I dati sanitari possono essere ceduti

Il “bisogno” di dati è assolutamente crescente. Nel panorama giuridico contemporaneo, in particolare, i dati personali hanno assunto una rilevanza economica e giuridica senza precedenti: questo li ha resi, nei fatti, un bene di scambio.
Seppure sia ancora aperto il dibattito circa la possibilità o meno di considerarli come beni giuridici secondo l’articolo 810 del Codice Civile, sta di fatto che, nel mondo reale, i dati circolano, vengono ceduti e acquisiti attraverso accordi che rappresentano oggi una realtà consolidata nel mercato. Ciò avviene anche nel settore sanitario e in quello medical device.
Analizziamo allora questa realtà, sotto l’aspetto civilistico, quello relativo alla protezione dei dati e quello della loro valorizzazione economica.

La natura giuridica dei fatti e la libertà contrattuale

Non sussiste nessun divieto giuridico che impedisca ai dati di essere oggetto di contratti di scambio e ricevere una specifica valutazione economica. Questa evoluzione concettuale è stata approfonditamente analizzata nel testo “La circolazione dei dati personali: persona, contratto e mercato”, curato da Morace Pinelli per Pacini Editore nel 2023, che ha fornito una base teorica solida per la legittimazione di tali strumenti contrattuali.
Una volta riconosciuta come lecita questa possibilità, occorre ricordare che il nostro ordinamento consente di stipulare sia contratti tipici (come la tradizionale vendita) sia contratti atipici (senza disciplina specifica). Il fondamento di questa flessibilità si trova nell’articolo 1322 del Codice Civile, che stabilisce come “le parti possono liberamente determinare il contenuto del contratto nei limiti imposti dalla legge” e, soprattutto, “possono anche concludere contratti che non appartengono ai tipi aventi una disciplina particolare, purché siano diretti a realizzare interessi meritevoli di tutela secondo l’ordinamento giuridico”. È quindi il merito della causa contrattuale che legittima il contrato atipico. Nel caso della cessione di dati, senza dubbio l’obiettivo per cui gli stessi vengono acquisiti (es. l’evitare bias e distorsioni in un sistema di AI o anche solo svolgere test di training per software come dispositivi medici, comunemente noti come Samd, rappresenta il criterio di merito per valutare la liceità di contratto stesso.

Cosa stabilisce il Codice degli Appalti

In particolare è poi molto significativo il fatto che tale autonomia contrattuale sia stata espressamente riconosciuta anche alle Pubbliche amministrazioni dal nuovo Codice degli Appalti. L’articolo 8 del Decreto Legislativo 36/2023 chiarisce infatti che “nel perseguire le proprie finalità istituzionali le pubbliche amministrazioni sono dotate di autonomia contrattuale e possono concludere qualsiasi contratto, anche gratuito, salvi i divieti espressamente previsti dal codice e da altre disposizioni di legge”. Questo quadro normativo permette quindi di affermare con certezza che il contratto di cessione di dati è pienamente legittimo nel nostro ordinamento, sia quando viene stipulato tra soggetti privati sia quando coinvolge le Pubbliche Amministrazioni. Non esistono, inoltre, previsioni normative che vietino o limitino specificamente questi contratti quando riguardano dati relativi alla salute.
Al contrario (come già sopra accennato) stiamo assistendo a una crescente diffusione di tale tipologia contrattuale, spinta dalla progressiva valorizzazione economica del dato come risorsa strategica.

La disciplina specifica degli studi no-profit

La piena liceità della cessione dei dati in ambito sanitario è stata poi sancita sin dal 2018 dalla Legge 11 gennaio 2018, numero 3, che ha conferito al Governo una delega per il riordino della materia delle sperimentazioni cliniche. Più esattamente l’articolo 1 lett. o) chiama il Governo a prevedere “la possibilità di cessione dei dati relativi alla sperimentazione all’azienda farmaceutica e la loro utilizzazione a fini di registrazione, per valorizzare l’uso sociale ed etico della ricerca”, stabilendo al contempo che “l’azienda farmaceutica rimborsi le spese dirette e indirette connesse alla sperimentazione nonché le mancate entrate conseguenti alla qualificazione dello studio come attività senza fini di lucro”.
Questa norma – che nasceva dalla necessità di regolamentare una prassi molto diffusa relativa agli studi no-profit sui farmaci (pagati dagli ospedali ma dei quali spesso beneficiavano le aziende farmaceutiche per finalità registrative) – ha sancito in maniera inequivocabile la possibilità di cessione dei dati raccolta dalle Pubbliche amministrazioni che avevano promosso lo studio no-profit.

Il decreto ministeriale del 2021

In attuazione dell’articolo sopra richiamato è stato emanato il decreto del Ministero della Salute del 30 novembre 2021, titolato “Misure volte a facilitare e sostenere la realizzazione degli studi clinici di medicinali senza scopo di lucro e degli studi osservazionali e a disciplinare la cessione di dati e risultati di sperimentazioni senza scopo di lucro a fini registrativi”. Questo decreto rappresenta un punto di svolta, in quanto legittima pienamente il contratto di cessione di dati sanitari, eliminando ogni possibile dubbio interpretativo. Il decreto si applica specificamente alle sperimentazioni cliniche non commerciali o senza scopo di lucro, alle sperimentazioni cliniche a basso livello di intervento e agli studi osservazionali.

Cosa stabilisce l’articolo 3

Nel testo ministeriale si legge che “è consentita la cessione dei dati di sperimentazioni senza scopo di lucro, nonché dei risultati delle stesse, sia in corso di sperimentazione, sia a sperimentazione conclusa, a fini registrativi”, precisando che a seguito di tale cessione le agevolazioni previste per le sperimentazioni senza scopo di lucro non siano più applicabili. Il decreto introduce poi un meccanismo di valorizzazione economica particolarmente interessante. Nello specifico il decreto all’articolo 3 prevede che il promotore della sperimentazione e il soggetto interessato all’acquisizione debbano individuare di comune accordo un esperto in consulenza brevettuale iscritto all’Albo di cui al decreto legislativo 10 febbraio 2005, numero 30, oppure un avvocato che dovrà provvedere “a una stima del valore del bene in oggetto nella prospettiva del suo sfruttamento commerciale atteso”.
Il decreto prevede inoltre che se il potenziale acquirente non intende procedere all’acquisto secondo la stima effettuata dall’esperto, è vietata la successiva cessione degli stessi dati al medesimo soggetto per un importo inferiore: questa disposizione evita manovre speculative e garantisce che la valutazione dell’esperto rappresenti effettivamente il valore di mercato dei dati.

Criteri e procedure per la valorizzazione economica

Circa la valutazione economica dei dati (che ha rappresentato il vero ostacolo alla applicazione di tale decreto) la procedura consigliata prevede innanzitutto l’invito formale alla struttura ospedaliera per la nomina congiunta di un esperto qualificato. Una volta identificato il professionista, è opportuno definire le sue attività attraverso un contratto specifico che indichi chiaramente i criteri di stima e le modalità operative. Il decreto configura questa procedura come una sorta di arbitrato: se l’acquirente decide di comprare sulla base della stima, il promotore è obbligato a vendere al prezzo determinato, con il vincolo che tale prezzo non potrà essere inferiore ai costi sostenuti.
Circa la stima dal valore dei dati il decreto stabilisce due criteri fondamentali: il primo riguarda la copertura integrale dei costi (il processo di valutazione deve necessariamente determinare un importo che non sia inferiore alle spese dirette e indirette sostenute per la ricerca); il secondo criterio richiede una valutazione prospettica, considerando “lo sfruttamento commerciale atteso” dei dati.
Per quanto riguarda le metodologie di stima, il decreto non stabilisce nulla: ma trattandosi di beni immateriali, si ritiene che sia del tutto legittimo e giustificato fare riferimento ai tre approcci standard: il metodo dei costi (basato sui costi sostenuti per la produzione del bene), il metodo reddituale (stima dei flussi finanziari attesi) e il metodo comparativo (confronto con transazioni omogenee).

Il contributo del centro di Coordinamento nazionale dei Comitati etici

Per facilitare l’applicazione pratica di questa disciplina innovativa, il Centro di Coordinamento nazionale dei Comitati etici, costituito presso Aifa, ha elaborato un modello contrattuale pubblicato a novembre 2022.
L’articolo 14 di questo contratto standard, dedicato al “Trasferimento diritti, cessione del Contratto, cessione di dati e/o risultati della sperimentazione per finalità registrative”, stabilisce che qualsiasi cessione di dati per finalità di registrazione debba avvenire secondo le modalità previste dal decreto ministeriale. Particolarmente significativa è la previsione secondo cui la stima del valore deve tenere “adeguato conto dell’apporto dei centri pubblici di ricerca all’ideazione e allo sviluppo dei dati e/o risultati oggetto di cessione, prevedendo meccanismi di compensazione o di partecipazione agli eventuali utili e benefici derivanti dalla loro commercializzazione”.

Due modalità per il calcolo

Il contratto identifica quindi due modalità principali per la valorizzazione economica: i meccanismi di compensazione economica forfettaria e la partecipazione agli eventuali utili derivanti dalla commercializzazione dei farmaci. Si tratta di una soluzione innovativa, che suggerisce un approccio ibrido: una valutazione base determinata sui costi di produzione dei dati, combinata con una componente variabile rappresentata da una percentuale equa di partecipazione agli eventuali utili generati dallo sfruttamento commerciale.
Questa soluzione bilancia la certezza di una valorizzazione minima garantita con la possibilità di beneficiare del successo commerciale del prodotto sviluppato utilizzando i dati ceduti. La legittimità di questa seconda modalità aveva peraltro già trovato conferma nella prassi giurisprudenziale: l’accordo stipulato infatti durante la pandemia Covid-19 tra l’Ircss San Matteo di Pavia e la società Diasorin per dispositivi medici diagnostici in vitro, che prevedeva proprio una partecipazione agli utili commerciali, è stato considerato pienamente legittimo dalla sentenza del Consiglio di Stato 17 dicembre 2020, numero 8126.

I profili di protezione dei dati personali

Un po’ più critici i profili relativi alla protezione dei dati. La cessione di dati comporta infatti, necessariamente, il loro trasferimento da un soggetto all’altro, trasferimento che ai sensi dell’articolo 4 del GDPR rappresenta un’operazione di trattamento e più esattamente una “comunicazione tramite trasmissione”. Questa qualificazione comporta l’applicazione del GDPR e la valutazione della base giuridica del trasferimento e gli obblighi informativi. In linea generale, il trasferimento di dati può trovare legittimazione nel consenso dell’interessato, soluzione che garantisce il pieno rispetto dei principi di autodeterminazione informativa.

Il caso Tiziana Life Longevia Genomics

Un caso emblematico (seppure molto discusso e criticato) è stato quello rappresentato dall’acquisizione della biobanca genetica, da parte della società Tiziana Life Longevia Genomics a seguito del fallimento della società che aveva originariamente costituito la biobanca.
Mentre il Tribunale di Cagliari, con sentenza 1569/2017, aveva ritenuto sufficiente il consenso inizialmente prestato, la Cassazione Civile, con Ordinanza del 24 marzo 2021, ha stabilito la necessità non solo di informare gli interessati del trasferimento, ma anche di raccogliere un nuovo consenso specifico.
Qualora non sia possibile acquisire il consenso (strada spesso ardua) potrebbe trovare applicazione l’articolo 110-bis Codice Privacy (norma che prevede l’autorizzazione del Garante, ma che non risulta aver mai trovato applicazione). Infine, i dati potrebbero essere anonimizzati prima del trasferimento (tenendo però conto delle complessità del processo di anonimizzazione e della circostanza che spesso tale processo comporta un impoverimento del set informativo).
Per quanto riguarda gli obblighi informativi, trova poi applicazione l’articolo 14 del GDPR, che disciplina l’informativa quando i dati personali non sono stati ottenuti direttamente presso l’interessato: la norma stabilisce che la nuova informativa debba essere fornita “entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese”.
Nel caso della cessione, il cessionario sarà quindi tenuto a fornire una nuova informativa completa all’interessato.

Conclusioni

Il contratto di cessione dei dati rappresenta oggi uno strumento giuridico consolidato e pienamente legittimo nel panorama normativo italiano. L’evoluzione legislativa e regolamentare ha creato un framework solido che garantisce sia la legittimità delle operazioni di cessione sia la tutela degli interessati, offrendo al contempo meccanismi efficaci per la valorizzazione economica della ricerca pubblica.
La disciplina specifica introdotta per il settore farmaceutico ha fatto da apripista, introducendo una serie di indicazioni che possono essere utilmente applicate, in via analogica, anche nel settore medical device. Ne deriva che i dubbi sulle possibilità o meno di cessione dei dati e set di dati non siano oggi più giustificati. Tale pratica è infatti del tutto legittima dal punto di vista civilistico: necessita ovviamente di una corretta valutazione sotto il profilo della protezione dei dati e, senza dubbio, richiede un’analisi in relazione al valore economico dei dati. Tutti aspetti che possono essere gestiti e superati.

Rubrica "I DISPOSITIVI MEDICI TRA NORMATIVA E REGOLATORIO"

Leggi gli altri articoli presenti nella nostra rubrica in collaborazione con AboutPharma

VAI ALLA RUBRICA