Garante per la protezione
    dei dati personali


Autorizzazione n. 9/2013

Autorizzazione generale al trattamentodei dati personali effettuato per scopi di ricerca scientifica

AUTORIZZAZIONE DEL 12 DICEMBRE2013

(Pubblicata sulla Gazzetta Ufficiale n.302 del 27-12-2013)

Registro dei provvedimenti
n. 572 del 12 dicembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

Nellariunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna BianchiClerici, della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

VISTOil decreto legislativo 30 giugno 2003, n. 196, Codice in materia di protezionedei dati personali (di seguito "Codice");

VISTOl'art. 99, comma 1, del Codice in base al quale il trattamento di datipersonali effettuato per scopi scientifici è considerato compatibile con idiversi scopi per i quali i dati sono stati in precedenza raccolti o trattati;

VISTOl'art. 107 del Codice ove è stabilito che, fermo restando quanto previstodall'art. 20 e fuori dei casi di particolari indagini statistiche o di ricercascientifica previste dalla legge, il consenso dell'interessato al trattamentodi dati sensibili, quando è richiesto, può essere prestato con modalitàsemplificate individuate dai codici di deontologia e buona condotta per itrattamenti di dati personali a scopi statistici o scientifici di cui all'art.106 e l'autorizzazione del Garante può essere rilasciata anche ai sensidell'art. 40;

VISTOl'art. 110, comma 1, del Codice che consente di trattare dati personali idoneia rivelare lo stato di salute per scopi di ricerca scientifica in campo medico,biomedico o epidemiologico, anche in assenza del consenso degli interessati,quando a causa di particolari ragioni non sia possibile informarli e ilprogramma di ricerca sia oggetto di motivato parere favorevole del competentecomitato etico a livello territoriale e sia autorizzato dal Garante, anche aisensi dell'art. 40 del Codice;

VISTAl'autorizzazione del Garante n. 2/2013 al trattamento dei dati idonei arivelare lo stato di salute e la vita sessuale  e, in particolare, ilpunto 1.2 che autorizza il trattamento di dati personali idonei a rivelare lostato di salute per scopi di ricerca scientifica finalizzata alla tutela dellasalute dell'interessato, di terzi o della collettività in campo medico,biomedico o epidemiologico, rinviando a quanto disposto dagli artt. 106, 107 e110 del Codice in ordine alla necessità di acquisire il consenso delle personeinteressate;

VISTEle disposizioni del codice di deontologia e buona condotta per i trattamenti didati personali per scopi statistici e scientifici (Provv. n. 2 del 16 giugno2004, in G.U. 14 agosto 2004, n. 190, Allegato A.4 al Codice e reperibile sulsito Internet dell'Autorità, doc. web n. 1556635) applicabili anche aitrattamenti di dati effettuati per scopi di ricerca medica, biomedica oepidemiologica non connessi con attività di tutela della salute svolte daesercenti professioni sanitarie od organismi sanitari, ovvero con attivitàcomparabili in termini di significativa ricaduta personalizzatasull'interessato (artt. 11 e 2, comma 2);

VISTOl'art. 2 del d.lg. 24 giugno 2003, n. 211 e successive modifiche e integrazioniche definisce «studi osservazionali» gli studi nei quali "i medicinalisono prescritti secondo le indicazioni dell'autorizzazione all'immissione incommercio. L'assegnazione del paziente a una determinata strategia terapeuticanon è decisa in anticipo da un protocollo di sperimentazione, ma rientra nellanormale pratica clinica e la decisione di prescrivere il medicinale è del tuttoindipendente da quella di includere il paziente nello studio. Ai pazienti nonsi applica nessuna procedura supplementare di diagnosi o monitoraggio";

CONSIDERATOche un elevato numero di trattamenti di dati idonei a rivelare lo stato disalute e, ove indispensabili per il raggiungimento delle finalità dellaricerca, di dati idonei a rivelare la vita sessuale e l'origine razziale edetnica, è effettuato da diversi titolari del trattamento per la conduzione distudi finalizzati alla ricerca scientifica in campo medico, biomedico oepidemiologico, non aventi significativa ricaduta personalizzatasull'interessato, che utilizzano dati raccolti in precedenza a fini di curadegli interessati o per l'esecuzione di precedenti progetti di ricerca, ovveroricavati da campioni biologici prelevati in precedenza per finalità di tuteladella salute o per l'esecuzione di precedenti progetti di ricerca;

CONSIDERATOche gli studi in questione non mirano soltanto a valutare la sicurezza el'efficacia dei farmaci e di dispositivi medici nella pratica clinica ma anchea verificarne l'appropriatezza prescrittiva o ad indagare le relazioni tra ifattori di rischio e la salute umana, oppure vertono su eventi sanitari di tipodiagnostico, terapeutico o preventivo, ovvero sull'utilizzazione di strutturesocio-sanitarie;

CONSIDERATOche, nell'ambito di tali studi, i dati oggetto di trattamento sono registratinella documentazione clinica (o nella documentazione inerente i precedentistudi in cui sono stati raccolti) conservata presso i centri di curapartecipanti in conformità alla legge, oppure sono ricavati da campionibiologici asportati e conservati negli archivi di anatomia patologica deimedesimi centri o prelevati nell'ambito di precedenti progetti di ricerca;

VISTIgli specifici provvedimenti di autorizzazione rilasciati dall'Autorità, aisensi degli artt. 110, comma 1 (ultima parte) e 41 del Codice, con i quali èstata autorizzata, anche in assenza del consenso degli interessati, laconduzione di studi, non aventi significativa ricaduta personalizzatasull'interessato, effettuati con dati raccolti in precedenza per finalità ditutela della salute degli interessati o ricavati da campioni biologiciprelevati in precedenza per le stesse finalità; ciò, in quanto, a causa dicomprovate particolari ragioni, è stata documentata l'impossibilità di fornireloro l'informativa sul trattamento dei dati e il relativo programma di ricercaha ricevuto un motivato parere favorevole del comitato etico territorialmentecompetente;

CONSIDERATOche i trattamenti dei dati in questione possono essere autorizzati dal Garanteanche d'ufficio con provvedimenti di carattere generale, relativi a determinatecategorie di titolari o di trattamenti (art. 40 del Codice);

CONSIDERATOche l'autorizzazione di carattere generale rilasciata, ai sensi dell'art. 40del Codice, il 13 dicembre 2012, in relazione ai trattamenti di dati idonei arivelare lo stato di salute a scopi di ricerca scientifica effettuati, anche inassenza del consenso degli interessati, per la conduzione di studi, non aventisignificativa ricaduta personalizzata sull'interessato, con dati raccolti inprecedenza per finalità di tutela della salute o ricavati da campioni biologiciprelevati in precedenza per la stessa finalità è risultata uno strumento idoneoper prescrivere misure uniformi a garanzia degli interessati, rendendo altresìsuperflua la richiesta di singoli provvedimenti di autorizzazione da parte dinumerosi titolari del trattamento e semplificando, in maniera significativa,gli adempimenti degli obblighi relativi ai trattamenti di dati per laconduzione di ricerche mediche, biomediche o epidemiologiche;

RITENUTOopportuno pertanto, alla luce dell'esperienza maturata, rilasciare una nuovaautorizzazione in sostituzione di quella in scadenza il 31 dicembre 2013,armonizzando le prescrizioni già impartite alla luce dell'esperienza maturata;

RITENUTOopportuno che anche tale nuova autorizzazione sia provvisoria e a tempodeterminato, ai sensi dell'art. 41, comma 5, del Codice e, in particolare,efficace per il periodo di dodici mesi;

RITENUTOaltresì opportuno, in conformità a quanto previsto dall'art. 110 del Codice(ultima parte), prendere in considerazione ai fini della presente autorizzazionei trattamenti per scopi di ricerca scientifica preordinati alla conduzione distudi che siano oggetto di motivato parere favorevole del comitato eticocompetente a livello territoriale, non essendo a tal fine sufficiente laformazione del silenzio/assenso a seguito della notifica dello studio alpredetto comitato;

CONSIDERATOche, in virtù dell'art. 11 del menzionato codice deontologico per i trattamentidi dati personali per scopi statistici e scientifici, il consenso non ènecessario quando, ai sensi dell'art. 110 del Codice, non è possibile informaregli interessati per «motivi etici», ovvero per «motivi metodologici», ovveroper «motivi di impossibilità organizzativa»;

CONSIDERATOche, nelle richieste di autorizzazione finora sottoposte all'esame dell'Autorità,l'impossibilità di informare gli interessati è risultata giustificata sullabase di «motivi etici» ovvero di «motivi di impossibilità organizzativa»;

RITENUTOopportuno quindi, alla luce dell'esperienza maturata, che i trattamenti di datiidonei a rivelare lo stato di salute per scopi di ricerca scientificapreordinati alla conduzione di studi in campo medico, biomedico oepidemiologico in cui l'impossibilità di informare gli interessati siagiustificata da «motivi metodologici» vengano sottoposti a specificiprovvedimenti di autorizzazione del Garante;

RITENUTOche ai trattamenti oggetto della presente autorizzazione devono trovareapplicazione anche le cautele contenute nell'autorizzazione generale delGarante n. 2/2013 e nelcodice deontologico sopra citati, in particolare per ciò che attiene ai criterida tenere in considerazione per non rendere identificabili gli interessatinelle fasi dello studio successive all'estrapolazione dei dati e alle regole dicondotta per gli incaricati e gli eventuali responsabili del trattamento;

RILEVATOche anche l'eventuale raccolta e la conservazione di campioni biologici, cosìcome il trattamento dei dati che ne derivano, devono essere effettuati inconformità ai principi fondamentali di protezione e di sicurezza dei dati (v.Raccomandazione del Consiglio d'Europa n. R (92) 3 relativa ai test genetici edallo screening genetico per scopi di natura sanitaria; Documento di lavoro suidati genetici del Gruppo Art. 29 della Dir. 95/46/CE, WP 91/2004);

CONSIDERATOche l'utilizzo di campioni biologici nell'ambito di ricerche scientifiche checomportano l'estrapolazione di dati genetici deve essere effettuato nelrispetto dei limiti e delle condizioni contenute nella specifica autorizzazionegenerale del Garante n. 8/2013 al trattamento dei dati genetici, rilasciata il12 dicembre 2013 ai sensi dell'art. 90 del Codice;

VISTAaltresì la Raccomandazione del Consiglio d'Europa n. R (2006) 4 che individuale condizioni e i limiti nel rispetto dei quali è consentito l'utilizzo dimateriale biologico per attività di ricerca, anche appartenente a personedecedute, prelevato per uno scopo diverso da quello della sua conservazione afini di ricerca, ivi compreso quello prelevato per l'esecuzione di unprecedente progetto di ricerca; considerato che tale Raccomandazione stabilisceche il materiale biologico prelevato per scopi diversi da quelli diconservazione a fini di ricerca può essere messo a disposizione per attività diricerca con il necessario consenso dell'interessato e che, a tal fine, dovrebbeessere fatto ogni ragionevole sforzo per contattare la persona interessata,mentre ove tale contatto non sia possibile, il materiale biologico può essereutilizzato per attività di ricerca soltanto se sono soddisfatti particolarirequisiti (artt. 10, 12, 21 e 22);

VISTOil Codice di deontologia medica del 16 dicembre 2006 nella parte in cui prevedel'obbligo del segreto professionale da parte del medico anche con riferimentoai pazienti deceduti (art. 10);

CONSIDERATOche la presente autorizzazione prende in considerazione quelle ipotesiresiduali, ammesse dal Codice (art. 110), in cui il necessario consenso degliinteressati per il trattamento di dati sensibili a scopi di ricerca scientificain campo medico, biomedico o epidemiologico non sia stato previamente raccoltodai titolari del trattamento, sussistano delle particolari e comprovatecircostanze dalle quali derivi l'impossibilità di informare gli interessati ela ricerca non possa essere realizzata mediante il trattamento di dati anonimio di dati riferiti a individui che sia possibile contattare al fine di renderel'informativa di cui all'art. 13 del Codice;

RILEVATOche, in ottemperanza ai principi, richiamati dall'art. 2, comma 2, del Codice,di semplificazione, armonizzazione ed efficacia delle modalità di esercizio deidiritti degli interessati e di adempimento degli obblighi da parte dei titolaridel trattamento, è auspicabile che l'informativa sul trattamento di dati idoneia rivelare lo stato di salute per scopi di ricerca scientifica sia fornitaall'interessato contestualmente a quella sul trattamento dei dati a fini dicura, specie da parte di titolari del trattamento che perseguono finalità diricerca scientifica unitamente ad attività di ricovero e cura;

RITENUTOche, nell'ambito di detta informativa resa all'interessato, occorre distinguerechiaramente, con riferimento all'indicazione degli elementi di cui all'art. 13del Codice, i trattamenti effettuati per scopi di ricerca scientifica da quellipreordinati alla tutela della salute, evidenziando in particolare lavolontarietà della partecipazione alla ricerca, in modo da consentireall'interessato, di manifestare consapevolmente un consenso libero e specificorispetto ai differenti scopi perseguiti (artt. 13, 23, 78, comma 5, e 105,comma 2, del Codice);

VISTOl'art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati inviolazione della disciplina rilevante in materia di trattamento di datipersonali non possono essere utilizzati;

VISTIgli artt. 31 e seguenti del Codice e il disciplinare tecnico di cuiall'Allegato B) al medesimo Codice in materia di misure minime di sicurezza;

VISTIgli artt. 20, 26, 40, 41, 98, 107 e 110 del Codice;

VISTIgli artt. 162, comma 2-bis, 167, comma 2, e 170 del Codice che sanzionano iltrattamento illecito dei dati personali e l'inosservanza dei provvedimenti delGarante;

VISTIgli atti d'ufficio;

VISTEle osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

Relatorela prof.ssa Licia Califano;

AUTORIZZA

iltrattamento dei dati idonei a rivelare lo stato di salute e, solo oveindispensabili per il raggiungimento delle finalità della ricerca, dei datiidonei a rivelare la vita sessuale e l'origine razziale ed etnica, anche inassenza del consenso degli interessati, per scopi di ricerca scientifica incampo medico, biomedico o epidemiologico nel rispetto dei limiti e dellecondizioni di seguito indicate.

1. Ambito di applicazione.

Lapresente autorizzazione è rilasciata:

a) alleuniversità, agli altri enti o istituti di ricerca e società scientifiche, nonchéai ricercatori che operano nell'ambito di dette università, enti, istituti diricerca e ai soci di dette società scientifiche;

b) agliesercenti le professioni sanitarie e agli organismi sanitari nei limiti di cuiall'art. 2, comma 2, del codice di deontologia e buona condotta per itrattamenti di dati personali per scopi statistici e scientifici (Allegato A.4al Codice).

Iltrattamento dei dati oggetto della presente autorizzazione può essere altresìeffettuato da persone fisiche o giuridiche, enti, associazioni e organismiprivati, nonché da soggetti specificatamente preposti al trattamento qualiincaricati o responsabili (ricercatori, monitor, commissioni di esperti,organizzazioni di ricerca a contratto, laboratori di analisi, ecc.) (artt. 4,comma 1, lett. f), 28, 29 e 30 del Codice).

2. Finalità del trattamento: ricerca scientifica incampo medico, biomedico o epidemiologico.

1.La presente autorizzazione è rilasciata quando:

€ iltrattamento è necessario per la conduzione di studi, non aventi significativaricaduta personalizzata sull'interessato, effettuati con dati raccolti inprecedenza a fini di cura della salute o per l'esecuzione di precedentiprogetti di ricerca ovvero ricavati da campioni biologici prelevati inprecedenza per finalità di tutela della salute o per l'esecuzione di precedentiprogetti di ricerca e

€ laricerca è effettuata sulla base di un progetto, oggetto di motivato parerefavorevole del competente comitato etico a livello territoriale, secondo lemodalità di cui all'art. 3 del codice di deontologia e buona condotta per itrattamenti di dati personali per scopi statistici e scientifici (Allegato A.4al Codice).

Glistudi oggetto della presente autorizzazione possono riguardare anche lerelazioni tra i fattori di rischio e la salute umana, o mirano a valutare lasicurezza e l'efficacia di farmaci o di dispositivi medici nella praticaclinica, o a verificare l'appropriatezza prescrittiva, oppure vertono su eventisanitari di tipo diagnostico, terapeutico o preventivo, ovverosull'utilizzazione di strutture socio-sanitarie.

2.La presente autorizzazione non riguarda gli scopi della ricerca che possonoessere realizzati, nel caso concreto, mediante:

€ iltrattamento di dati anonimi;

€ iltrattamento di dati riferiti ad interessati che sia possibile contattare alfine di rendere l'informativa e acquisirne il consenso.

3. Categorie di dati oggetto di trattamento.

Primadi iniziare o proseguire il trattamento i sistemi informativi e i programmiinformatici sono configurati riducendo al minimo l'utilizzazione di datipersonali e di dati identificativi, in modo da escluderne il trattamento quandole finalità perseguite nei singoli casi possono essere realizzate mediante,rispettivamente, dati anonimi od opportune modalità che permettano diidentificare l'interessato solo in caso di necessità, in conformità all'art. 3del Codice.

Iltrattamento può riguardare unicamente i dati personali strettamente pertinentiai sopra indicati scopi, ivi compresi quelli ricavati da campioni biologici,salvo che questi non costituiscano «dati genetici» ai sensi dell'autorizzazionen. 8/2013rilasciata dal Garante il 12 dicembre 2013 in virtù dell'art. 90 del Codice .

Iltrattamento di dati genetici resta infatti autorizzato nei limiti e allecondizioni individuati nella predetta autorizzazione.

4. Impossibilità di informare gli interessati.

L'autorizzazioneriguarda il trattamento dei dati degli interessati da includere nella ricercache non è possibile contattare al fine di fornire l'informativa - a causa dellasussistenza di una delle seguenti ragioni, considerate del tutto particolari oeccezionali, documentate nel progetto di ricerca:

1.Motivi etici riconducibili alla circostanza che l'interessato ignora la propriacondizione. Rientrano in questa categoria le ricerche per le qualil'informativa sul trattamento dei dati da rendere agli interessaticomporterebbe la rivelazione di notizie concernenti la conduzione dello studiola cui conoscenza potrebbe arrecare un danno materiale o psicologico agliinteressati stessi (possono rientrare in questa ipotesi, ad esempio, gli studiepidemiologici sulla distribuzione di un fattore che predica o possa predire losviluppo di uno stato morboso per il quale non esista un trattamento).

2.Motivi di impossibilità organizzativa riconducibili alla circostanza che lamancata considerazione dei dati riferiti al numero stimato di interessati chenon è possibile contattare per informarli, rispetto al numero complessivo deisoggetti che si intende coinvolgere nella ricerca, produrrebbe conseguenzesignificative per lo studio in termini di alterazione dei relativi risultati;ciò avuto riguardo, in particolare, ai criteri di inclusione previsti dallostudio, alle modalità di arruolamento, alla numerosità statistica del campioneprescelto, nonché al periodo di tempo trascorso dal momento in cui i datiriferiti agli interessati sono stati originariamente raccolti (ad esempio, neicasi in cui lo studio riguarda interessati con patologie ad elevata incidenzadi mortalità o in fase terminale della malattia o in età avanzata e in gravicondizioni di salute).

Conriferimento a tali motivi di impossibilità organizzativa, è autorizzato iltrattamento dei dati di coloro i quali, all'esito di ogni ragionevole sforzocompiuto per contattarli, anche attraverso la verifica dello stato in vita, laconsultazione dei dati riportati nella documentazione clinica, l'impiego deirecapiti telefonici eventualmente forniti, nonché l'acquisizione dei dati dicontatto presso l'anagrafe degli assistiti o della popolazione residente,risultino essere al momento dell'arruolamento nello studio:

-deceduti o

- noncontattabili.

Restafermo l'obbligo di raccogliere il consenso al trattamento dei dati degliinteressati inclusi nella ricerca in tutti i casi in cui, nel corso dello studio,sia possibile rendere loro un'adeguata informativa e, in particolare, laddovequesti si rivolgano al centro di cura, anche per visite di controllo.

5. Modalità di trattamento.

Iltrattamento dei dati oggetto della presente autorizzazione è effettuato nelrispetto delle disposizioni del codice di deontologia e buona condotta per itrattamenti di dati personali per scopi statistici e scientifici (Allegato A.4al Codice) e unicamente con operazioni strettamente indispensabili allaconduzione dello studio.

Ovela ricerca non possa raggiungere i suoi scopi senza l'identificazione, anchetemporanea, degli interessati, nel trattamento successivo alla raccoltaretrospettiva dei dati, sono adottate tecniche di cifratura o utilizzati codiciidentificativi oppure altre soluzioni che, considerato il numero dei datitrattati, li rendono non direttamente riconducibili agli interessati,permettendo di identificare questi ultimi solo in caso di necessità. In questicasi, i codici utilizzati non sono desumibili dai dati personali identificatividegli interessati, salvo che ciò risulti impossibile in ragione delleparticolari caratteristiche del trattamento o richieda un impiego di mezzimanifestamente sproporzionato e sia motivato, altresì, per iscritto, nelprogetto di ricerca.

L'abbinamentoal materiale di ricerca dei dati identificativi dell'interessato, sempre chesia temporaneo ed essenziale per il risultato della ricerca, è motivato,inoltre, per iscritto.

6.Comunicazione e diffusione.

Isoggetti individuati al paragrafo 1) che agiscono in qualità di titolari deltrattamento, anche unitamente ad altri titolari, possono comunicare tra loro idati personali oggetto della presente autorizzazione nella misura in cuirivestano il ruolo di promotore, di centro coordinatore o di centropartecipante e l'operazione di comunicazione sia indispensabile per laconduzione dello studio.

Idati idonei a rivelare lo stato di salute degli interessati, nonché quellirelativi alla vita sessuale e all'origine razziale ed etnica utilizzati per laconduzione dello studio non possono essere diffusi. I risultati delle ricerchepossono essere diffusi in forma aggregata, ovvero secondo modalità che nonrendano identificabili gli interessati neppure tramite dati identificativiindiretti, anche nell'ambito di pubblicazioni.

7. Conservazione dei dati e dei campioni.

Nelquadro del rispetto dell'obbligo previsto dall'art. 11, comma 1, lett. e) delCodice, i dati e i campioni biologici utilizzati per l'esecuzione della ricercasono conservati mediante tecniche di cifratura o l'utilizzazione di codiciidentificativi oppure di altre soluzioni che, considerato il numero dei dati edei campioni conservati, non li rendono direttamente riconducibili agliinteressati, per un periodo di tempo non superiore a quello necessario agliscopi per i quali essi sono stati raccolti o successivamente trattati.

Atal fine, è indicato nel progetto di ricerca il periodo di conservazione,successivo alla conclusione dello studio, al termine del quale i predetti datie campioni sono trasformati in forma anonima.

8. Custodia e sicurezza.

Fermorestando l'obbligo di adottare le misure minime di sicurezza previste dalCodice (artt. 33-35 e All. B) al Codice), sono impiegati dal/i titolare/i deltrattamento, ciascuno per la parte di propria competenza in relazione al ruoloricoperto nel trattamento dei dati e alle conseguenti responsabilità,specifiche misure e accorgimenti tecnici per incrementare il livello disicurezza dei dati trattati per l'esecuzione dello studio in conformità alleindicazioni contenute nelle "Linee guida per i trattamenti di datipersonali nell'ambito delle sperimentazioni cliniche di medicinali"adottate dal Garante con Provvedimento del 24 luglio 2008.

Ciò,sia nella fase di memorizzazione o archiviazione dei dati (e, eventualmente, diraccolta e conservazione dei campioni biologici) sia nella fase successiva dielaborazione delle medesime informazioni, nonché nella successiva fase ditrasmissione dei dati al promotore o ai soggetti esterni che collaborano con ilprimo per l'esecuzione dello studio. Sono adottati, in particolare:

a.idonei accorgimenti per garantire la protezione dei dati dello studio dairischi di accesso abusivo ai dati, furto o smarrimento parziali o integrali deisupporti di memorizzazione o dei sistemi di elaborazione portatili o fissi (adesempio, attraverso l'applicazione parziale o integrale di tecnologiecrittografiche a file system o database, oppure tramite l'adozione di altremisure informatiche di protezione che rendano inintelligibili i dati aisoggetti non legittimati) nelle operazioni di registrazione e archiviazione deidati effettuate mediante strumenti elettronici;

b.protocolli di comunicazione sicuri basati sull'utilizzo di standardcrittografici nella trasmissione elettronica dei dati raccolti nell'ambitodello studio a un database centralizzato in cui sono memorizzati o archiviati,nonché nella trasmissione in via telematica dei dati dello studio al promotoreo ai soggetti esterni di cui lo stesso promotore si avvale per la conduzionedello studio. Laddove detta trasmissione sia effettuata mediante supportoottico (CD-ROM) è designato un incaricato della ricezione presso il promotoreed è utilizzato, per la condivisione della chiave di cifratura dei dati, uncanale di trasmissione differente da quello utilizzato per la trasmissione delcontenuto;

c.tecniche di etichettatura, nella conservazione e nella trasmissione di campionibiologici, mediante codici identificativi, oppure altre soluzioni che,considerato il numero di campioni utilizzati, li rendono non direttamentericonducibili agli interessati, permettendo di identificare questi ultimi soloin caso di necessità;

d. conspecifico riferimento alle operazioni di elaborazione dei dati dello studiomemorizzati su un database centralizzato, è necessario adottare:

- idoneisistemi di autenticazione e di autorizzazione per gli incaricati in funzionedei ruoli e delle esigenze di accesso e trattamento, avendo cura di utilizzarecredenziali di validità limitata alla durata dello studio e di disattivarle altermine dello stesso;

-procedure per la verifica periodica della qualità e coerenza delle credenzialidi autenticazione e dei profili di autorizzazione assegnati agli incaricati deltrattamento;

-sistemi di audit log per il controllo degli accessi al database e per ilrilevamento di eventuali anomalie.

9. Trasferimento all'estero.

Ovesia essenziale per il risultato della ricerca trasferire dati idonei a rivelarelo stato di salute, nonché quelli relativi alla vita sessuale e all'originerazziale ed etnica degli interessati inclusi nello studio in Paesi nonappartenenti all'Unione europea, in assenza del consenso espresso, in forma scritta,degli interessati (art. 43, comma 1, lett. a), del Codice), il trasferimento èautorizzato dal Garante in presenza degli ulteriori presupposti di cui all'art.43 del Codice, o in conformità agli artt. 44 e 45 del Codice.

10. Richieste di autorizzazione.

Ititolari del trattamento che rientrano nell'ambito di applicazione dellapresente autorizzazione non sono tenuti a presentare una richiesta diautorizzazione a questa Autorità, qualora il trattamento che si intendeeffettuare sia conforme alle sue prescrizioni.

Lerichieste di autorizzazione pervenute o che perverranno, anche successivamentealla data di adozione del presente provvedimento, devono intendersi accolte neitermini di cui al provvedimento medesimo.

IlGarante non prenderà in considerazione richieste di autorizzazione, ai sensidell'art. 110 del Codice (ultima parte), per trattamenti da effettuarsi indifformità alle prescrizioni del presente provvedimento, salvo che, ai sensidell'art. 41 del Codice, il loro accoglimento sia giustificato da circostanze oda situazioni non considerate nella presente autorizzazione.

11. Efficacia temporale.

Lapresente autorizzazione ha efficacia a decorrere dal 1 gennaio 2014 fino al 31dicembre 2014.

Lapresente autorizzazione sarà pubblicata nella Gazzetta Ufficiale dellaRepubblica italiana.

Roma, 12 dicembre 2013

Il Presidente
Soro

Il relatore
Califano

Il segretario generale
Busia