui raggiunto, pena il rischio che la tutela della riservatezza possa diventare una “tutela scomoda” per lo stesso soggetto la cui riservatezza si vuole tutelare.
- Con riferimento ai trattamenti in ambito sanitario che non rientranonelle ipotesi sopra descritte e, quindi, che richiedono il consenso esplicito dell’interessato (art. 9, par. 2, lett. a) del Regolamento), si individuano, a titolo esemplificativo, le seguenti categorie:
a. trattamenti connessi all’utilizzo di App mediche, attraverso le quali autonomi titolari raccolgono dati, anche sanitari dell’interessato, per finalità diverse dalla telemedicina oppure quando, indipendentemente dalla finalità dell’applicazione, ai dati dell’interessato possano avere accesso soggetti diversi dai professionisti sanitari o altri soggetti tenuti al segreto professionale (cfr. Faq CNIL del 17 agosto 2018 sulle applicazioni mobili in sanib. trattamenti preordinati alla fidelizzazione della clientela, effettuati dalle farmacie attraverso programmi di accumulo punti, al fine di fruire di servizi o prestazioni accessorie, attinenti al settore farmaceutico-sanitario, aggiuntivi rispetto alle attività di assistenza farmaceutica tradizionalmente svolta dalle farmacie territoriali pubbliche e private nell’ambito del Servizio sanitario nazionale (SSN). ↩︎ - Sul punto si vedano i “Chiarimenti sull’applicazione della disciplina per il trattamento dei dati relativi alla salute in ambito sanitario” adottati con Provvedimento del Garante del 7 marzo 2019. ↩︎
- Il comma 5 dell’art. 36 del Regolamento stabilisce che il diritto degli Stati membri possa “prescrivere che i titolari del trattamento consultino l’autorità di controllo, e ne ottengano l’autorizzazione preliminare, in relazione al trattamento da parte di un titolare del trattamento per l’esecuzione, da parte di questi, di un compito di interesse pubblico, tra cui il trattamento con riguardo alla protezione sociale e alla sanità pubblica.” L’autorizzazione richiesta dall’art. 110 del D.Lgs. n. 196/2003 rappresenta una di queste ipotesi. ↩︎
- Il par. 3 dell’art. 110 bis del D.Lgs. n. 196 del 2003, prevede che “il trattamento ulteriore di dati personali da parte di terzi” per finalità di ricerca medica possa essere “autorizzato dal Garante anche mediante provvedimenti generali, adottati d’ufficio e anche in relazione a determinate categorie di titolari e di trattamenti, con i quali sono stabilite le condizioni dell’ulteriore trattamento e prescritte le misure necessarie per assicurare adeguate garanzie a tutela degli interessati. I provvedimenti adottati a norma del presente comma sono pubblicati nella Gazzetta Ufficiale della Repubblica italiana”. ↩︎
- Sul punto si vedano le “Linee guida 5/2020 sul consenso ai sensi del regolamento (UE) 2016/679 del 4 maggio 2020 del Comitato europeo per la protezione dei dati”. ↩︎
- Parere ai sensi del ai sensi dell’art. 110 del Codice e dell’art. 36 del Regolamento n. 238 del 30 giugno 2022. ↩︎
