Share
W dniu 23 stycznia 2019 r. opublikowano oficjalną Opinię nr 3/2019 Europejskiej Rady Ochrony Danych (link) dotyczącą wzajemnych relacji pomiędzy Rozporządzeniem Parlamentu Europejskiego i Rady UE nr 536/2014 z dnia 16 kwietnia 2014 r. sprawie badań klinicznych produktów leczniczych stosowanych u ludzi (dalej: „RBK”) oraz Rozporządzeniem Parlamentu Europejskiego i Rady UE nr 2016/679 z dnia 27 kwietnia 2016 r. o ochronie danych osobowych (dalej: „RODO”). Opinia pozostawia wiele otwartych pytań i niejasności interpretacyjnych.
Opinia może stać się impulsem do zmiany Dobrej Praktyki Klinicznej oraz Rozporządzenia Ministra Zdrowia w sprawie wzorów dokumentów przedkładanych w związku z badaniem klinicznym produktu leczniczego.
Jaki był cel Opinii?
Opinia miała na celu wyjaśnić niespójności interpretacyjne pomiędzy RBK a RODO. Oba rozporządzenia normują podobne obszary (ochrona danych osobowych) i zawierają wzajemne odniesienia do siebie. W toku stosowania RODO, Europejska Rada Ochrony Danych (dalej: „EROD”) zidentyfikowała następujące obszary wymagające komentarza: odpowiednie podstawy prawne przetwarzania danych osobowych, w tym: świadoma zgoda i jej wycofanie, interes publiczny oraz prawnie uzasadnione interesy administratora, a także dalsze użycie danych do celów naukowych.
Właściwe podstawy prawne przetwarzania danych osobowych w badaniach klinicznych
Na wstępie zaznaczyć należy, że w Opinii przyjęto, iż zasadniczym użyciem danych są wszystkie aktywności związane z trwaniem badania klinicznego – stanowisko to różni się od dotychczasowego, podtrzymywanego przez Grupę Roboczą Art. 29 poglądu, w którym to zasadniczym użyciem („primary use”) jest pierwsza czynność przetwarzania (np. zebranie danych), a każde inne zbieranie i przetwarzanie tych samych danych (nawet w tym samym celu) rozpatruje się jako dalsze przetwarzanie w rozumieniu art. 5 ust. 1 lit. b RODO.
EROD odróżniła od siebie różne rodzaje przetwarzania danych w zależności od jego celu. Wyróżnione zostały dwie kategorie aktywności: związane z ochroną zdrowia poprzez wykorzystanie danych w celu ustanowienia odpowiednich standardów niezawodności i bezpieczeństwa produktów leczniczych (dalej: „cele bezpieczeństwa”) oraz celów stricte badawczych (dalej: „cele badawcze”).
Cele bezpieczeństwa
Odnosząc się do przetwarzania danych osobowych w badaniach klinicznych ze względu na cele bezpieczeństwa, EROD stwierdziła, iż najwłaściwszą podstawą prawną będzie art. 6 ust. 1 lit. C RODO, a więc wykonywanie obowiązku prawnego ciążącego na administratorze, a w przypadku szczególnych kategorii danych osobowych administrator korzystać będzie z wyłączenia z art. 9 ust. 2 lit. i RODO. W Opinii wskazano w szczególności na obowiązki zgłaszania niepożądanych i poważnych zdarzeń niepożądanych przez odpowiednie podmioty (art. 41-43 RBK) oraz archiwizowania podstawowej dokumentacji badania klinicznego (art. 58 RBK) jako czynności, które powinny mieć swoje oparcie w art. 6 ust. 1 lit. c RODO oraz art. 9 ust. 2 lit. i w przypadku szczególnych kategorii danych osobowych.
Cele badawcze
Analogiczna podstawa prawna nie może mieć, według EROD, zastosowania do przetwarzania danych w celach badawczych. Właściwą podstawą przetwarzania danych w tym przypadku może być: zgoda, działanie uzasadnione interesem publicznym oraz uzasadniony interes prawny administratora.
W odniesieniu do zgody osoby należy podkreślić, iż w Opinii wyraźnie stwierdza się odrębność świadomej zgody na udział w badaniu klinicznym (art. 28 RBK) od zgody na przetwarzanie danych w związku z udziałem w badaniu (art. 6 ust. 1 lit. A oraz art. 9 ust. 2 lit. A RODO). Zgoda, która ma być podstawą przetwarzania danych w celu badawczym, musi spełniać wszystkie wymogi Wytycznych Grupy Roboczej art. 29 (https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051), w szczególności zapewniać realną możliwość wyboru pomiędzy wyrażeniem zgody lub nie i brak wpływu na jej wyrażenie (np. poprzez podporządkowanie podmiotu wydającego zgodę od administratora). Zastosowanie tej podstawy prawnej, według EROD, może być uzasadnione tylko po dokładnej analizie wszystkich okoliczności i wykluczeniu pozostałych podstaw.
Z problematyką zgody na przetwarzanie danych osobowych w badaniu klinicznym ściśle związana jest możliwość jej wycofania. Po raz kolejny EROD podkreśla różnicę na zgodę na udział w badaniu klinicznym, której wycofanie „nie ma wpływu na działania już przeprowadzone w oparciu o świadomą zgodę przed jej wycofaniem ani na wykorzystanie danych uzyskanych przed jej wycofaniem” (art. 28 ust. 3 RBK) od wycofania zgody na przetwarzanie danych. Ta druga nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem, lecz powoduje konieczność zaprzestania przetwarzania tych danych, a także, jeśli nie ma innej podstawy prawnej dla retencji w celu dalszego przetwarzania, usunięcia ich.
Poza zgodą uczestnika badań klinicznych podstawą prawną do przetwarzania jego danych mogą być interes publiczny lub prawnie uzasadnione interesy administratora. EROD wskazuje, iż ta pierwsza podstawa będzie miała zastosowanie w szczególności, gdy prawnym obowiązkiem, celem lub zadaniem administratora jest przetwarzanie danych uczestników badania klinicznego (w szczególności w ramach władztwa publicznego). W pozostałych przypadkach właściwą podstawą będzie uzasadniony interes prawny administratora. Kiedy przetwarzane dane należą do „szczególnej kategorii” w rozumieniu art. 9 RODO, ich przetwarzanie opierać się będzie na wyłączeniu z art. 9 ust. 2 lit. I w razie interesu publicznego lub art. 9 ust. 2 lit. J w przypadku uzasadnionego interesu administratora (a tak zasadniczo będzie).
Dalsze użycie danych do celów naukowych
Szczególną kwestią jest użycie danych uzyskanych w badaniu klinicznym poza tym badaniem dla celów naukowych. Co do zasady, EROD, podobnie jak Grupa Robocza art. 29, staje na stanowisku, iż wymagana jest oddzielna podstawa prawna na dalsze użycie i przetwarzanie danych. Jednakże EROD zauważa, iż w pewnych okolicznościach, zgodnie z art. 5 ust. 1 lit. B RODO, dalsze przetwarzanie nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami. Są to cele: archiwalne w interesie publicznym, badań naukowych lub historycznych albo statystyczne.
Perspektywa rynkowa
Z perspektywy rynkowej Opinia bez dwóch zdań pozostawia uczucie niedosytu. Nie odnosi się ona do wielu najważniejszych kwestii i problemów podmiotów prowadzących badania kliniczne, jak choćby wyraźne wskazanie administratora danych w badaniach klinicznych, czy też posługiwanie się podmiotami trzecimi w celu wyszukiwania pacjentów. Co więcej, odpowiedzi udzielone przez EROD nie są stanowcze i klarowne, co może czynić je niejasnymi (jak powtarzające się odwołanie do „wzięcia pod uwagę wszelkich okoliczności”). Należy jednak wskazać, że jest to usprawiedliwione ze względu na występujące różnice pomiędzy prawodawstwami państw członkowskich, co ma znaczenie szczególnie w przypadku stosowania przesłanek art. 9 ust. 2 RODO.
Należy zwrócić uwagę także, iż ze względu na wyrażoną w Opinii niepewność odnośnie do zgody jako właściwej podstawy prawnej przetwarzania danych w badaniach klinicznych, może okazać się konieczna zmiana w tym zakresie Dobrej Praktyki Klinicznej oraz Rozporządzenia Ministra Zdrowia w sprawie wzorów dokumentów przedkładanych w związku z badaniem klinicznym produktu leczniczego.
Gniewomir Wycichowski-Kuchta
Prawnik, Associate
gniewomir.wycichowski-kuchta@dzp.pl
Dzięki za fajne opisanie tematu RODO.