Avv. Flaviano Sanzari
Con la recente sentenza n. 1569/2017, il Tribunale di Cagliari ha annullato il provvedimento del Garante Privacy di blocco del trattamento dei dati personali contenuti in una biobanca, emesso lo scorso 6 ottobre 2016 nei confronti di una società inglese specializzata in ricerca scientifica e sviluppo di farmaci antitumorali.
Nella fattispecie, la ricorrente è una società con sede legale a Londra, che ha l'obiettivo specifico di studiare e sviluppare nuovi farmaci di precisione, che agiscono principalmente sulle cellule cancerose, con un impatto minimo sulle cellule sane.
La difficoltà nello sviluppare un farmaco con tali caratteristiche, è proprio quella di individuare con precisione i geni, ovvero i segmenti di DNA che causano le malattie tumorali, in quanto il corredo genomico di ogni individuo è influenzato da contaminazioni genetiche e ambientali.
Pertanto, allo scopo di proseguire nella propria attività di ricerca scientifica, la società ricorrente aveva acquistato dal fallimento della società Shar.Dna S.r.l., dichiarata fallita dal Tribunale di Cagliari il 27.5.2012, il complesso aziendale comprendente una banca di dati genetici e campioni biologici estratti da circa 11.700 individui abitanti in Ogliastra e appartenenti ad una comunità che, rimanendo per molti anni isolata, ha sviluppato una omogeneità genetica tale da consentire di ricostruire tracce genetiche comuni in quasi tutti i donatori, così da arrivare sino all’anno 1600.
Il complesso aziendale della Shar.Dna S.r.l., così composto, è stato aggiudicato alla ricorrente, la quale ha costituito in Italia una società ad hoc per poter proseguire in Sardegna le attività di ricerca scientifica sul genoma umano e sui farmaci antitumorali.
A distanza di pochi mesi, il Garante per la Protezione dei Dati Personali, in risposta ai reclami e le segnalazioni inoltrate da un centinaio di donatori che lamentavano l'impossibilità di esercitare i loro diritti in relazione alla revoca del consenso al trattamento dei dati personali, già rilasciato in precedenza ovvero alla manifestazione del consenso al loro trattamento da parte del nuovo titolare, ha emesso in data 6.10.2016 il provvedimento impugnato, con il quale, ai sensi degli artt. 154, comma 1, lett. d), 143, comma 1, lett. c) e 144 del Codice Privacy, ha disposto in via d'urgenza e con effetto immediato, nei confronti della società ricorrente, la misura temporanea di blocco del trattamento dei dati personali contenuti nella biobanca.
In particolare, in tale provvedimento il Garante Privacy ha posto una vera e propria questione relativa al mutamento del titolare del trattamento dei dati personali e, ritenendo necessaria una verifica sulla sussistenza di un valido presupposto legittimante rispetto al nuovo soggetto giuridico divenuto titolare del trattamento, ha ritenuto che tale presupposto debba derivare da una nuova manifestazione del consenso da parte degli interessati, previa informativa ad hoc, così come previsto dalla disciplina sulla protezione dei dati personali in relazione all'utilizzo di dati sensibili e genetici per scopi di ricerca scientifica (Autorizzazione Generale n. 8/2014 del Garante Privacy).
Il Tribunale di Cagliari, chiamato a pronunciarsi proprio su tale aspetto, pur evidenziando la sussistenza di un'ampia ed articolata motivazione sulla quale si è basato il provvedimento del Garante Privacy, ha tuttavia accolto il ricorso della società inglese, rilevando la totale assenza dei presupposti richiesti dalla legge per l'adozione del provvedimento impugnato, nonché l'omesso bilanciamento degli interessi coinvolti nel caso in esame.
Il primo aspetto che emerge nella pronuncia in esame riguarda l'assenza, nel nostro ordinamento giuridico, di una disposizione di legge che disciplini in modo specifico proprio l'ipotesi in cui l'originario titolare del trattamento dei dati personali venga sostituito da un altro titolare: tale questione, tra l'altro, sembra non essere mai stata affrontata nemmeno dalla giurisprudenza italiana di merito o di legittimità.
In tal senso, il Tribunale di Cagliari, richiamando l'Autorizzazione Generale n. 8/2014 del Garante Privacy, ha evidenziato che solamente il punto 8.1 prevede che, nel caso in cui i progetti di ricerca realizzati su dati genetici non siano direttamente collegati con quelli originari per i quali è stato originariamente acquisito il consenso informato degli interessati, è necessaria l'acquisizione di una nuova manifestazione del consenso.
Ciononostante, tuttavia, non vi è alcuna disposizione in relazione al subentro di un nuovo titolare del trattamento dei dati personali che continui a trattare i dati personali per la realizzazione dei medesimi scopi scientifici per i quali il consenso degli interessati è stato originariamente già raccolto.
Per tali ragioni, il Tribunale adito ha ritenuto errata la soluzione adottata dal Garante per la Protezione dei Dati Personali, in quanto difetta di un idoneo presupposto giuridico, non potendo condividersi la considerazione secondo la quale “l'intuitus personae appare caratteristica essenziale del conferimento del dato”.
Infatti, come risulta dalla lettura del consenso informato originario, lo stesso aveva ad oggetto la partecipazione al programma di ricerca sulle malattie complesse comuni ad alcuni paesi dell'Ogliastra, in considerazione dell'alta omogeneità genetica, che favorisce l'identificazione dei geni associati ad alcune malattie specifiche; ebbene la ricorrente ha dimostrato di perseguire le medesime finalità di ricerca scientifica per le quali è stato prestato il consenso originario.
Inoltre, richiedere una nuova manifestazione del consenso in ragione del mutamento della soggettività del titolare non può considerarsi quale presupposto sufficiente per l'adozione del provvedimento impugnato, anche in ragione del fatto che, molto spesso, laddove il titolare del trattamento dei dati personali sia una società di capitali, la stessa potrebbe mutare i suoi scopi senza mutare la sua soggettività.
In definitiva, il Tribunale si è pronunciato in favore della società ricorrente, accogliendo il ricorso e per l'effetto annullando il provvedimento di blocco del trattamento dei dati personali adottato dal Garante per la Protezione dei Dati Personali, stabilendo che l'imposizione di una misura cautelare di blocco del trattamento dei dati personali, motivata dalla necessità di acquisire una nuova manifestazione del consenso, oltre che non essere prevista da alcuna disposizione di legge, è altresì esorbitante rispetto alle finalità e alla tutela dei soggetti coinvolti, che avevano prestato originariamente il consenso, tenuto conto che la ricorrente: a) persegue le medesime finalità dell'originario titolare del trattamento dei dati personali; b) è una società operante a livello internazionale nella ricerca scientifica; c) si propone di operare stabilmente, attraverso la società italiana costituita ad hoc, nel territorio sardo l'attività di ricerca scientifica; d) non vi è motivo di ritenere che si renda responsabile di violazioni di norme di legge in materia di trattamento di dati personali; e che e) il singolo interessato può sempre esercitare i propri diritti così come previsti dal Codice in materia di protezione dei dati personali.
Related Posts
