Ho cominciato ad affrontare l’implementazione del nuovo Reg. 679/2016 con molti miei clienti, casa farmaceutiche e aziende di medical device.
Tra i vari trattamenti di dati effettuati da tali tipologie di titolari, ci sono quelli relativi ai test clinici sui medicinali e alle indagini cliniche sui dispositivi medici.
E qui mi sono resa conto che spesso non sono chiari i ruoli tra sponsor e centro di sperimentazione; e quindi non sono chiari i compiti e le responsabilità.
Nel Parere WP 29 16 febbraio 2010 n. 1/2010, valutando i ruoli dei diversi soggetti che partecipano alla sperimentazione, così si afferma (esempio 25):
La società farmaceutica XYZ finanzia alcuni test di medicinali e seleziona i centri di sperimentazione candidati valutandone l’ammissibilità e gli interessi;……… Benché il finanziatore non raccolga direttamente alcun dato, acquisisce i dati dei pazienti raccolti dai centri di sperimentazione e li tratta in vari modi (valutando le informazioni contenute nei documenti medici; ricevendo i dati relativi agli effetti collaterali; inserendo tali dati nella banca dati pertinente; effettuando analisi statistiche per arrivare ai risultati dei test).
Il centro di sperimentazione effettua il test autonomamente, ma sempre conformemente alle indicazioni del finanziatore; fornisce le note informative ai pazienti e ottiene il loro consenso quanto al trattamento dei dati che li riguardano; autorizza i collaboratori del finanziatore ad accedere ai documenti medici originali dei pazienti nell’ambito di attività di monitoraggio; gestisce tali documenti ed è responsabile della loro conservazione. Risulta quindi che le responsabilità siano affidate ai singoli attori.
In questo contesto, sia i centri di sperimentazione che i finanziatori prendono decisioni importanti quanto alle modalità di trattamento dei dati personali relativi ai test clinici. Di conseguenza, possono essere considerati corresponsabili del trattamento. La relazione fra il finanziatore e i centri di sperimentazione potrebbe essere interpretata in modo diverso nei casi in cui il finanziatore determini le finalità e gli aspetti fondamentali dei mezzi, lasciando invece al ricercatore uno strettissimo margine di manovra.”
In sostanza si afferma che ove sponsor e finanziatore assumano – nei fatti – decisioni rilevanti circa la finalità e la modalità di trattamento, devono essere considerati co-titolari dei dati.
Ne deriva che con il nuovo Reg 679/2016 sarà necessario un contratto scritto tra gli stessi nel quale regolare i reciproci compiti e responsabilità.
l’art. Articolo 26 del GDPR stabilisce che:
Contitolari del trattamento
1. Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 13 e 14, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell’Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.
2. L’accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell’accordo è messo a disposizione dell’interessato.
3. Indipendentemente dalle disposizioni dell’accordo di cui al paragrafo 1, l’interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento.
ricapitolando sponsor e centro di sperimentazione dovranno stipulare contratto scritto ad hoc nel quale dovranno stabilire
- chi fa cosa in relazione agli obblighi del GDPR
- chi si occupa dell’informativa all’interessato
- come le parti rispondono in caso di esercizio del diritto degli interessati
- chi gestisce il punto di contatto a favore dell’interessato
inoltre
- i contitolari hanno l’obbligo di far conoscere il contenuto essenziale del contratto agli interessati
- gli interessanti possono agire nei confronti di ciascuno dei contitolari