Estratto della valutazione d'impatto sulla protezione dei dati relativa al trattamento dei dati personali nel contesto dell'uso secondario dei dati degli studi non interventistici (NIS/SUD)
Introduzione
Il presente documento riassume la valutazione d'impatto sulla protezione dei dati (DPIA) relativa agli studi retrospettivi non interventistici (utilizzo secondario dei dati (SUD) condotti da Novartis Pharma AG - in qualità di sponsor e Titolare autonomo del trattamento dei dati.
Lo scopo di questa valutazione è verificare e affrontare adeguatamente i rischi relativi al trattamento dei dati personali, compresi i dati relativi alla salute, nel contesto di studi clinici osservazionali retrospettivi per i quali il consenso non può essere utilizzato come base giuridica per il trattamento perché coinvolgono pazienti non rintracciabili (quando i pazienti non possono essere contattati dal sito dello studio con i mezzi disponibili) o pazienti deceduti. Infatti, può verificarsi che non sia possibile raccogliere il consenso al trattamento dei dati personali di un paziente perché dal momento della raccolta primaria dei dati al momento dell'inizio dello studio retrospettivo, il paziente potrebbe essere deceduto.
Perimetro di analisi
L'iniziativa rientra in un ambito di sviluppo clinico e tecnico complessivo, che coinvolge diversi centri clinici e una o più CRO a supporto delle attività operative. I centri clinici agiscono come titolari autonomi del trattamento dei dati raccolti presso le rispettive strutture, mentre la CRO agisce come responsabile del trattamento dei dati per le attività svolte per conto dello Sponsor. La valutazione ai sensi dell'articolo 35 del GDPR viene effettuata nel quadro del rispetto del quadro normativo europeo e italiano, nonché in linea con le disposizioni del Garante italiano per la protezione dei dati personali, con particolare riferimento ai casi di uso secondario delle informazioni personali dei pazienti a fini di ricerca per i quali non è possibile ottenere il consenso perché irraggiungibili o deceduti.
Descrizione del trattamento
Trattandosi di uno studio osservazionale retrospettivo, il trattamento dei dati utilizza solo informazioni personali già presenti nelle cartelle cliniche esistenti e nei registri clinici, dati originariamente raccolti nell'ambito di cure mediche, senza ulteriori interventi sui pazienti o raccolta di nuovi dati clinici. L'obiettivo è quello di produrre evidenze utili per la conoscenza epidemiologica e clinica, in conformità con i principi della ricerca scientifica.
Il processo di trattamento di tali dati è rigorosamente regolato dal protocollo di studio che soddisfa i requisiti delle normative specifiche del settore ed è stato approvato dal Comitato Etico.
Trasparenza e base giuridica
Ove possibile, in conformità con il principio di trasparenza e correttezza del trattamento, i pazienti vengono informati in merito alle finalità del trattamento e viene loro chiesto di fornire liberamente il proprio consenso tramite il modulo di consenso informato, in conformità con la normativa di settore ed al GDPR.
La base giuridica del trattamento dei dati personali ai fini degli studi è il consenso informato dei pazienti ; tuttavia, nei casi in cui non sia possibile ottenere il consenso, la base giuridica è l'art. 6(1) lett. f), 9(2) lett. j) GDPR in combinato disposto con l'art. 110(1) del Codice della Privacy italiano, sulla base della valutazione d'impatto sulla protezione dei dati e del parere positivo del Comitato Etico competente.
Dati trattati
Poiché gli studi oggetto della presente valutazione sono studi non interventistici (NIS), le informazioni personali trattate includono sia categorie comuni di dati personali (ad esempio, elementi biografici e demografici) sia categorie speciali di dati, ovvero dati relativi alla salute estratti da cartelle cliniche e sistemi sanitari. È importante sottolineare che, anche sulla base della pratica clinica e delle normative pertinenti che disciplinano gli studi clinici, al fine di ridurre i rischi, gli identificatori diretti sono tenuti separati dai set di dati analitici: viene applicata la tecnica della pseudonimizzazione con l'uso di codici che sostituiscono gli identificatori diretti e l'accesso limitato all'elenco di collegamento per ridurre la possibilità di reidentificazione. La codifica viene effettuata a livello di sito, sostituendo gli identificatori diretti con un identificatore del soggetto, in modo da ridurre la possibilità di identificazione. Solo i siti sono in grado di risalire all'identità del paziente. Le analisi vengono eseguite solo ed esclusivamente sui dati codificati.
Terze parti e responsabili del trattamento
Il coinvolgimento di terze parti è regolato da specifiche clausole contrattuali e requisiti di sicurezza tecnici e organizzativi. Le CRO, in qualità di responsabili del trattamento dei dati, agiscono esclusivamente su istruzioni dello sponsor dello studio. Prima della stipula del contratto, ogni terza parte è soggetta a un rigoroso processo di valutazione dei fornitori.
Trasferimenti di dati personali
I dati raccolti negli studi possono essere trasferiti ad altre affiliate di Novartis o a terze parti che forniscono servizi a Novartis, che possono avere sede in Paesi che non garantiscono lo stesso livello di protezione dei dati richiesto dall'Unione Europea. Per i trasferimenti intra-gruppo di dati personali, il gruppo Novartis ha adottato le Norme vincolanti d'impresa, un sistema di principi, regole e strumenti previsto dalla legislazione europea, al fine di garantire livelli efficaci di protezione dei dati in relazione ai trasferimenti di dati personali al di fuori del SEE e della Svizzera. In caso di trasferimento di dati a terzi, i dati personali vengono trasferiti sulla base delle Clausole contrattuali standard approvate dalla Commissione europea.
Rischi analizzati
Sono stati considerati i rischi relativi alla potenziale divulgazione non autorizzata di informazioni personali, con possibili conseguenze reputazionali, psicologiche ed economiche per gli interessati. È stato valutato il rischio di riutilizzo dei dati per scopi diversi da quelli originariamente consentiti o non conformi al protocollo di ricerca, con impatto sui diritti degli interessati. In un contesto retrospettivo, è stata anche presa in considerazione la possibilità che i dati preesistenti possano essere incompleti, non aggiornati o contenere inesattezze, con potenziali ripercussioni sulla qualità delle analisi. A fronte di tali rischi, sono state analizzate le misure di prevenzione e controllo già implementate e i processi interni che garantiscono l'allineamento tra finalità, protocollo e consenso.
Analisi dei rischi e misure di sicurezza
L'analisi ha preso in considerazione i principali aspetti relativi all'utilizzo dei dati personali, con particolare riferimento alla mancanza del consenso per l'ulteriore trattamento.
Nello specifico:
- Rischio di potenziali danni legati all'uso dei dati dei pazienti: il rischio è considerato basso. Tutti i dati dei pazienti utilizzati ai fini dello studio sono codificati, pertanto i pazienti non sono direttamente identificabili. I potenziali danni derivanti dall'uso dei dati possono essere legati all'utilizzo dei dati raccolti durante il trattamento dei pazienti per altri scopi senza il loro consenso, oggetto della presente analisi. Questo rischio viene affrontato assicurando che a) l'utilizzo dei dati per gli scopi dello studio sia consentito dalle leggi sulla privacy applicabili, b) venga verificata la necessità e la possibilità di ottenere il consenso alla raccolta dei dati e c) se necessario, venga ottenuta l'approvazione del Comitato Etico per tale ricerca. Inoltre, vengono implementate misure organizzative che limitano l'accesso ai dati solo alle persone autorizzate, in base al principio del "need to know". Questa struttura organizzativa è già insita nel processo dell'azienda sponsor, in quanto conforme alle normative del settore. Nel caso di pazienti deceduti e quando è impossibile ottenere il consenso , sarà richiesto al Comitato Etico di fornire un parere positivo sull'uso dei dati di tali pazienti ai fini dello studio. Tenendo conto delle misure sopra descritte, il rischio è considerato sufficientemente mitigato.
- Rischio di perdita dei dati: il rischio è considerato basso. Lo studio prevede l'uso secondario di dati già raccolti e conservati nelle cartelle cliniche. Pertanto, se i dati vengono persi nel corso dello studio, è possibile recuperarli nuovamente dai sistemi di origine. Inoltre, l'implementazione di meccanismi di backup dei dati e di controllo degli accessi mitiga ulteriormente il rischio.
- Rischio di alterazione dei dati: il rischio è considerato basso. Infatti, questo studio utilizza copie dei dati presenti nelle cartelle cliniche esistenti che non possono essere alterate o modificate dal trattamento effettuato nell'ambito dello studio stesso. L'analisi viene effettuata su copie di tali dati (come richiesto dal protocollo dello studio) in forma pseudonimizzata, in ottemperanza al principio di minimizzazione.
- Rischio di divulgazione non autorizzata di informazioni sensibili: il rischio è considerato basso. Questo rischio viene affrontato mediante la pseudonimizzazione dei dati (ovvero la sostituzione degli identificatori diretti con un ID soggetto) e l'adozione di misure di sicurezza adeguate durante il trattamento delle informazioni. Inoltre, le CRO, in qualità di responsabili del trattamento dei dati, sono contrattualmente obbligate ad attuare misure di sicurezza adeguate. Sulla base di ciò, il rischio è considerato basso.
Conclusioni
Gli studi non interventistici (NIS SUD) riguardano, per loro natura, l'uso secondario dei dati esistenti nelle cartelle cliniche dei pazienti e già raccolti per scopi diversi (cioè nel corso del normale trattamento del paziente). L'oggetto dello studio sono quindi i dati raccolti dai centri e codificati da questi ultimi tramite un ID paziente. L'analisi dei dati dello studio viene effettuata utilizzando solo dati codificati. In conformità con il principio di minimizzazione, vengono raccolti solo i dati necessari definiti dal protocollo di studio. Il protocollo viene sottoposto alla commissione etica competente per la valutazione.
La valutazione ha preso in considerazione diversi scenari di rischio, tuttavia ciascuno di essi è sufficientemente mitigato dai controlli appropriati implementati attraverso clausole contrattuali con terze parti e responsabili del trattamento dei dati (CRO e centri di studio) e misure di sicurezza tecniche e organizzative (ad esempio, pseudonimizzazione dei dati trattati, gestione appropriata degli accessi).
Il processo di raccolta del consenso informato dai partecipanti allo studio (pazienti), ove possibile, rimane sempre una priorità. In caso di pazienti deceduti o se è impossibile ottenere il consenso, sarà richiesto al Comitato Etico dell' un parere positivo per l'utilizzo dei dati di questi pazienti ai fini dello studio, tenendo presente che non è stato specificatamente identificato alcun danno potenziale e/o concreto a seguito di tale valutazione.
In sintesi, il trattamento viene effettuato in conformità con i principi di liceità, trasparenza, minimizzazione, integrità e riservatezza e il rischio residuo relativo al trattamento dei dati personali degli individui è considerato basso.