Il consenso privacy “a fasi progressive” per finalità di ricerca scientifica in ambito medico

La questione è stata affrontata dall'Autorità Garante per la protezione dei dati personali (Garante privacy) che, con il parere del 30 giugno 2022, n. 238 [doc. web n. 9791886] reso ai sensi dell'art. 110 del d.lgs. 196/2003 (Codice privacy) e dell'art. 36 del Reg. UE 679/2016 (GDPR), ha indicato le modalità di acquisizione e gestione del “consenso a fasi progressive” per finalità di ricerca scientifica in ambito medico.

In sostanza, per il  trattamento dei dati a fini di ricerca scientifica in ambito medico non è sufficiente l'acquisizione di un consenso “generico” che possa coprire qualsiasi studio, anche futuro, che si intenda realizzare: conformemente alle linee Guida 5/2020 dell'European Data Protection Board (EDPB) ed ai principi enunciati nel  GDPR - in particolare ricavabili dall'art. 4 e dal considerando n. 32  in ragione dei quali il consenso, oltre a dover essere “libero”, “inequivocabile” ed   “informato”, dovrebbe essere “specifico” -  per ogni studio da realizzare è necessario rilasciare puntuali informazioni agli interessati, ai sensi dell'art. 13 GDPR, e richiederne uno specifico consenso. A tal riguardo è dunque ammessa l'acquisizione cd. “a fasi progressive” del consenso per ciascuno studio che abbia finalità di ricerca scientifica in ambito medico, ciò in quanto spesso non risulta possibile, al momento della raccolta dei dati, individuare esattamente ogni singola finalità e “fase” degli studi di ricerca e analisi da compiere.

A livello operativo è necessario porre una distinzione a seconda che gli interessati dai quali acquisire il consenso “a fasi progressive” siano “reperibili” ovvero “irreperibili e/o deceduti”.

In entrambi i casi la premessa è quella di aver già ottenuto dai medesimi interessati un precedente consenso per un determinato studio o fase dello stesso con finalità di ricerca scientifica in ambito medico.

Nel primo caso, allorquando gli interessati siano reperibili, sarà sufficiente contattarli al fine di rilasciare loro le informazioni ai sensi dell'art. 13 GDPR e, contestualmente, richiederne il consenso specifico per il singolo (e differente rispetto al precedente) studio/fase di ricerca scientifica in ambito medico che si intende realizzare.

Nel secondo caso, allorquando gli interessati siano difficilmente reperibili e/o deceduti, previo parere del Comitato Etico territorialmente competente, è necessario avanzare istanza di consultazione preventiva, ai sensi degli artt. 110 del Codice privacy e 36 del GDPR, al Garante privacy al fine di ottenere parere favorevole al trattamento: in caso di esito positivo sarò consentito procedere al trattamento pur in mancanza del consenso degli interessati.