Protezione dei dati nella ricerca clinica: nLPD, LRUm e GCP per i moduli elettronici

Chiedete a un gruppo di ricerca svizzero quale legge governa i suoi dati e di solito otterrete una sola risposta. In realtà sono almeno tre, si applicano contemporaneamente e sono state scritte da persone diverse per ragioni diverse. La legge sulla ricerca umana e le sue ordinanze governano la ricerca in sé — autorizzazione, consenso, protezione dei partecipanti. La nLPD governa i dati personali, compreso tutto ciò che le regole sulla ricerca non menzionano. E le GCP (ICH) governano il modo in cui il promotore si aspetta che i dati vengano prodotti e conservati. La maggior parte delle non conformità in questo campo non viola nessuna delle tre: vive nelle cuciture fra loro.

Quali regole si applicano, e in quale ordine

Iniziate classificando il progetto, perché da lì dipende ciò che dovete. Una sperimentazione clinica con un medicamento, una sperimentazione con un dispositivo medico, uno studio non interventistico, un progetto di riutilizzazione di campioni e dati esistenti e un'indagine di qualità interna a un ospedale sono cinque animali regolatori distinti, e solo alcuni richiedono un'autorizzazione prima di iniziare.

Una disciplina utile: per ogni modulo dello studio annotate sotto quale di queste quattro righe si colloca. Il modulo di consenso e il CRF stanno sotto tutte e quattro. Un modulo di reclutamento, un questionario di ritorno per i centri o un modulo logistico per le visite spesso stanno solo sotto la nLPD — ed è proprio per questo che vengono così spesso costruiti con lo strumento più a portata di mano, senza che nessuno li riveda.

Codificato non è anonimizzato — la distinzione che decide tutto

È il malinteso più gravido di conseguenze del settore, e nasce quasi sempre in buona fede. Nel linguaggio comune sostituire un nome con « Soggetto 014 » sembra anonimizzare. Giuridicamente non lo è: i dati codificati sono dati il cui legame con la persona è stato sostituito da una chiave e, finché la chiave esiste, restano attribuibili e quindi personali. I dati anonimizzati sono quelli per cui la re-identificazione è impossibile con uno sforzo ragionevole — il che di norma presuppone che la chiave sia distrutta e che il set residuo sia stato esaminato per gli identificatori indiretti che tradirebbero comunque le persone.

• Codificati — una chiave collega « Soggetto 014 » a una persona. Dati personali, nLPD per intero, diritti degli interessati, notifica delle violazioni. Qui sta la stragrande maggioranza dei dati di ricerca.
• Anonimizzati — la chiave è distrutta e il set stesso non isola nessuno. Non sono più dati personali, la nLPD smette di applicarsi. È l'unico stato che riduce davvero i vostri obblighi.
• « Anonimizzati » in senso lasco — la chiave è stata tenuta « per sicurezza », oppure il set contiene una diagnosi rara, una data di nascita e un Cantone. Sono dati codificati con un'etichetta ottimista, ed è la versione che compare più spesso nella documentazione di studio.

La distinzione guida anche il consenso. Secondo l'art. 32 LRUm la riutilizzazione di dati personali legati alla salute a scopo di ricerca dipende da questo stato: i dati non codificati richiedono un consenso informato, i dati codificati un consenso che può essere dato in termini generali per la riutilizzazione, e i dati anonimizzati possono essere usati se la persona, informata, non si è opposta. Sbagliare lo stato non etichetta soltanto male un set: mette il progetto sulla base di consenso sbagliata, ed è il tipo di rilievo che ferma una sottomissione etica.

Consenso allo studio e informativa sulla protezione dei dati non sono lo stesso documento

Il consenso ai sensi della LRUm riguarda la partecipazione: natura, scopo, durata e rischi prevedibili del progetto, diritto di rifiutare e di revocare in ogni momento senza svantaggi. La trasparenza dell'art. 19 nLPD riguarda il trattamento: chi è il titolare, che cosa accade ai dati, chi li riceve, verso quali Stati possono essere comunicati e per quanto tempo sono conservati. In pratica i due vengono di solito fusi in un unico foglio informativo — il che va bene, purché entrambi i contenuti ci siano davvero.

La lacuna che ricorre nelle sottomissioni reali è il paragrafo su destinatari e trasferimenti. « I dati saranno trattati in modo confidenziale » non è un'indicazione di destinatari. Una CRO all'estero, il database centrale di un promotore, una statistica in una seconda università, la regione cloud di un fornitore di CRF elettronico e un corriere per il materiale biologico sono tutti destinatari o trasferimenti, e ciascuno va nel foglio — oltre che nel registro dei trattamenti che promotore o istituzione devono tenere. Per la stesura vedi il consenso informato nell'era digitale; per l'analisi dei trasferimenti, quali dati dei moduli possono legalmente lasciare la Svizzera.

CRF elettronico, dati sorgente e che cosa chiedono le GCP a un modulo

La linea guida ICH-GCP rivista, E6(R3), afferma esplicitamente che la governance dei dati copre l'intero ciclo di vita e che i sistemi informatizzati usati in una sperimentazione devono essere idonei allo scopo, con il promotore in grado di dimostrarlo. Questa attesa ricade direttamente su qualsiasi strumento usato per raccogliere dati della sperimentazione — ed è molto più pesante di « il fornitore ha la ISO 27001 ».

• Idoneità allo scopo, dimostrata. Convalida proporzionata al rischio, configurazione documentata e prove che il sistema faccia ciò che il protocollo richiede — non una pagina di marketing.
• Audit trail. Chi ha inserito o modificato che cosa, quando e perché, con il valore originale ancora visibile. Uno strumento che sovrascrive silenziosamente una risposta non può produrre dati di sperimentazione.
• Controllo degli accessi per ruolo, con un elenco aggiornato e verificabile di chi ha quale permesso in ciascun centro e revoca tempestiva ai cambi di personale.
• Una sorgente definita. Se il record elettronico è la sorgente, va dichiarato e il sistema deve poter reggere questa posizione in ispezione. Se la sorgente è la carta, il passaggio di trascrizione richiede controlli propri.
• ALCOA+ come standard che i dati devono raggiungere — attribuibili, leggibili, contemporanei, originali e accurati, oltre che completi, coerenti, duraturi e disponibili. Quasi tutte sono proprietà del sistema, non di chi digita.
• Archiviazione. Il record deve restare leggibile e integro per l'intera durata di conservazione, che per la documentazione della sperimentazione si colloca nell'ordine dei dieci anni secondo le regole svizzere sulle sperimentazioni cliniche: verificate la durata esatta e il suo momento iniziale per la vostra categoria, e verificate che l'esportazione del fornitore sopravviva al fornitore.

Dove una piattaforma di moduli cifrati serve davvero

Attorno a uno studio esiste un insieme reale e mal servito di punti di raccolta che non sono il CRF, non vengono ispezionati come record della sperimentazione e oggi girano su qualunque strumento generico — spesso uno che archivia dati sanitari leggibili dal fornitore.

1. Reclutamento e pre-selezione. Le persone inviano sintomi, diagnosi ed elenchi di farmaci prima di essere partecipanti e prima che un protocollo le copra. Sono dati degni di particolare protezione nel senso ordinario della nLPD, raccolti allo scoperto, ed è il modulo più esposto della maggior parte degli studi.
2. Manifestazioni di interesse e registri di volontari, che accumulano informazioni sanitarie per anni senza uno studio che le giustifichi e spesso senza alcuna regola di conservazione.
3. Questionari per i partecipanti fuori dal CRF — soddisfazione, onere, riscontri sulle visite — dove l'identificazione è inutile e spesso dannosa per la qualità delle risposte.
4. Moduli per centri e sperimentatori — riscontri, segnalazioni di deviazioni dal protocollo prima che diventino record formali, logistica e pianificazione — il cui contenuto è riservato ma non è un record della sperimentazione.
5. Raccolta post-marketing e farmacovigilanza da pazienti e professionisti sanitari, descritta in dettaglio nel nostro caso d'uso farmacovigilanza.

Per ciascuno il ragionamento è lo stesso: i dati sono sensibili, il numero di persone che devono leggerli è piccolo e noto, e nessun ispettore chiederà mai a un fornitore di produrli. È esattamente la forma di problema che la crittografia end-to-end risolve, e il caso d'uso ricerca e studi clinici descrive come lo trattiamo.

Che cosa chiederà il comitato etico sul vostro strumento

Le sottomissioni al comitato etico cantonale competente passano dal portale nazionale, e la sezione sulla protezione dei dati è il punto in cui le risposte generiche tornano indietro. I comitati non chiedono un white paper di sicurezza: chiedono se sapete descrivere il vostro flusso di dati. Preparate sei risposte prima di sottoporre.

Promotori, CRO e la questione transfrontaliera

La ricerca multicentrica è transfrontaliera per costruzione: un promotore in un Paese, una CRO in un altro, un laboratorio centrale in un terzo, un CRF elettronico ospitato altrove ancora. La nLPD non lo vieta — l'art. 16 consente la comunicazione all'estero verso Stati per i quali il Consiglio federale ha constatato una protezione adeguata, o sulla base di clausole tipo, norme vincolanti d'impresa o un trattato, con le eccezioni strette dell'art. 17. Ciò che richiede è che sappiate indicare il meccanismo per ciascun destinatario, in anticipo, e che esso compaia nell'informativa ai partecipanti.

Due complicazioni tipiche della ricerca meritano attenzione. Primo, il segreto professionale dell'art. 321 CP si sovrappone al diritto della protezione dei dati per i medici curanti coinvolti, e si estende ai loro ausiliari — il che comprende il personale di un fornitore con accesso a dati leggibili. Secondo, dati codificati che vanno all'estero restano dati personali che vanno all'estero: l'idea diffusa che la pseudonimizzazione trasformi una comunicazione internazionale in qualcosa che non richiede una base è sbagliata.

Cinque rilievi ricorrenti

• Il modulo di reclutamento che nessuno ha rivisto. Costruito fuori protocollo, raccoglie dati sanitari da non partecipanti, conservato a tempo indeterminato, ospitato ovunque. È l'esposizione reale più frequente in uno studio per il resto ben condotto.
• « Anonimizzato » nel protocollo, codificato nei fatti. Verificate chi detiene ancora una chiave — centro, CRO e portatile della statistica inclusi — prima di scrivere quella parola.
• La chiave custodita nello stesso sistema dei dati. Un elenco dei codici nella stessa cartella, nello stesso database o nello stesso backup del set codificato rende la codifica decorativa.
• Dati di screening che sopravvivono allo screening. Chi non è stato arruolato ha comunque i propri dati sanitari nei vostri archivi. Definite per loro una regola di conservazione separata e breve, e applicatela.
• Un consenso che non si accorda con il CRF. Il foglio promette la cancellazione in caso di revoca; il sistema non può cancellare un record senza rompere l'audit trail. Risolvetelo sulla carta prima che accada nella pratica.

In conclusione

Tre regimi, un set di dati e una distinzione che determina la maggior parte dei vostri obblighi: i dati codificati sono dati personali, e solo una vera anonimizzazione lo cambia. Classificate correttamente, indicate destinatari e meccanismi di trasferimento, trattate il CRF come il sistema informatizzato regolamentato che è, e riservate ai moduli attorno allo studio la stessa serietà di quelli al suo interno — perché il questionario di reclutamento contiene di solito gli stessi dati sanitari senza alcuna governance.

E siate scettici verso qualsiasi strumento venduto come risposta a tutto, incluso il nostro. Un sistema EDC convalidato esiste per rendere ispezionabili i dati della sperimentazione; una piattaforma di moduli cifrati esiste per rendere illeggibile a chiunque tranne a voi una raccolta sensibile. Sono obiettivi progettuali opposti, e uno studio serio usa ciascuno dove gli compete.