La protección n de datos en ensayos clínicos

Transcripción

1 La protección n de datos en ensayos clínicos Lourdes Fraguas Gadea Directora Departamento Jurídico FARMAINDUSTRIA Madrid, 14 de octubre de

2 Farmaindustria (i) Asociación Nacional Empresarial de la Industria Farmacéutica establecida en España. Agrupa la gran mayoría de laboratorios farmacéuticos, que representan la práctica totalidad de las ventas de medicamentos de prescripción en España. La Industria farmacéutica investiga, desarrolla, produce y comercializa productos farmacéuticos, medicamentos. Precisamente por ello, el sector farmacéutico está muy regulado, al estar centrada su actividad en proteger al máximo la salud de los ciudadanos. 2

3 Farmaindustria (ii) Objetivos de la Asociación: Colaborar con las Administraciones Públicas para configurar un marco regulador y económico estable que propicie el crecimiento equilibrado del mercado, el aumento de las actividades de I+D y el desarrollo de la industria farmacéutica. Potenciar la percepción pública de la industria farmacéutica y del medicamento, transmitiendo a ciudadanos, líderes de opinión y responsables públicos el valor que aportan las medicinas a nuestro progreso social y a nuestra calidad de vida. Proporcionar servicios de valor añadido a los laboratorios asociados en los campos de la información, el asesoramiento y la colaboración empresarial. Representar a la industria farmacéutica establecida en España, tanto a nivel nacional como internacional. Últimos años: años de estrecho seguimiento de la Industria Farmacéutica por las autoridades en muchos ámbitos de su actividad (competencia, protección de datos personales en estudios clínicos y farmacovigilancia). 3

4 Marco y Habilitación Normativa (i) Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. (Artículo 32.1) Artículo 32.1: Mediante acuerdos sectoriales, convenios administrativos o decisiones de empresa, los responsables de tratamientos de titularidad pública y privada, así como las organizaciones en que se agrupen, podrán formular códigos tipo que establezcan las condiciones de organización, régimen de funcionamiento, procedimientos aplicables, normas de seguridad del entorno, programas o equipos, obligaciones de los implicados en el tratamiento y uso de la información personal así como las garantías en su ámbito Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. (Artículo 71.1) Artículo 71.1: Los códigos tipo a los que se refiere el artículo 32 de la Ley Orgánica 15/1999, de 13 de diciembre, tienen por objeto adecuar lo establecido en la citada Ley Órgánica y en el presente reglamento a las peculiaridades de los tratamientos efectuados por quienes se adhieren a los mismos. A tal efecto, contendrán reglas o estándares específicos que permitan armonizar los tratamientos de datos efectuados por los adheridos, facilitar el ejercicio de los derechos de los afectados y favorecer el cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y el presente reglamento. Los artículos 72 y ss. regulan los requisitos, estructura y procedimiento de inscripción en la AEPD. 4

5 Marco y Habilitación Normativa (ii) Ley 29/2006, de 26 de julio de garantías y uso racional de los medicamentos y productos sanitarios. Real Decreto 223/2004, de 6 de febrero, por el que se regulan los ensayos clínicos con medicamentos. Real Decreto 1345/2007, de 11 de octubre, por el que se regula el procedimiento de autorización, registro y condiciones de dispensación de los medicamentos de uso humano. Orden SCO/256/2007, por la que se establecen los principios y directrices detalladas de BPC y los requisitos para la fabricación e importación de medicamentos en investigación. Orden SCO/362/2008, modifica orden SCO/256/2007. Normas de BPC (CPMP/ICH/135/95). 5

6 Definiciones (i) Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables. Datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética. 6

7 Definiciones (ii) Dato disociado: aquél que no permite la identificación de un afectado o interesado. Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados. Procedimiento de disociación: Todo tratamiento de datos personales que permita la obtención de datos disociados. 7

8 Definiciones (iii) Dato anonimizado o irreversiblemente disociado: dato que no puede asociarse a una persona identificada o identificable por haberse destruido el nexo con toda información que identifique al sujeto, o porque dicha asociación exige un esfuerzo no razonable, entendiendo por tal el empleo de una cantidad de tiempo, gastos y trabajo desproporcionados. Dato codificado o reversiblemente disociado: dato no asociado a una persona identificada o identificable por haberse sustituido o desligado la información que identifica a esa persona utilizando un código que permita la operación inversa. 8

9 Ámbito de la protección jurídica de los datos personales: Tipo de Datos La normativa de protección de datos se aplica a: Datos personales relativos a personas identificadas: aparecen vinculados con la persona respecto de la que aportan información. Datos relativos a personas identificables: se trata de datos que no se asocian directamente a una persona determinada, pero es fácil vincular esos datos a la persona a la que se refieren. Codificados o pseudoanonimizados. 9

10 Proceso elaboración del Código Tipo de Farmaindustria Finalidad: realizar un adecuado tratamiento de los datos personales (datos de salud) de los sujetos que se someten a un estudio clínico y de los consumidores que experimentan una reacción adversa a un medicamento. Cronología de actuaciones: De 2006 a 2008: reuniones de diferentes Grupos de Trabajo de Farmaindustria para la elaboración de un borrador de Código-Tipo. 16/07/08: el Consejo de Gobierno acordó la remisión del texto a la AEPD. 29/09/08: presentación del documento en Registro. 02/06/09: publicación en BOE apertura del periodo de información pública. 17/06/09: Resolución del Director AEPD procede a la inscripción del Código Tipo de Farmaindustria en el Registro General de Protección de Datos. Grupos de Trabajo que han participado en la elaboración del Código: Grupo Investigación Clínica (GF IC). Grupo Ad Hoc (Voluntarios de AstraZeneca, Esteve, MSD, Pfizer y Roche. Investigador y miembro CEIC Hospital Universitario La Princesa). Grupo Funcional de Farmacovigilancia (GF FV). Grupo Ad Hoc (Voluntarios de Abbott, Lilly, MSD y Sanofi-Aventis). Grupos de Protección de Datos Personales y Servicios Jurídicos. Farmaindustria (Departamentos Técnico y Jurídico). Asesores Externos (Landwell). 10

11 Estructura del Código: Introducción. Marco Normativo. Definiciones. Código Tipo de FI de IC y FV (i) Protocolos de actuación (SOPs): Ensayos Clínicos Farmacovigilancia Derechos ARCO Autorregulación Sistema de adhesión y acreditación. Formación. 11

12 Ámbito de Aplicación: Código Tipo de FI de IC y FV (ii) Subjetivo: asociados a Farmaindustria, no asociados y CRO (Contract Research Organizations) que presten servicios por cuenta de los laboratorios farmacéuticos para los estudios para los que los laboratorios farmacéuticos sean promotores, y manifiesten expresamente su adhesión al Código Tipo. Deber de diligencia. Colaboración resto de agentes. Objetivo: Investigación Clínica (incluidos estudios posautorización de tipo observacional y otros estudios observacionales) y Farmacovigilancia. A quien afecta: Investigador principal/investigadores Centro Hospitalario Monitor Auditor y colaboradores Sujeto del ensayo 12

13 Ficheros afectados Fichero de Investigación Clínica (FIC): es el fichero del Centro Sanitario donde se lleva a cabo la investigación. Fichero de Cuaderno de Recogida de Datos (FCRD): es el fichero del laboratorio (promotor del ensayo). Este fichero contiene toda la información para la realización del estudio. La finalidad del tratamiento de los datos que constan en el FCRD consiste en evaluar los resultados del estudio y efectuar las conclusiones que procedan. 13

14 Investigación Clínica con Datos Personales (i) Protocolo de Investigaciones Clínicas (Código Tipo): Investigación Clínica con datos personales: Datos Personales FCRD Datos Personales FIC Consentimiento expreso FCRD Consentimiento expreso FIC Sujetos 14

15 Investigación Clínica con Datos Personales (ii) Protocolo de Investigaciones Clínicas (Código Tipo): Investigación Clínica con datos personales: 2 ficheros: Fichero de Investigación Clínica: Responsable del fichero, el Centro donde se desarrolla la investigación y responsable del tratamiento el promotor (laboratorio). Fichero Cuaderno de Recogida de Datos: Responsable del fichero y tratamiento, el promotor. Datos de salud de carácter personal: FIC y FCRD FIC Modelo Anexo II FCRD 15

16 Investigación Clínica con Datos Personales (iii) Quién los recoge? El investigador y su equipo. Qué más obligaciones tiene el investigador? Información sanitaria y de protección de datos. Recogida de datos adecuados, pertinentes y no excesivos en relación con la finalidad del estudio. Mantener los datos actualizados y veraces. Deber de secreto. Cumplir las medidas de seguridad de nivel alto. Consentimiento: expreso y por escrito. Menores de 12 años, prestarán el consentimiento los representantes legales. Si tienen más de 12 años, también el menor. Si se trata de adultos incapacitados, el representante legal, junto con el incapacitado si sus condiciones lo permiten. Consentimiento para cesiones no establecidas en la Ley. 16

17 Investigación Clínica con Datos Personales (iv) Existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los sujetos que puedan ser destinatarios de la información relativa al sujeto que no haya sido sometida a un proceso de disociación. En el caso de que los destinatarios estén fuera del Espacio Económico Europeo, además de proceder a su identificación será necesario informar sobre aquellos países en los que se encuentren ubicados. El carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. 17

18 Investigación Clínica con Datos Personales (v) Las consecuencias de la obtención de los datos o de la negativa a suministrarlos. La posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición. Las instrucciones que en este sentido se proporcionen a los sujetos deberán ser conformes con el protocolo de actuación para la atención de derechos ARCO que forma parte de este Código Tipo. La identidad y dirección del responsable del fichero o, en su caso, de su representante. En su caso, que el promotor está adherido al Código Tipo de Farmaindustria. El sujeto podrá consultar el contenido del Código Tipo de forma presencial o a través de Internet tanto en Farmaindustria como en la Agencia Española de Protección de Datos. 18

19 Investigación Clínica con Datos Personales (vi) Consecuencias para el Promotor: Las comunicaciones de datos personales a otras empresas del grupo o a terceras compañías exigirán el consentimiento del afectado para la cesión de sus datos a las compañías del grupo. Si están en un país sin el mismo nivel de protección de datos que la UE, también se requiere el consentimiento del sujeto o la autorización del Director de la AEPD. Aplicación en el FCRD de las medidas de seguridad de nivel alto. Atención derechos ARCO. 19

20 Investigación Clínica con Datos Disociados (i) Protocolo de Investigaciones Clínicas (Código Tipo): Investigación Clínica con datos disociados Datos disociados Cuaderno de Recogida de Datos (CRD) Datos personales FIC Consentimiento expreso FIC Sujetos 20

21 Investigación Clínica con Datos Disociados (ii) Protocolo de Investigaciones Clínicas (Código Tipo): Investigación Clínica con datos disociados: Investigador responsable de la disociación. 1 Fichero: FIC, el responsable del fichero es el Centro, el responsable del tratamiento es el promotor. CRD datos disociados. Modelo consentimiento (Anexo I) 21

22 Investigación Clínica con Datos Disociados (iii) Quién es el responsable de la disociación? El investigador. De qué forma? Asignando a cada sujeto un código numérico o alfanumérico según un esquema de aleatorización generado por un bioestadístico. Al pasar la información al Fichero CRD, sólo pondrá ese código. El investigador custodia la relación de datos identificativos y códigos de disociación, accediendo a ellos el monitor, auditor e inspector. 22

23 Investigación Clínica con Datos Disociados (iv) La comunicación entre el promotor y el investigador se realiza a través del monitor. El promotor no accederá a datos personales, pero establecerá los criterios del tratamiento de los datos personales de los sujetos participantes (RESPONSABLE DEL TRATAMIENTO). El monitor y CRO se limitarán a visualizar los datos personales a los que acceda, sin registrarlos. El auditor, accederá a los datos de los sujetos, sin registrarlos, a fin de comprobar el cumplimiento del protocolo, PNT, BPC y normativa aplicable. 23

24 Investigación Clínica con Datos Disociados (v) El investigador los notifica al Promotor sin datos identificativos. El promotor traslada las reacciones graves a la AEMPS, CCAA y CEIC. El seguro lo suscribe el Promotor, pero los datos del sujeto afectado los traslada a la aseguradora el investigador. 24

25 Investigación Clínica con Datos Disociados (vi) Los Promotores que hayan aplicado el procedimiento de disociación, podrán comunicar libremente los datos disociados a otras personas físicas y jurídicas. No tendrán la obligación de aplicar medidas de seguridad a los datos disociados. Podrán comunicar libremente los datos disociados a otros, sin importar el país de domicilio donde radiquen. No tiene datos en los que ejercer los derechos ARCO, pero si ejercitan algún derecho, tiene que contestar. 25

26 Investigación Clínica con Datos Disociados (vii) Pérdida de la disociación: El Promotor, en general, no quiere acceder a datos personales, pero puede hacerlo por contacto directo del sujeto, error humano ; para evitarlo da instrucciones escritas al sujeto en el consentimiento informado para que se dirija al investigador. Si a pesar de todo conoce datos personales, puede: Cancelarlos Crear un fichero específico para esos datos. Cumplir la totalidad de la LOPD con ese fichero. 26

27 Ventajas del Código Tipo El Promotor tiene que cumplir la normativa de protección de datos al trabajar en investigación. El Código Tipo facilita su actuación, y la de los demás intervinientes, ya que contempla la investigación desde el principio y en cada fase, facilita modelos de consentimiento, de contestación al ejercicio de los derechos ARCO 27