Garante per la protezione
    dei dati personali

Prescrizioni e divieto del Garante [art. 154, 1 c) e d) del Codice]

PROVVEDIMENTO DEL 24 LUGLIO 2008

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Giuseppe Fortunato, componente, e del dott. Giovanni Buttarelli, segretario generale;

Visti gli elementi acquisiti a seguito degli accertamenti effettuati presso Novartis Farma S.p.A. in ordine ai trattamenti dei dati effettuati per finalit promozionali nei confronti di operatori sanitari e per la sperimentazione dei medicinali;

Considerata la necessit che siano rispettati alcuni accorgimenti e misure necessari e opportuni per conformare alla normativa vigente i trattamenti di dati delle persone coinvolte nelle sperimentazioni cliniche, accorgimenti e misure che sono stati peraltro ricostruiti unitariamente e con un provvedimento di carattere generale, destinato a tutti i titolari di tali trattamenti, recante "Linee guida per i trattamenti di dati personali nell'ambito delle sperimentazioni cliniche di medicinali" adottato dall'Autorit in data odierna (Deliberazione n. 52 del 24 luglio 2008);

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Giuseppe Chiaravalloti;

PREMESSO:

1. Accertamenti dell'Autorit
Il Garante ha eseguito accertamenti presso Novartis Farma S.p.A. (di seguito, "Novartis") societ che opera in particolare nei settori della ricerca, produzione e commercializzazione di medicinali controllata da Novartis Pharma AG., a seguito di una specifica segnalazione concernente il trattamento di dati personali nell'ambito dell'attivit di informazione scientifica sui farmaci. Tali accertamenti, in attuazione del programma ispettivo deliberato nel gennaio del 2006, sono stati estesi ai trattamenti di dati personali a fini di sperimentazione clinica dei medicinali nell'ambito del complesso procedimento in materia che ha portato anche all'adozione delle citate "Linee guida per i trattamenti di dati personali nell'ambito delle sperimentazioni cliniche di medicinali".

Le verifiche hanno, quindi, riguardato:

      il trattamento a fini promozionali di dati personali relativi a operatori sanitari, raccolti da dipendenti della societ addetti all'informazione scientifica del farmaco;

      gli studi clinici, con particolare riguardo alla sperimentazione dei medicinali.

Per ci che concerne la promozione di prodotti farmaceutici emerso che la societ ha raccolto in modo illecito e non corretto, attraverso propri informatori scientifici, dati personali relativi a pazienti e ad attitudini prescrittive di medici generici e specialisti, per poterli profilare e per orientare nei loro confronti la promozione dei farmaci.

In relazione alla sperimentazione clinica dei medicinali, gli accertamenti hanno evidenziato una non compiuta osservanza della normativa in materia di protezione dei dati personali e della disciplina di settore applicabile da parte della societ farmaceutica (v. art. 3, comma 1, lett. c) d.lg. 24 giugno 2003, n. 211; art. 34 d.lg. 6 novembre 2007, n. 200; d.m. 15 luglio 1997, all. 1/1A punto 1.16). Quest'ultima, ritenendo di acquisire da centri di sperimentazione informazioni medico/cliniche non riconducibili all'identit delle persone partecipanti agli studi, le ha trattate in mancanza di un'idonea informativa e di un consenso prestato validamente e senza rispettare disposizioni del Codice riguardanti il titolare, i responsabili e gli incaricati del trattamento.

A conclusione del complesso procedimento il Garante, oltre a un divieto di trattamento, prescrive con il presente provvedimento a Novartis di adottare le misure necessarie per conformare alle disposizioni vigenti i trattamenti di dati personali effettuati nell'ambito delle attivit di informazione scientifica e di sperimentazione clinica di medicinali.

2. Attivit di promozione di prodotti farmaceutici e dati di medici
La promozione dei prodotti farmaceutici di Novartis curata dal personale della societ addetto all'informazione medico-scientifica tramite visite sistematiche a medici generici e specialisti durante le quali l'informatore raccoglie informazioni riguardanti l'interessato e la sua attivit; pu fornirgli inoltre campioni gratuiti di farmaci, sottoponendogli un modulo di richiesta da sottoscrivere.

Alcune delle informazioni raccolte attengono al numero degli assistiti/pazienti, nonch alle attitudini prescrittive del medico, e sono frutto di valutazioni e stime soggettive dell'informatore. Tali dati sono utilizzati dall'informatore per inserire il medico in un profilo di gruppo pre-definito (c.d. cluster) in relazione al numero dei pazienti e al gradimento dimostrato per i prodotti della societ nel quadro delle scelte terapeutiche ("forte prescrittore", "medio prescrittore", "debole prescrittore", "non prescrittore" o "non so").

Le informazioni raccolte presso i medici, comprese quelle risultanti dalla loro profilazione, sono registrate dall'informatore, tramite un computer portatile, in una banca dati elettronica gestita da una societ esterna (Dendrite Italia s.r.l.) in esecuzione di un contratto di fornitura di servizi stipulato con Novartis.
Le informazioni registrate nella banca dati sono utilizzate da Novartis per organizzare e pianificare i programmi di visite degli informatori, nonch per orientare e verificare l'efficacia dell'attivit di promozione dei farmaci da essi svolta.

2.1. Informatori scientifici
L'attivit di informazione scientifica posta in essere da Novartis comporta un trattamento di dati personali, anche valutativi, degli operatori sanitari finalizzato alla loro profilazione e al marketing dei prodotti della societ (art. 113 d.lg. 24 aprile 2006, n. 219).

Fermi restando i rilievi evidenziati nel proseguo che formano oggetto di prescrizione, ciascun informatore pu trattare lecitamente queste informazioni se stato designato previamente quale incaricato del trattamento anche per quanto riguarda l'individuazione dell'ambito del trattamento consentito, e ha ricevuto le istruzioni alle quali attenersi (art. 30 del Codice). Al riguardo l'Autorit ha gi impartito a Novartis le prescrizioni necessarie ai sensi degli artt. 154, comma 1 e 169, comma 2, del Codice, nell'ambito di un distinto procedimento.

2.2. Informativa ai medici
La societ ha distribuito agli informatori un modello di informativa sul trattamento dei dati da rendere oralmente ai medici il cui contenuto stato integrato, a seguito della segnalazione al Garante menzionata nelle premesse, indicando le effettive finalit (di profilazione e promozionali) cui collegata la raccolta, presso i medici, dei dati valutativi che li riguardano.

Tuttavia, l'informativa, sebbene ponga in specifica evidenza tali attivit, non consente ancora agli interessati di venire a conoscenza della successiva trasmissione dei dati a Dendrite Italia s.r.l.. (di seguito "Dendrite"). Questa operazione configura, infatti, una "comunicazione" di dati a terzi dal momento che la societ destinataria va qualificata, allo stato degli atti, quale titolare autonomo o eventuale contitolare del trattamento (artt. 4, comma 1, lett. l) e 28 del Codice): Dendrite sulla base di una clausola del contratto stipulato con Novartis, mantiene responsabilit distinte rispetto a quest'ultima e possiede un ampio grado di autonomia in ordine ai trattamenti di dati effettuati per fornire i servizi finalizzati alla gestione dell'informazione scientifica.

Novartis dovr, pertanto, integrare l'informativa da fornire ai medici in maniera da renderli edotti dell'ambito di comunicazione dei dati che li riguardano, entro il termine di cui in dispositivo. L'Autorit si riserva di valutare, con separato provvedimento, gli estremi per contestare a tale societ la violazione amministrativa per inidonea informativa (art. 161 del Codice). Verr inoltre instaurato un autonomo procedimento nei riguardi di Dendrite per verificare i presupposti di liceit del trattamento dei dati acquisiti tramite gli informatori scientifici, con particolare riferimento alle modalit della loro acquisizione, all'informativa, al consenso e alla comunicazione dei dati (artt. 11, 13, 23 e 24 del Codice).

2.3. Il consenso da parte dei medici
Novartis ha ritenuto che non fosse necessario acquisire il consenso dei medici, ipotizzando l'applicabilit, anche sulla base di un parere di Farmindustria (nota AG/MAZZ/Bizz. del 20 novembre 1997), della previsione che permette di prescindere dal consenso dei soggetti interessati per i dati "relativi allo svolgimento di attivit economiche" (art. 24, comma 1, lett. d) del Codice). Quest'ultima non per invocabile nel caso di specie, non potendo essere estesa arbitrariamente a ogni informazione personale a sfondo economico relativa all'attivit dei professionisti (Parere del Garante 16 febbraio 1999). Ci, in particolare, per quei profili dell'attivit medica attinenti alla relazione personale e fiduciaria medico-paziente i quali, pur potendo avere un indiretto connotato suscettibile di una valutazione anche a contenuto economico, non sono propriamente diretti alla produzione di beni/servizi, dovendo ispirarsi prevalentemente a princpi giuridici, valori etici e deontologici, nonch ad acquisizioni scientifiche volti a tutelare la salute dei pazienti (art. 29 l. 23 dicembre 1978, n. 833; art. 1, comma 1, d.m. 23 giugno 1981; artt. 15-bis e 36 d.P.R. 28 luglio 2000, n. 270; art. 15, comma 6, d.P.R. 28 luglio 2000, n. 271; artt. 5, 12 17 e 27 codice di deontologia medica; v. anche il "Manifesto sui princpi etici dell'informazione sui farmaci" proposto dal Ministro della salute e sottoscritto il 30 aprile 2003 dalle principali associazioni di categoria di medici, farmacisti, informatori scientifici, aziende produttrici e distributrici di medicinali).

Le attuali modalit di raccolta dei dati personali relativi alle attitudini prescrittive dei medici non consentono, pertanto, agli interessati di esercitare consapevolmente il diritto all'autodeterminazione informativa e configurano una violazione dei princpi di liceit e correttezza (artt. 11, comma 1, lett. a), 13 e 23 del Codice). I dati personali cos raccolti, in quanto trattati in modo illecito e non corretto, sono inutilizzabili ai sensi dell'art. 11, comma 2, del Codice.
Tale profilo deve pertanto formare oggetto di prescrizione a Novartis per ulteriori trattamenti di dati, ai sensi dell'art. 154, comma 1, lett. c), del Codice, nonch di un divieto del trattamento. In particolare, la societ potr trattare i dati personali relativi alle attitudini prescrittive dei medici, per finalit di profilazione e promozionali, solo sulla base di un'idonea informativa agli interessati che evidenzi anche l'ambito di comunicazione dei dati, nonch di un valido consenso da parte dei medesimi interessati (art. 23 del Codice).

2.4. Consegna di campioni gratuiti
I moduli di richiesta di campioni gratuiti vengono recapitati a Bdp-Telematica e servizi s.r.l.. Tale societ, in esecuzione di un contratto di servizi stipulato con Novartis, registra in una banca dati elettronica i dati relativi al numero dei campioni consegnati e ai nominativi dei medici destinatari per controllare il rispetto degli limiti quantitativi e degli altri obblighi normativi in materia di pubblicit di medicinali presso operatori sanitari (d.lg. 24 aprile 2006, n. 219).

Novartis ha elencato in alcune clausole contrattuali i compiti affidati a detta societ e le istruzioni operative rispetto al trattamento dei dati, ritenendo di poterla designare quale incaricata del trattamento. Si cos violato il Codice nella parte in cui prevede che gli incaricati, preposti al trattamento di dati personali dal titolare o dal responsabile, possono essere soltanto persone fisiche e non anche persone giuridiche (art. 30). Novartis potr quindi continuare ad avvalersi della collaborazione di Bdp-Telematica e servizi s.r.l. a condizione che provveda, nei termini di cui in dispositivo, alla sua rituale designazione quale responsabile del trattamento in conformit all'art. 29 del Codice. Resta fermo che le persone fisiche preposte al trattamento dei dati devono invece operare in forza di una formale e idonea designazione quali, appunto, incaricati del trattamento.

3. Sperimentazione clinica dei medicinali e dati di pazienti
La societ promuove sperimentazioni cliniche di medicinali a livello nazionale e internazionale (in quest'ultimo caso, quale co-promotore dello studio unitamente alla casa madre Novartis Pharma AG). Tali sperimentazioni vengono eseguite presso strutture ospedaliere o universitarie o istituti di ricerca pubblici o privati autorizzati (centri di sperimentazione) da medici sperimentatori, sulla base di protocolli di studio predisposti dalla societ.

Prima di impartire alla societ un divieto e alcune prescrizioni, in relazione alle specifiche violazioni della disciplina sulla protezione dei dati personali verificate dall'Ufficio a seguito degli accertamenti svolti, sono necessarie alcune ulteriori premesse sulla natura dei dati trattati e sul ruolo della societ promotrice e degli altri soggetti che risultano collaborare con la prima rispetto al trattamento dei medesimi dati, considerando anche i princpi del Codice richiamati in pi circostanze da questa Autorit e riassunti da ultimo nelle menzionate "Linee guida per i trattamenti di dati personali nell'ambito delle sperimentazioni cliniche di medicinali".

3.1 Natura dei dati
Nel corso degli accertamenti effettuati stato riscontrato che Novartis ha adottato specifiche procedure interne in base alle quali i medici sperimentatori, nell'ambito degli studi clinici promossi dalla societ, registrano i dati medico/clinici e le altre informazioni che, in conformit al protocollo, devono essere raccolti nel corso dello studio, utilizzando un codice numerico che consente di identificare univocamente i singoli partecipanti all'interno dello stesso studio proteggendo, al contempo la loro identit. A parere della societ, tali modalit di codificazione renderebbero anonimi i dati oggetto di trattamento nell'ambito della sperimentazione.

Tuttavia, anche alla luce delle considerazioni e dei princpi ora riassunti nelle "Linee guida" in materia di sperimentazioni cliniche, diversamente da quanto ritenuto dalla societ, le informazioni collegate al codice identificativo di ciascun paziente sono da ritenere dati personali idonei a rivelare lo stato salute e, in qualche caso, a seconda della specifica patologia oggetto di studio, la vita sessuale del singolo interessato.

Nel caso di specie, la quantit e la tipologia di informazioni raccolte (iniziali del nome e cognome del paziente, data di nascita, et, sesso, razza, etnia, peso, altezza, nonch informazioni di carattere medico/clinico e relative agli stili di vita), le modalit di trattamento previste, nonch le diverse categorie di soggetti che possono avervi accesso (e, in particolare, gli operatori della societ che eseguono il monitoraggio dello studio i quali accedono presso il centro di sperimentazione alla documentazione sanitaria originale delle persone partecipanti e alla lista che associa i loro dati nominativi ai rispettivi codici identificativi per garantire che la sperimentazione venga effettuata in osservanza del protocollo) comportano la possibilit di identificare gli interessati. Ci, sia pure indirettamente, mediante il riferimento ad altre informazioni detenute dalla medesima societ o a qualsiasi altra informazione non necessariamente nella disponibilit di quest'ultima (cfr. al riguardo, pi ampiamente, il par. 3 delle citate "Linee guida").

L'acquisizione di tali dati da parte di Novartis nell'ambito delle sperimentazioni cliniche e le successive attivit svolte su questi ultimi configurano, quindi, un trattamento di dati personali al quale si applicano le disposizioni del Codice sulle informazioni sensibili (art. 26), nonch le cautele poste a tutela dei diritti e della riservatezza degli interessati dall'autorizzazione del Garante n. 2/2008 al trattamento dei dati sulla salute e sulla vita sessuale (Provv. 19 giugno 2008, n. 33).

3.2. Titolarit dei trattamenti finalizzati alla sperimentazione
Dagli accertamenti svolti emerso che il rapporto tra Novartis e i centri di sperimentazione basato su una convenzione stipulata prima dell'avvio dello studio che ne definisce gli aspetti economici. La convenzione precisa che la societ, ricevendo dati ritenuti anonimi, svolge il ruolo di "collaboratore esterno" di un trattamento di cui viene considerato titolare ciascun centro di sperimentazione. A prescindere dal fatto che a questa affermazione non ha fatto seguito, come necessario, n l'elencazione scritta dei compiti affidati alla societ, n l'indicazione di istruzioni operative (art. 29 del Codice), tale configurazione contrasta con il ruolo effettivamente svolto dai promotori di sperimentazioni cliniche, per ci che concerne l'individuazione delle finalit e delle modalit del trattamento, che stato riscontrato nel caso di specie dalle dichiarazioni rese e dagli elementi acquisiti agli atti, oltrech messo da ultimo in evidenza dall'Autorit nelle citate "Linee guida" (v. al riguardo il par. 5).

Novartis si configura, unitamente ai centri di sperimentazione, quale titolare del trattamento dei dati personali relativi agli studi clinici (art. 28 del Codice), che potr trattare solo nel rispetto delle disposizioni del Codice con particolare riferimento ai profili relativi alla liceit delle modalit di trattamento, alla notificazione all'Autorit, alla designazione degli incaricati e dei responsabili (ove designati), all'informativa agli interessati, all'acquisizione del consenso, nonch alle modalit di custodia e sicurezza dei dati (artt. 11, 13, 23, 26, 29, 30, 31-35, 37 e 38 del Codice).

3.3. Altri soggetti che intervengono nella sperimentazione
Gli accertamenti svolti hanno evidenziato che Novartis ha stipulato un contratto quadro con altre societ (Opis s.r.l. e Opis data s.r.l.) per fornire alcuni servizi relativi agli studi clinici concernenti, tra le altre, le attivit di gestione e monitoraggio dello studio, farmacovigilanza e analisi statistica dei dati. In forza di specifiche clausole contrattuali, le societ che non risultano essere state designate quali responsabili del trattamento (art. 29 del Codice), si impegnano a osservare le disposizioni in materia di protezione dei dati personali, assumendosi ogni responsabilit per il loro mancato rispetto.

Come riaffermato anche nelle menzionate "Linee guida", la relazione fra i promotori di sperimentazioni cliniche da un lato, e, dall'altro, i soggetti esterni ai quali questi affidano alcune o tutte le mansioni riguardanti gli studi, possono essere utilmente inquadrate nell'ambito di un rapporto fra "titolare" e "incaricati" (unicamente persone fisiche) o, eventualmente, in base al grado di autonomia da osservare nel trattamento dei dati, "responsabili del trattamento" (persone fisiche o giuridiche).

Qualora Novartis intenda continuare ad avvalersi lecitamente dell'opera di Opis s.r.l. e di Opis data s.r.l., dovr pertanto designare tali soggetti quali responsabili del trattamento, impartendo loro idonee istruzioni alle quali le stesse devono attenersi (art. 29 del Codice). Nella medesima ipotesi, la societ dovr, comunque, integrare l'informativa fornita ai pazienti interessati indicando gli estremi identificativi di almeno uno dei responsabili e delle modalit per reperire, anche on-line, l'elenco aggiornato di questi soggetti (art. 13 del Codice). In mancanza di tale designazione, la successiva comunicazione alla societ dei dati personali dei pazienti partecipanti alla sperimentazione sarebbe illecita in quanto priva del consenso specifico e informato degli interessati (artt. 11, comma 1, lett. a), 13, 23 e 26 del Codice).

3.4. I monitor
Nel corso delle verifiche emerso che per le attivit di monitoraggio Novartis si avvale prevalentemente di personale interno all'azienda. Secondo quanto accertato tali soggetti, pur sussistendone i presupposti e la necessit, non sono stati designati quali incaricati del trattamento (art. 30 del Codice). Con riferimento al tale designazione l'Autorit ha gi fornito le prescrizioni necessarie ai sensi degli artt. 154, comma 1, e 169, comma 2, del Codice nell'ambito di un separato procedimento.

La particolare delicatezza dei dati trattati nella sperimentazione clinica impone che siano puntualmente adottate al riguardo le ulteriori cautele richiamate dal Garante nelle citate "Linee guida" con riferimento ai soggetti, interni o esterni, che collaborano con i promotori per svolgere attivit o parti di attivit inerenti agli studi e, in particolare, l'attivit di monitoraggio. Si fa, in particolare, riferimento alla necessit di sottoporre tali soggetti a regole di condotta analoghe al segreto professionale e di predisporre interventi formativi specifici nei loro confronti in merito ai rischi e alle responsabilit derivanti dal trattamento dei dati, alle istruzioni da osservare per la loro custodia e sicurezza, alle regole di riservatezza e confidenzialit previste dalle disposizioni normative applicabili, nonch alle precauzioni da utilizzare per tutelare l'identit degli interessati (cfr. punto 6 delle "Linee guida").

3.5. L'informativa ai pazienti partecipanti alla sperimentazione
 stato accertato che il modello standard predisposto da Novartis affinch i centri di sperimentazione rendano l'informativa ai pazienti indica, in particolare, che tale promotore tratta soltanto i dati trasmessi, in forma rigorosamente anonima, dal medico sperimentatore; solo in casi eccezionali essenzialmente collegati alla tutela dell'incolumit del paziente, nei quali emerge la necessit di trattare dati personali, il promotore assume, limitatamente ai dati acquisiti, la veste di contitolare del trattamento, unitamente al centro presso il quale si svolge la sperimentazione.

Alla luce di quanto evidenziato in ordine ai soggetti di cui la societ si avvale per svolgere attivit inerenti agli studi clinici, e sulla base dei princpi richiamati anche nelle menzionate "Linee guida", il modello di informativa risulta inidoneo (art. 13 del Codice) e deve essere riformulato, nei termini di cui in dispositivo, in maniera da fornire, tramite i centri di sperimentazione, indicazioni specifiche con riferimento:

a. alla natura dei dati trattati dalla societ e alla circostanza che tali dati sono trasmessi all'estero;

b. al ruolo effettivamente svolto dal promotore riguardo al trattamento dei dati e alle relative finalit e modalit;

c. ai soggetti o categorie di soggetti dei quali il promotore si avvale per effettuare alcuni, o tutti i compiti relativi all'esecuzione dello studio e che possono venire a conoscenza dei dati in qualit di incaricati o di eventuali responsabili.

A tal fine Novartis pu avvalersi anche del modello di riferimento proposto dall'Autorit nelle menzionate "Linee guida" (v. all. n. 1).

3.6. Consenso al trattamento dei dati della sperimentazione
Anche il modello per raccogliere la dichiarazioni di consenso al trattamento dei dati personali risulta essere fornito ai centri di sperimentazione sulla base di un fac simile predisposto da Novartis.

Sottoscrivendo tale modello gli interessati autorizzano il medico a far esaminare le cartelle cliniche relative allo studio dal personale qualificato dell'autorit sanitaria, dell'azienda farmaceutica promotrice -o personale esterno dalla stessa delegato- e del comitato etico. Per il resto, la formula utilizzata per la manifestazione del consenso si limita a operare un mero riferimento a quanto indicato nell'informativa la quale, come sopra precisato, risulta inidonea ai sensi dell'art. 13 del Codice.

Novartis pu continuare a trattare lecitamente i dati personali e sanitari delle persone partecipanti alla sperimentazione a condizione che anche il modello per manifestare il consenso venga riformulato nei termini di cui in dispositivo, in maniera da consentire agli interessati di esprimere la loro volont, in maniera specifica e distinta, riguardo agli ulteriori trattamenti dei dati che li riguardano effettuato dal promotore e/o dai soggetti dei quali questi si avvale per svolgere le attivit inerenti allo studio (artt. 23 e 26 del Codice).

Anche in questo caso, Novartis pu avvalersi della formula di riferimento per l'acquisizione del consenso proposta dall'Autorit nelle citate "Linee guida" unitamente al modello d'informativa (all. n. 1).

3.7. Ulteriori misure e accorgimenti da prescrivere
Per quanto riguarda eventuali altri trattamenti leciti, oltre al divieto e alle specifiche prescrizioni di cui al dispositivo, Novartis, come ogni altro titolare di trattamenti di dati personali effettuati nell'ambito delle sperimentazioni cliniche di medicinali, sebbene non risultino specifiche violazioni al riguardo, tenuta, infine, a conformarsi al quadro unitario di misure e accorgimenti necessari e opportuni ora riassunto dal Garante nelle citate "Linee guida" (in particolare, par. 4, 7, 8, 9, 11, 12 e 13).

In aggiunta agli accorgimenti e misure indicate in termini generali nelle "Linee guida", Novartis deve, altres, conformare il trattamento dei dati personali dei partecipanti agli studi clinici al divieto e alle prescrizioni impartiti con il presente provvedimento, provvedendo senza ritardo e dandone conferma all'Autorit al pi tardi entro il 31 dicembre 2008.

Il mancato rispetto di tali indicazioni rende il trattamento dei dati, a seconda dei casi, illecito oppure non corretto, ed espone:

      all'adozione di provvedimenti di blocco o di divieto del trattamento disposti dal Garante (art. 143, comma 1, lett. c), del Codice) e di analoghe decisioni adottate dall'autorit giudiziaria civile e penale, oltre che all'eventuale inutilizzabilit dei dati personali trattati in violazione della relativa disciplina (art. 11, comma 2, del Codice);

      all'applicazione delle pertinenti sanzioni amministrative o penali (artt. 161 s. del Codice).

TUTTO CI PREMESSO, IL GARANTE:

      vieta ai sensi dell'art. 154, comma 1, lett. d) del Codice a Novartis Farma S.p.A. di effettuare ulteriori trattamenti di dati personali nell'ambito delle attivit di informazione scientifica e di sperimentazione clinica di medicinali in violazione dei princpi di liceit e correttezza del trattamento richiamati in motivazione (punti 2.1, 2.2, 2.3, 2.4, 3.3, 3.4, 3.5, 3.6 e 3.7);

      prescrive ai sensi dell'art. 154, comma 1, lett. c), del Codice a Novartis Farma S.p.A. di conformare, ove non vi abbia gi provveduto nei termini di cui in motivazione, eventuali altri trattamenti leciti di dati, procedendo entro il 31 dicembre 2008, ferma restando la conformit alle menzionate "Linee guida", all'attuazione delle misure necessarie per rispettare l'obbligo di:

                        a) fornire un'idonea informativa ai medici destinatari dell'attivit di informazione scientifica (punto 2.2); e, tramite i centri di sperimentazione, alle persone partecipanti alla sperimentazione clinica dei medicinali (punti 3.3 e 3.5), completa di tutti gli elementi di cui all'art. 13 del Codice;

                        b) trattare i dati relativi ai medici destinatari dell'attivit di informazione scientifica (punto 2.3) e alle persone partecipanti alla sperimentazione clinica dei medicinali (punto 3.6), sulla base di un consenso prestato validamente ai sensi dell'art. 23 del Codice;

                        c) designare quali responsabili del trattamento ai sensi dell'art. 29 del Codice le persone giuridiche delle quali si avvale per effettuare le attivit di gestione del data-base relativo ai medici destinatari di campioni gratuiti (punto 2.4), nonch le attivit di monitoraggio e le altre attivit connesse all'esecuzione delle sperimentazioni cliniche (punto 3.3);

                        d) sottoporre gli addetti al monitoraggio a regole di condotta analoghe al segreto professionale e predisporre interventi formativi specifici nei loro confronti (punto 3.4);

                        e) dare conferma al Garante entro e non oltre il medesimo termine del 31 dicembre 2008, in ottemperanza alla presente statuizione adottata anche ai sensi e per gli effetti di cui agli artt. 157, 164 e 168 del Codice, che i trattamenti di dati relativi ai medici destinatari dell'attivit di informazione scientifica e alle persone partecipanti alle sperimentazioni cliniche di medicinali sono stati resi conformi alle prescrizioni del presente provvedimento, specificando anche le iniziative assunte in relazione ai trattamenti di dati gi effettuati in data odierna;

      dispone che copia del presente provvedimento sia trasmessa al Ministero della salute e all'Agenzia italiana del farmaco per opportuna conoscenza.

Roma, 24 luglio 2008

Il presidente
Pizzetti

Il relatore
Chiaravalloti

Il segretario generale
Buttarelli