vedi anche: comunicato stampa
Autorizzazione generale altrattamento di dati personali effettuato per scopi di ricerca scientifica
Provvedimento del 1° marzo 2012
(Pubblicata sulla GU n. 72 del 26 marzo 2012)
ILGARANTE PER LA PROTEZIONE DEI DATI PERSONALI
Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente,del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan edel dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli,segretario generale;
Visto il decreto legislativo 30 giugno 2003, n. 196, Codice in materia diprotezione dei dati personali;
Visto l'art. 99, comma 1, del Codice in base al quale il trattamentodi dati personali effettuato per scopi scientifici e' consideratocompatibile con i diversi scopi per i quali i dati sono stati in precedenzaraccolti o trattati;
Visto l'art. 110, comma 1, del Codice che consente di trattare dati personaliidonei a rivelare lo stato di salute per scopi di ricerca scientifica incampo medico, biomedico o epidemiologico, anche in assenza del consensodegli interessati, quando a causa di particolari ragioni non sia possibileinformarli e il programma di ricerca sia oggetto di motivato parerefavorevole del competente comitato etico a livello territoriale e siaautorizzato dal Garante, anche ai sensi dell'art. 40 del Codice;
Vista l'autorizzazione del Garante n. 2/2011 al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale (pubblicata in Gazzetta Ufficiale n. 162 del 14.7.2011) e, in particolare, il punto 1.2 che autorizza il trattamento di dati personaliidonei a rivelare lo stato di salute per scopi di ricerca scientificafinalizzata alla tutela della salute dell'interessato, di terzi o della collettivita' in campo medico, biomedico o epidemiologico, rinviando a quanto disposto dagli articoli 106, 107 e 110 del Codice in ordine alla necessita' di acquisire il consenso delle persone interessate;
Viste le disposizioni del codice di deontologia e buona condotta per i trattamenti di dati personali per scopi statistici e scientifici(Provv. n. 2 del 16 giugno 2004, in Gazzetta Ufficiale 14 agosto 2004, n. 190,Allegato A.4 al Codice) applicabili anche ai trattamenti di dati effettuati perscopi di ricerca medica, biomedica o epidemiologica non connessi con attivita'di tutela della salute svolte da esercenti professioni sanitarie od organismi sanitari, ovvero con attivita' comparabili in termini disignificativa ricaduta personalizzata sull'interessato (articoli 11 e 2, comma2);
Vista la deliberazione del 15 dicembre 2011, con la quale il Garante haavviato una procedura di consultazione pubblica su un documento, adottato in pari data, recante lo schema di "autorizzazione al trattamentodei dati idonei a rivelare lo stato di salute per studi osservazionali retrospettivi" e pubblicato, unitamente alla medesima deliberazione, sulsito web dell'Autorita' e nella Gazzetta Ufficiale n. 2 del 3 gennaio 2012;
Visti i commenti e le osservazioni pervenuti a questa Autorita' in particolareda parte di universita', enti, istituti di ricerca e societa' scientifiche, ricercatori, esercenti le professioni sanitarie,organismi sanitari, organismi rappresentativi di operatori sanitari eassociazioni di pazienti interessati, a seguito della consultazionepubblica per la quale era stato fissato il termine del 31 gennaio 2012;
Visto l'art. 2 del d.lg. 24 giugno 2003, n. 211 che definisce "studi osservazionali" gli studi nei quali "i medicinali sono prescrittisecondo le indicazioni dell'autorizzazione all'immissione in commercio.L'assegnazione del paziente a una determinata strategia terapeutica non e' decisa in anticipo da un protocollo di sperimentazione, ma rientra nella normale pratica clinica e la decisione di prescrivere il medicinalee' del tutto indipendente da quella di includere il paziente nello studio. Ai pazienti non si applica nessuna procedura supplementare di diagnosi omonitoraggio";
Considerato che un elevato numero di trattamenti di dati idonei a rivelarelo stato di salute e' effettuato da diversi titolari del trattamento per la conduzione di studi finalizzati alla ricerca scientifica in campo medico,biomedico o epidemiologico, non aventi significativa ricaduta personalizzata sull'interessato, che utilizzano dati raccolti in precedenza a fini di cura degli interessati o per l'esecuzione di precedenti progetti di ricerca, ovvero ricavati da campioni biologici prelevati in precedenza per finalita' di tutela della salute o per l'esecuzione di precedenti progetti di ricerca;
Considerato che gli studi in questione non mirano soltanto a valutarela sicurezza e l'efficacia dei farmaci e di dispositivi medici nellapratica clinica ma anche a verificarne l'appropriatezza prescrittiva o adindagare le relazioni tra i fattori di rischio e la salute umana, oppurevertono su eventi sanitari di tipo diagnostico, terapeutico o preventivo, ovvero sull'utilizzazione di strutture socio-sanitarie;
Considerato che, nell'ambito di tali studi, i dati oggetto di trattamentosono registrati nella documentazione clinica (o nella documentazione inerente i precedenti studi in cui sono stati raccolti) conservata presso i centri di cura partecipanti in conformita' alla legge, oppuresono ricavati da campioni biologici asportati e conservati negli archivi di anatomia patologica dei medesimi centri o prelevati nell'ambito di precedenti progetti di ricerca;
Visti gli specifici provvedimenti di autorizzazione rilasciati dall'Autorita',ai sensi degli articoli 110, comma 1 (ultima parte) e 41 del Codice, con iquali e' stata autorizzata, anche in assenza del consenso degli interessati, la conduzione di studi, non aventi significativa ricaduta personalizzata sull'interessato, effettuati con dati raccolti in precedenza per finalita' ditutela della salute degli interessati o ricavati da campioni biologici prelevati in precedenza per le stesse finalita'; cio', in quanto, a causa di comprovate particolari ragioni, e' stata documentata l'impossibilita' difornire loro l'informativa sul trattamento dei dati e il relativo programma diricerca ha ricevuto un motivato parere favorevole del comitato eticoterritorialmente competente;
Considerato che i trattamenti dei dati in questione possono essere autorizzati dal Garante anche d'ufficio con provvedimenti di carattere generale,relativi a determinate categorie di titolari o di trattamenti (art. 40 delCodice);
Ritenuto opportuno pertanto, alla luce dell'esperienza maturata, rilasciareun'autorizzazione generale, ai sensi dell'art. 40 del Codice, relativa aitrattamenti di dati idonei a rivelare lo stato di salute per scopi di ricercascientifica, effettuati anche in assenza del consenso degli interessati,preordinati alla conduzione di studi, non aventi significativa ricaduta personalizzata sull'interessato, con dati raccolti in precedenza per finalita'di tutela della salute dei medesimi interessati o ricavati da campioni biologici prelevati in precedenza per le stesse finalita', armonizzando le specifiche prescrizioni gia' impartite con singoli provvedimenti di autorizzazione gia' rilasciati;
Ritenuto altresi' opportuno, in conformita' a quanto previsto dall'art.110 del Codice (ultima parte), prendere in considerazione ai fini dellapresente autorizzazione i trattamenti per scopi di ricerca scientificapreordinati alla conduzione di studi che siano oggetto di motivato parerefavorevole del comitato etico competente a livello territoriale, non essendo a tal fine sufficiente la formazione del silenzio/assenso a seguitodella notifica dello studio al predetto comitato;
Considerato che, in virtu' dell'art. 11 del menzionato codice deontologicoper i trattamenti di dati personali per scopi statistici e scientifici, il consenso non e' necessario quando, ai sensi dell'art. 110 del Codice, none' possibile informare gli interessati per "motivi etici", ovvero per "motivi metodologici", ovvero per "motivi di impossibilita' organizzativa";
Considerato che, nelle richieste di autorizzazione finora sottoposteall'esame dell'Autorita', l'impossibilita' di informare gli interessati e' risultata giustificata sulla base di "motivi etici" ovvero di "motivi diimpossibilita' organizzativa";
Ritenuto opportuno quindi, alla luce dell'esperienza maturata, che itrattamenti di dati idonei a rivelare lo stato di salute per scopi di ricercascientifica preordinati alla conduzione di studi in campo medico, biomedico o epidemiologico in cui l'impossibilita' di informare gli interessati siagiustificata da "motivi metodologici" vengano sottoposti a specificiprovvedimenti di autorizzazione del Garante;
Considerato che l'autorizzazione di carattere generale risulta uno strumentoidoneo per prescrivere misure uniformi a garanzia degli interessati e rendesuperflua la richiesta di singoli provvedimenti di autorizzazione da parte di numerosi titolari del trattamento semplificando in tale modo, in manierasignificativa, gli adempimenti degli obblighi relativi ai trattamenti di datiper la conduzione di ricerche mediche, biomediche o epidemiologiche;
Ritenuto che ai trattamenti oggetto della presente autorizzazione devono trovare applicazione anche le cautele contenute nell'autorizzazionegenerale del Garante n. 2/2011 e nel codice deontologico sopra citati, inparticolare per cio' che attiene ai criteri da tenere in considerazione per non rendere identificabili gli interessati nelle fasi dello studiosuccessive all'estrapolazione dei dati e alle regole di condotta per gliincaricati e gli eventuali responsabili del trattamento;
Rilevato che anche l'eventuale raccolta e la conservazione di campionibiologici, cosi' come il trattamento dei dati che ne derivano, devono essere effettuati in conformita' ai principi fondamentali di protezione e di sicurezza dei dati (v. Raccomandazione delConsiglio d'Europa n. R (92) 3 relativa ai test genetici ed allo screeninggenetico per scopi di natura sanitaria; Documento di lavoro sui datigenetici del Gruppo Art. 29 della Dir. 95/46/CE, WP 91/2004);
Considerato che l'utilizzo di campioni biologici nell'ambito di ricerche scientifiche che comportano l'estrapolazione di dati genetici deveessere effettuato nel rispetto dei limiti e delle condizioni contenute nella specifica autorizzazione generale del Garante al trattamento dei datigenetici, rilasciata il 24 giugno 2011 ai sensi dell'art. 90 del Codice (inG. U. 11 luglio 2011 n. 159 e reperibile sul sito Internet dell'Autorita', doc.web n. 1822650);
Vista altresi' la Raccomandazione del Consiglio d'Europa n. R (2006) 4che individua le condizioni e i limiti nel rispetto dei quali e'consentito l'utilizzo di materiale biologico per attivita' di ricerca, ancheappartenente a persone decedute, prelevato per uno scopo diverso da quellodella sua conservazione a fini di ricerca, ivi compreso quello prelevato per l'esecuzione di un precedente progetto di ricerca; considerato che taleRaccomandazione stabilisce che il materiale biologico prelevato per scopidiversi da quelli di conservazione a fini di ricerca puo' essere messo adisposizione per attivita' di ricerca con il necessario consenso dell'interessato e che, a tal fine, dovrebbe essere fatto ogni ragionevole sforzo per contattare la persona interessata, mentre ove tale contatto non sia possibile, il materiale biologico puo' essere utilizzato per attivita' di ricerca soltanto se sono soddisfatti particolari requisiti (articoli10, 12, 21 e 22);
Visto il Codice di deontologia medica del 16 dicembre 2006 nella parte incui prevede l'obbligo del segreto professionale da parte del medico anche conriferimento ai pazienti deceduti (art. 10);
Considerato che la presente autorizzazione prende in considerazione quelleipotesi residuali, ammesse dal Codice (art. 110), in cui il necessarioconsenso degli interessati per il trattamento dei dati personali a scopi diricerca scientifica in campo medico, biomedico o epidemiologico non sia statopreviamente raccolto dai titolari del trattamento, sussistano delleparticolari e comprovate circostanze dalle quali derivi l'impossibilita' diinformare gli interessati e la ricerca non possa essere realizzata mediante iltrattamento di dati anonimi o di dati riferiti a individui che sia possibile contattare al fine di rendere l'informativa di cui all'art. 13 del Codice;
Rilevato che, in ottemperanza ai principi, richiamati dall'art. 2, comma 2,del Codice, di semplificazione, armonizzazione ed efficacia delle modalita' diesercizio dei diritti degli interessati e di adempimento degli obblighida parte dei titolari del trattamento, e' auspicabile che l'informativa sul trattamento di dati idonei a rivelare lo stato di salute per scopi di ricerca scientifica sia fornita all'interessato contestualmente a quella sultrattamento dei dati a fini di cura, specie da parte di titolari deltrattamento che perseguono finalita' di ricerca scientifica unitamente ad attivita' di ricovero e cura;
Ritenuto che, nell'ambito di detta informativa resa all'interessato,occorre distinguere chiaramente, con riferimento all'indicazione deglielementi di cui all'art. 13 del Codice, i trattamenti effettuati perscopi di ricerca scientifica da quelli preordinati alla tutela dellasalute, evidenziando in particolare la volontarieta' della partecipazione alla ricerca, in modo da consentire all'interessato, di manifestare consapevolmente un consenso libero e specifico rispetto ai differenti scopi perseguiti (articoli 13, 23, 78, comma 5, e 105, comma 2, del Codice);
Rilevata l'opportunita' che la presente autorizzazione generale sia provvisoriae a tempo determinato, ai sensi dell'art. 41, comma 5, del Codice e, inparticolare, efficace per il periodo fino al 31 dicembre 2012;
Visto l'art. 11, comma 2, del Codice, il quale stabilisce che i datitrattati in violazione della disciplina rilevante in materia di trattamento didati personali non possono essere utilizzati;
Visti gli articoli 31 e seguenti del Codice e il disciplinare tecnico dicui all'Allegato B) al medesimo Codice in materia di misure minime disicurezza;
Visti gli articoli 20, 26, 40, 41, 98, 107 e 110 del Codice;
Visti gli articoli 167, comma 2, e 170 del Codice che sanzionano il trattamento illecito dei dati personali e l'inosservanza dei provvedimenti delGarante;
Visti gli atti d'ufficio;
Viste le osservazioni dell'Ufficio formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore il dott. Mauro Paissan;
Autorizza
iltrattamento dei dati personali idonei a rivelare lo stato di salute degli interessati, anche in assenza del loro consenso informato, per scopi di ricerca scientifica in campo medico, biomedico o epidemiologiconel rispetto dei limiti e delle condizioni di seguito indicate.
1.Ambito di applicazione.
La presente autorizzazione e' rilasciata:
a) alle universita', agli altri enti o istituti di ricerca e societa'scientifiche, nonche' ai ricercatori che operano nell'ambito di detteuniversita', enti, istituti di ricerca e ai soci di dette societa'scientifiche;
b) agli esercenti le professioni sanitarie e agli organismi sanitarinei limiti di cui all'art. 2, comma 2, del codice di deontologia ebuona condotta per i trattamenti di dati personali per scopi statistici escientifici (Allegato A.4 al Codice).
Il trattamento dei dati oggetto della presente autorizzazione puo' esserealtresi' effettuato da persone fisiche o giuridiche, enti, associazioni e organismi privati, nonche' da soggetti specificatamente preposti al trattamento quali incaricati o responsabili (ricercatori, monitor, commissioni di esperti, organizzazioni di ricerca a contratto,laboratori di analisi, ecc.) (articoli 4, comma 1, lettera f), 28, 29 e 30del Codice).
2.Finalita' del trattamento: ricerca scientifica in campo medico, biomedico oepidemiologico.
1. La presente autorizzazione e' rilasciata quando:
il trattamento di dati idonei a rivelare lo stato di salute effettuato per scopi di ricerca scientifica in campo medico, biomedico oepidemiologico e' necessario per la conduzione di studi, non aventisignificativa ricaduta personalizzata sull'interessato, effettuati con datiraccolti in precedenza a fini di cura della salute o per l'esecuzione diprecedenti progetti di ricerca ovvero ricavati da campioni biologici prelevatiin precedenza per finalita' di tutela della salute o per l'esecuzione diprecedenti progetti di ricerca e la ricerca e' effettuata sulla base diun progetto, oggetto di motivato parere favorevole del competente comitato etico a livello territoriale, secondo le modalita' di cui all'art. 3 del codice di deontologia e buona condotta per i trattamenti di dati personali per scopi statistici e scientifici (Allegato A.4 al Codice).
Gli studi oggetto della presente autorizzazione possono riguardare anche lerelazioni tra i fattori di rischio e la salute umana, o mirano a valutare la sicurezza e l'efficacia di farmaci o di dispositivi medici nella pratica clinica, o a verificare l'appropriatezza prescrittiva, oppurevertono su eventi sanitari di tipo diagnostico, terapeutico o preventivo,ovvero sull'utilizzazione di strutture socio-sanitarie.
2. La presente autorizzazione non riguarda gli scopi della ricerca chepossono essere realizzati, nel caso concreto, mediante:
il trattamento di dati anonimi;
il trattamento di dati di interessati che sia possibile contattareal fine di rendere l'informativa e acquisirne il consenso.
3.Categorie di dati oggetto di trattamento.
Prima di iniziare o proseguire il trattamento i sistemi informativi e i programmi informatici sono configurati riducendo al minimo l'utilizzazionedi dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalita' perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalita' che permettano di identificare l'interessato solo in caso dinecessita', in conformita' all'art. 3 del Codice.
Il trattamento puo' riguardare unicamente i dati personali strettamentepertinenti ai sopra indicati scopi, ivi compresi quelli ricavati da campionibiologici, salvo che questi non costituiscano "dati genetici" ai sensi dell'autorizzazione del 24 giugno 2011 rilasciata dal Garante in virtu' dell'art. 90 del Codice.
Il trattamento di dati genetici resta infatti autorizzato nei limiti ealle condizioni individuati nella predetta autorizzazione.
4.Impossibilita' di informare gli interessati.
L'autorizzazione riguarda il trattamento dei dati degli interessati daincludere nella ricerca che non e' possibile contattare al fine di fornire l'informativa sul trattamento dei dati a causa della sussistenza di unadelle seguenti ragioni, considerate del tutto particolari o eccezionali,documentate nel progetto di ricerca:
1. Motivi etici riconducibili alla circostanza che l'interessato ignora la propria condizione. Rientrano in questa categoria le ricerche per lequali l'informativa sul trattamento dei dati da rendere agli interessati comporterebbe la rivelazione di notizie concernenti la conduzione dellostudio la cui conoscenza potrebbe arrecare un danno materiale o psicologico agli interessati stessi (possono rientrare in questa ipotesi, ad esempio, gli studi epidemiologici sulla distribuzione di unfattore che predica o possa predire lo sviluppo di uno stato morboso per ilquale non esista un trattamento).
2. Motivi di impossibilita' organizzativa riconducibili alla circostanzache la mancata considerazione dei dati riferiti al numero stimato di interessati che non e' possibile contattare per informarli, rispetto al numero complessivo dei soggetti che si intende coinvolgere nella ricerca, produrrebbe conseguenze significative per lo studio in termini di alterazione dei relativi risultati; cio' avuto riguardo, in particolare, ai criteri di inclusione previsti dallo studio, alle modalita' di arruolamento, alla numerosita' statistica del campione prescelto, nonche' al periodo di tempo trascorso dal momento in cui i dati riferiti agli interessati sono stati originariamente raccolti (ad esempio, neicasi in cui lo studio riguarda interessati con patologie ad elevata incidenzadi mortalita' o in fase terminale della malattia o in eta' avanzata e in gravicondizioni di salute).
Con riferimento a tali motivi di impossibilita' organizzativa, e' autorizzatoil trattamento dei dati di coloro i quali, all'esito di ogni ragionevolesforzo compiuto per contattarli, anche attraverso la verifica dello stato invita, la consultazione dei dati riportati nella documentazione clinica, l'impiego dei recapiti telefonici eventualmente forniti, nonche'l'acquisizione dei dati di contatto presso l'anagrafe degli assistiti o della popolazione residente, risultino essere al momento dell'arruolamentonello studio: deceduti o non contattabili. Resta fermo l'obbligo di raccogliere il consenso informato al trattamento dei dati degliinteressati inclusi nella ricerca in tutti i casi in cui, nel corso dellostudio, sia possibile rendere loro un'adeguata informativa e acquisirne il relativo consenso e, in particolare, laddove questi si rivolgano alcentro di cura, anche per visite di controllo.
5.Modalita' di trattamento.
Il trattamento dei dati personali oggetto della presente autorizzazionee' effettuato nel rispetto delle disposizioni del codice di deontologia ebuona condotta per i trattamenti di dati personali per scopi statistici escientifici (Allegato A.4 al Codice) e unicamente con operazioni strettamente indispensabili alla conduzione dello studio.
Ove la ricerca non possa raggiungere i suoi scopi senza l'identificazione, anche temporanea, degli interessati, nel trattamento successivo allaraccolta retrospettiva dei dati, sono adottate tecniche di cifratura o utilizzati codici identificativi oppure altre soluzioni che, considerato ilnumero dei dati trattati, li rendono non direttamente riconducibili agli interessati, permettendo di identificare questi ultimi solo in caso dinecessita'. In questi casi, i codici utilizzati non sono desumibili dai dati personali identificativi degli interessati, salvo che cio' risulti impossibile in ragione delle particolari caratteristiche del trattamento o richieda un impiego di mezzi manifestamente sproporzionato e siamotivato, altresi', per iscritto, nel progetto di ricerca.
L'abbinamento al materiale di ricerca dei dati identificativi dell'interessato,sempre che sia temporaneo ed essenziale per il risultato della ricerca, e'motivato, inoltre, per iscritto.
6.Comunicazione e diffusione.
I soggetti individuati al paragrafo 1) che agiscono in qualita' di titolaridel trattamento, anche unitamente ad altri titolari, possono comunicare tra loro i dati personali oggetto della presente autorizzazione nellamisura in cui rivestano il ruolo di promotore, di centro coordinatore o dicentro partecipante e l'operazione di comunicazione sia indispensabile perla conduzione dello studio. I dati idonei a rivelare lo stato di salute degli interessati utilizzati per la conduzione dello studio non possono essere diffusi (articoli 22, comma 8, e 26, comma 5, del Codice). I risultati delle ricerchepossono essere diffusi in forma aggregata, ovvero secondo modalita' che non rendano identificabili gli interessati neppure tramite dati identificativi indiretti, anche nell'ambito di pubblicazioni.
7.Conservazione dei dati e dei campioni.
Nel quadro del rispetto dell'obbligo previsto dall'art. 11, comma 1, letterae) del Codice, i dati e i campioni biologici utilizzati per l'esecuzionedella ricerca sono conservati mediante tecniche di cifratura o l'utilizzazionedi codici identificativi oppure di altre soluzioni che, considerato il numero dei dati e dei campioni conservati, non li rendono direttamente riconducibili agli interessati, per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.
A tal fine, e' indicato nel progetto di ricerca il periodo di conservazione,successivo alla conclusione dello studio, al termine del quale i predetti dati e campioni sono trasformati in forma anonima.
8.Custodia e sicurezza.
Fermo restando l'obbligo di adottare le misure minime di sicurezza previstedal Codice (articoli 33-35 e All. B) al Codice), sono impiegati dal/ititolare/i del trattamento, ciascuno per la parte di propria competenza inrelazione al ruolo ricoperto nel trattamento dei dati e alle conseguenti responsabilita', specifiche misure e accorgimenti tecnici per incrementareil livello di sicurezza dei dati trattati per l'esecuzione dello studio in conformita' alle indicazioni contenute nelle "Linee guida per i trattamenti di dati personali nell'ambito delle sperimentazioni cliniche di medicinali" adottate dal Garante con Provvedimento del 24 luglio 2008.
Cio', sia nella fase di memorizzazione o archiviazione dei dati (e, eventualmente,di raccolta e conservazione dei campioni biologici) sia nella fase successiva di elaborazione delle medesime informazioni, nonche' nellasuccessiva fase di trasmissione dei dati al promotore o ai soggetti esterniche collaborano con il primo per l'esecuzione dello studio. Sono adottati, inparticolare:
a. idonei accorgimenti per garantire la protezione dei dati dello studio dairischi di accesso abusivo ai dati, furto o smarrimento parziali o integralidei supporti di memorizzazione o dei sistemi di elaborazione portatili o fissi(ad esempio, attraverso l'applicazione parziale o integrale di tecnologiecrittografiche a file system o database, oppure tramite l'adozione di altremisure informatiche di protezione che rendano inintelligibili i dati ai soggetti non legittimati) nelle operazioni di registrazione e archiviazione dei dati effettuate mediante strumenti elettronici;
b. protocolli di comunicazione sicuri basati sull'utilizzo di standard crittografici nella trasmissione elettronica dei dati raccoltinell'ambito dello studio a un database centralizzato in cui sono memorizzati oarchiviati, nonche' nella trasmissione in via telematica dei dati dellostudio al promotore o ai soggetti esterni di cui lo stesso promotore siavvale per la conduzione dello studio. Laddove detta trasmissione siaeffettuata mediante supporto ottico (CD-ROM) e' designato un incaricato della ricezione presso il promotore ed e' utilizzato, per la condivisione della chiave di cifratura dei dati, un canale di trasmissione differente da quello utilizzato per la trasmissione del contenuto;
c. tecniche di etichettatura, nella conservazione e nella trasmissionedi campioni biologici, mediante codici identificativi, oppure altre soluzioni che, considerato il numero di campioni utilizzati, li rendono non direttamente riconducibili agli interessati, permettendo diidentificare questi ultimi solo in caso di necessita';
d. con specifico riferimento alle operazioni di elaborazione dei dati dello studio memorizzati su un database centralizzato, e' necessario adottare:
idonei sistemi di autenticazione e di autorizzazione per gli incaricatiin funzione dei ruoli e delle esigenze di accesso e trattamento, avendo cura di utilizzare credenziali di validita' limitata alla durata dellostudio e di disattivarle al termine dello stesso;
procedure per la verifica periodica della qualita' e coerenza dellecredenziali di autenticazione e dei profili di autorizzazione assegnati agliincaricati del trattamento;
sistemi di audit log per il controllo degli accessi al database e per ilrilevamento di eventuali anomalie.
9.Trasferimento all'estero.
Ove sia essenziale per il risultato della ricerca trasferire dati idonei arivelare lo stato di salute degli interessati inclusi nello studio in Paesinon appartenenti all'Unione europea, in assenza del consenso espresso, informa scritta, degli interessati (art. 43, comma 1, lettera a), delCodice), il trasferimento e' autorizzato dal Garante in presenza degliulteriori presupposti di cui all'art. 43 del Codice, o in conformita' agliarticoli 44 e 45 del Codice.
10.Richieste di autorizzazione.
I titolari del trattamento che rientrano nell'ambito di applicazione della presente autorizzazione non sono tenuti a presentare una richiesta di autorizzazione a questa Autorita', qualora il trattamento chesi intende effettuare sia conforme alle sue prescrizioni.
Le richieste di autorizzazione pervenute o che perverranno, anche successivamentealla data di adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento medesimo.
Il Garante non prendera' in considerazione richieste di autorizzazione,ai sensi dell'art. 110 del Codice (ultima parte), per trattamenti da effettuarsi in difformita' alle prescrizioni del presente provvedimento,salvo che, ai sensi dell'art. 41 del Codice, il loro accoglimento siagiustificato da circostanze o da situazioni non considerate nella presenteautorizzazione.
11.Efficacia temporale.
La presente autorizzazione ha efficacia a decorrere dal 1° marzo 2012 finoal 31 dicembre 2012.
La presente autorizzazione sara' pubblicata nella Gazzetta Ufficiale dellaRepubblica italiana.
Roma, 1° marzo 2012
Il Presidente
Pizzetti
Il relatore
Paissan
Il segretario generale
De Paoli