Con riferimento all’attività di revisione delle autorizzazioni generali richiesta dall’art. 21, d.lgs. n. 101/2018, volta ad individuare le prescrizioni contenute nelle autorizzazioni generali già adottate che risultano compatibili con le disposizioni delRGPD – e segnatamente dell’autorizzazione n. 2 (“Autorizzazione al trattamento deidati idonei a rivelare lo stato di salute e la vita sessuale”) –, il Garante ha ritenuto che l’atto fosse privo di specifici elementi prescrittivi, essendo caratterizzato da una duplice valenza: autorizzatoria (atto legittimante il trattamento, per una serie di soggetti, in ambiti definiti: elenco dei soggetti destinatari dell’autorizzazione e delle categorie di dati e di operazioni ricomprese nell’atto, indicazione delle modalità conle quali presentare una nuova autorizzazione e efficacia temporale dell’atto) e ricognitiva dei principi generali applicabili in materia, vigenti all’epoca della sua adozione. Ciò stante, l’Autorità ha ritenuto l’autorizzazione generale n. 2/2016 priva di specifiche prescrizioni e, pertanto, che esulasse dall’ambito delle disposizioni di cuiall’art. 21, comma 1, d.lgs. n. 101/2018 (provv. 13 dicembre 2018, n. 497, doc.web n. 9068972, posto in consultazione pubblica con avviso in G.U. 11 gennaio2019, n. 9).

Con riferimento al trattamento dei dati genetici e dei dati personali effettuato per scopi di ricerca scientifica, il Garante, con il testé richiamato provvedimento generale di dicembre, ha provveduto all’attività di revisione delle autorizzazioni relative anche al trattamento dei dati personali effettuato per scopi di ricerca scientifica (aut. gen. n. 9/2016) e a quello effettuato con i dati genetici. Con tale atto il Garante ha individuato le prescrizioni relative alle particolari situazioni di trattamento (artt. 6, par. 1, lett. c) e d), 9, par. 2, lett. b), e 4 nonché il capo IX del RGPD) contenute nelle autorizzazioni generali compatibili con le disposizioni del RGPD, ne ha disposto l’aggiornamento e ha avviato la prevista procedura di consultazione pubblica per acquisire osservazioni e proposte rispetto alle prescrizioni individuate con il predetto provvedimento, con specifico riguardo ai risvolti applicativi nonché agli eventuali profili di criticità riscontrabili o anche già sperimentati nel settore di riferimento. In relazione al trattamento dei dati genetici, sono state mutuate dalla precedenteautorizzazione generale le definizioni di alcuni termini di riferimento (campione biologico, test genetico, test farmaco genetico, test farmaco genomico, test sulla variabilità individuale, screening genetico, consulenza genetica, informazione genetica) ed è stata introdotta la nuova definizione di “dato genetico” di cui all’art. 4, par. 1, n. 13, del RGPD. Il predetto provvedimento ha inoltre mantenuto e, in minima parte, aggiornato alcune prescrizioni specifiche in ordine alla custodia e alla sicurezza dei dati genetici e dei campioni biologici, fermo restando, alla luce del nuovo quadro normativo (in particolare l’art. 32 del RGPD), l’obbligo per i titolari di mettere in atto misure tecniche e organizzative sempre adeguate e costantemente aggiornate in riferimento alle diverse variabili che caratterizzano il contesto del trattamento. In relazione alle informazioni che devono essere fornite agli interessati, è stato previsto che anche i Mmg e i Pls evidenzino l’eventuale trattamento di dati genetici, mentre è rimasto per lo più invariato il paragrafo relativo alle consulenze genetiche e all’attività di informazione, atteso che, come per il passato, risulta indispensabile assicurare l’effettiva autodeterminazione informativa degli interessati e tutelarne la dignità. Per quanto concerne, invece, il trattamento di dati genetici per finalità di ricerca scientifica e statistica, è stato previsto che, nel caso di impossibilità nell’acquisizione del consenso per la conservazione e l’ulteriore utilizzo di campioni biologici e di dati genetici raccolti per la realizzazione di progetti di ricerca e indagini statistiche, diversi da quelli originari, il trattamento è consentito solo se una ricerca con analoga finalità non possa essere realizzata mediante il trattamento di dati riferiti a persone dalle quali può essere o è stato acquisito il consenso informato e il programma di ricerca, oggetto di motivato parere favorevole del competente comitato etico alivello territoriale, è sottoposto a preventiva autorizzazione del Garante. Si evidenzia come tale prescrizione sia stata provvisoriamente lasciata inalterata, stante la transitorietà della fase in esame e in virtù dell’art. 22, comma 11, d.lgs. n. 101/2018.

Le prescrizioni relative ai dati riferite a minori sono state ritenute tutte compatibili, stante la particolare attenzione prestata dal RGPD ai dati personali di tali soggetti; del pari, anche la prescrizione inerente il trattamento dei dati genetici delle persone defunte, è stata ritenuta compatibile con il RGPD tenuto conto che il considerando 27 consente agli Stati membri di estendere la disciplina in materia di protezione dei dati personali anche a tali categorie di interessati.

Con riferimento alle prescrizioni relative al trattamento dei dati personali effettuato per scopi di ricerca scientifica, di cui all’autorizzazione generale n. 9/2016, di particolare rilevanza è il preambolo del provvedimento. In tale sezione sono evidenziate le condizioni di liceità del trattamento dei dati per finalità di ricerca medica, biomedica ed epidemiologica dando particolare enfasi agli adempimenti relativi alla valutazione di impatto e alla consultazione preventiva del Garante. Con riguardo all’ambito di applicazione delle prescrizioni viene chiarito che queste ultime trovano applicazione per tutti i trattamenti di dati sulla salute per finalità di ricerca medica, biomedica ed epidemiologica a prescindere dalla circostanza che la ricerca abbia o meno una significativa ricaduta personalizzata sull’interessato. Il provvedimento in esame viene dunque a completare le condizioni di liceità del trattamento per tutte le ipotesi di trattamento disciplinate dall’art. 110 del Codice.

L’Autorità ha inoltre ritenuto che le prescrizioni contenute nel provvedimento trovano applicazione ai trattamenti effettuati per finalità di ricerca medica, biomedica ed epidemiologica, da parte dei soggetti espressamente individuati allorché il trattamento sia necessario per la conduzione di studi effettuati con dati raccolti inprecedenza a fini di cura o per l’esecuzione di precedenti progetti di ricerca ovvero ricavati da campioni biologici prelevati in precedenza per finalità di tutela della salute o per l’esecuzione di precedenti progetti di ricerca oppure allorché il trattamento sia necessario per la conduzione di studi effettuati con dati riferiti a persone che, in ragione della gravità del loro stato clinico, non sono in grado di comprendere le indicazioni rese nell’informativa e di prestare validamente il consenso.

Con riguardo ai presupposti di liceità del trattamento, il Garante ha altresì precisato che in tutti i casi in cui non sia possibile acquisire il consenso degli interessati, sorge in capo ai titolari del trattamento l’obbligo di documentare, nel progetto di ricerca, la sussistenza delle eccezionali ragioni impeditive o gravemente pregiudizievoli rispetto al conseguimento delle finalità della ricerca, tra le quali in particolare: motivi etici riconducibili alla circostanza che l’interessato ignora la propria condizione; motivi di impossibilità organizzativa, riconducibili alla circostanza che la mancata considerazione dei dati riferiti al numero stimato di interessati che non è possibile informare in relazione al numero complessivo dei soggetti che si intende coinvolgere nella ricerca produrrebbe conseguenze significative per lo studio in termini di alterazione dei relativi risultati; motivi di salute riconducibili alla gravitàdello stato clinico in cui versa l’interessato a causa del quale questi è impossibilitatoa comprendere le indicazioni rese nell’informativa e a prestare validamente il consenso.

Fonte: Autorità Garante - Relazione 2018