Garante per la protezione
    dei dati personali


[Avvisoavvio consultazione pubblica]


[Newsletter]

CONSULTAZIONE PUBBLICASUL DOCUMENTO RECANTE LO SCHEMA DI "AUTORIZZAZIONE AL TRATTAMENTO DEI DATIIDONEI A RIVELARE LO STATO DI SALUTE PER STUDI OSSERVAZIONALIRETROSPETTIVI"

Registro dei provvedimenti
n. 486 del15 dicembre 2011

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele DePaoli, segretario generale;

VISTO il decreto legislativo 30 giugno 2003, n. 196, Codice in materiadi protezione dei dati personali;

VISTO l'art. 110, comma 1, del Codice che consente di trattare datipersonali idonei a rivelare lo stato di salute per scopi di ricerca scientificain campo medico, biomedico o epidemiologico, anche in assenza del consensodegli interessati, quando a causa di particolari ragioni non sia possibileinformarli e il programma di ricerca sia oggetto di motivato parere favorevoledel competente comitato etico a livello territoriale e sia autorizzato dalGarante, anche ai sensi dell'art. 40 del Codice;

CONSIDERATO che un elevato numero di trattamenti di dati idonei arivelare lo stato di salute è effettuato per la conduzione di studiosservazionali retrospettivi, finalizzati alla ricerca scientifica in campomedico, biomedico o epidemiologico;

CONSIDERATO che i trattamenti in questione comportano l'utilizzo didati idonei a rivelare lo stato di salute delle persone assistite presso icentri di cura partecipanti agli studi e raccolti in passato per finalità diprevenzione, diagnosi, cura e riabilitazione degli interessati o perl'esecuzione di precedenti progetti di ricerca, ovvero ricavati da campionibiologici prelevati in passato sempre per finalità di tutela della salute o perl'esecuzione di precedenti progetti di ricerca;

VISTE le specifiche autorizzazioni rilasciate dall'Autorità, ai sensidegli artt. 110, comma 1 (ultima parte) e 41 del Codice, con le quali è stataresa possibile la conduzione di studi osservazionali retrospettivi anche senzail consenso degli interessati; in quanto, a causa di comprovate particolariragioni, è stata documentata l'impossibilità di fornire loro l'informativa, eil relativo programma di ricerca ha ricevuto un motivato parere favorevole del comitatoetico territorialmente competente;

CONSIDERATO che il trattamento dei dati in questione può essereautorizzato dal Garante anche d'ufficio con provvedimenti di caratteregenerale, relativi a determinate categorie di titolari o di trattamenti (art.40 del Codice);

CONSIDERATO che l'autorizzazione di carattere generale risulta unostrumento idoneo per prescrivere misure uniformi a garanzia degli interessati erende superflua la richiesta di singoli provvedimenti di autorizzazione daparte di numerosi titolari del trattamento semplificando in tale modo, inmaniera significativa, gli adempimenti degli obblighi relativi al trattamentodei dati per la conduzione di ricerche mediche, biomediche ed epidemiologiche;

RITENUTO opportuno pertanto, alla luce dell'esperienza maturata,rilasciare un'autorizzazione generale, ai sensi dell'art. 40 del Codice,relativa al trattamento di dati idonei a rivelare lo stato di salute degliinteressati effettuato senza il loro consenso informato, per la conduzione distudi osservazionali retrospettivi, armonizzando le specifiche prescrizioni giàimpartite con singoli provvedimenti di autorizzazione già rilasciati;

RILEVATA l'opportunità che l'adozione definitiva di tali prescrizioni,allo stato individuate dal Garante nell'unito documento, sia preceduta da unaconsultazione pubblica dei soggetti e delle categorie interessate aitrattamenti di dati effettuati a scopi di ricerca in campo medico, biomedico edepidemiologico, con particolare riferimento alle università, agli enti oistituti di ricerca e società scientifiche, ai ricercatori, agli esercenti leprofessioni sanitarie e agli organismi sanitari, agli enti, associazioni e aorganismi rappresentativi di operatori sanitari e di associazioni di pazientiinteressati;

VISTE le osservazioni dell'Ufficio formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

DELIBERA

a. di adottare l'unito documento cheforma parte integrante della presente deliberazione, recante lo schema di"autorizzazione al trattamento dei dati idonei a rivelare lo stato disalute per studi osservazionali retrospettivi";

b. di avviare una consultazione pubblica sul documento di cuialla lettera a).

L'obiettivo della consultazione è acquisire osservazioni e commenti,in particolare da parte di università, enti o istituti di ricerca e societàscientifiche, ricercatori, esercenti le professioni sanitarie, organismi sanitari,enti, associazioni e organismi rappresentativi di operatori sanitari e diassociazioni di pazienti interessati.

Tali osservazioni e commenti potranno pervenire entro il 31 gennaio2012 all'indirizzo dell'Autorità di Piazza di Monte Citorio n. 121, 00186 Roma,ovvero al seguente indirizzo di posta elettronica:110@garanteprivacy.it

La presente deliberazione verrà pubblicata sul sito web del Garantewww.garanteprivacy.it e verrà inviato un avviso all'Ufficio pubblicazione leggie decreti del Ministero della giustizia, affinché sia riportato sulla GazzettaUfficiale della Repubblica italiana.

Roma, 15 dicembre 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
De Paoli

 

 

Schema di autorizzazione al trattamento dei dati idonei a rivelare lo stato di salute per studi osservazionali retrospettivi

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele DePaoli, segretario generale;

VISTO il decreto legislativo 30 giugno 2003, n. 196, Codice in materiadi protezione dei dati personali;
VISTO l'art. 99, comma 1, del Codice inbase al quale il trattamento di dati personali effettuato per scopi scientificiè considerato compatibile con i diversi scopi per i quali i dati sono stati inprecedenza raccolti o trattati;

VISTO l'art. 110, comma 1, del Codice che consente di trattare datipersonali idonei a rivelare lo stato di salute per scopi di ricerca scientificain campo medico, biomedico o epidemiologico, anche in assenza del consensodegli interessati, quando a causa di particolari ragioni non sia possibileinformarli e il programma di ricerca sia oggetto di motivato parere favorevoledel competente comitato etico a livello territoriale e sia autorizzato dalGarante, anche ai sensi dell'art. 40 del Codice;

VISTA l'autorizzazione del Garante n. 2/2011 al trattamento dei datiidonei a rivelare lo stato di salute e la vita sessuale,pubblicata in G.U. n. 162 del 14.7.2011) e, in particolare, il punto 1.2 cheautorizza il trattamento di dati personali idonei a rivelare lo stato di saluteper scopi di ricerca scientifica finalizzata alla tutela della salutedell'interessato, di terzi o della collettività in campo medico, biomedico oepidemiologico, rinviando a quanto disposto dagli artt. 106, 107 e 110 delCodice in ordine alla necessità di acquisire il consenso delle personeinteressate;

VISTE le disposizioni del codice di deontologia e buona condotta per itrattamenti di dati personali per scopi statistici e scientifici (Provv. n. 2del 16 giugno 2004, in G.U. 14 agosto 2004, n. 190, Allegato A.4 al Codice)applicabili anche ai trattamenti di dati effettuati per scopi di ricercamedica, biomedica o epidemiologica non connessi con attività di tutela dellasalute svolte da esercenti professioni sanitarie od organismi sanitari, ovverocon attività comparabili in termini di significativa ricaduta personalizzatasull'interessato (artt. 11 e 2, comma 2);

VISTO l'art. 2 del d.lg. 24 giugno 2003, n. 211 che definisce «studiosservazionali» gli studi nei quali "i medicinali sono prescritti secondole indicazioni dell'autorizzazione all'immissione in commercio. L'assegnazionedel paziente a una determinata strategia terapeutica non è decisa in anticipoda un protocollo di sperimentazione, ma rientra nella normale pratica clinica ela decisione di prescrivere il medicinale è del tutto indipendente da quella diincludere il paziente nello studio. Ai pazienti non si applica nessunaprocedura supplementare di diagnosi o monitoraggio";

CONSIDERATO che un elevato numero di trattamenti di dati idonei arivelare lo stato di salute è effettuato per la conduzione di studiosservazionali retrospettivi, finalizzati alla ricerca scientifica in campomedico, biomedico o epidemiologico;

CONSIDERATO che i trattamenti in questione comportano l'utilizzo didati idonei a rivelare lo stato di salute delle persone assistite presso icentri di cura partecipanti agli studi e raccolti in passato per finalità diprevenzione, diagnosi, cura e riabilitazione degli interessati o perl'esecuzione di precedenti progetti di ricerca, ovvero ricavati da campionibiologici prelevati in passato sempre per finalità di tutela della salute o perl'esecuzione di precedenti progetti di ricerca;

CONSIDERATO che, nell'ambito di tali studi, i dati oggetto ditrattamento sono registrati nella documentazione clinica (o nelladocumentazione inerente i precedenti studi in cui sono stati raccolti)conservata presso i centri di cura partecipanti in conformità alla legge,oppure sono ricavati da campioni biologici asportati e conservati negli archividi anatomia patologica dei medesimi centri o prelevati nell'ambito diprecedenti progetti di ricerca;

VISTI gli specifici provvedimenti di autorizzazione rilasciatidall'Autorità, ai sensi degli artt. 110, comma 1 (ultima parte) e 41 delCodice, con i quali è stata autorizzata la conduzione di studi osservazionaliretrospettivi anche senza il consenso degli interessati; ciò, in quanto, acausa di comprovate particolari ragioni, è stata documentata l'impossibilità difornire loro l'informativa al trattamento dei dati e il relativo programma diricerca ha ricevuto un motivato parere favorevole del comitato eticoterritorialmente competente;

CONSIDERATO che i trattamenti dei dati in questione possono essereautorizzati dal Garante anche d'ufficio con provvedimenti di caratteregenerale, relativi a determinate categorie di titolari o di trattamenti (art.40 del Codice);

RITENUTO opportuno pertanto, alla luce dell'esperienza maturata,rilasciare un'autorizzazione generale, ai sensi dell'art. 40 del Codice,relativa ai trattamenti di dati idonei a rivelare lo stato di salute degliinteressati effettuati senza il loro consenso informato, per la conduzione distudi osservazionali retrospettivi, armonizzando le specifiche prescrizioni giàimpartite con singoli provvedimenti di autorizzazione già rilasciati;

CONSIDERATO che l'autorizzazione di carattere generale risulta unostrumento idoneo per prescrivere misure uniformi a garanzia degli interessati erende superflua la richiesta di singoli provvedimenti di autorizzazione daparte di numerosi titolari del trattamento semplificando in tale modo, inmaniera significativa, gli adempimenti degli obblighi relativi ai trattamentidi dati per la conduzione di ricerche mediche biomediche ed epidemiologiche;

RITENUTO che ai trattamenti oggetto della presente autorizzazionedevono trovare applicazione anche le cautele contenute nell'autorizzazionegenerale del Garante n. 2/2011 e nel codice deontologico sopra citati, inparticolare per ciò che attiene ai criteri da tenere in considerazione per nonrendere identificabili gli interessati nelle fasi dello studio successiveall'estrapolazione dei dati e alle regole di condotta per gli incaricati e glieventuali responsabili del trattamento;

RILEVATO che anche l'eventuale raccolta e la conservazione di campionibiologici, così come il trattamento dei dati che ne derivano, devono essere effettuatiin conformità ai principi fondamentali di protezione e di sicurezza dei dati(v. Raccomandazione del Consiglio d'Europa n. R(92) 3 relativa ai test geneticied allo screening genetico per scopi di natura sanitaria; Documento di lavorosui dati genetici del Gruppo art. 29 della dir. 95/46/CE, WP 91/2004);

CONSIDERATO che l'utilizzo di campioni biologici nell'ambito diricerche scientifiche che comportano l'estrapolazione di dati genetici deveessere effettuato nel rispetto dei limiti e delle condizioni contenute nellaspecifica autorizzazione generale del Garante al trattamento dei dati genetici,rilasciata il 24 giugno 2011 ai sensi dell'art. 90 del Codice (in G. U. 11luglio 2011 n. 159);

VISTA altresì la Raccomandazione del Consiglio d'Europa n. R (2006) 4che individua le condizioni e i limiti nel rispetto dei quali è consentitol'utilizzo di materiale biologico per attività di ricerca, anche appartenente apersone decedute, prelevato per uno scopo diverso da quello della suaconservazione a fini di ricerca, ivi compreso quello prelevato per l'esecuzionedi un precedente progetto di ricerca e stabilisce che il materiale biologicoprelevato per scopi diversi da quelli di conservazione a fini di ricerca puòessere messo a disposizione per attività di ricerca con il necessario consensodell'interessato; a tal fine, dovrebbe essere fatto ogni ragionevole sforzo percontattare la persona interessata, mentre ove tale contatto non sia possibile,il materiale biologico può essere utilizzato per attività di ricerca soltantose sono soddisfatti particolari requisiti (artt. 10, 12, 21 e 22);

VISTO il Codice di deontologia medica del 16 dicembre 2006 nella partein cui prevede l'obbligo del segreto professionale da parte del medico anchecon riferimento ai pazienti deceduti (art. 10);

RILEVATO che il consenso informato al trattamento di dati idonei a rivelarelo stato di salute dell'interessato per scopi di ricerca scientifica può essereacquisito previamente alla raccolta dei dati già all'atto dell'accettazione odel ricovero dell'interessato presso l'organismo sanitario che lo prende incura evidenziando, in tale circostanza, che lo stesso organismo sanitario intendeconservare i suoi dati clinici, ed eventualmente anche i suoi campioni, per laconduzione di indagini in campo medico, biomedico ed epidemiologico;

RITENUTO che l'informativa resa all'interessato nella circostanzasopra rilevata dovrebbe evidenziare analiticamente i trattamenti effettuati perscopi di ricerca scientifica distinguendoli chiaramente da quelli preordinatialla tutela della salute, in modo da consentirgli di manifestareconsapevolmente un consenso libero e specifico rispetto ai differenti scopiperseguiti (artt. 13, 23, 78, comma 5, e 105, comma 2, del Codice);

RILEVATA l'opportunità che la presente autorizzazione generale siaprovvisoria e a tempo determinato, ai sensi dell'art. 41, comma 5, del Codicee, in particolare, efficace per il periodo fino al 31 dicembre 2012;

VISTO l'art. 11, comma 2, del Codice, il quale stabilisce che i datitrattati in violazione della disciplina rilevante in materia di trattamento didati personali non possono essere utilizzati;

VISTI gli articoli 31 e seguenti del Codice e il disciplinare tecnicodi cui all'Allegato B) al medesimo Codice in materia di misure minime disicurezza;

VISTI gli artt. 20, 26, 40, 41, 98, 107 e 110 del Codice;

VISTI gli artt. 167, comma 2, e 170 del Codice che sanzionano iltrattamento illecito dei dati personali e l'inosservanza dei provvedimenti delGarante;

VISTI gli atti d'ufficio;

VISTE le osservazioni dell'Ufficio formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore    

AUTORIZZA

il trattamento dei dati personali idonei a rivelare lo stato di salutedegli interessati, anche in assenza del loro consenso informato, per scopi diricerca scientifica in campo medico, biomedico ed epidemiologico nel rispettodei limiti e delle condizioni di seguito indicate.

1. Ambito di applicazione
Lapresente autorizzazione è rilasciata:

a) alle università, agli altri enti o istituti di ricerca esocietà scientifiche, nonché ai ricercatori che operano nell'ambito di detteuniversità, enti, istituti di ricerca e ai soci di dette società scientifiche;

b) agli esercenti le professioni sanitarie e agli organismisanitari nei limiti di cui all'art. 2, comma 2, del codice di deontologia ebuona condotta per i trattamenti di dati personali per scopi statistici escientifici (Allegato A.4 al Codice);

c) alle altre persone fisiche o giuridiche, enti, associazioni eagli altri organismi privati.

2. Finalità del trattamento: studiosservazionali retrospettivi.

1. La presente autorizzazione riguarda esclusivamente:

- il trattamento di dati idonei a rivelare lo stato di salutedegli interessati effettuato per scopi di ricerca scientifica in campo medico,biomedico ed epidemiologico finalizzato alla conduzione di studi osservazionaliretrospettivi anche sulle relazioni tra i fattori di rischio e la salute umana,o miranti a valutare la sicurezza e l'efficacia dei farmaci nella praticaclinica o a verificare l'appropriatezza prescrittiva, oppure su interventisanitari di tipo diagnostico, terapeutico o preventivo, ovverosull'utilizzazione di strutture socio-sanitarie e

- la ricerca è effettuata sulla base di un progetto oggetto dimotivato parere favorevole del competente comitato etico a livello territorialee redatto in conformità all'art. 3 del codice di deontologia e buona condottaper i trattamenti di dati personali per scopi statistici e scientifici(Allegato A.4 al Codice).

2. Gli scopi della ricerca oggetto della presente autorizzazionenon possono inoltre essere realizzati, nel caso concreto, mediante:

- il trattamento di dati anonimi;

- il trattamento di dati di interessati che sia possibilecontattare al fine di rendere l'informativa e acquisirne il consenso.

3. Categorie di dati oggetto ditrattamento.
Prima di iniziare o proseguire il trattamentoi sistemi informativi e i programmi informatici sono configurati riducendo alminimo l'utilizzazione di dati personali e di dati identificativi, in modo daescluderne il trattamento quando le finalità perseguite nei singoli casipossono essere realizzate mediante, rispettivamente, dati anonimi od opportunemodalità che permettano di identificare l'interessato solo in caso di necessità,in conformità all'art. 3 del Codice.

Il trattamento può riguardare unicamente i dati personali strettamentepertinenti ai sopra indicati scopi.

Il trattamento di dati genetici resta autorizzato nei limiti e allecondizioni individuati nella specifica autorizzazione del Garante rilasciata aisensi dell'art. 90 del Codice il 24 giugno 2011.

4. Impossibilità di informare gliinteressati.
L'autorizzazione riguarda il trattamentodei dati degli interessati da includere nella ricerca che non è possibile contattareal fine di fornire l'informativa al trattamento dei dati a causa dellasussistenza di una delle seguenti ragioni, considerate del tutto particolari oeccezionali, documentate nel progetto di ricerca:

1. Motivi etici riconducibili alla circostanza che l'interessatoignora la propria condizione. Rientrano in questa categoria le ricerche per lequali l'informativa sul trattamento dei dati da rendere agli interessati comporterebbela rivelazione di notizie concernenti la conduzione dello studio la cui conoscenzapotrebbe arrecare un danno materiale o psicologico agli interessati stessi(possono rientrare in questa ipotesi, ad esempio, gli studi epidemiologicisulla distribuzione di un fattore che predica o possa predire lo sviluppo diuno stato morboso).

2. Motivi di impossibilità organizzativa riconducibili allacircostanza che la mancata considerazione dei dati riferiti al numero stimatodi interessati che non è possibile contattare per informarli, rispetto alnumero complessivo dei soggetti che si intende coinvolgere nella ricerca,produrrebbe conseguenze significative per lo studio in termini di alterazionedei relativi risultati; ciò avuto riguardo, in particolare, ai criteri diinclusione previsti dallo studio, alle modalità di arruolamento, alla numerositàstatistica del campione prescelto, nonché al periodo di tempo trascorso dalmomento in cui i dati riferiti agli interessati sono stati originariamenteraccolti (ad esempio, nei casi in cui lo studio riguarda interessati conpatologie ad elevata incidenza di mortalità o in fase terminale della malattiao in età avanzata e in gravi condizioni di salute).

2.1. Con riferimento a tali motivi di impossibilitàorganizzativa, è autorizzato il trattamento dei dati di coloro i quali,all'esito di ogni ragionevole sforzo compiuto per contattarli, anche attraversola verifica dello stato in vita, la consultazione dei dati riportati nelladocumentazione clinica, l'impiego dei recapiti telefonici eventualmenteforniti, nonché l'acquisizione dei dati di contatto presso l'anagrafe degliassistiti o della popolazione residente, risultino essere al momentodell'arruolamento nello studio:

- deceduti o

- persi al follow up.

Resta fermo l'obbligo di raccogliere il consenso informato altrattamento dei dati degli interessati inclusi nella ricerca in tutti i casi incui, nel corso dello studio, sia possibile rendere loro un'adeguata informativae acquisirne il relativo consenso e, in particolare, laddove questi sirivolgano nuovamente al centro di cura, anche per visite di follow-up.

5. Modalità di trattamento.
Iltrattamento dei dati personali oggetto della presente autorizzazione èeffettuato nel rispetto delle disposizioni del codice di deontologia e buonacondotta per i trattamenti di dati personali per scopi statistici e scientifici(Allegato A.4 al Codice) e unicamente con operazioni strettamenteindispensabili alla conduzione dello studio.

Ove la ricerca non possa raggiungere i suoi scopi senzal'identificazione, anche temporanea, degli interessati, nel trattamentosuccessivo alla raccolta retrospettiva dei dati, sono adottate specifichemisure per non renderli direttamente riconducibili agli interessati, qualil'adozione di tecniche crittografiche o l'utilizzo di codici identificativiunivoci. In questi casi, i codici utilizzati non sono desumibili dai datipersonali identificativi degli interessati, salvo che ciò risulti impossibilein ragione delle particolari caratteristiche del trattamento o richieda unimpiego di mezzi manifestamente sproporzionato e sia motivato, altresì, periscritto, nel progetto di ricerca.

L'abbinamento al materiale di ricerca dei dati identificatividell'interessato, sempre che sia temporaneo ed essenziale per il risultatodella ricerca, è motivato, inoltre, per iscritto.

Alla conclusione dello studio, i dati raccolti, o comunque trattatiper la sua esecuzione, sono trasformati in forma anonima.

6. Comunicazione e diffusione.
Iltrattamento dei dati oggetto della presente autorizzazione può essere effettuatounicamente dai soggetti individuati al paragrafo 1) che agiscono in qualità dititolari o di contitolari del trattamento nel ruolo, in particolare, dipromotore, di centro coordinatore o di centro partecipante, nonché da altrisoggetti specificatamente preposti al trattamento quali incaricati oresponsabili (ricercatori, monitor, commissioni di esperti, organizzazioni diricerca a contratto, laboratori di analisi, ecc.) (artt. 4, c. 1, lett. f), 28,29 e 30 del Codice).

I dati idonei a rivelare lo stato di salute degli interessatiutilizzati per la conduzione dello studio non possono essere diffusi (artt. 22,c. 8, e 26, c. 5, del Codice).

7. Conservazione dei dati e dei campioni.
Nelquadro del rispetto dell'obbligo previsto dall'art. 11, comma 1, lett. e) delCodice, i dati e i campioni biologici utilizzati per l'esecuzione della ricercasono conservati, in una forma che consente l'identificazione delle personeinteressate, per un periodo di tempo non superiore a quello necessario agliscopi per i quali essi sono stati raccolti o successivamente trattati.

A tal fine, è indicato nel progetto di ricerca il periodo diconservazione, successivo alla conclusione dello studio, al termine del quale ipredetti dati e campioni sono trasformati in forma anonima.

8. Custodia e sicurezza.
Fermorestando l'obbligo di adottare le misure minime di sicurezza previste dalCodice (artt. 33-35 e All. B) al Codice), sono impiegati dal/i titolare/i deltrattamento, ciascuno per la parte di propria competenza in relazione al ruoloricoperto nel trattamento dei dati e alle conseguenti responsabilità,specifiche misure e accorgimenti tecnici per incrementare il livello disicurezza dei dati trattati per l'esecuzione dello studio in conformità alleindicazioni contenute nelle "Linee guida per i trattamenti di datipersonali nell'ambito delle sperimentazioni cliniche di medicinali"adottate dal Garante con Provvedimento del 24 luglio 2008.

Ciò, sia nella fase di memorizzazione o archiviazione dei dati (e,eventualmente, di raccolta e conservazione dei campioni biologici) sia nellafase successiva di elaborazione delle medesime informazioni, nonché nellasuccessiva fase di trasmissione dei dati al promotore o ai soggetti esterni checollaborano con il primo per l'esecuzione dello studio. Sono adottati, inparticolare:

a. idonei accorgimenti per garantire la protezione dei dati dellostudio dai rischi di accesso abusivo ai dati, furto o smarrimento parziali ointegrali dei supporti di memorizzazione o dei sistemi di elaborazioneportatili o fissi (ad esempio, attraverso l'applicazione parziale o integraledi tecnologie crittografiche a file system o database, oppure tramitel'adozione di altre misure informatiche di protezione che rendanoinintelligibili i dati ai soggetti non legittimati) nelle operazioni diregistrazione e archiviazione dei dati effettuate mediante strumenti elettronici;

b. protocolli di comunicazione sicuri basati sull'utilizzo distandard crittografici nella trasmissione elettronica dei dati raccoltinell'ambito dello studio a un database centralizzato in cui sono memorizzati oarchiviati, nonché nella trasmissione in via telematica dei dati dello studioal promotore o ai soggetti esterni di cui si avvale per la conduzione dellostudio. Laddove detta trasmissione sia effettuata mediante supporto ottico(CD-ROM) è designato un incaricato della ricezione presso il promotore ed èutilizzato, per la condivisione della chiave di cifratura dei dati, un canaledi trasmissione differente da quello utilizzato per la trasmissione delcontenuto;

c. tecniche di etichettatura, nella conservazione e nellatrasmissione di campioni biologici, mediante codici identificativi, oppurealtre soluzioni che, considerato il numero di campioni utilizzati, li rendononon direttamente riconducibili agli interessati, permettendo di identificarequesti ultimi solo in caso di necessità;

d. con specifico riferimento alle operazioni di elaborazione deidati dello studio memorizzati su un database centralizzato, è necessarioadottare:

- idonei sistemi di autenticazione e di autorizzazione per gliincaricati in funzione dei ruoli e delle esigenze di accesso e trattamento,avendo cura di utilizzare credenziali di validità limitata alla durata dellostudio e di disattivarle al termine dello stesso;

- procedure per la verifica periodica della qualità e coerenzadelle credenziali di autenticazione e dei profili di autorizzazione assegnatiagli incaricati del trattamento;

- sistemi di audit log per il controllo degli accessi al databasee per il rilevamento di eventuali anomalie.

9. Trasferimento all'estero.
Ovesia essenziale per il risultato della ricerca trasferire dati idonei a rivelarelo stato di salute degli interessati inclusi nello studio in Paesi nonappartenenti all'Unione europea, in assenza del consenso espresso, in formascritta, degli interessati (art. 43, comma 1, lettera a), del Codice), iltrasferimento è autorizzato dal Garante nei limiti e alle condizioni di cuiall'art. 44 del Codice.

10. Richieste di autorizzazione.
Ititolari del trattamento che rientrano nell'ambito di applicazione dellapresente autorizzazione non sono tenuti a presentare una richiesta diautorizzazione a questa Autorità, qualora il trattamento che si intendeeffettuare sia conforme alle sue prescrizioni.

Le richieste di autorizzazione pervenute o che perverranno, anchesuccessivamente alla data di adozione del presente provvedimento, devonointendersi accolte nei termini di cui al provvedimento medesimo.

Il Garante non prenderà in considerazione richieste di autorizzazione,ai sensi dell'art. 110 del Codice (ultima parte), per trattamenti daeffettuarsi in difformità alle prescrizioni del presente provvedimento, salvoche, ai sensi dell'art. 41 del Codice, il loro accoglimento sia giustificato dacircostanze o da situazioni non considerate nella presente autorizzazione.

11. Efficacia temporale.
Lapresente autorizzazione ha efficacia a decorrere dal_____________fino al 31dicembre 2012.

La presente autorizzazione sarà pubblicata nellaGazzetta Ufficiale della Repubblica italiana.