Garante per la protezione
    dei dati personali


Prescrizioni e divieto del Garante [art. 154, 1 c) e d) del Codice]

PROVVEDIMENTO DEL 24LUGLIO 2008

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Giuseppe Fortunato, componente, e del dott. GiovanniButtarelli, segretario generale;

Visti gli elementi acquisiti a seguitodegli accertamenti effettuati presso Novartis Farma S.p.A. in ordine aitrattamenti dei dati effettuati per finalitą promozionali nei confronti dioperatori sanitari e per la sperimentazione dei medicinali;

Considerata la necessitą che sianorispettati alcuni accorgimenti e misure necessari e opportuni per conformarealla normativa vigente i trattamenti di dati delle persone coinvolte nellesperimentazioni cliniche, accorgimenti e misure che sono stati peraltroricostruiti unitariamente e con un provvedimento di carattere generale,destinato a tutti i titolari di tali trattamenti, recante "Linee guidaper i trattamenti di dati personali nell'ambito delle sperimentazioni clinichedi medicinali" adottatodall'Autoritą in data odierna (Deliberazione n. 52 del 24 luglio 2008);

Visto il Codice in materia di protezionedei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficioformulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000;

Relatore il dott. Giuseppe Chiaravalloti;

PREMESSO:

1. Accertamenti dell'Autoritą
IlGarante ha eseguito accertamenti presso Novartis Farma S.p.A. (di seguito,"Novartis") societą che opera in particolare nei settori dellaricerca, produzione e commercializzazione di medicinali controllata da NovartisPharma AG., a seguito di una specifica segnalazione concernente il trattamentodi dati personali nell'ambito dell'attivitą di informazione scientifica suifarmaci. Tali accertamenti, in attuazione del programma ispettivo deliberatonel gennaio del 2006, sono stati estesi ai trattamenti di dati personali a finidi sperimentazione clinica dei medicinali nell'ambito del complessoprocedimento in materia che ha portato anche all'adozione delle citate "Linee guida per i trattamenti di dati personali nell'ambito dellesperimentazioni cliniche di medicinali".

Le verifiche hanno, quindi, riguardato:

     il trattamento a finipromozionali di dati personali relativi a operatori sanitari, raccolti dadipendenti della societą addetti all'informazione scientifica del farmaco;

     gli studi clinici, conparticolare riguardo alla sperimentazione dei medicinali.

Per ciė che concerne la promozione diprodotti farmaceutici Ź emerso che la societą ha raccolto in modo illecito enon corretto, attraverso propri informatori scientifici, dati personalirelativi a pazienti e ad attitudini prescrittive di medici generici especialisti, per poterli profilare e per orientare nei loro confronti lapromozione dei farmaci.

In relazione alla sperimentazione clinicadei medicinali, gli accertamenti hanno evidenziato una non compiuta osservanzadella normativa in materia di protezione dei dati personali e della disciplinadi settore applicabile da parte della societą farmaceutica (v. art. 3, comma 1,lett. c) d.lg. 24 giugno 2003, n. 211; art. 34 d.lg. 6 novembre 2007, n. 200;d.m. 15 luglio 1997, all. 1/1A punto 1.16). Quest'ultima, ritenendo diacquisire da centri di sperimentazione informazioni medico/cliniche nonriconducibili all'identitą delle persone partecipanti agli studi, le hatrattate in mancanza di un'idonea informativa e di un consenso prestatovalidamente e senza rispettare disposizioni del Codice riguardanti il titolare,i responsabili e gli incaricati del trattamento.

A conclusione del complesso procedimentoil Garante, oltre a un divieto di trattamento, prescrive con il presenteprovvedimento a Novartis di adottare le misure necessarie per conformare alledisposizioni vigenti i trattamenti di dati personali effettuati nell'ambitodelle attivitą di informazione scientifica e di sperimentazione clinica dimedicinali.

2. Attivitą di promozione di prodottifarmaceutici e dati di medici
La promozione dei prodotti farmaceutici diNovartis Ź curata dal personale della societą addetto all'informazionemedico-scientifica tramite visite sistematiche a medici generici e specialistidurante le quali l'informatore raccoglie informazioni riguardanti l'interessatoe la sua attivitą; puė fornirgli inoltre campioni gratuiti di farmaci,sottoponendogli un modulo di richiesta da sottoscrivere.

Alcune delle informazioni raccolteattengono al numero degli assistiti/pazienti, nonché alle attitudini prescrittivedel medico, e sono frutto di valutazioni e stime soggettive dell'informatore.Tali dati sono utilizzati dall'informatore per inserire il medico in un profilodi gruppo pre-definito (c.d. cluster) in relazione al numero dei pazienti e al gradimento dimostrato per iprodotti della societą nel quadro delle scelte terapeutiche ("forteprescrittore", "medio prescrittore", "deboleprescrittore", "non prescrittore" o "non so").

Le informazioni raccolte presso i medici,comprese quelle risultanti dalla loro profilazione, sono registratedall'informatore, tramite un computer portatile, in una banca dati elettronica gestita da una societą esterna(Dendrite Italia s.r.l.) in esecuzione di un contratto di fornitura di servizistipulato con Novartis.
Le informazioni registrate nella banca dati sonoutilizzate da Novartis per organizzare e pianificare i programmi di visitedegli informatori, nonché per orientare e verificare l'efficacia dell'attivitądi promozione dei farmaci da essi svolta.

2.1. Informatori scientifici
L'attivitą di informazione scientifica posta inessere da Novartis comporta un trattamento di dati personali, anche valutativi,degli operatori sanitari finalizzato alla loro profilazione e al marketing dei prodotti della societą (art. 113 d.lg. 24 aprile2006, n. 219).

Fermi restando i rilievi evidenziati nelproseguo che formano oggetto di prescrizione, ciascun informatore puė trattarelecitamente queste informazioni se Ź stato designato previamente qualeincaricato del trattamento anche per quanto riguarda l'individuazionedell'ambito del trattamento consentito, e ha ricevuto le istruzioni alle qualiattenersi (art. 30 del Codice). Al riguardo l'Autoritą ha gią impartito aNovartis le prescrizioni necessarie ai sensi degli artt. 154, comma 1 e 169,comma 2, del Codice, nell'ambito di un distinto procedimento.

2.2. Informativa ai medici
La societą ha distribuito agli informatori un modellodi informativa sul trattamento dei dati da rendere oralmente ai medici il cuicontenuto Ź stato integrato, a seguito della segnalazione al Garante menzionatanelle premesse, indicando le effettive finalitą (di profilazione epromozionali) cui Ź collegata la raccolta, presso i medici, dei dati valutativiche li riguardano.

Tuttavia, l'informativa, sebbene ponga inspecifica evidenza tali attivitą, non consente ancora agli interessati divenire a conoscenza della successiva trasmissione dei dati a Dendrite Italias.r.l.. (di seguito "Dendrite"). Questa operazione configura,infatti, una "comunicazione" di dati a terzi dal momento che lasocietą destinataria va qualificata, allo stato degli atti, quale titolareautonomo o eventuale contitolare del trattamento (artt. 4, comma 1, lett. l) e28 del Codice): Dendrite sulla base di una clausola del contratto stipulato conNovartis, mantiene responsabilitą distinte rispetto a quest'ultima e possiedeun ampio grado di autonomia in ordine ai trattamenti di dati effettuati perfornire i servizi finalizzati alla gestione dell'informazione scientifica.

Novartis dovrą, pertanto, integrarel'informativa da fornire ai medici in maniera da renderli edotti dell'ambito dicomunicazione dei dati che li riguardano, entro il termine di cui indispositivo. L'Autoritą si riserva di valutare, con separato provvedimento, gliestremi per contestare a tale societą la violazione amministrativa per inidoneainformativa (art. 161 del Codice). Verrą inoltre instaurato un autonomoprocedimento nei riguardi di Dendrite per verificare i presupposti di liceitądel trattamento dei dati acquisiti tramite gli informatori scientifici, conparticolare riferimento alle modalitą della loro acquisizione, all'informativa,al consenso e alla comunicazione dei dati (artt. 11, 13, 23 e 24 del Codice).

2.3. Il consenso da parte deimedici
Novartis ha ritenutoche non fosse necessario acquisire il consenso dei medici, ipotizzandol'applicabilitą, anche sulla base di un parere di Farmindustria (notaAG/MAZZ/Bizz. del 20 novembre 1997), della previsione che permette diprescindere dal consenso dei soggetti interessati per i dati "relativiallo svolgimento di attivitą economiche" (art. 24, comma 1, lett. d) delCodice). Quest'ultima non Ź perė invocabile nel caso di specie, non potendoessere estesa arbitrariamente a ogni informazione personale a sfondo economicorelativa all'attivitą dei professionisti (Parere del Garante 16 febbraio 1999). Ciė, inparticolare, per quei profili dell'attivitą medica attinenti alla relazionepersonale e fiduciaria medico-paziente i quali, pur potendo avere un indirettoconnotato suscettibile di una valutazione anche a contenuto economico, non sonopropriamente diretti alla produzione di beni/servizi, dovendo ispirarsiprevalentemente a princďpi giuridici, valori etici e deontologici, nonché adacquisizioni scientifiche volti a tutelare la salute dei pazienti (art. 29 l.23 dicembre 1978, n. 833; art. 1, comma 1, d.m. 23 giugno 1981; artt. 15-bis e36 d.P.R. 28 luglio 2000, n. 270; art. 15, comma 6, d.P.R. 28 luglio 2000, n.271; artt. 5, 12 17 e 27 codice di deontologia medica; v. anche il "Manifestosui princďpi etici dell'informazione sui farmaci" proposto dal Ministro della salute e sottoscritto il30 aprile 2003 dalle principali associazioni di categoria di medici,farmacisti, informatori scientifici, aziende produttrici e distributrici dimedicinali).

Le attuali modalitą di raccolta dei datipersonali relativi alle attitudini prescrittive dei medici non consentono,pertanto, agli interessati di esercitare consapevolmente il dirittoall'autodeterminazione informativa e configurano una violazione dei princďpi diliceitą e correttezza (artt. 11, comma 1, lett. a), 13 e 23 del Codice). I datipersonali cosď raccolti, in quanto trattati in modo illecito e non corretto,sono inutilizzabili ai sensi dell'art. 11, comma 2, del Codice.
Taleprofilo deve pertanto formare oggetto di prescrizione a Novartis per ulterioritrattamenti di dati, ai sensi dell'art. 154, comma 1, lett. c), del Codice,nonché di un divieto del trattamento. In particolare, la societą potrą trattarei dati personali relativi alle attitudini prescrittive dei medici, per finalitądi profilazione e promozionali, solo sulla base di un'idonea informativa agliinteressati che evidenzi anche l'ambito di comunicazione dei dati, nonché di unvalido consenso da parte dei medesimi interessati (art. 23 del Codice).

2.4. Consegna di campioni gratuiti
I moduli di richiesta di campioni gratuiti vengonorecapitati a Bdp-Telematica e servizi s.r.l.. Tale societą, in esecuzione di uncontratto di servizi stipulato con Novartis, registra in una banca datielettronica i dati relativi al numero dei campioni consegnati e ai nominatividei medici destinatari per controllare il rispetto degli limiti quantitativi edegli altri obblighi normativi in materia di pubblicitą di medicinali pressooperatori sanitari (d.lg. 24 aprile 2006, n. 219).

Novartis ha elencato in alcune clausolecontrattuali i compiti affidati a detta societą e le istruzioni operativerispetto al trattamento dei dati, ritenendo di poterla designare qualeincaricata del trattamento. Si Ź cosď violato il Codice nella parte in cuiprevede che gli incaricati, preposti al trattamento di dati personali daltitolare o dal responsabile, possono essere soltanto persone fisiche e nonanche persone giuridiche (art. 30). Novartis potrą quindi continuare adavvalersi della collaborazione di Bdp-Telematica e servizi s.r.l. a condizioneche provveda, nei termini di cui in dispositivo, alla sua rituale designazionequale responsabile del trattamento in conformitą all'art. 29 del Codice. Restafermo che le persone fisiche preposte al trattamento dei dati devono inveceoperare in forza di una formale e idonea designazione quali, appunto,incaricati del trattamento.

3. Sperimentazione clinica dei medicinalie dati di pazienti
La societą promuove sperimentazioni cliniche dimedicinali a livello nazionale e internazionale (in quest'ultimo caso, qualeco-promotore dello studio unitamente alla casa madre Novartis Pharma AG). Talisperimentazioni vengono eseguite presso strutture ospedaliere o universitarie oistituti di ricerca pubblici o privati autorizzati (centri di sperimentazione)da medici sperimentatori, sulla base di protocolli di studio predisposti dallasocietą.

Prima di impartire alla societą undivieto e alcune prescrizioni, in relazione alle specifiche violazioni delladisciplina sulla protezione dei dati personali verificate dall'Ufficio aseguito degli accertamenti svolti, sono necessarie alcune ulteriori premessesulla natura dei dati trattati e sul ruolo della societą promotrice e deglialtri soggetti che risultano collaborare con la prima rispetto al trattamentodei medesimi dati, considerando anche i princďpi del Codice richiamati in piĚcircostanze da questa Autoritą e riassunti da ultimo nelle menzionate "Linee guida per i trattamenti di dati personali nell'ambito dellesperimentazioni cliniche di medicinali".

3.1 Natura dei dati
Nel corso degli accertamenti effettuati Ź statoriscontrato che Novartis ha adottato specifiche procedure interne in base allequali i medici sperimentatori, nell'ambito degli studi clinici promossi dallasocietą, registrano i dati medico/clinici e le altre informazioni che, inconformitą al protocollo, devono essere raccolti nel corso dello studio,utilizzando un codice numerico che consente di identificare univocamente isingoli partecipanti all'interno dello stesso studio proteggendo, al contempola loro identitą. A parere della societą, tali modalitą di codificazionerenderebbero anonimi i dati oggetto di trattamento nell'ambito dellasperimentazione.

Tuttavia, anche alla luce delleconsiderazioni e dei princďpi ora riassunti nelle "Linee guida" inmateria di sperimentazioni cliniche, diversamente da quanto ritenuto dallasocietą, le informazioni collegate al codice identificativo di ciascun pazientesono da ritenere dati personali idonei a rivelare lo stato salute e, in qualchecaso, a seconda della specifica patologia oggetto di studio, la vita sessualedel singolo interessato.

Nel caso di specie, la quantitą e latipologia di informazioni raccolte (iniziali del nome e cognome del paziente,data di nascita, etą, sesso, razza, etnia, peso, altezza, nonché informazionidi carattere medico/clinico e relative agli stili di vita), le modalitą ditrattamento previste, nonché le diverse categorie di soggetti che possonoavervi accesso (e, in particolare, gli operatori della societą che eseguono ilmonitoraggio dello studio i quali accedono presso il centro di sperimentazionealla documentazione sanitaria originale delle persone partecipanti e alla listache associa i loro dati nominativi ai rispettivi codici identificativi pergarantire che la sperimentazione venga effettuata in osservanza del protocollo)comportano la possibilitą di identificare gli interessati. Ciė, sia pureindirettamente, mediante il riferimento ad altre informazioni detenute dallamedesima societą o a qualsiasi altra informazione non necessariamente nelladisponibilitą di quest'ultima (cfr. al riguardo, piĚ ampiamente, il par. 3delle citate "Linee guida").

L'acquisizione di tali dati da parte diNovartis nell'ambito delle sperimentazioni cliniche e le successive attivitąsvolte su questi ultimi configurano, quindi, un trattamento di dati personalial quale si applicano le disposizioni del Codice sulle informazioni sensibili(art. 26), nonché le cautele poste a tutela dei diritti e della riservatezzadegli interessati dall'autorizzazione del Garante n. 2/2008 al trattamento deidati sulla salute e sulla vita sessuale (Provv. 19 giugno 2008, n. 33).

3.2. Titolaritą dei trattamentifinalizzati alla sperimentazione
Dagli accertamenti svolti Ź emerso che il rapporto tra Novartis e icentri di sperimentazione Ź basato su una convenzione stipulata primadell'avvio dello studio che ne definisce gli aspetti economici. La convenzioneprecisa che la societą, ricevendo dati ritenuti anonimi, svolge il ruolo di"collaboratore esterno" di un trattamento di cui viene consideratotitolare ciascun centro di sperimentazione. A prescindere dal fatto che aquesta affermazione non ha fatto seguito, come necessario, né l'elencazionescritta dei compiti affidati alla societą, né l'indicazione di istruzionioperative (art. 29 del Codice), tale configurazione contrasta con il ruoloeffettivamente svolto dai promotori di sperimentazioni cliniche, per ciė checoncerne l'individuazione delle finalitą e delle modalitą del trattamento, cheŹ stato riscontrato nel caso di specie dalle dichiarazioni rese e daglielementi acquisiti agli atti, oltreché messo da ultimo in evidenzadall'Autoritą nelle citate "Linee guida" (v. al riguardo il par. 5).

Novartis si configura, unitamente aicentri di sperimentazione, quale titolare del trattamento dei dati personalirelativi agli studi clinici (art. 28 del Codice), che potrą trattare solo nelrispetto delle disposizioni del Codice con particolare riferimento ai profilirelativi alla liceitą delle modalitą di trattamento, alla notificazioneall'Autoritą, alla designazione degli incaricati e dei responsabili (ovedesignati), all'informativa agli interessati, all'acquisizione del consenso,nonché alle modalitą di custodia e sicurezza dei dati (artt. 11, 13, 23, 26,29, 30, 31-35, 37 e 38 del Codice).

3.3. Altri soggetti che intervengononella sperimentazione
Gliaccertamenti svolti hanno evidenziato che Novartis ha stipulato un contrattoquadro con altre societą (Opis s.r.l. e Opis data s.r.l.) per fornire alcuniservizi relativi agli studi clinici concernenti, tra le altre, le attivitą digestione e monitoraggio dello studio, farmacovigilanza e analisi statistica deidati. In forza di specifiche clausole contrattuali, le societą che nonrisultano essere state designate quali responsabili del trattamento (art. 29del Codice), si impegnano a osservare le disposizioni in materia di protezionedei dati personali, assumendosi ogni responsabilitą per il loro mancato rispetto.

Come riaffermato anche nellemenzionate "Linee guida",la relazione fra i promotori di sperimentazioni cliniche da un lato, e,dall'altro, i soggetti esterni ai quali questi affidano alcune o tutte lemansioni riguardanti gli studi, possono essere utilmente inquadrate nell'ambitodi un rapporto fra "titolare" e "incaricati" (unicamentepersone fisiche) o, eventualmente, in base al grado di autonomia da osservarenel trattamento dei dati, "responsabili del trattamento" (personefisiche o giuridiche).

Qualora Novartis intenda continuare adavvalersi lecitamente dell'opera di Opis s.r.l. e di Opis data s.r.l., dovrąpertanto designare tali soggetti quali responsabili del trattamento, impartendoloro idonee istruzioni alle quali le stesse devono attenersi (art. 29 delCodice). Nella medesima ipotesi, la societą dovrą, comunque, integrarel'informativa fornita ai pazienti interessati indicando gli estremiidentificativi di almeno uno dei responsabili e delle modalitą per reperire, ancheon-line, l'elenco aggiornato diquesti soggetti (art. 13 del Codice). In mancanza di tale designazione, lasuccessiva comunicazione alla societą dei dati personali dei pazientipartecipanti alla sperimentazione sarebbe illecita in quanto priva del consensospecifico e informato degli interessati (artt. 11, comma 1, lett. a), 13, 23 e26 del Codice).

3.4. I monitor
Nel corso delle verifiche Ź emerso che per leattivitą di monitoraggio Novartis si avvale prevalentemente di personaleinterno all'azienda. Secondo quanto accertato tali soggetti, pur sussistendonei presupposti e la necessitą, non sono stati designati quali incaricati deltrattamento (art. 30 del Codice). Con riferimento al tale designazionel'Autoritą ha gią fornito le prescrizioni necessarie ai sensi degli artt. 154,comma 1, e 169, comma 2, del Codice nell'ambito di un separato procedimento.

La particolare delicatezza dei datitrattati nella sperimentazione clinica impone che siano puntualmente adottateal riguardo le ulteriori cautele richiamate dal Garante nelle citate"Linee guida" con riferimento ai soggetti, interni o esterni, checollaborano con i promotori per svolgere attivitą o parti di attivitą inerentiagli studi e, in particolare, l'attivitą di monitoraggio. Si fa, inparticolare, riferimento alla necessitą di sottoporre tali soggetti a regole dicondotta analoghe al segreto professionale e di predisporre interventiformativi specifici nei loro confronti in merito ai rischi e alleresponsabilitą derivanti dal trattamento dei dati, alle istruzioni da osservareper la loro custodia e sicurezza, alle regole di riservatezza e confidenzialitąpreviste dalle disposizioni normative applicabili, nonché alle precauzioni dautilizzare per tutelare l'identitą degli interessati (cfr. punto 6 delle "Linee guida").

3.5. L'informativa ai pazientipartecipanti alla sperimentazione
ť stato accertato che il modello standard predisposto da Novartisaffinché i centri di sperimentazione rendano l'informativa ai pazienti indica,in particolare, che tale promotore tratta soltanto i dati trasmessi, in formarigorosamente anonima, dal medico sperimentatore; solo in casi eccezionaliessenzialmente collegati alla tutela dell'incolumitą del paziente, nei qualiemerge la necessitą di trattare dati personali, il promotore assume,limitatamente ai dati acquisiti, la veste di contitolare del trattamento,unitamente al centro presso il quale si svolge la sperimentazione.

Alla luce di quanto evidenziato in ordineai soggetti di cui la societą si avvale per svolgere attivitą inerenti aglistudi clinici, e sulla base dei princďpi richiamati anche nelle menzionate"Linee guida", il modello di informativa risulta inidoneo (art. 13del Codice) e deve essere riformulato, nei termini di cui in dispositivo, inmaniera da fornire, tramite i centri di sperimentazione, indicazioni specifichecon riferimento:

a. alla natura dei dati trattatidalla societą e alla circostanza che tali dati sono trasmessi all'estero;

b. al ruolo effettivamente svoltodal promotore riguardo al trattamento dei dati e alle relative finalitą emodalitą;

c. ai soggetti o categorie di soggettidei quali il promotore si avvale per effettuare alcuni, o tutti i compitirelativi all'esecuzione dello studio e che possono venire a conoscenza dei datiin qualitą di incaricati o di eventuali responsabili.

A tal fine Novartis puė avvalersi anchedel modello di riferimento proposto dall'Autoritą nelle menzionate "Linee guida" (v.all. n. 1).

3.6. Consenso al trattamento dei datidella sperimentazione
Anche ilmodello per raccogliere la dichiarazioni di consenso al trattamento dei datipersonali risulta essere fornito ai centri di sperimentazione sulla base di unfac simile predisposto da Novartis.

Sottoscrivendo tale modello gliinteressati autorizzano il medico a far esaminare le cartelle cliniche relativeallo studio dal personale qualificato dell'autoritą sanitaria, dell'aziendafarmaceutica promotrice -o personale esterno dalla stessa delegato- e delcomitato etico. Per il resto, la formula utilizzata per la manifestazione delconsenso si limita a operare un mero riferimento a quanto indicatonell'informativa la quale, come sopra precisato, risulta inidonea ai sensidell'art. 13 del Codice.

Novartis puė continuare a trattarelecitamente i dati personali e sanitari delle persone partecipanti allasperimentazione a condizione che anche il modello per manifestare il consensovenga riformulato nei termini di cui in dispositivo, in maniera da consentireagli interessati di esprimere la loro volontą, in maniera specifica e distinta,riguardo agli ulteriori trattamenti dei dati che li riguardano effettuato dalpromotore e/o dai soggetti dei quali questi si avvale per svolgere le attivitąinerenti allo studio (artt. 23 e 26 del Codice).

Anche in questo caso, Novartis puėavvalersi della formula di riferimento per l'acquisizione del consenso propostadall'Autoritą nelle citate "Linee guida" unitamente al modellod'informativa (all. n. 1).

3.7. Ulteriori misure e accorgimentida prescrivere
Per quantoriguarda eventuali altri trattamenti leciti, oltre al divieto e alle specificheprescrizioni di cui al dispositivo, Novartis, come ogni altro titolare ditrattamenti di dati personali effettuati nell'ambito delle sperimentazionicliniche di medicinali, sebbene non risultino specifiche violazioni alriguardo, Ź tenuta, infine, a conformarsi al quadro unitario di misure eaccorgimenti necessari e opportuni ora riassunto dal Garante nelle citate"Linee guida" (in particolare, par. 4, 7, 8, 9, 11, 12 e 13).

In aggiunta agli accorgimenti e misureindicate in termini generali nelle "Linee guida", Novartis deve,altresď, conformare il trattamento dei dati personali dei partecipanti aglistudi clinici al divieto e alle prescrizioni impartiti con il presente provvedimento,provvedendo senza ritardo e dandone conferma all'Autoritą al piĚ tardi entro il31 dicembre 2008.

Il mancato rispetto di tali indicazionirende il trattamento dei dati, a seconda dei casi, illecito oppure noncorretto, ed espone:

     all'adozione di provvedimenti diblocco o di divieto del trattamento disposti dal Garante (art. 143, comma 1,lett. c), del Codice) e di analoghe decisioni adottate dall'autoritągiudiziaria civile e penale, oltre che all'eventuale inutilizzabilitą dei datipersonali trattati in violazione della relativa disciplina (art. 11, comma 2,del Codice);

     all'applicazione delle pertinentisanzioni amministrative o penali (artt. 161 s. del Codice).

TUTTO CIŮ PREMESSO, ILGARANTE:

     vieta ai sensi dell'art. 154,comma 1, lett. d) del Codice a Novartis Farma S.p.A. di effettuare ulterioritrattamenti di dati personali nell'ambito delle attivitą di informazionescientifica e di sperimentazione clinica di medicinali in violazione deiprincďpi di liceitą e correttezza del trattamento richiamati in motivazione(punti 2.1, 2.2, 2.3, 2.4, 3.3, 3.4, 3.5, 3.6 e 3.7);

     prescrive ai sensi dell'art. 154,comma 1, lett. c), del Codice a Novartis Farma S.p.A. di conformare, ove non viabbia gią provveduto nei termini di cui in motivazione, eventuali altritrattamenti leciti di dati, procedendo entro il 31 dicembre 2008, fermarestando la conformitą alle menzionate "Linee guida", all'attuazionedelle misure necessarie per rispettare l'obbligo di:

                       a) fornire un'idonea informativaai medici destinatari dell'attivitą di informazione scientifica (punto 2.2); e,tramite i centri di sperimentazione, alle persone partecipanti allasperimentazione clinica dei medicinali (punti 3.3 e 3.5), completa di tutti glielementi di cui all'art. 13 del Codice;

                       b) trattare i dati relativi aimedici destinatari dell'attivitą di informazione scientifica (punto 2.3) e allepersone partecipanti alla sperimentazione clinica dei medicinali (punto 3.6),sulla base di un consenso prestato validamente ai sensi dell'art. 23 delCodice;

                       c) designare quali responsabilidel trattamento ai sensi dell'art. 29 del Codice le persone giuridiche dellequali si avvale per effettuare le attivitą di gestione del data-base relativoai medici destinatari di campioni gratuiti (punto 2.4), nonché le attivitą di monitoraggioe le altre attivitą connesse all'esecuzione delle sperimentazioni cliniche(punto 3.3);

                       d) sottoporre gli addetti almonitoraggio a regole di condotta analoghe al segreto professionale epredisporre interventi formativi specifici nei loro confronti (punto 3.4);

                       e) dare conferma al Garante entroe non oltre il medesimo termine del 31 dicembre 2008, in ottemperanza allapresente statuizione adottata anche ai sensi e per gli effetti di cui agliartt. 157, 164 e 168 del Codice, che i trattamenti di dati relativi ai medicidestinatari dell'attivitą di informazione scientifica e alle personepartecipanti alle sperimentazioni cliniche di medicinali sono stati resiconformi alle prescrizioni del presente provvedimento, specificando anche leiniziative assunte in relazione ai trattamenti di dati gią effettuati in dataodierna;

     dispone che copia del presenteprovvedimento sia trasmessa al Ministero della salute e all'Agenzia italianadel farmaco per opportuna conoscenza.

Roma, 24 luglio 2008

Il presidente
Pizzetti

Il relatore
Chiaravalloti

Il segretario generale
Buttarelli