Le recenti indicazioni del Coordinamento dei Comitati Etici e di EMA sul trattamento dei dati personali nelle sperimentazioni e nelle indagini cliniche

Né i Regolamenti 745/2017 sui dispositivi medici e 746/2017 sui dispositivi medici in vitro né il Regolamento 536/2014 sulla sperimentazione clinica di medicinali per uso umano prevedono una disciplina di coordinamento con il Regolamento 679/2016 in materia di trattamento di dati personali.

Non esiste una disciplina specifica relativa al trattamento dei dati personali nelle indagini o nelle sperimentazioni cliniche.

Due recenti interventi di EMA e del Centro di coordinamento dei Comitati Etici forniscono importanti indicazioni operative che vanno ad integrare i già noti

• "Parere 3/2019 relativo alle domande e risposte sull'interazione tra il regolamento sulla sperimentazione clinica e il regolamento generale sulla protezione dei dati (articolo 70, paragrafo 1, lettera b)" adottato daEDPB il 23 gennaio 2019  
• "Linee guida per i trattamenti di dati personali nell'ambito delle sperimentazioni cliniche di medicinali" del Garante del 24 luglio 2008

Nello specifico, lo scorso 7/4/2022, EMA ha pubblicato il suo “Guidance document on how to approach the protection of personal data and commercially confidential information in document uploaded and published in the Clinical Trial Information System (CTIS)”, allo scopo di dare indicazioni operative sulla gestione delle informazioni commercialmente riservate (richiamiamo qui i nostri precedenti interventi sul tema) e dei dati personali da pubblicare sul CTIS.

Come noto, l’MDR e l’IVDR prevedono anch’esse l’inserimento di informazioni riservate e di dati personali all’interno di un sistema informativo europeo (EUDAMED), attualmente in parte ancora in fase di implementazione ma in relazione al quale le indicazioni di EMA relative al CTIS possono ritenersi applicabili per analogia.

Il Centro di Coordinamento dei Comitati Etici ha pubblicato il 31/5/2022 i Modelli di contratto per la conduzione delle sperimentazioni cliniche su medicinali e delle indagini cliniche sui dispositivi medici. (reperibili sul sito di AIFA )

Analizziamo brevemente entrambi i documenti.

Le Linee guida EMA

Lo scopo del CTIS (nonché di EUDAMED) è quello di facilitare la collaborazione tra le autorità competenti degli Stati membri e tra le medesime autorità e i promotori oltre a permetter ai promotori di fare riferimento a precedenti sperimentazioni.

Nei portali dovranno pertanto essere inseriti esclusivamente i dati personali necessari per il perseguimento di queste finalità, in ottemperanza al principio di minimizzazione.

L’art. 81 CTR, che regolamenta l’istituzione ed il funzionamento del CTIS, prevede al comma 4 che nessun dato personale dei soggetti partecipanti alla sperimentazione è accessibile al pubblico; una previsione analoga è contenuta nell’art. 73 comma 4 MDR.

Per assicurare che i dati rimangano riservati, EMA prevede che detti dati siano anonimizzati nella versione dei documenti accessibili al pubblico caricati sui portali.

Il processo di anonimizzazione deve avere luogo prima che i dati siano caricati sui portali.

La Guidance si sofferma poi sul concetto di anonimizzazione, e sulle tecniche di anonimizzazione, richiamando in larga parte il parere n. 5/2014 del Gruppo di lavoro art. 29 (oggi EDPB)

Il contenuto minimo dei contratti

La Legge 11 gennaio 2018, n. 3 (Lorenzin) ha incaricato il Centro di coordinamento dei Comitati Etici di individuare il contenuto minimo del contratto tra il promotore e il centro di sperimentazione; lo scorso maggio il Centro di Coordinamento ha pubblicato le bozze di contratto per le sperimentazioni di medicinali per uso umano e per le indagini di dispositivi medici.

La Circolare n.4 del Centro di Coordinamento Nazionale dei Comitati Etici del 30 maggio 2022 precisa che “gli schemi contrattuali sono da ritenersi vincolanti, poiché costituiscono contenuto minimo ai sensi della Legge, con possibilità i) di integrare le clausole contrattuali in relazione a casi specifici ulteriori rispetto a quanto già previsto ovvero ii) di modificare, in via eccezionale, alcune disposizioni”.

Quelle indicate nelle clausole contrattuali sono quindi le modalità di trattamento dei dati personali e le misure minime che il promotore e l’Ente, qualificati come titolari autonomi del trattamento ai sensi dell’art. 4 del GDPR, dovranno obbligatoriamente adottare e rispettare.

Ciascuna delle due parti dovrebbe quindi premurarsi di verificare il sistema di gestione dei dati personali dell’altra parte nella fase precontrattuale; qualora una delle due non dovesse rispettare le prescrizioni minime indicate negli schemi contrattuali, l’altra dovrebbe porre in serio dubbio l’opportunità di concludere il contratto per l’esecuzione della sperimentazione o dell’indagine.

Verifica che ovviamente dovrebbe proseguire nel corso dell’intera sperimentazione.