Covid-19 e ricerca scientifica: così l’Unione europea tutela i dati personali

Per fare chiarezza su alcune delle questioni più urgenti in materia si è espresso il Comitato europeo per la protezione dei dati personali adottando le “Linee-guida 03/2020 sul trattamento dei dati relativi alla salute a fini di ricerca scientifica nel contesto dell’emergenza legata al Covid-19”. *Dal numero 180 del magazine

Covid-19 e ricerca scientifica

La ricerca scientifica rappresenta uno dei fattori fondamentali per la lotta contro il Sars-CoV-2, stante l’urgenza di approfondire la conoscenza del virus per contrastarne la diffusione; da ciò la necessità di un massiccio utilizzo di dati relativi alla salute dei pazienti per studiare la sintomatologia e l’evoluzione della patologia, ponendo rilevanti questioni giuridiche in merito al trattamento dei dati personali.

Le linee guida

Per fare chiarezza su alcune delle questioni più urgenti in materia, e per definire i requisiti di rispetto della normativa in materia di protezione dei dati personali, in particolare del Regolamento Ue 679/2016 “General Data Protection Regulation” (“Gdpr”), si è recentemente espresso il Comitato Europeo per la Protezione dei dati personali, organismo dell’Unione che raggruppa le autorità di controllo degli Stati membri, adottando, le “Linee-guida 03/2020 sul trattamento dei dati relativi alla salute a fini di ricerca scientifica nel contesto dell’emergenza legata al Covid-19”.

Va sottolineato innanzitutto come nel Gdpr sono presenti diversi riferimenti al tema della ricerca scientifica (cfr. considerando 156, 157, 159, 161 ed artt. 5 co. 1 lett. e), 9 co. 2 lett. j) e 89) ed è prevista in generale una particolare tutela con riferimento ai c.d. “dati relativi alla salute”. L’art. 4 del Gdpr, definisce dati relativi alla salute i dati attinenti alla salute fisica o mentale di un individuo, che rivelano informazioni relative al suo stato di salute (ad esempio, nell’attuale contesto emergenziale, la notizia della permanenza in un paese a rischio o la frequentazione di persone affette dalla malattia). Ai sensi del Gdpr, l’uso di dati personali relativi alla salute deve essere sempre accompagnato da idonee precauzioni, in ragione delle gravi ripercussioni negative che possono derivare da un uso improprio degli stessi. Nelle Linee-guida 03/2020, il Comitato si è pertanto espresso in merito ad alcune questioni rilevanti, quali l’individuazione della base giuridica, la messa in atto di garanzie adeguate, l’esercizio dei diritti per gli interessati e il trasferimento internazionale dei dati.

Il tema della libertà del consenso

Con riferimento all’individuazione della base giuridica del trattamento, tra le possibili basi giuridiche individuate dal Comitato si evidenziano le valutazioni svolte in merito all’utilizzo del consenso come fondamento giuridico del trattamento (art.6 par.1 lett. a) del Gdpr) e come deroga al generale divieto di trattamento di dati appartenenti a categorie particolari (art. 9 par.2 lett. a) del Gdpr); la legittimità dell’utilizzo del consenso prestato nell’ambito di una ricerca scientifica appare controverso, poiché il Gdpr subordina la validità del consenso al fatto che esso sia libero, specifico, informato e inequivocabile. Nel contesto del trattamento di dati a fini di ricerca scientifica, risulta particolarmente delicato il tema della libertà del consenso, poiché nelle ipotesi in cui vi sia uno squilibrio tra titolare del trattamento e interessato, il consenso non può mai dirsi libero. Il Comitato evidenzia tuttavia che tale squilibrio non si configura nelle ipotesi in cui gli interessati non versino in una situazione di soggezione rispetto ai ricercatori o enti che conducono lo studio e che dal rifiuto a sottoporsi alla ricerca non derivi per gli stessi alcuna conseguenza negativa, a condizione inoltre che sia sempre garantita la possibilità di revocare il consenso precedentemente prestato.

Le garanzie

Il Gdpr prevede altresì che il trattamento dei dati a fini di ricerca scientifica debba essere soggetto a garanzie adeguate per i diritti e le libertà degli interessati (art. 89 Gdpr); il Comitato evidenzia pertanto l’importanza del rispetto dei principi previsti dal Gdpr, con particolare riferimento ai principi di trasparenza, di minimizzazione, di integrità e riservatezza dei dati. In base al principio di trasparenza l’interessato ha il diritto di essere sempre informato in merito al trattamento di dati personali che lo riguardano (art. 13 e 14 del Gdpr). Nell’ambito della ricerca scientifica, è frequente l’uso di dati non raccolti direttamente dagli interessati e, in tali casi, l’informativa deve essere fornita dal titolare ai sensi dell’art. 14 del Gdpr. Il Gdpr prevede inoltre alcune specifiche deroghe al generale obbligo di fornire l’informativa (art. 14 co. 5), ad esempio nelle ipotesi in cui fornire l’informativa sia “impossibile o implicherebbe uno sforzo sproporzionato” o “l’ottenimento e la comunicazione sono espressamente previsti dal diritto dell’Unione o dello Stato membro”.

Prima di avviare un progetto di ricerca scientifica in materia di Covid-19, il titolare dovrà pertanto valutare il caso di specie e stabilire se sia applicabile una delle deroghe previste dal Gdpr; in caso contrario, il titolare dovrà fornire l’informativa agli interessati entro un tempo ragionevole dall’ottenimento dei dati (al più tardi entro un mese). Nel rispetto del principio di minimizzazione prima di avviare una ricerca, il titolare dovrà individuare chiaramente i quesiti di ricerca e valutare la tipologia e la quantità di informazioni necessarie per rispondere a tali quesiti (evitando di acquisire dati ulteriori), stabilendo infine un periodo di conservazione dei dati proporzionato alle finalità del trattamento e coerente alle disposizioni normative. Per garantire il rispetto dei principi di integrità e riservatezza, i titolari del trattamento dovranno inoltre adottare misure tecniche e organizzative che garantiscano un adeguato livello di sicurezza (ad esempio utilizzando tecniche di pseudonimizzazione cifratura dei dati e rigide misure organizzative in materia di accesso ai dati). Il Comitato sottolinea inoltre che la finalità di ricerca scientifica e l’emergenza dovuta al Covid-19, non limitano la possibilità degli interessati di esercitare i diritti previsti dal Gdpr (artt. da 15 a 22).

Il trasferimento internazionale di dati

Il Comitato si sofferma infine sulla questione del trasferimento internazionale di dati, in considerazione del fatto che l’attuale contesto emergenziale può rendere necessaria una cooperazione internazionale anche sul fronte della ricerca. Secondo il Comitato, il trasferimento dei dati per fini di ricerca scientifica potrà avvenire in deroga alle previsioni di cui al Capo V del Gdpr in quanto “necessario per importanti motivi di interesse pubblico” (art. 49, par. 1 lett. d)). Il Comitato rileva infatti che la crisi sanitaria causata dal Covid-19 è stata riconosciuta sia dall’Unione Europea che dagli Stati membri e che pertanto la lotta al virus sia da ritenersi un “interesse pubblico rilevante” tale da legittimare il trasferimento transnazionale di dati a fini di ricerca scientifica.

La posizione espressa dal Comitato, come dalle maggiori istituzioni europee, appare pertanto un utile contributo finalizzato a conciliare le esigenze della ricerca, come di ogni altro strumento preordinato alla tutela della salute pubblica ed alla lotta alla diffusione del virus Sars-CoV-2, con la necessità di evitare un eccessivo sacrificio dei diritti e delle libertà fondamentali degli individui.