Datenschutz in der klinischen Forschung: nDSG, HFG und GCP für elektronische Formulare

Fragen Sie ein Schweizer Studienteam, welches Gesetz für seine Daten gilt, und Sie erhalten meist eine Antwort. Tatsächlich sind es mindestens drei, sie gelten gleichzeitig, und sie wurden von verschiedenen Leuten aus verschiedenen Gründen geschrieben. Das Humanforschungsgesetz und seine Verordnungen regeln die Forschung selbst — Bewilligung, Einwilligung, Schutz der teilnehmenden Personen. Das nDSG regelt die Personendaten, einschliesslich alles dessen, was die Forschungsregeln nicht erwähnen. Und ICH-GCP regelt, wie der Sponsor erwartet, dass Daten entstehen und erhalten bleiben. Die meisten Compliance-Fehler in diesem Feld sind keine Verstösse gegen eines davon; sie liegen in den Nahtstellen dazwischen.

Welche Regeln gelten — und in welcher Reihenfolge

Beginnen Sie mit der Einordnung des Projekts, denn davon hängt ab, was Sie schulden. Ein klinischer Versuch mit einem Arzneimittel, ein Versuch mit einem Medizinprodukt, eine nicht-interventionelle Studie, ein Weiterverwendungsprojekt mit bestehenden Proben und Daten und eine Qualitätsumfrage innerhalb eines Spitals sind fünf verschiedene regulatorische Wesen — und nur einige davon brauchen vor dem Start eine Bewilligung.

Eine nützliche Disziplin: Schreiben Sie für jedes Formular der Studie auf, unter welcher dieser vier Zeilen es steht. Einwilligungsformular und eCRF stehen unter allen vieren. Ein Rekrutierungsformular, ein Feedbackbogen für Zentren oder ein Logistikformular für Studienvisiten steht oft nur unter dem nDSG — und genau darum werden diese Formulare so häufig in dem Werkzeug gebaut, das gerade zur Hand war, ohne dass jemand hinschaut.

Kodiert ist nicht anonymisiert — die Unterscheidung, die alles entscheidet

Das ist das folgenreichste Missverständnis in diesem Feld, und es entsteht meist in bestem Glauben. Umgangssprachlich fühlt es sich wie Anonymisieren an, einen Namen durch «Proband 014» zu ersetzen. Rechtlich ist es das nicht: Kodierte Daten sind Daten, deren Bezug zur Person durch einen Schlüssel ersetzt wurde — und solange der Schlüssel existiert, bleiben sie zuordenbar und damit Personendaten. Anonymisierte Daten sind solche, bei denen eine Re-Identifikation mit vernünftigem Aufwand unmöglich ist, was in der Regel voraussetzt, dass der Schlüssel vernichtet ist und der verbleibende Datensatz auf jene indirekten Merkmale geprüft wurde, die Personen ohnehin verraten würden.

• Kodiert — ein Schlüssel verbindet «Proband 014» mit einer Person. Personendaten, volles nDSG, Betroffenenrechte, Meldepflicht. Hier liegt die überwiegende Mehrheit der Forschungsdaten.
• Anonymisiert — der Schlüssel ist vernichtet und der Datensatz selbst hebt niemanden heraus. Keine Personendaten mehr, das nDSG greift nicht mehr. Nur dieser Status reduziert Ihre Pflichten wirklich.
• «Anonymisiert» im weichen Sinn — der Schlüssel wurde «für alle Fälle» behalten, oder der Datensatz enthält eine seltene Diagnose, ein Geburtsdatum und einen Kanton. Das sind kodierte Daten mit optimistischem Etikett — und diese Variante steht am häufigsten in Studienunterlagen.

Die Unterscheidung steuert auch die Einwilligung. Nach Art. 32 HFG hängt die Weiterverwendung gesundheitsbezogener Personendaten zu Forschungszwecken an diesem Status: unverschlüsselte Daten verlangen eine informierte Einwilligung, kodierte Daten eine Einwilligung, die generell für die Weiterverwendung erteilt werden kann, und anonymisierte Daten dürfen verwendet werden, wenn die Person nach Information nicht widersprochen hat. Den Status falsch zu bestimmen etikettiert also nicht bloss einen Datensatz falsch — es stellt das Projekt auf die falsche Einwilligungsgrundlage, und das ist die Art Befund, die eine Ethikeinreichung stoppt.

Studieneinwilligung und datenschutzrechtliche Information sind nicht dasselbe Dokument

Die Einwilligung nach HFG betrifft die Teilnahme: Art, Zweck, Dauer und absehbare Risiken des Projekts, das Recht, abzulehnen und jederzeit ohne Nachteil zu widerrufen. Die Transparenzpflicht nach Art. 19 nDSG betrifft die Bearbeitung: wer der Verantwortliche ist, was mit den Daten geschieht, wer sie erhält, in welche Staaten sie gelangen können und wie lange sie aufbewahrt werden. In der Praxis werden beide meist in ein Aufklärungsblatt zusammengeführt — das ist in Ordnung, solange beide Inhalte tatsächlich vorkommen.

Die Lücke, die in echten Einreichungen immer wiederkehrt, ist der Absatz zu Empfängern und Übermittlungen. «Die Daten werden vertraulich bearbeitet» ist keine Empfängerangabe. Eine CRO im Ausland, die zentrale Datenbank eines Sponsors, eine Statistikerin an einer zweiten Universität, die Cloud-Region eines eCRF-Anbieters und ein Kurier für biologisches Material sind alle Empfänger oder Übermittlungen und gehören ins Blatt — ebenso ins Bearbeitungsverzeichnis, das Sponsor oder Institution führen muss. Zur Formulierung siehe informierte Einwilligung im digitalen Zeitalter, zur Übermittlungsanalyse welche Formulardaten die Schweiz verlassen dürfen.

eCRF, eSource und was GCP von einem elektronischen Formular erwartet

Die revidierte ICH-GCP-Leitlinie E6(R3) hält ausdrücklich fest, dass Data Governance den gesamten Lebenszyklus umfasst und dass in einem Versuch eingesetzte computergestützte Systeme zweckgeeignet sein müssen — nachweisbar durch den Sponsor. Diese Erwartung trifft jedes Werkzeug, mit dem Studiendaten erfasst werden — und sie ist deutlich schwerer als «der Anbieter hat ISO 27001».

• Nachgewiesene Zweckeignung. Risikogerechte Validierung, dokumentierte Konfiguration und Belege, dass das System leistet, was das Protokoll verlangt — keine Marketingseite.
• Audit-Trail. Wer wann was erfasst oder geändert hat und warum, mit weiterhin sichtbarem Ursprungswert. Ein Formularwerkzeug, das eine Antwort still überschreibt, kann keine Studiendaten erzeugen.
• Rollenbasierte Zugriffskontrolle, mit einer aktuellen, überprüfbaren Liste, wer an welchem Zentrum welche Berechtigung hat, und zügigem Entzug bei Personalwechseln.
• Eine definierte Quelle. Ist der elektronische Datensatz die Quelle (eSource), muss das festgehalten sein und das System diese Stellung in einer Inspektion halten können. Ist Papier die Quelle, braucht der Übertragungsschritt eigene Kontrollen.
• ALCOA+ als Massstab für die Daten — zuordenbar, lesbar, zeitnah, original und korrekt, dazu vollständig, konsistent, dauerhaft und verfügbar. Das meiste davon sind Eigenschaften des Systems, nicht der tippenden Person.
• Archivierung. Der Datensatz muss über die Aufbewahrungsfrist lesbar und unversehrt bleiben; bei Studiendokumentation bewegt sie sich nach den Schweizer Regeln zu klinischen Versuchen im Bereich von zehn Jahren — prüfen Sie die genaue Frist und ihren Beginn für Ihre Versuchskategorie und ob der Export Ihres Anbieters den Anbieter überlebt.

Wo eine verschlüsselte Formularplattform wirklich passt

Rund um eine Studie gibt es eine reale und unterversorgte Menge von Erhebungspunkten, die nicht das eCRF sind, nicht als Studienunterlagen inspiziert werden und heute meist auf irgendeinem generischen Werkzeug laufen — häufig einem, das Gesundheitsdaten für den Anbieter lesbar speichert.

1. Rekrutierung und Vorabklärung. Menschen senden Symptome, Diagnosen und Medikationslisten, bevor sie Teilnehmende sind und bevor ein Protokoll sie erfasst. Das sind besonders schützenswerte Daten im gewöhnlichen nDSG-Sinn, offen erhoben — und in den meisten Studien das exponierteste Formular überhaupt.
2. Interessensbekundungen und Register freiwilliger Personen, die über Jahre Gesundheitsinformationen anhäufen, ohne dass eine Studie sie rechtfertigt und oft ohne jede Aufbewahrungsregel.
3. Teilnehmerfragebogen ausserhalb des eCRF — Zufriedenheit, Belastung, Rückmeldung zu Visiten —, wo eine Identifikation unnötig und für die Antworten oft schädlich ist.
4. Formulare für Zentren und Prüfpersonen — Rückmeldungen, Meldungen von Protokollabweichungen, bevor sie formelle Aufzeichnungen werden, Logistik und Terminierung —, deren Inhalt vertraulich, aber keine Studienunterlage ist.
5. Meldungen nach der Zulassung und Pharmakovigilanz von Patientinnen und Fachpersonen, wie in unserem Pharmakovigilanz-Anwendungsfall beschrieben.

Die Begründung ist überall dieselbe: Die Daten sind sensibel, der Kreis der Lesenden klein und bekannt, und keine Inspektion wird je von einem Anbieter deren Herausgabe verlangen. Genau diese Problemform löst Ende-zu-Ende-Verschlüsselung, und der Anwendungsfall Forschung und klinische Studien beschreibt, wie wir damit umgehen.

Was die Ethikkommission zu Ihrem Werkzeug fragen wird

Eingaben an die zuständige kantonale Ethikkommission laufen über das nationale Portal, und der Datenschutzteil ist die Stelle, an der generische Antworten zurückkommen. Kommissionen verlangen kein Sicherheits-Whitepaper; sie fragen, ob Sie Ihren eigenen Datenfluss beschreiben können. Legen Sie sich sechs Antworten vor der Einreichung zurecht.

Sponsoren, CRO und die Frage der Auslandbekanntgabe

Multizentrische Forschung ist von Natur aus grenzüberschreitend: ein Sponsor in einem Land, eine CRO in einem anderen, ein Zentrallabor in einem dritten, ein eCRF irgendwo sonst gehostet. Das nDSG verbietet das nicht — Art. 16 erlaubt die Bekanntgabe ins Ausland an Staaten, für die der Bundesrat einen angemessenen Schutz festgestellt hat, oder gestützt auf Standarddatenschutzklauseln, verbindliche Unternehmensregeln oder einen Staatsvertrag, mit engen Ausnahmen in Art. 17. Verlangt wird, dass Sie den Mechanismus für jede Empfängerin vorab benennen können und dass er im Aufklärungsblatt steht.

Zwei forschungsspezifische Komplikationen sind erwähnenswert. Erstens sitzt die Berufsgeheimnispflicht nach Art. 321 StGB über dem Datenschutzrecht, soweit behandelnde Ärztinnen und Ärzte beteiligt sind, und sie erfasst deren Hilfspersonen — dazu gehört das Personal einer Anbieterin mit Zugriff auf lesbare Daten. Zweitens sind kodierte Daten, die ins Ausland gehen, weiterhin Personendaten, die ins Ausland gehen; die verbreitete Fehlannahme, Pseudonymisierung mache aus einer internationalen Bekanntgabe etwas ohne Rechtfertigungsbedarf, stimmt nicht.

Fünf wiederkehrende Befunde

• Das Rekrutierungsformular, das niemand geprüft hat. Ausserhalb des Protokolls gebaut, erhebt Gesundheitsdaten von Nicht-Teilnehmenden, unbefristet aufbewahrt, irgendwo gehostet. Die häufigste reale Exposition in einer sonst gut geführten Studie.
• Im Protokoll «anonymisiert», in Wirklichkeit kodiert. Prüfen Sie, wer noch einen Schlüssel hält — Zentrum, CRO und der Laptop der Statistikerin eingeschlossen —, bevor Sie das Wort schreiben.
• Der Schlüssel im selben System wie die Daten. Eine Codeliste im selben Ordner, derselben Datenbank oder demselben Backup wie der kodierte Datensatz macht die Kodierung zur Dekoration.
• Screening-Daten, die das Screening überleben. Wer nicht eingeschlossen wurde, hat trotzdem Gesundheitsdaten in Ihren Akten. Definieren Sie dafür eine eigene, kurze Aufbewahrungsregel und wenden Sie sie an.
• Eine Einwilligung, die nicht zum eCRF passt. Das Blatt verspricht Löschung bei Widerruf; das System kann keinen Datensatz löschen, ohne den Audit-Trail zu brechen. Klären Sie das auf Papier, bevor es in der Praxis eintritt.

Fazit

Drei Regime, ein Datensatz und eine Unterscheidung, die den grössten Teil Ihrer Pflichten bestimmt: Kodierte Daten sind Personendaten, und nur eine echte Anonymisierung ändert das. Bestimmen Sie die Einordnung richtig, benennen Sie Empfänger und Übermittlungsmechanismen, behandeln Sie das eCRF als das regulierte computergestützte System, das es ist — und nehmen Sie die Formulare rund um die Studie so ernst wie die darin, denn der Rekrutierungsfragebogen enthält meist dieselben Gesundheitsdaten mit keinerlei Governance.

Und seien Sie skeptisch gegenüber jedem Werkzeug, das als Antwort auf alles verkauft wird, auch gegenüber unserem. Ein validiertes EDC-System existiert, damit Studiendaten prüfbar sind; eine verschlüsselte Formularplattform existiert, damit sensible Eingänge für niemanden ausser Ihnen lesbar sind. Das sind gegensätzliche Entwurfsziele, und eine seriöse Studie setzt jedes dort ein, wo es hingehört.