Garante per la protezione
    dei dati personali


vedi anche

[Autorizzazione generale al trattamento dei dati personalieffettuato per scopi di ricerca scientifica]

DELIBERAZIONE DEL 15DICEMBRE 2011

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele DePaoli, segretario generale;

VISTO il decreto legislativo 30 giugno 2003, n. 196, Codice in materiadi protezione dei dati personali;

VISTO l'art. 110, comma 1, del Codice che consente di trattare datipersonali idonei a rivelare lo stato di salute per scopi di ricerca scientificain campo medico, biomedico o epidemiologico, anche in assenza del consensodegli interessati, quando a causa di particolari ragioni non sia possibileinformarli e il programma di ricerca sia oggetto di motivato parere favorevoledel competente comitato etico a livello territoriale e sia autorizzato dalGarante, anche ai sensi dell'art. 40 del Codice;

CONSIDERATO che un elevato numero di trattamenti di dati idonei arivelare lo stato di salute è effettuato per la conduzione di studiosservazionali retrospettivi, finalizzati alla ricerca scientifica in campomedico, biomedico o epidemiologico;

CONSIDERATO che i trattamenti in questione comportano l'utilizzo didati idonei a rivelare lo stato di salute delle persone assistite presso icentri di cura partecipanti agli studi e raccolti in passato per finalità diprevenzione, diagnosi, cura e riabilitazione degli interessati o perl'esecuzione di precedenti progetti di ricerca, ovvero ricavati da campionibiologici prelevati in passato sempre per finalità di tutela della salute o perl'esecuzione di precedenti progetti di ricerca;

VISTE le specifiche autorizzazioni rilasciate dall'Autorità, ai sensidegli artt. 110, comma 1 (ultima parte) e 41 del Codice, con le quali è stata resapossibile la conduzione di studi osservazionali retrospettivi anche senza ilconsenso degli interessati; in quanto, a causa di comprovate particolariragioni, è stata documentata l'impossibilità di fornire loro l'informativa, eil relativo programma di ricerca ha ricevuto un motivato parere favorevole delcomitato etico territorialmente competente;

CONSIDERATO che il trattamento dei dati in questione può essereautorizzato dal Garante anche d'ufficio con provvedimenti di caratteregenerale, relativi a determinate categorie di titolari o di trattamenti (art.40 del Codice);

CONSIDERATO che l'autorizzazione di carattere generale risulta unostrumento idoneo per prescrivere misure uniformi a garanzia degli interessati erende superflua la richiesta di singoli provvedimenti di autorizzazione daparte di numerosi titolari del trattamento semplificando in tale modo, inmaniera significativa, gli adempimenti degli obblighi relativi al trattamentodei dati per la conduzione di ricerche mediche, biomediche ed epidemiologiche;

RITENUTO opportuno pertanto, alla luce dell'esperienza maturata,rilasciare un'autorizzazione generale, ai sensi dell'art. 40 del Codice,relativa al trattamento di dati idonei a rivelare lo stato di salute degliinteressati effettuato senza il loro consenso informato, per la conduzione distudi osservazionali retrospettivi, armonizzando le specifiche prescrizioni giàimpartite con singoli provvedimenti di autorizzazione già rilasciati;

RILEVATA l'opportunità che l'adozione definitiva di tali prescrizioni,allo stato individuate dal Garante nell'unito documento, sia preceduta da unaconsultazione pubblica dei soggetti e delle categorie interessate aitrattamenti di dati effettuati a scopi di ricerca in campo medico, biomedico edepidemiologico, con particolare riferimento alle università, agli enti oistituti di ricerca e società scientifiche, ai ricercatori, agli esercenti leprofessioni sanitarie e agli organismi sanitari, agli enti, associazioni e aorganismi rappresentativi di operatori sanitari e di associazioni di pazientiinteressati;

VISTE le osservazioni dell'Ufficio formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

DELIBERA

a. di adottare l'unito documento che forma parte integrante dellapresente deliberazione, recante lo schema di "autorizzazione altrattamento dei dati idonei a rivelare lo stato di salute per studiosservazionali retrospettivi";

b. di avviare una consultazione pubblica sul documento di cui allalettera a).

L'obiettivo della consultazione è acquisire osservazioni e commenti,in particolare da parte di università, enti o istituti di ricerca e societàscientifiche, ricercatori, esercenti le professioni sanitarie, organismisanitari, enti, associazioni e organismi rappresentativi di operatori sanitarie di associazioni di pazienti interessati.

Tali osservazioni e commenti potranno pervenire entro il 31 gennaio2012 all'indirizzo dell'Autorità di Piazza di Monte Citorio n. 121, 00186 Roma,ovvero al seguente indirizzo di posta elettronica:

110@garanteprivacy.it

La presente deliberazione verrà pubblicata sul sito web del Garante www.garanteprivacy.ite verrà inviato un avviso all'Ufficio pubblicazione leggi e decreti delMinistero della giustizia, affinché sia riportato sulla Gazzetta Ufficialedella Repubblica italiana.

Roma, 15 dicembre 2011

Il Presidente
Pizzetti

Il relatore
Paissan

Il segretario generale
De Paoli

 

 

Schema di"autorizzazione al trattamento dei dati idonei a rivelare lo stato disalute per studi osservazionali retrospettivi"

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele DePaoli, segretario generale;

VISTO il decreto legislativo 30 giugno 2003, n. 196, Codice in materiadi protezione dei dati personali;

VISTO l'art. 99, comma 1, del Codice in base al quale il trattamentodi dati personali effettuato per scopi scientifici è considerato compatibilecon i diversi scopi per i quali i dati sono stati in precedenza raccolti otrattati;

VISTO l'art. 110, comma 1, del Codice che consente di trattare datipersonali idonei a rivelare lo stato di salute per scopi di ricerca scientificain campo medico, biomedico o epidemiologico, anche in assenza del consensodegli interessati, quando a causa di particolari ragioni non sia possibileinformarli e il programma di ricerca sia oggetto di motivato parere favorevoledel competente comitato etico a livello territoriale e sia autorizzato dalGarante, anche ai sensi dell'art. 40 del Codice;

VISTA l'autorizzazione del Garante n. 2/2011 al trattamento dei datiidonei a rivelare lo stato di salute e la vita sessuale, pubblicata in G.U. n. 162 del14.7.2011) e, in particolare, il punto 1.2 che autorizza il trattamento di datipersonali idonei a rivelare lo stato di salute per scopi di ricerca scientificafinalizzata alla tutela della salute dell'interessato, di terzi o dellacollettività in campo medico, biomedico o epidemiologico, rinviando a quantodisposto dagli artt. 106, 107 e 110 del Codice in ordine alla necessità diacquisire il consenso delle persone interessate;

VISTE le disposizioni del codice di deontologia e buona condotta per itrattamenti di dati personali per scopi statistici e scientifici (Provv. n. 2del 16 giugno 2004, in G.U. 14 agosto 2004, n. 190, Allegato A.4 al Codice, applicabili anche ai trattamenti didati effettuati per scopi di ricerca medica, biomedica o epidemiologica nonconnessi con attività di tutela della salute svolte da esercenti professionisanitarie od organismi sanitari, ovvero con attività comparabili in termini disignificativa ricaduta personalizzata sull'interessato (artt. 11 e 2, comma 2);

VISTO l'art. 2 del d.lg. 24 giugno 2003, n. 211 che definisce «studiosservazionali» gli studi nei quali "i medicinali sono prescritti secondole indicazioni dell'autorizzazione all'immissione in commercio. L'assegnazionedel paziente a una determinata strategia terapeutica non è decisa in anticipoda un protocollo di sperimentazione, ma rientra nella normale pratica clinica ela decisione di prescrivere il medicinale è del tutto indipendente da quella diincludere il paziente nello studio. Ai pazienti non si applica nessunaprocedura supplementare di diagnosi o monitoraggio";

CONSIDERATO che un elevato numero di trattamenti di dati idonei arivelare lo stato di salute è effettuato per la conduzione di studiosservazionali retrospettivi, finalizzati alla ricerca scientifica in campomedico, biomedico o epidemiologico;

CONSIDERATO che i trattamenti in questione comportano l'utilizzo didati idonei a rivelare lo stato di salute delle persone assistite presso icentri di cura partecipanti agli studi e raccolti in passato per finalità diprevenzione, diagnosi, cura e riabilitazione degli interessati o perl'esecuzione di precedenti progetti di ricerca, ovvero ricavati da campionibiologici prelevati in passato sempre per finalità di tutela della salute o perl'esecuzione di precedenti progetti di ricerca;

CONSIDERATO che, nell'ambito di tali studi, i dati oggetto ditrattamento sono registrati nella documentazione clinica (o nelladocumentazione inerente i precedenti studi in cui sono stati raccolti)conservata presso i centri di cura partecipanti in conformità alla legge,oppure sono ricavati da campioni biologici asportati e conservati negli archividi anatomia patologica dei medesimi centri o prelevati nell'ambito diprecedenti progetti di ricerca;

VISTI gli specifici provvedimenti di autorizzazione rilasciatidall'Autorità, ai sensi degli artt. 110, comma 1 (ultima parte) e 41 delCodice, con i quali è stata autorizzata la conduzione di studi osservazionaliretrospettivi anche senza il consenso degli interessati; ciò, in quanto, acausa di comprovate particolari ragioni, è stata documentata l'impossibilità difornire loro l'informativa al trattamento dei dati e il relativo programma diricerca ha ricevuto un motivato parere favorevole del comitato eticoterritorialmente competente;

CONSIDERATO che i trattamenti dei dati in questione possono essereautorizzati dal Garante anche d'ufficio con provvedimenti di caratteregenerale, relativi a determinate categorie di titolari o di trattamenti (art.40 del Codice);

RITENUTO opportuno pertanto, alla luce dell'esperienza maturata,rilasciare un'autorizzazione generale, ai sensi dell'art. 40 del Codice,relativa ai trattamenti di dati idonei a rivelare lo stato di salute degliinteressati effettuati senza il loro consenso informato, per la conduzione distudi osservazionali retrospettivi, armonizzando le specifiche prescrizioni giàimpartite con singoli provvedimenti di autorizzazione già rilasciati;

CONSIDERATO che l'autorizzazione di carattere generale risulta unostrumento idoneo per prescrivere misure uniformi a garanzia degli interessati erende superflua la richiesta di singoli provvedimenti di autorizzazione daparte di numerosi titolari del trattamento semplificando in tale modo, inmaniera significativa, gli adempimenti degli obblighi relativi ai trattamentidi dati per la conduzione di ricerche mediche biomediche ed epidemiologiche;

RITENUTO che ai trattamenti oggetto della presente autorizzazionedevono trovare applicazione anche le cautele contenute nell'autorizzazionegenerale del Garante n. 2/2011 e nel codice deontologico sopra citati, inparticolare per ciò che attiene ai criteri da tenere in considerazione per nonrendere identificabili gli interessati nelle fasi dello studio successiveall'estrapolazione dei dati e alle regole di condotta per gli incaricati e glieventuali responsabili del trattamento;

RILEVATO che anche l'eventuale raccolta e la conservazione di campionibiologici, così come il trattamento dei dati che ne derivano, devono essereeffettuati in conformità ai principi fondamentali di protezione e di sicurezzadei dati (v. Raccomandazione del Consiglio d'Europa n. R(92) 3 relativa ai testgenetici ed allo screening genetico per scopi di natura sanitaria; Documento dilavoro sui dati genetici del Gruppo art. 29 della dir. 95/46/CE, WP 91/2004);

CONSIDERATO che l'utilizzo di campioni biologici nell'ambito diricerche scientifiche che comportano l'estrapolazione di dati genetici deveessere effettuato nel rispetto dei limiti e delle condizioni contenute nellaspecifica autorizzazione generale del Garante al trattamento dei dati genetici,rilasciata il 24 giugno 2011 ai sensi dell'art. 90 del Codice (in G. U. 11luglio 2011 n. 159);

VISTA altresì la Raccomandazione del Consiglio d'Europa n. R (2006) 4che individua le condizioni e i limiti nel rispetto dei quali è consentitol'utilizzo di materiale biologico per attività di ricerca, anche appartenente apersone decedute, prelevato per uno scopo diverso da quello della suaconservazione a fini di ricerca, ivi compreso quello prelevato per l'esecuzionedi un precedente progetto di ricerca e stabilisce che il materiale biologicoprelevato per scopi diversi da quelli di conservazione a fini di ricerca puòessere messo a disposizione per attività di ricerca con il necessario consensodell'interessato; a tal fine, dovrebbe essere fatto ogni ragionevole sforzo percontattare la persona interessata, mentre ove tale contatto non sia possibile,il materiale biologico può essere utilizzato per attività di ricerca soltantose sono soddisfatti particolari requisiti (artt. 10, 12, 21 e 22);
VISTOil Codice di deontologia medica del 16 dicembre 2006 nella parte in cui prevedel'obbligo del segreto professionale da parte del medico anche con riferimentoai pazienti deceduti (art. 10);

RILEVATO che il consenso informato al trattamento di dati idonei arivelare lo stato di salute dell'interessato per scopi di ricerca scientificapuò essere acquisito previamente alla raccolta dei dati già all'attodell'accettazione o del ricovero dell'interessato presso l'organismo sanitarioche lo prende in cura evidenziando, in tale circostanza, che lo stessoorganismo sanitario intende conservare i suoi dati clinici, ed eventualmenteanche i suoi campioni, per la conduzione di indagini in campo medico, biomedicoed epidemiologico;

RITENUTO che l'informativa resa all'interessato nella circostanzasopra rilevata dovrebbe evidenziare analiticamente i trattamenti effettuati perscopi di ricerca scientifica distinguendoli chiaramente da quelli preordinatialla tutela della salute, in modo da consentirgli di manifestareconsapevolmente un consenso libero e specifico rispetto ai differenti scopiperseguiti (artt. 13, 23, 78, comma 5, e 105, comma 2, del Codice);

RILEVATA l'opportunità che la presente autorizzazione generale siaprovvisoria e a tempo determinato, ai sensi dell'art. 41, comma 5, del Codicee, in particolare, efficace per il periodo fino al 31 dicembre 2012;

VISTO l'art. 11, comma 2, del Codice, il quale stabilisce che i datitrattati in violazione della disciplina rilevante in materia di trattamento didati personali non possono essere utilizzati;

VISTI gli articoli 31 e seguenti del Codice e il disciplinare tecnicodi cui all'Allegato B) al medesimo Codice in materia di misure minime disicurezza;

VISTI gli artt. 20, 26, 40, 41, 98, 107 e 110 del Codice;

VISTI gli artt. 167, comma 2, e 170 del Codice che sanzionano iltrattamento illecito dei dati personali e l'inosservanza dei provvedimenti delGarante;

VISTI gli atti d'ufficio;

VISTE le osservazioni dell'Ufficio formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore

AUTORIZZA

il trattamento dei dati personali idonei a rivelare lo stato di salutedegli interessati, anche in assenza del loro consenso informato, per scopi diricerca scientifica in campo medico, biomedico ed epidemiologico nel rispettodei limiti e delle condizioni di seguito indicate.

1. Ambito di applicazione
Lapresente autorizzazione è rilasciata:

a) alle università, agli altri enti o istituti di ricerca esocietà scientifiche, nonché ai ricercatori che operano nell'ambito di detteuniversità, enti, istituti di ricerca e ai soci di dette società scientifiche;

b) agli esercenti le professioni sanitarie e agli organismisanitari nei limiti di cui all'art. 2, comma 2, del codice di deontologia ebuona condotta per i trattamenti di dati personali per scopi statistici escientifici (Allegato A.4 al Codice);

c) alle altre persone fisiche o giuridiche, enti, associazioni eagli altri organismi privati.

2. Finalità del trattamento: studiosservazionali retrospettivi.

1. La presente autorizzazione riguarda esclusivamente:

€ il trattamento di dati idonei a rivelare lo stato di salutedegli interessati effettuato per scopi di ricerca scientifica in campo medico,biomedico ed epidemiologico finalizzato alla conduzione di studi osservazionaliretrospettivi anche sulle relazioni tra i fattori di rischio e la salute umana,o miranti a valutare la sicurezza e l'efficacia dei farmaci nella praticaclinica o a verificare l'appropriatezza prescrittiva, oppure su interventisanitari di tipo diagnostico, terapeutico o preventivo, ovverosull'utilizzazione di strutture socio-sanitarie e

€ la ricerca è effettuata sulla base di un progetto oggetto dimotivato parere favorevole del competente comitato etico a livello territorialee redatto in conformità all'art. 3 del codice di deontologia e buona condottaper i trattamenti di dati personali per scopi statistici e scientifici(Allegato A.4 al Codice).

2. Gli scopi della ricerca oggetto della presente autorizzazionenon possono inoltre essere realizzati, nel caso concreto, mediante:

€ il trattamento di dati anonimi;

€ il trattamento di dati di interessati che sia possibilecontattare al fine di rendere l'informativa e acquisirne il consenso.

3. Categorie di dati oggetto ditrattamento.
Prima di iniziare o proseguire iltrattamento i sistemi informativi e i programmi informatici sono configuratiriducendo al minimo l'utilizzazione di dati personali e di dati identificativi,in modo da escluderne il trattamento quando le finalità perseguite nei singolicasi possono essere realizzate mediante, rispettivamente, dati anonimi odopportune modalità che permettano di identificare l'interessato solo in caso dinecessità, in conformità all'art. 3 del Codice.

Il trattamento può riguardare unicamente i dati personali strettamentepertinenti ai sopra indicati scopi.

Il trattamento di dati genetici resta autorizzato nei limiti e allecondizioni individuati nella specifica autorizzazione del Garante rilasciata aisensi dell'art. 90 del Codice il 24 giugno 2011.

4. Impossibilità di informare gliinteressati.
L'autorizzazione riguarda il trattamentodei dati degli interessati da includere nella ricerca che non è possibilecontattare al fine di fornire l'informativa al trattamento dei dati a causadella sussistenza di una delle seguenti ragioni, considerate del tuttoparticolari o eccezionali, documentate nel progetto di ricerca:

1. Motivi etici riconducibili alla circostanza che l'interessatoignora la propria condizione. Rientrano in questa categoria le ricerche per lequali l'informativa sul trattamento dei dati da rendere agli interessaticomporterebbe la rivelazione di notizie concernenti la conduzione dello studiola cui conoscenza potrebbe arrecare un danno materiale o psicologico agliinteressati stessi (possono rientrare in questa ipotesi, ad esempio, gli studiepidemiologici sulla distribuzione di un fattore che predica o possa predire losviluppo di uno stato morboso).

2. Motivi di impossibilità organizzativa riconducibili allacircostanza che la mancata considerazione dei dati riferiti al numero stimatodi interessati che non è possibile contattare per informarli, rispetto alnumero complessivo dei soggetti che si intende coinvolgere nella ricerca,produrrebbe conseguenze significative per lo studio in termini di alterazionedei relativi risultati; ciò avuto riguardo, in particolare, ai criteri diinclusione previsti dallo studio, alle modalità di arruolamento, alla numerositàstatistica del campione prescelto, nonché al periodo di tempo trascorso dalmomento in cui i dati riferiti agli interessati sono stati originariamenteraccolti (ad esempio, nei casi in cui lo studio riguarda interessati conpatologie ad elevata incidenza di mortalità o in fase terminale della malattiao in età avanzata e in gravi condizioni di salute).

2.1. Con riferimento a tali motivi di impossibilitàorganizzativa, è autorizzato il trattamento dei dati di coloro i quali,all'esito di ogni ragionevole sforzo compiuto per contattarli, anche attraversola verifica dello stato in vita, la consultazione dei dati riportati nelladocumentazione clinica, l'impiego dei recapiti telefonici eventualmenteforniti, nonché l'acquisizione dei dati di contatto presso l'anagrafe degliassistiti o della popolazione residente, risultino essere al momentodell'arruolamento nello studio:

- deceduti o

- persi al follow up.

Resta fermo l'obbligo di raccogliere il consenso informato altrattamento dei dati degli interessati inclusi nella ricerca in tutti i casi incui, nel corso dello studio, sia possibile rendere loro un'adeguata informativae acquisirne il relativo consenso e, in particolare, laddove questi sirivolgano nuovamente al centro di cura, anche per visite di follow-up.

5. Modalità di trattamento.
Iltrattamento dei dati personali oggetto della presente autorizzazione èeffettuato nel rispetto delle disposizioni del codice di deontologia e buonacondotta per i trattamenti di dati personali per scopi statistici e scientifici(Allegato A.4 al Codice) e unicamente con operazioni strettamenteindispensabili alla conduzione dello studio.

Ove la ricerca non possa raggiungere i suoi scopi senzal'identificazione, anche temporanea, degli interessati, nel trattamentosuccessivo alla raccolta retrospettiva dei dati, sono adottate specifichemisure per non renderli direttamente riconducibili agli interessati, qualil'adozione di tecniche crittografiche o l'utilizzo di codici identificativiunivoci. In questi casi, i codici utilizzati non sono desumibili dai datipersonali identificativi degli interessati, salvo che ciò risulti impossibilein ragione delle particolari caratteristiche del trattamento o richieda unimpiego di mezzi manifestamente sproporzionato e sia motivato, altresì, periscritto, nel progetto di ricerca.

L'abbinamento al materiale di ricerca dei dati identificatividell'interessato, sempre che sia temporaneo ed essenziale per il risultatodella ricerca, è motivato, inoltre, per iscritto.
Alla conclusione dellostudio, i dati raccolti, o comunque trattati per la sua esecuzione, sonotrasformati in forma anonima.

6. Comunicazione e diffusione.
Iltrattamento dei dati oggetto della presente autorizzazione può essereeffettuato unicamente dai soggetti individuati al paragrafo 1) che agiscono inqualità di titolari o di contitolari del trattamento nel ruolo, in particolare,di promotore, di centro coordinatore o di centro partecipante, nonché da altrisoggetti specificatamente preposti al trattamento quali incaricati oresponsabili (ricercatori, monitor, commissioni di esperti, organizzazioni diricerca a contratto, laboratori di analisi, ecc.) (artt. 4, c. 1, lett. f), 28,29 e 30 del Codice).

I dati idonei a rivelare lo stato di salute degli interessatiutilizzati per la conduzione dello studio non possono essere diffusi (artt. 22,c. 8, e 26, c. 5, del Codice).

7. Conservazione dei dati e deicampioni.
Nel quadro del rispetto dell'obbligo previstodall'art. 11, comma 1, lett. e) del Codice, i dati e i campioni biologiciutilizzati per l'esecuzione della ricerca sono conservati, in una forma checonsente l'identificazione delle persone interessate, per un periodo di temponon superiore a quello necessario agli scopi per i quali essi sono statiraccolti o successivamente trattati.

A tal fine, è indicato nel progetto di ricerca il periodo diconservazione, successivo alla conclusione dello studio, al termine del quale ipredetti dati e campioni sono trasformati in forma anonima.

8. Custodia e sicurezza.
Fermorestando l'obbligo di adottare le misure minime di sicurezza previste dalCodice (artt. 33-35 e All. B) al Codice), sono impiegati dal/i titolare/i deltrattamento, ciascuno per la parte di propria competenza in relazione al ruoloricoperto nel trattamento dei dati e alle conseguenti responsabilità,specifiche misure e accorgimenti tecnici per incrementare il livello disicurezza dei dati trattati per l'esecuzione dello studio in conformità alleindicazioni contenute nelle "Linee guida per i trattamenti di datipersonali nell'ambito delle sperimentazioni cliniche di medicinali"adottate dal Garante con Provvedimento del 24 luglio 2008.

Ciò, sia nella fase di memorizzazione o archiviazione dei dati (e,eventualmente, di raccolta e conservazione dei campioni biologici) sia nellafase successiva di elaborazione delle medesime informazioni, nonché nellasuccessiva fase di trasmissione dei dati al promotore o ai soggetti esterni checollaborano con il primo per l'esecuzione dello studio. Sono adottati, inparticolare:

a. idonei accorgimenti per garantire la protezione dei dati dellostudio dai rischi di accesso abusivo ai dati, furto o smarrimento parziali ointegrali dei supporti di memorizzazione o dei sistemi di elaborazioneportatili o fissi (ad esempio, attraverso l'applicazione parziale o integraledi tecnologie crittografiche a file system o database, oppure tramitel'adozione di altre misure informatiche di protezione che rendanoinintelligibili i dati ai soggetti non legittimati) nelle operazioni diregistrazione e archiviazione dei dati effettuate mediante strumentielettronici;

b. protocolli di comunicazione sicuri basati sull'utilizzo distandard crittografici nella trasmissione elettronica dei dati raccoltinell'ambito dello studio a un database centralizzato in cui sono memorizzati oarchiviati, nonché nella trasmissione in via telematica dei dati dello studioal promotore o ai soggetti esterni di cui si avvale per la conduzione dellostudio. Laddove detta trasmissione sia effettuata mediante supporto ottico(CD-ROM) è designato un incaricato della ricezione presso il promotore ed èutilizzato, per la condivisione della chiave di cifratura dei dati, un canaledi trasmissione differente da quello utilizzato per la trasmissione delcontenuto;

c. tecniche di etichettatura, nella conservazione e nellatrasmissione di campioni biologici, mediante codici identificativi, oppurealtre soluzioni che, considerato il numero di campioni utilizzati, li rendononon direttamente riconducibili agli interessati, permettendo di identificarequesti ultimi solo in caso di necessità;

d. con specifico riferimento alle operazioni di elaborazione deidati dello studio memorizzati su un database centralizzato, è necessarioadottare:

- idonei sistemi di autenticazione e di autorizzazione per gliincaricati in funzione dei ruoli e delle esigenze di accesso e trattamento,avendo cura di utilizzare credenziali di validità limitata alla durata dellostudio e di disattivarle al termine dello stesso;

- procedure per la verifica periodica della qualità e coerenzadelle credenziali di autenticazione e dei profili di autorizzazione assegnatiagli incaricati del trattamento;

- sistemi di audit log per il controllo degli accessi al databasee per il rilevamento di eventuali anomalie.

9. Trasferimento all'estero.
Ovesia essenziale per il risultato della ricerca trasferire dati idonei a rivelarelo stato di salute degli interessati inclusi nello studio in Paesi nonappartenenti all'Unione europea, in assenza del consenso espresso, in formascritta, degli interessati (art. 43, comma 1, lettera a), del Codice), iltrasferimento è autorizzato dal Garante nei limiti e alle condizioni di cuiall'art. 44 del Codice.

10. Richieste di autorizzazione.
Ititolari del trattamento che rientrano nell'ambito di applicazione dellapresente autorizzazione non sono tenuti a presentare una richiesta diautorizzazione a questa Autorità, qualora il trattamento che si intendeeffettuare sia conforme alle sue prescrizioni.

Le richieste di autorizzazione pervenute o che perverranno, anchesuccessivamente alla data di adozione del presente provvedimento, devonointendersi accolte nei termini di cui al provvedimento medesimo.

Il Garante non prenderà in considerazione richieste di autorizzazione,ai sensi dell'art. 110 del Codice (ultima parte), per trattamenti daeffettuarsi in difformità alle prescrizioni del presente provvedimento, salvoche, ai sensi dell'art. 41 del Codice, il loro accoglimento sia giustificato dacircostanze o da situazioni non considerate nella presente autorizzazione.

11. Efficacia temporale.
Lapresente autorizzazione ha efficacia a decorrere dal_____________fino al 31dicembre 2012.

La presente autorizzazione sarà pubblicata nellaGazzetta Ufficiale della Repubblica italiana.