Ricerca medica e privacy: come usare il nuovo modello del CCNCE

Chi si occupa di ricerca clinica in Italia sa che l’informativa sul trattamento dei dati è un documento rilevante, non solo ai sensi del GDPR ma altresì sotto il profilo strettamente etico: racconta infatti al paziente “come” vengono trattati i suoi dati.

Di estremo rilievo quindi il modello di «Informativa e manifestazione del consenso al trattamento dei dati personali per finalità di ricerca in campo medico, biomedico, epidemiologico ai sensi del regolamento (UE) 2016/679», pubblicato il 13 agosto dal Centro di coordinamento nazionale dei comitati etici territoriali per le sperimentazioni cliniche sui medicinali per uso umano e sui dispositivi medici (di seguito CCNCE).

Un grande aiuto ed un passo avanti per chi lavora quotidianamente su questi documenti.

Vediamo allora come è costruito il modello, a quali ipotesi sembra riferirsi e quali sono i punti su cui chi lo utilizza dovrà lavorare in sede di compilazione.

Modello informativa CCNCE: origini e funzione

Il modello di luglio non nasce dal nulla. Nel 2023 il Centro (che svolge compiti di coordinamento, indirizzo e monitoraggio dell’attività dei comitati etici territoriali ai sensi dell’art. 2 legge 3/2028) aveva adottato il documento «Criticità etiche e normative nel trattamento dei dati personali sanitari nella ricerca osservazionale», poi trasmesso al Garante per la protezione dei dati personali;

le FAQ del CCNCE (sul sito) contengono una sezione dedicata al trattamento dei dati personali, con indicazione che orientano l’attività dei CET (Comitati Etici Territoriali): solo a titolo di esempio l’informativa al trattamento dei dati «deve essere un documento distinto rispetto all’ICF per la partecipazione allo studio clinico» (FAQ n. 14); in caso di informativa carente, «sia il Promotore/Sponsor che il Centro (oltre alla persona del PI) risponderanno, ciascuno per i propri ambiti» (FAQ n. 5); la valutazione d’impatto ai sensi dell’art. 35 GDPR «non rientra tra i compiti attribuiti al Comitato Etico dato che può essere effettuata solo dal soggetto che si qualifica titolare del trattamento dei dati» (FAQ n. 15).

Nel maggio 2026 sono poi arrivate le Linee di indirizzo per la raccolta del consenso informato alla partecipazione a sperimentazioni cliniche e la modulistica aggiornata.

Il modello del 22 luglio 2026 è quindi un ulteriore passo avanti, di ausilio non solo per i CET ma altresì per i promotori.

Ovviamente – e questo non va mai dimenticato – si tratta solo di un “modello” che va modificato e personalizzato a seconda del caso concreto: lo chiarisce il documento stesso che chiarisce in apertura che si tratta di «uno strumento di ausilio alla redazione» e resta «responsabilità del titolare del trattamento, in virtù del principio di responsabilizzazione», predisporre un documento completo e coerente.

Il rischio dei modelli – questo accade sempre, ma ancor di più in questa materia – è che vengano compilati come formulari.

Modello informativa CCNCE e ambito del consenso

Il primo esercizio da fare, davanti a un modello, è capire a quale fattispecie si riferisce.

Dalla formulazione del documento sembrerebbe di capire che l’ambito di applicazione sia quello degli studi medici, biomedici ed epidemiologici in cui la base giuridica del trattamento è il consenso dell’interessato.

Il titolo richiama l’art. 13 GDPR, cioè l’informativa resa quando i dati sono raccolti presso l’interessato; la sezione sui titolari afferma che l’Ente e il Promotore tratteranno i dati «solo su Suo previo, specifico ed esplicito consenso»; la sezione sulla base giuridica propone come esempio di compilazione «il consenso esplicito prestato dall’interessato per le specifiche finalità dello Studio ai sensi dell’art. 6, par. 1, lett. a) e dell’art. 9, par. 2, lett. a) del GDPR». E il documento si chiude con una dichiarazione di consenso.

Su questo punto occorre però intendersi bene: il fatto che questo modello sia costruito sul consenso non significa affatto che il consenso sia l’unica base giuridica utilizzabile per la ricerca in ambito sanitario. Il perimetro dello strumento non è il perimetro della materia.

Le alternative al consenso nella ricerca medica

Restano infatti fuori dal modello — ma non dall’ordinamento — almeno tre ipotesi

Il primo è quello dell’art. 110 del D.Lgs. 30 giugno 2003, n. 196 (Codice Privacy), come modificato dall’art. 44, comma 1-bis, del D.L. 19/2024, convertito con modificazioni dalla legge 56/2024: sul piano sistematico, l’art. 110 non è una base giuridica ai sensi dell’art. 6 GDPR: è la disposizione nazionale che, in attuazione dell’art. 9, par. 2, lett. j), GDPR, rende non necessario il consenso per il trattamento dei dati relativi alla salute a fini di ricerca medica, biomedica ed epidemiologica, nei casi che la norma individua.

Dopo la riforma del 2024 non è poi più prevista la consultazione preventiva del Garante, ma è l’Autorità a individuare le garanzie da osservare ai sensi dell’art. 106, comma 2, lett. d), del Codice:

garanzie oggi contenute nel provvedimento n. 298 del 9 maggio 2024. In queste ipotesi — il caso classico è quello di uno studio retrospettivo su dati di cartella clinica — l’informativa, quando dovuta, si costruisce sull’art. 14 GDPR, con le esenzioni del par. 5, lett. b).

La seconda ipotesi è quella dell’interesse pubblico ex art. 6, par. 1, lett. e), GDPR. Come ho già avuto modo di commentare su questa rivista, le Linee guida EDPB 1/2026 sul trattamento dei dati personali a fini di ricerca scientifica (adottate il 15 aprile 2026, oggi sotto consultazione pubblica) hanno chiarito al par. 58 che questa base non è riservata agli enti pubblici: anche i soggetti privati possono avvalersene, quando l’atto giuridico che la prevede riguardi la loro attività. Le stesse linee guida riconoscono poi al par. 61 il legittimo interesse ex art. 6, par. 1, lett. f), utilizzabile per la ricerca scientifica anche a fini commerciali (seppure nel perimetro della ricerca medica questa base appare di più complessa applicazione).

La terza ipotesi è la più recente, ed è quello che merita maggiore attenzione da parte di chi lavora nella sanità digitale.

L’art. 8 della legge 23 settembre 2025, n. 132 in materia di intelligenza artificiale dichiara di rilevante interesse pubblico (ai sensi dell’art. 9, par. 2, lett. g), GDPR) i trattamenti eseguiti da soggetti pubblici, privati senza scopo di lucro, IRCCS e privati del settore sanitario che partecipino a progetti con tali soggetti, «per la ricerca e la sperimentazione scientifica nella realizzazione di sistemi di intelligenza artificiale» per finalità di prevenzione, diagnosi e cura, sviluppo di farmaci e terapie, realizzazione di apparati medicali, salute pubblica e studio della fisiologia e della biomeccanica umana. Il comma 2 va anche oltre: autorizza l’uso secondario dei dati privi di identificativi diretti, senza ulteriore consenso, con un’informativa che può essere assolta anche in forma generale sul sito web del titolare.

Si tratta quindi di casi in cui la ricerca non è basata sul consenso, ma su altre basi giuridiche. Ciò ovviamente – ma vale la pena ricordarlo perché spesso questo passaggio sfugge – non fa venir meno l’obbligo della informativa ex art. 13 o 14 GDPR: in questi casi il modello presentato potrà certamente essere tenuto in considerazione come “struttura base”, ma seguirlo pedissequamente sarebbe senza dubbio un errore.

Chi compila deve sapere, in sostanza, che sta scegliendo uno strumento che non copre tutte le ipotesi di trattamento dato nella ricerca.

Titolari e contitolari nel modello informativa CCNCE

Per la definizione dei ruoli soggettivi il modello propone due varianti alternative, separate da un «Oppure»: l’ipotesi dei titolari autonomi, ciascuno per gli ambiti di propria competenza e in coerenza con le Norme di Buona Pratica Clinica, e quella della contitolarità ex art. 26 GDPR, con accordo scritto da mettere a disposizione dell’interessato. Una nota a piè di pagina del modello ricostruisce correttamente le posizioni: il Promotore titolare per i trattamenti di cui determina finalità e mezzi (disegno dello studio, analisi dei risultati, adempimenti regolatori e farmacovigilanza), il Centro titolare per i dati trattati nell’ambito dell’assistenza e per la conduzione dello studio presso la struttura.

L’impostazione è condivisibile. Sul piano operativo, però, la scelta fra le due varianti non è una preferenza redazionale: è l’esito di una valutazione fattuale, che va condotta e documentata. Ed il par. 26 delle Linee guida EDPB 1/2026 aggiunge un tassello (spesso dimenticato nella pratica): quando il titolare A trasmette dati al titolare B perché li tratti per le proprie finalità di ricerca, ciascuno dei due deve individuare autonomamente la propria base giuridica ex art. 6, par. 1, la propria condizione ex art. 9, par. 2, e verificare le eventuali condizioni aggiuntive ex art. 9, par. 4.

Un secondo profilo merita attenzione in sede di compilazione. La variante dei titolari autonomi afferma che entrambi i titolari tratteranno i dati «solo su Suo previo, specifico ed esplicito consenso»: affermazione corretta per il trattamento connesso alla conduzione dello studio, ma che va coordinata con i trattamenti che nello stesso documento poggiano su basi diverse (ad esempio la farmacovigilanza o la dispositivovigilanza) basate sull’art. 6, par. 1, lett. c) e art. 9 par. 2 lett. i). Chi compila farà bene ad allineare le due affermazioni, perché è da lì che nascono i fraintendimenti sul significato della revoca.

Ricerca futura nel modello CCNCE: consenso e compatibilità

Veniamo al passaggio sulla ricerca futura, il punto certamente più innovativo del documento che, cogliendo lo spirito delle recenti Linee Guida dell’EDPB sulla ricerca, sembra allargare le maglie interpretative della materia (e qui sarebbe molto interessante sapere – ma non lo sappiamo – se il Garante ha avvallato questo documento).

Nella sezione sulle finalità il modello inserisce un riquadro dedicato alla ricerca futura, che richiama l’art. 5, par. 1, lett. b), e il considerando 33 del GDPR, stabilendo che «gli interessati possono esprimere uno specifico consenso ad un ulteriore utilizzo dei dati personali per future attività di ricerca compatibili con le finalità per le quali i dati sono stati raccolti e trattati» e precisando che tale consenso è libero.

L’apertura è importante, perché intercetta un problema reale: al momento dell’arruolamento le finalità della ricerca futura non sono conoscibili. È qui poi che il richiamo normativo va integrato con quanto l’EDPB ha messo a fuoco nelle Linee guida 1/2026, perché i due piani — la compatibilità delle finalità e la liceità del trattamento — restano distinti.

Vediamo allora il meccanismo.

L’art. 5, par. 1, lett. b), GDPR contiene una presunzione: l’ulteriore trattamento a fini di ricerca scientifica non è considerato incompatibile con le finalità iniziali. La conseguenza, che l’EDPB enuncia al par. 19, è che il titolare non deve svolgere il test di compatibilità dell’art. 6, par. 4. Fin qui il modello coglie nel segno.

Ma la presunzione riguarda la limitazione della finalità, non la liceità: «la questione della compatibilità delle finalità non deve essere confusa con il principio di liceità» (par. 21). E al par. 22 l’EDPB precisa che, se in molti casi il titolare potrà avvalersi della stessa base giuridica del trattamento iniziale — accade quando quella base è l’interesse pubblico o il legittimo interesse — ciò «non è invece sempre possibile» quando il trattamento iniziale si fondava sul consenso o su un obbligo legale. La ragione è strutturale: il consenso copre le finalità dichiarate, e una finalità nuova può eccederle.

Il broad consent e le garanzie da definire

Tradotto per chi compila un’informativa costruita sul consenso: la presunzione di compatibilità non è, da sola, ciò che rende utilizzabili i dati per la ricerca futura: serve un consenso costruito in modo da reggerla. E su questo punto l’EDPB ha finalmente riconosciuto la liceità del c.d. broad consent: il par. 40 delle Linee guida ammette che il titolare raccolga il consenso «in un determinato settore della ricerca scientifica, qualora le finalità della ricerca non siano pienamente note al momento della raccolta dei dati». Il meccanismo poggia sulla delimitazione dell’area di ricerca (par. 45) e sulle garanzie compensative (parr. 48-50), nonché sul controllo a valle (par. 46).

Cosa significa tutto questo per chi utilizza il modello del CCNCE? Se i contenuti delle Linee Guida verranno confermati in sede di approvazione, il titolare dovrà indicare più specificamente l’area di ricerca cui il consenso si riferisce e la descrizione delle garanzie adottate. Un consenso alla «ricerca in campo oncologico», con una pagina web che elenca i progetti attivati e le revisioni del comitato etico potrebbe reggere; un consenso alle «future attività di ricerca compatibili» certamente no.

Una precisazione doverosa sullo stato delle fonti: oggi le Linee guida EDPB 1/2026 non sono ancora state adottate, e sul medesimo punto di diritto è in discussione la proposta di regolamento c.d. Digital Omnibus (COM(2025) 837 final del 19 novembre 2025), che intende codificare la presunzione di compatibilità indipendentemente dalle condizioni dell’art. 6, par. 4: per entrambi aspettiamo di capire come sarà l’esito finale

Conservazione dei dati nel modello informativa CCNCE

La sezione sulla conservazione lascia in bianco il numero di anni, con l’avvertenza — corretta — di indicare un periodo coerente con i principi di minimizzazione e limitazione della conservazione. Aggiunge poi che i dati e i campioni biologici potranno essere conservati per future attività di ricerca, previa adeguata informazione e consenso specifico e distinto.

Due promemoria per chi compila.

Il primo riguarda la conservazione «in vista di» ricerche future. Le Linee guida EDPB 1/2026 (parr. 29-31) chiariscono che l’art. 5, par. 1, lett. e), consente la conservazione prolungata, ma che la conservazione per finalità di ricerca generiche, priva di qualsiasi specificazione, non è giustificabile: occorre indicare almeno l’area di ricerca, valutare quali categorie di dati siano effettivamente necessarie e riesaminare periodicamente la necessità della conservazione, anche quanto alla forma in cui i dati vanno mantenuti.

Il secondo riguarda proprio la forma. Il modello prevede che al termine del periodo i dati «saranno eliminati». Vale la pena valutare (il modello non lo inserisce ma io credo sia una integrazione opportuna) se accanto alla cancellazione non sia opportuno prevedere anche l’anonimizzazione, che nella ricerca è spesso la soluzione più efficiente. Peraltro lo standard di anonimizzazione è oggi in ridefinizione, con le Linee guida EDPB 02/2026, adottate il 7 luglio 2026 e in consultazione pubblica fino al 30 ottobre 2026, dopo la sentenza CGUE, 4 settembre 2025, C-413/23 P, EDPS c. SRB.

Sul punto il modello merita del resto un riconoscimento: la descrizione della pseudonimizzazione — sostituzione del nominativo con un codice, chiave conservata dal personale autorizzato del Centro, possibilità di ricollegare i dati in caso di visita di controllo, ispezione o audit — è chiara e corretta, e va nella direzione indicata dall’EDPB al par. 164, dove si raccomanda di non dare all’interessato l’impressione che i suoi dati saranno resi anonimi quando in realtà resteranno indirettamente identificabili.

Modello CCNCE e trasferimenti di dati verso Paesi terzi

La sezione sui trasferimenti extra-SEE ricostruisce con precisione la gerarchia del Capo V del GDPR — decisione di adeguatezza, garanzie adeguate ex art. 46, deroghe dell’art. 49 — e chiede poi di indicare, su una riga da compilare, la condizione che rende lecito il trasferimento nel caso concreto (tra cui anche il consenso al trasferimento extra UE).

È un campo su cui occorre richiamare la massima attenzione. Ciò per due ragioni.

La prima è di sistema. Il consenso esplicito dell’interessato, che (attenzione) l’art. 49, par. 1, lett. a), GDPR ammette dopo che questi sia stato informato dei possibili rischi del trasferimento, è una deroga. Per costante impostazione dell’EDPB (Linee guida 2/2018 sulle deroghe dell’art. 49, adottate il 25 maggio 2018) le deroghe sono di stretta interpretazione e coprono trasferimenti occasionali e non ripetitivi.

Il flusso continuativo dei dati di uno studio verso un promotore stabilito fuori dallo Spazio economico europeo non è né occasionale né non ripetitivo: la strada corretta, di regola, passa dall’adeguatezza o dalle garanzie dell’art. 46. Quindi è vero che il modello richiama il consenso, ma è altrettanto vero che il consenso non è lo strumento migliore.

La seconda è pratica, e riguarda chi materialmente riempie quella riga. Le modalità di trasferimento dei dati attengono ad una sfera di conoscenza che spesso non appartengono al ricercatore: occorre infatti sapere dove vanno i dati, a quale titolo, con quale strumento del Capo V e con quali misure supplementari. È una decisione del titolare, su cui il ricercatore può solo assumere informazioni.

Dichiarazione di consenso nel modello informativa CCNCE

La dichiarazione finale del modello prevede due coppie di caselle «Acconsento / Non acconsento». La prima è riferita al trattamento dei dati per gli scopi inerenti allo Studio, con l’indicazione — fra parentesi quadre, come istruzione di compilazione — di aggiungere il riferimento al trasferimento fuori dall’Unione europea, ove ricorra. La seconda coppia non sembra portare un oggetto esplicitato (ma forse è solo frutto di una impaginazione imprecisa).

Chi utilizza il modello farà bene a intervenire proprio qui, allineando le caselle alle finalità dichiarate nel corpo dell’informativa.

Se si prevede la ricerca futura, serve una casella dedicata. La sezione sulle finalità precisa che occorre uno «specifico consenso», e la sezione sulla conservazione promette un consenso «specifico e distinto rispetto a quello rilasciato per lo Studio principale»: la dichiarazione finale deve quindi allinearsi quella promessa, altrimenti la specificità resta enunciata e non raccolta.

Se si prevede il trasferimento extra-SEE fondato sul consenso, la relativa manifestazione va tenuta distinta da quella sullo Studio. Accorparle espone al rischio che la partecipazione risulti condizionata all’accettazione del trasferimento, con le conseguenze note in punto di libertà del consenso (art. 7, par. 4, GDPR).

Va infine tenuta ferma la distinzione — che le Linee guida EDPB 1/2026 trattano ai parr. 53-55 — fra il consenso a partecipare alla ricerca, richiesto da norme etiche e regolatorie ed il consenso quale base giuridica ai sensi del GDPR. L’EDPB ammette espressamente che le due richieste convivano nella stessa interfaccia o nello stesso modulo, purché siano chiaramente distinguibili ai sensi dell’art. 7, par. 2, GDPR. È esattamente la linea che il CCNCE aveva già tracciato nella FAQ n. 14, quando ha chiarito che l’informativa sul trattamento dei dati è documento distinto rispetto al modulo di consenso informato allo studio.

Modello informativa CCNCE: applicazione e organizzazione

Senza dubbio un plauso a chi ha lavorato alla redazione a questo documento.

Un richiamo di attenzione al contesto in cui il modello verrà usato.

Il documento contiene oltre venti spazi da compilare. I quattro che decidono la conformità — l’elenco dei responsabili del trattamento, la base giuridica, i tempi di conservazione e la condizione di liceità del trasferimento verso Paesi terzi — richiedono tutti una conoscenza del flusso dei dati che il ricercatore principale, nella grande maggioranza dei casi, non ha. E, onestamente, non deve neppure avere: il ricercatore non è un giurista, e la mappatura dei flussi di dati non rientra fra le competenze che gli si chiedono.

Nella prassi, però, l’informativa privacy finisce quasi sempre sulla sua scrivania.

È qui che il modello, da solo, non può bastare: uno strumento di ausilio alla redazione presuppone che chi lo usa sappia già come “girano” i dati.

Il flusso operativo da riorganizzare

La vera svolta sta nella riorganizzazione del flusso e della procedura

• attribuendo formalmente la redazione dell’informativa privacy all’ufficio privacy o al DPO del titolare, riservando allo sperimentatore la fornitura dei dati clinici e procedurali dello studio;
• dotando il PI di una checklist di raccolta delle informazioni necessarie, che copra almeno responsabili del trattamento e attività loro affidate, destinatari, localizzazione dei server, trasferimenti extra-SEE e relativo strumento del Capo V, tempi di conservazione dei dati e dei campioni;
• accompagnando il modello con istruzioni di compilazione che spieghino, campo per campo, che cosa va scritto e chi lo deve fornire;
• definendo (nel caso) prima l’area per la ricerca futura e le garanzie a corredo, e allineando la dichiarazione di consenso alle finalità dichiarate;
• rivedendo i modelli già in uso alla luce delle Linee guida EDPB 1/2026 (appena saranno adottate)

Spiace dirlo ma, nella realtà dei fatti, l’informativa nella ricerca clinica continua ad essere trattata come un adempimento documentale: Il modello del CCNCE la riporta dove deve stare: fra gli atti del titolare, costruiti sulla conoscenza effettiva dei trattamenti.

È il passaggio dalla conformità dichiarata alla conformità organizzata — lo stesso movimento che attraversa oggi tutto il diritto europeo dei dati sanitari, dallo spazio europeo dei dati sanitari alle regole sull’intelligenza artificiale in sanità.

Il modello, insomma, è un grande passo avanti. Il passo successivo non è un altro documento: è farlo scrivere a chi conosce il flusso dei dati.