Diritti del paziente nelle sperimentazioni: protezione dati

Cosa si intende per dati riservati del paziente in una sperimentazione clinica?

I dati riservati del paziente sono informazioni sanitarie collegate a un identificativo, come il nome, l'indirizzo o un numero del servizio sanitario nazionale. Comprendono la storia clinica, i risultati degli esami e qualsiasi campione o immagine diagnostica raccolti durante lo studio^[1]. In base alle norme HIPAA applicabili alla ricerca condotta negli Stati Uniti, le informazioni sanitarie utilizzate o divulgate per uno studio sono protette in modo analogo una volta che possono essere ricondotte a un singolo paziente^[2].

Una volta che l'équipe curante o il team di ricerca registra queste informazioni per uno studio, esse diventano "dati di ricerca" combinati con le informazioni di altri partecipanti. Puoi chiedere al team di ricerca quali parti specifiche della tua cartella clinica saranno esaminate prima di accettare di partecipare. Puoi anche chiedere se verranno esaminate, come parte dello studio, informazioni provenienti dalla tua documentazione medica precedente e non solo i dati raccolti appositamente per la sperimentazione. Conoscere in anticipo questa portata ti aiuta a valutare quanta parte della tua storia personale diventerà di fatto parte del registro dello studio^[1].

Chi controlla i tuoi dati in una sperimentazione, e cosa significa per te?

Il promotore della sperimentazione agisce come titolare del trattamento perché decide quali informazioni raccogliere e come utilizzarle^[1]. In un'ampia sperimentazione condotta nel Regno Unito, ad esempio, l'università promotrice è stata designata come titolare del trattamento. In quello studio, l'ufficio centrale di coordinamento utilizzava il nome e il numero sanitario del partecipante solo per tenere traccia dell'assistenza e per verificare la qualità dello studio^[3].

Questo significa che esiste un'unica organizzazione identificabile, responsabile dei tuoi dati per tutta la durata dello studio, alla quale puoi chiedere cosa fa con le tue informazioni e perché^[3].

Qual è la base giuridica per il trattamento dei tuoi dati sanitari ai sensi del GDPR?

Le organizzazioni di ricerca finanziate con fondi pubblici devono dimostrare che l'utilizzo dei tuoi dati personali risponde a un interesse pubblico prima di poterli trattare a fini di ricerca. In una grande sperimentazione sono stati citati come base giuridica l'articolo 6, paragrafo 1, lettera e) del GDPR (trattamento necessario per l'esecuzione di un compito di interesse pubblico) insieme all'articolo 9, paragrafo 2, lettera j) (trattamento di categorie particolari di dati, compresi i dati sanitari, a fini di ricerca)^[3].

Il GDPR stabilisce inoltre che il trattamento dei dati personali dovrebbe essere concepito al servizio delle persone e che il diritto alla protezione dei dati personali non è una prerogativa assoluta. Esso va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità^[4].

A livello europeo, il Regolamento sulle sperimentazioni cliniche (UE) n. 536/2014 impone al promotore e allo sperimentatore di registrare, trattare, conservare e gestire i tuoi dati in modo che possano essere accuratamente riportati e verificati. Ciò deve avvenire preservando la riservatezza delle tue informazioni, ai sensi dell'articolo 47 e dell'articolo 56 del Regolamento. Questo significa che si applicano contemporaneamente due normative europee: il Regolamento sulle sperimentazioni cliniche, che disciplina lo svolgimento dello studio, e il GDPR, che disciplina il trattamento dei tuoi dati personali^[5]. Per i partecipanti negli Stati Uniti si applica un quadro normativo aggiuntivo: l'HIPAA disciplina le modalità con cui le informazioni sanitarie identificabili detenute da ospedali e istituti di ricerca possono essere utilizzate o divulgate a fini di ricerca. In genere è richiesta una tua autorizzazione firmata oppure una specifica deroga approvata da un organo di vigilanza^[2].

Come vengono pseudonimizzati o deidentificati i tuoi dati durante uno studio?

Nella pratica, i team di ricerca solitamente "codificano" le informazioni personali raccolte su di te, il che significa che i tuoi dati non sono direttamente abbinati al tuo nome nel file di lavoro dello studio. Queste informazioni codificate, o pseudonimizzate, sono conservate in un archivio sicuro dello studio. Il tuo modulo di consenso dovrebbe descrivere in modo più dettagliato come vengono protetti i tuoi dati e, se pertinente, come potrebbero essere condivisi^[6].

Quando immagini diagnostiche o altri documenti vengono condivisi al di fuori dell'équipe curante diretta a fini di ricerca, gli identificativi vengono in genere rimossi da questi documenti prima della condivisione^[3]. Le persone che successivamente analizzano i dati di ricerca combinati generalmente non sono in grado di identificarti individualmente e non possono vedere il tuo nome, indirizzo o dati di contatto^[6]. Ai sensi dell'HIPAA, le informazioni possono inoltre essere considerate "deidentificate" una volta rimossi, secondo uno standard definito, specifici dettagli identificativi come nomi, indirizzi e date direttamente collegate a te. Da quel momento, non sono più considerate informazioni sanitarie protette^[2].

Alcune organizzazioni distribuiscono i dati della sperimentazione per ulteriori ricerche scientifiche dopo la pubblicazione dello studio, in forma pseudo-anonimizzata, come richiesto dalla normativa sulla protezione dei dati. Questa distinzione tra dati "pseudonimizzati", per i quali la ri-identificazione rimane tecnicamente possibile in condizioni controllate, e dati completamente "anonimizzati" o "deidentificati", per i quali non lo è, è uno degli aspetti tecnici più importanti da comprendere quando si legge un modulo di consenso. Capire in quale categoria rientreranno i tuoi dati può aiutarti a valutare quanto sia probabilmente solida, in pratica, la protezione contro la ri-identificazione^[7].

Chi può vedere le tue informazioni identificabili, e chi non può?

Un gruppo ristretto di persone collegate al promotore e agli enti regolatori può esaminare i tuoi dati medici e di ricerca, ma solo per verificare l'accuratezza dei dati raccolti nello studio. All'interno dell'organizzazione del promotore, l'accesso alle informazioni che ti identificano è normalmente limitato alle persone direttamente coinvolte nella gestione del follow-up dello studio o nell'audit delle modalità di raccolta dei dati^[3].

Le informazioni rilevanti per la tua assistenza continuativa, come i dettagli su allergie scoperte durante uno studio, possono essere condivise con il tuo medico curante abituale. Se nell'ambito della sperimentazione viene raccolto materiale genetico come il DNA, è contrario alle regole che un ricercatore lo utilizzi per scopi diversi da quelli approvati per lo studio e a te spiegati in anticipo^[6]. Negli studi disciplinati dall'HIPAA, il tuo modulo di autorizzazione dovrebbe anche specificare quali categorie di personale o soggetti esterni sono autorizzati a ricevere le tue informazioni sanitarie identificabili, e per quale scopo. Controllare questa sezione del modulo può indicarti se la divulgazione è limitata al solo team di studio o estesa a laboratori esterni, organismi di monitoraggio o altri collaboratori^[2].

Prima che uno studio possa iniziare, un comitato etico o di revisione indipendente esamina il piano per la tutela della sicurezza e dei diritti dei partecipanti, incluse le modalità di gestione dei loro dati^[6]. Nel sistema statunitense, questo ruolo di vigilanza indipendente è spesso svolto da un institutional review board, che esamina anche il piano specifico per l'uso e la divulgazione delle informazioni sanitarie protette prima di concedere l'approvazione^[2].

Per quanto tempo vengono conservati i dati della sperimentazione dopo la fine dello studio?

I periodi di conservazione differiscono tra gli identificativi diretti e il resto dei dati di ricerca. In una grande sperimentazione, il promotore ha conservato gli identificativi diretti dei partecipanti, come i nomi, per un massimo di un anno dopo la conclusione dello studio^[3].

Tipo di dato	Periodo di conservazione	Motivo
Identificativi diretti (es. nome)	Fino a 1 anno dopo la fine dello studio	Chiusura amministrativa dello studio[3]
Identificativi diretti, partecipante minore di 18 anni	Fino al compimento dei 21 anni da parte del partecipante	Termine di prescrizione per i minori[3]
Altri dati personali (di ricerca)	Almeno 25 anni dopo la fine dello studio	Conformità alla normativa applicabile[3]

Questi periodi specifici provengono da una determinata sperimentazione condotta nel Regno Unito e sono riportati qui a titolo illustrativo. Il periodo di conservazione esatto per lo studio a cui ti viene chiesto di partecipare sarà indicato nei tuoi documenti di consenso, e puoi chiedere direttamente al team di ricerca qualora non fosse chiaro. I lunghi periodi di conservazione dei dati di ricerca sono generalmente pensati per consentire che i risultati vengano verificati, riprodotti o rianalizzati anni dopo la conclusione di una sperimentazione. Questo è uno dei motivi per cui la cancellazione completa dei dati di ricerca su richiesta non è sempre agevole^[3].

I tuoi dati possono essere condivisi con altri ricercatori dopo la fine della sperimentazione?

Alcune organizzazioni che conducono sperimentazioni dispongono di politiche formali per condividere i dati dello studio con altri ricercatori qualificati, una volta pubblicati i risultati principali dello studio, tutelando al contempo la privacy e la riservatezza del paziente. Le richieste di riutilizzo dei dati della sperimentazione vengono in genere valutate per il loro merito scientifico e verificate rispetto al consenso già espresso dal paziente e ai requisiti legali applicabili, prima che i dati vengano rilasciati^[7].

Se partecipi a una sperimentazione in cui è prevista questo tipo di condivisione dei dati, tale possibilità dovrebbe esserti spiegata nelle informazioni che ricevi prima di prestare il consenso. In questo modo saprai che i tuoi dati (pseudonimizzati) potrebbero essere utilizzati in futuro per ulteriori ricerche nella stessa area patologica. Questo tipo di uso secondario viene generalmente presentato come un beneficio per i futuri pazienti, poiché mettere in comune i dati di più studi può aiutare i ricercatori a rispondere a domande a cui nessuna singola sperimentazione sarebbe stata sufficientemente ampia per rispondere da sola. Allo stesso tempo, proprio per questo motivo vale la pena verificare, in fase di consenso, se tale condivisione secondaria sia limitata a specifiche aree patologiche o partner di ricerca, oppure lasciata aperta^[7].

Quali diritti puoi esercitare, e cosa succede se ti ritiri dalla sperimentazione?

La partecipazione a una sperimentazione clinica è volontaria e puoi scegliere di ritirarti dalla sperimentazione in qualsiasi momento^[6]. Il GDPR stabilisce specifici diritti dell'interessato, tra cui il diritto di accesso ai tuoi dati (articolo 15), il diritto di rettifica (articolo 16) e il diritto alla cancellazione, chiamato anche "diritto all'oblio" (articolo 17)^[8].

Hai anche diritto a essere informato su come i tuoi dati vengono raccolti e utilizzati (articoli 13 e 14) e diritto di opporti a determinati tipi di trattamento (articolo 21)^[8]. Se desideri smettere di ricevere comunicazioni relative allo studio, come le newsletter sull'avanzamento della sperimentazione, in genere puoi disattivarle in qualsiasi momento tramite lettera, telefono o e-mail, come spiegato nelle informazioni per i partecipanti di una grande sperimentazione^[3].

La possibilità di cancellare i tuoi dati una volta che ti sei ritirato da una sperimentazione può dipendere da quanto lo studio sia già avanzato. Alcuni dati raccolti in precedenza potrebbero già essere necessari per preservare la validità scientifica dei risultati della sperimentazione. Chiedi al team di ricerca cosa succede esattamente ai tuoi dati se decidi di ritirarti dalla sperimentazione, prima di firmare il modulo di consenso^[5]. Negli studi soggetti all'HIPAA, è possibile revocare l'autorizzazione all'uso futuro delle proprie informazioni sanitarie, sebbene ciò generalmente non riguardi le informazioni già utilizzate o divulgate mentre l'autorizzazione era in vigore. In altre parole, il ritiro dalla sperimentazione di norma interrompe la raccolta o l'uso futuro dei tuoi dati, senza annullare quanto già avvenuto in precedenza^[2].

Cosa dovresti chiedere al team di ricerca prima di accettare di partecipare?

• Chi è il titolare del trattamento per questo specifico studio, e come puoi contattarlo?^[1]
• Quali parti della tua cartella clinica esistente saranno consultate per questo studio?^[1]
• In che modo i tuoi dati saranno codificati o pseudonimizzati, e chi può comunque vedere i dettagli identificativi?^[6]
• Per quanto tempo saranno conservati rispettivamente i tuoi dati identificabili e i tuoi dati di ricerca?^[3]
• I tuoi dati (pseudonimizzati) saranno condivisi con altri ricercatori dopo la sperimentazione, e a quali condizioni?^[7]
• Cosa succede in concreto ai tuoi dati se ti ritiri dalla sperimentazione prima della fine dello studio?^[5]
• Se lo studio si svolge negli Stati Uniti, cosa dice il tuo modulo di autorizzazione HIPAA riguardo a chi può ricevere le tue informazioni sanitarie e per quanto tempo?^[2]

Quando dovresti contattare direttamente il team di ricerca o un referente per la protezione dei dati?

Contatta direttamente il team di ricerca se il modulo di consenso non indica chiaramente chi è il titolare del trattamento, per quanto tempo verranno conservati i tuoi dati, o se i tuoi dati saranno condivisi al di fuori dello studio^[3]. Dovresti inoltre chiedere, prima di accettare di partecipare, se non sei certo su quali delle tue cartelle cliniche esistenti verranno esaminate per lo studio^[1].

Se desideri esercitare un diritto specifico in materia di protezione dei dati, come l'accesso ai tuoi dati o l'opposizione a un particolare utilizzo, chiedi al team di ricerca come presentare tale richiesta. I tuoi documenti di consenso dovrebbero indicare un punto di contatto a tale scopo^[8]. Se partecipi a uno studio condotto negli Stati Uniti e hai domande sulla tua autorizzazione HIPAA, l'ufficio ricerca o privacy dell'istituto è di norma il referente appropriato^[2].

Riepilogo

I tuoi dati in una sperimentazione clinica sono protetti da due livelli di normativa europea che agiscono insieme: il Regolamento sulle sperimentazioni cliniche, che stabilisce obblighi di riservatezza a carico del promotore e dello sperimentatore, e il GDPR, che ti attribuisce diritti specifici sui tuoi dati personali e richiede una base giuridica lecita per il loro trattamento^[5]. In pratica, ciò significa che le tue informazioni identificabili sono accessibili a un gruppo ristretto di persone, i tuoi dati di lavoro sono di norma codificati, e si applicano periodi di conservazione chiari sia per i tuoi identificativi sia per i tuoi dati di ricerca^[8].

Prima di accettare di partecipare a qualsiasi sperimentazione, leggi con attenzione la sezione sulla protezione dei dati dei tuoi documenti di consenso e chiedi direttamente al team di ricerca tutto ciò che non ti risulta pienamente chiaro – in particolare chi controlla i tuoi dati, per quanto tempo vengono conservati e cosa succede se decidi di ritirarti dalla sperimentazione^[3].

1. [1] Patient data and research leaflet (consultato il 2 giugno 2026) – https://www.hra.nhs.uk/planning-and-improving-research/policies-standards-legislation/data-protection-and-information-governance/gdpr-guidance/templates/template-wording-for-generic-information-document/
2. [2] HIPAA Questions and Answers Relating to Research (consultato il 2 giugno 2026) – https://www.hopkinsmedicine.org/institutional-review-board/hipaa-research/faq-research
3. [3] What about my data privacy? (consultato il 2 giugno 2026) – https://www.recoverytrial.net/uk/study-faq/data-privacy
4. [4] Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (General Data Protection Regulation) (consultato il 2 giugno 2026) – https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng
5. [5] Questions and Answers on the interplay between the Clinical Trials Regulation and the General Data Protection Regulation (consultato il 2 giugno 2026) – https://health.ec.europa.eu/document/download/c3042973-b36d-4094-a1fb-a6fc980f065e_en
6. [6] Clinical Trials (consultato il 2 giugno 2026) – https://my.clevelandclinic.org/clinical-trials
7. [7] Data Sharing – A Vital Part Of EORTC's Remit (consultato il 2 giugno 2026) – https://www.eortc.org/blog/2018/05/07/data-sharing-a-vital-part-of-eortcs-remit/
8. [8] General Data Protection Regulation (GDPR) – Legal Text (consultato il 2 giugno 2026) – https://gdpr-info.eu/