GDPR complica lucrurile si in industria farma

Problema calitatii societatilor implicate in studiile clinice

Unul dintre domeniile cele mai afectate de noile norme de protectia datelor cu caracter personal este industria farmaceutica. In particular, subiectul vizat de acest articol este cazul studiilor clinice. Tema este una extrem de interesanta avand in vedere faptul ca sunt prelucrate categorii speciale de date cu caracter personal, anume date privind starea de sanatate si/sau date genetice ale participantilor la studiu. Fireste ca sunt prelucrate si date ale angajatilor sponsorilor, ale investigatorilor si asa mai departe, insa in cele ce urmeaza vom trata chestiunea calitatii entitatilor implicate in studiul clinic din perspectiva subiectilor ca persoane vizate.

Astfel, atunci cand vorbim despre calitatea sponsorului raportat la normele Regulamentului nr. 679/2016 (pe scurt, Regulamentul), opinia relativ unanima este ca acesta va fi considerat ca fiind operatorul de date, din moment ce scopul si mijloacele prelucrarii sunt stabilite de acesta, intregul studiu clinic fiind initiat si coordonat de sponsor. In consecinta, nu este neaparat determinant faptul ca sponsorul nu are, de regula, contact direct in timpul efectuarii studiului cu datele cu caracter personal prelucrate. Mai mult, nu trebuie sa uitam ca sponsorul va detine la final si va putea accesa toate datele cu caracter personal prelucrate in cadrul studiului, intrucat va primi un dosar complet (trial master file) de la CRO la finalul procedurilor, iar in plus are dreptul sa efectueze verificari periodice in timpul studiului asupra demersurilor efectuate de investigatori si de CRO.

Alte entitati implicate in studiile clinice pot fi considerate ca operatori de date asociati sau persoane imputernicite de sponsor.
Raportat la definitia termenului de persoana imputernicita a operatorului oferita de Regulament, acest rol il poate avea orice entitate desemnata de sponsor pentru prestarea unei activitati in cadrul studiului clinic (inclusiv CRO, investigatorii i vanzatorii), daca ace tia efectueaza activitati punctuale de prelucrare a datelor cu caracter personale cum sunt verificarea corelatiei dintre codurilor unice atribuite subiectilor de investigatori cu identitatea participantilor la studiu, monitorizarea realitatii datelor inregistrate de investigatori in rapoartele intocmite etc.

Trebuie insa sa precizam ca stabilirea calitatii detinute de investigatori si de CRO potrivit Regulamentului nu reprezinta o chestiune simpla i necesita o analiza a fiecarui studiu clinic in parte. Spre exemplu, in functie de situatia de fapt concreta pe care o impune studiul clinic analizat, investigatorii vor putea fi considerati ca operatori de date asociati cu sponsorii daca se bucura de autonomie la colectarea datelor subiectilor, obtinerea consimtamintelor acestora si, in general, efectuarea demersurilor si a raportarilor in cadrul studiului. Asadar, simplul fapt ca investigatorii accepta sa participe in studiul propus de sponsori si adera la liniile generale trasate de acestia nu inseamna ca devin persoane imputernicite.

Aceeasi concluzie se aplica si cazului CRO caruia i-a fost conferita suficienta autonomie operationala si decizionala in cadrul planului de dezvoltare al studiului clinic. Nu trebuie insa sa uitam ca, in marea majoritate a cazurilor, CRO este privit in acest domeniu ca un intermediar intre sponsor si investigator, a carui libertate de decizie este restransa si se limiteaza la selectarea investigatorilor, supunandu-se regulilor stricte impuse de sponsor si detinand deci calitatea de persoana imputernicita a acestuia atunci cand prelucreaza date cu caracter personal.

Intrucat calitatea atribuita participantilor, conform Regulamentului, are implicatii directe asupra raspunderii avute, este recomandat ca investigatorii, CRO si toti ceilalti subcontractanti implicati in studiul clinic, sa fie verificati de sponsor (respectiv de CRO ori de investigatori, daca ace tia au posibilitatea sa isi aleaga liber propriii subcontractanti) anterior incheierii contractului, dar si periodic, astfel incat sa se asigure faptul ca si acestia respecta normele de prelucrare a datelor. Nu trebuie uitata nici posibilitatea incheierii de asigurari impotriva riscurilor specifice privitoare la protectia datelor cu caracter personal.

In acest context si tinand seama de gradul ridicat de reglementare aplicabil domeniului studiilor clinice, este necesar sa amintim faptul ca, in baza Avizului nr. 1/2010 emis de Grupul de Lucru Articol 29, incadrarea corecta a calitatii participantilor la o prelucrare de date se va face raportat la situatia de fapt aplicabila, nu la cele agreate contractual de parti. A nu se intelege insa prin aceasta ca e necesara si utila stabilirea prin contract a atributiilor fiecareia din parti, ci doar ca in cazul in care partile au agreat contractual in alt mod decat cel care rezulta din ceea ce se intampla in fapt, o atare intelegere nu va prevala in fata persoanelor vizate si a autoritatilor competente. Consideram deci ca reglementarea prin conventia partilor a calitatii si obligatiilor acestora reprezinta un demers extrem de important, cu precizarea ca realitatea de fapt trebuie respectata la momentul incheierii unei atare conventii.

In concluzie, stabilirea rolului detinut de fiecare entitate in procesul de prelucrare a datelor cu caracter personal reprezinta un demers important ce trebuie efectuat prin raportare la fiecare studiu clinic in parte. Situatia de fapt, iar nu reglementarile contractuale, e factorul determinant atunci cand se pune problema raspunderii entitatilor implicate in prelucrarea datelor cu caracter personal in functie de calitatea detinuta. Astfel, desi putem afirma ca, de regula, sponsorii sunt operatori de date, investigatorii operatori asociati cu sponsorii, iar CRO persoane imputernicite ale operatorilor, nu trebuie sa consideram aceasta concluzie ca fiind una universal valabila, ci trebuie sa analizam fiecare studiu clinic in parte.

Cu aceeasi importanta cu care se stabilesc bugetele, termenele-limita, obligatiile si raspunderea entitatilor participante la studiul clinic trebuie tratata i chestiunea prelucrarii datelor cu caracter personal, riscul aplicarii de amenzi conform Regulamentului fiind unul ridicat in contextul in care studiile clinice in general pot afecta serios viata privata a subiectilor.