Legal

Test clinici e privacy

studi clinici e privacyHo cominciato ad affrontare l’implementazione del nuovo Reg. 679/2016 con molti miei clienti, case farmaceutiche e aziende di medical device.
Tra i vari trattamenti di dati effettuati da tali tipologie di titolari, ci sono quelli relativi ai dati raccolti nel corso dei test clinici sui medicinali e delle indagini cliniche sui dispositivi medici.
E qui mi sono resa conto che, sotto il profilo della disciplina privacy, spesso non sono affatto chiari i ruoli tra sponsor e centro di sperimentazione; e quindi non sono chiari i compiti e le responsabilità.

Per lo più lo sponsor si considera titolare ed il centro di sperimentazione è responsabile esterno.
Non è però sempre vero.

Nel Parere WP 29 16 febbraio 2010 n. 1/2010, valutando i ruoli dei diversi soggetti che partecipano alla sperimentazione, così si afferma (esempio 25):
“La società farmaceutica XYZ finanzia alcuni test di medicinali e seleziona i centri di sperimentazione candidati valutandone l'ammissibilità e gli interessi;………
Il centro di sperimentazione effettua il test autonomamente, ma sempre conformemente alle indicazioni del finanziatore; fornisce le note informative ai pazienti e ottiene il loro consenso quanto al trattamento dei dati che li riguardano; autorizza i collaboratori del finanziatore ad accedere ai documenti medici originali dei pazienti nell'ambito di attività
di monitoraggio; gestisce tali documenti ed è responsabile della loro conservazione. Risulta quindi che le responsabilità siano affidate ai singoli attori. In questo contesto, sia i centri di sperimentazione che i finanziatori prendono decisioni importanti quanto alle modalità di trattamento dei dati personali relativi ai test clinici. Di conseguenza, possono essere considerati corresponsabili del trattamento. La relazione fra il finanziatore e i centri di sperimentazione potrebbe essere interpretata in modo diverso nei casi in cui il finanziatore determini le finalità e gli aspetti fondamentali dei mezzi, lasciando invece al ricercatore uno strettissimo margine di manovra.

In sostanza si afferma che ove sponsor e finanziatore assumano - nei fatti - decisioni rilevanti circa la finalità e la modalità di trattamento, devono essere considerati  contitolari dei dati.

Ove la situazione sia questa, con il nuovo Reg 679/2016 sarà necessario un contratto scritto tra sponsor e centro di sperimentazione, nel quale regolare i reciproci compiti e responsabilità.
L’ Articolo 26 del GDPR stabilisce che:

Contitolari del trattamento

1. Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all'osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all'esercizio dei diritti dell'interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 13 e 14, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell'Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.

2. L'accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell'accordo è messo a disposizione dell'interessato.

3. Indipendentemente dalle disposizioni dell'accordo di cui al paragrafo 1, l'interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento.

Ricapitolando entro il 25 maggio 2018 (Reg. 679/2016) sponsor e centro di sperimentazione dovranno stipulare un contratto scritto ad hoc nel quale dovranno stabilire

•         chi fa cosa in relazione agli obblighi del GDPR

•         chi si occupa dell’informativa all’interessato

•         come le parti rispondono in caso di esercizio del diritto degli interessati

•         chi gestisce il punto di contatto a favore dell’interessato

inoltre

•         i contitolari hanno l’obbligo di far conoscere il contenuto essenziale del contratto agli interessati: dovranno decidere come darne conoscenza

•         gli interessati potranno agire nell’ipotesi di richieste risarcimento danno nei confronti di ciascuno dei contitolari

 
Autore:

Silvia Stefanelli

Silvia Stefanelli è avvocato cassazionista, fondatore e co-titolare dello Studio Legale Stefanelli&Stefanelli, specializzato in ambito di sanità ed appalti. Esperta di diritto sanitario, con particolare competenza in materia di organizzazione di servizi sanitari in ambito pubblico e privato, dispositivi medici, data protection e responsabilità medica. Si occupa ampiamente di sanità digitale.

Segui Silvia Stefanelli: