Gli IRCCS sono enti del Servizio sanitario nazionale a rilevanza nazionale dotati di autonomia e personalità giuridica che, secondo standard di eccellenza, perseguono finalità di ricerca, prevalentemente clinica e traslazionale, nel campo biomedico e in quello dell'organizzazione e gestione dei servizi sanitari ed effettuano prestazioni di ricovero e cura di alta specialità (art.1 d.lgs. 16/10/2003, n. 288).

Gli IRCCS, in qualità di titolari, devono individuare:

- tra quelle previste dal Regolamento, una base giuridica in concreto idonea a legittimare il trattamento dei dati personali per la realizzazione di progetti di ricerca scientifica, inerente le linee di ricerca di propria competenza, autorizzate dal Ministero della salute;

- l’appropriata deroga al generale divieto di trattare le particolari categorie di dati, tenendo conto che in tale contesto rilevano in particolare i dati sulla salute e, se del caso, quelli genetici, idonei a rivelare l’origine razziale ed etnica e le abitudini di vita, ivi incluse quelle sessuali (artt. 6 e 9, par. 2 del Regolamento).

In particolare, gli IRCCS possono fondare i trattamenti sul consenso degli interessati, ai sensi degli artt. 6, par. 1, lett. a) e 9, par. 2, lett. a) del Regolamento. Tale manifestazione di volontà si differenzia dal c.d. consenso informato all’adesione volontaria alla ricerca da parte degli interessati, previsto dalla specifica disciplina di settore e dai pertinenti standard etici.

Il consenso al trattamento dei dati personali deve godere di particolari caratteristiche; esso deve essere preventivo, specifico (ossia riferito ad un singolo progetto di ricerca, redatto conformemente alla norme di settore), libero, informato (ossia preceduto da idonea informativa sul trattamento), espresso, inequivocabile, reso o documentato per iscritto e sempre revocabile (artt. 6, par. 1, lett. a), 7, 9, par. 2, lett. a) del Regolamento, art. 110 del Codice, art. 7 delle Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica, All. A5 al Codice).

Gli IRCCS possono, in alternativa, fondare il trattamento dei dati personali raccolti per scopi di cura per ulteriori finalità di ricerca in campo medico, biomedico e epidemiologico sull’art. 110-bis, comma 4 del Codice, in base al quale “Non costituisce trattamento ulteriore da parte di terzi il trattamento dei dati personali raccolti per l’attività clinica, a fini di ricerca, da parte degli Istituti di ricovero e cura a carattere scientifico, pubblici e privati, in ragione del carattere strumentale dell’attività di assistenza sanitaria svolta dai predetti istituti rispetto alla ricerca, nell'osservanza di quanto previsto dall'articolo 89 del Regolamento”.

L’art. 110-bis, comma 4 del Codice costituisce una di quelle disposizioni di legge, che si inseriscono nello spazio di normazione lasciato agli Stati membri, ai sensi dell’art. 9, par. 2, lett. j) del Regolamento, alle quali fa riferimento l’art. 110 (primo comma, seconda parte) del Codice nella parte in cui prevede che: “1. Il consenso dell'interessato per il trattamento dei dati relativi alla salute, a fini di ricerca scientifica in campo medico, biomedico o epidemiologico, non è necessario quando la ricerca è effettuata in base a disposizioni di legge o di regolamento o al diritto dell'Unione europea in conformità all'articolo 9, paragrafo 2, lettera j), del Regolamento, [...] ed è condotta e resa pubblica una valutazione d'impatto ai sensi degli articoli 35 e 36 del Regolamento”.

Nel caso in cui gli IRCCS fondino il trattamento dei dati raccolti per finalità di cura per ulteriori finalità di ricerca sull’art. 110-bis, comma 4 del Codice, essi devono obbligatoriamente svolgere e pubblicare la Valutazione d’impatto (VIP) sui propri siti web, in quanto tale articolo costituisce una di quelle disposizioni di legge alle quali fa riferimento l’art. 110 del Codice, prescrivendo tali ulteriori adempimenti.

Qualora la pubblicazione per intero della VIP possa ledere diritti di proprietà intellettuale, segreti commerciali o altro, il titolare del trattamento può pubblicarla per estratto.

Il mancato adempimento di tali obblighi comporta l’applicazione di una sanzione amministrativa, ai sensi dell’art. 166, comma 1 del Codice e dell’art. 83, par. 4 del Regolamento.

Resta in capo a tali Istituti l’obbligo di consultare l’Autorità solo qualora VIP indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare per attenuare il rischio, ai sensi dell’art. 36 del Regolamento.

Le modalità con le quali si adempie agli obblighi informativi variano necessariamente a seconda che i dati siano raccolti direttamente presso gli interessati, presso le banche dati interne dell’Istituto ovvero presso terzi.

Infatti, nel caso in cui i dati siano raccolti direttamente presso gli interessati, l’IRCCS è tenuto a fornire preventivamente e direttamente in una forma chiara, concisa ed intellegibile, le informazioni, ai sensi dell’art. 13, par. 3 del Regolamento, eventualmente limitandosi ad evidenziare quegli elementi informativi di cui l’interessato non dispone già, ai sensi dell’art. 13, par. 4 del Regolamento.

Nelle ipotesi in cui i dati siano raccolti presso banche dati interne dell’Istituto ovvero presso terzi, le informazioni possono essere rese secondo le modalità di cui all’art. 14, par. 5, lett. b) del Regolamento che ne ammette la pubblicazione. Allo stato le Regole deontologiche forniscono delle indicazioni su come pubblicare tali informazioni (cfr. art. 6, comma 3).

A titolo esemplificativo, e salve le necessarie valutazioni che in omaggio al principio di accountability vanno comunque svolte caso per caso dal titolare del trattamento, si segnalano altresì come efficaci modalità per rendere note le informazioni ai sensi dell’art. 14, par. 5, lett. b) del Regolamento e dell’art. 6, comma 3 delle Regole deontologiche, la pubblicazione sul sito web del promotore e, nel caso di studi multicentrici, anche sui siti web dei centri partecipanti, per tutta la durata dello studio.

L’art. 110-bis, comma 4 del Codice non definisce quali sono le tipologie di ricerche mediche alle quali esso si applica, limitandosi a indicare l’ambito di applicazione oggettivo della norma che riguarda appunto gli studi promossi dagli IRCCS.

La disposizione trova pertanto applicazione in relazione ad ogni tipo di ricerca medica, biomedica, epidemiologica, prospettica e retrospettiva, promossa da tali Istituti ivi inclusi gli studi multicentrici, sia svolti nell’ambito delle reti di ricerca degli IRCCS che in quelli multicentrici promossi da tali istituti con la partecipazione di enti che non godono di tale riconoscimento.