Informazioni Privacy Sperimentazioni Cliniche

INFORMATIVA E DICHIARAZIONE DI CONSENSO PRIVACY AL TRATTAMENTO DATI

INFORMATIVA E DICHIARAZIONE DI CONSENSO PRIVACY AL TRATTAMENTO DATI

Gli IFO, in qualità di Titolare del trattamento dei dati (art. 7 GDPR), sono tenuti ad adempiere agli obblighi stabiliti dal GDPR, specialmente in materia di accountability, di privacy by design e privacy by default, di minimizzazione anche attraverso la tecnica di pseudonimizzazione dei dati, nonché di adozione di misure tecniche e organizzative adeguate a garantire un livello altrettanto adeguato al rischio derivante dal trattamento per i diritti e le libertà delle persone fisiche.

In particolare, l’art. 35 GDPR (“Valutazione d’impatto sulla protezione dei dati” o “Data Protection Impact Assessment” c.d. DPIA), stabilisce che: “Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali” e che: “Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi”.

A tal fine, il Garante per la protezione dei dati personali – GPDP, con Provvedimento n. 467 dell’11 ottobre 2018, ha elencato in modo analitico le varie tipologie di trattamento da sottoporre obbligatoriamente a valutazione d’impatto (https://www.garanteprivacy.it/documents/10160/0/ALLEGATO+1+Elenco+delle+tipologie+di+trattamenti+soggetti+al+meccanismo+di+coerenza+da+sottoporre+a+valutazione+di+impatto)

La DPIA consiste in un processo continuo che si finalizza con un documento di valutazione, sottoscritto dal Titolare del trattamento, attraverso cui viene analizzato in via preliminare l’impatto che possono avere sui diritti e le libertà degli interessati i nuovi trattamenti, oppure modifiche sostanziali a un trattamento già in essere, allo scopo di apportare misure idonee ad affrontarne i rischi. Pertanto, deve contenere almeno:

a) una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l’interesse legittimo perseguito dal titolare del trattamento;

b) una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;

c) una valutazione dei rischi per i diritti e le libertà degli interessati;

d) le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

La DPIA si configura, dunque, come uno strumento di risk management fondamentale in termini di responsabilizzazione, in quanto soccorre e sostiene il Titolare del trattamento nel garantire ed attestare il rispetto delle prescrizioni del GDPR, nonché nel dimostrare di aver adottato misure di sicurezza, anche di natura informatica, idonee a mitigare il rischio di pregiudizi per i diritti e per le libertà fondamentali delle persone fisiche durante tutte le fasi del trattamento.

La valutazione in merito alla gravità del rischio rispetto al contesto segue i seguenti livelli:

– Livello 1 trascurabile

– Livello 2 limitato

– Livello 3 significativo

– Livello 4 massimo

Essendo, gli IFO, un Ente di ricerca impegnato anche nel coinvolgimento e nella promozione di Sperimentazioni Cliniche nell’ambito delle quali è previsto il trattamento di dati personali dei soggetti arruolati, sono tenuti ad effettuare una Valutazione d’Impatto nei casi previsti dalla legge applicabile.

La predisposizione della DPIA coinvolge diverse figure professionali all’interno degli IFO e si articola nella compilazione di due distinte CHECKLIST, di seguito elencate, utili per l’elaborazione da parte del Titolare del trattamento a mezzo del Responsabile della Protezione dei dati o “Data Protection Officer” (DPO) del documento di valutazione finale (Circolare in Tema di Ricerca Scientifica e Regolamento Europeo 2016/679):

1) checklist concernente il contesto del trattamento, ex art. 35 GDPR;

2) checklist relativa alle misure di sicurezza adottate dal Titolare del trattamento, ex art. 32 GDPR.

Di seguito le DPIA e le informative Trattamento Dati relative alle Sperimentazioni Cliniche/Studi: