Rola sponsora, ośrodka i badacza w świetle RODO - umowy powierzenia przetwarzania danych w badaniach klinicznych

Podstawą zawierania umów powierzenia przetwarzania danych osobowych w badaniach klinicznych (po ang.: Data Processing Agreement – DPA) jest art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) („RODO”). 

RODO obowiązuje już ponad rok, można powiedzieć, że wykształciła się pewna praktyka jego stosowania – oczywiście nie przesądza to jeszcze o jej prawidłowości. Dla ustalenia kto jest kim w badaniu klinicznym ważne jest przyjrzenie się definicji administratora danych osobowych. Zgodnie z RODO pojęcie „administratora” oznacza taki podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych, zaś podmiotem przetwarzającym (zwanym z angielska „procesorem”) jest podmiot, który przetwarza dane osobowe w imieniu administratora. I jeszcze jedna definicja, która dla nas będzie miała znaczenie, a mianowicie definicja przetwarzania, zgodnie z którą przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Warto zwrócić uwagę, iż przetwarzaniem jest już samo zbieranie danych osobowych. Teraz definicje te należy podstawić do stanu faktycznego danego badania. 

W Europie generalnie znajdują swoich zwolenników dwie teorie odnośnie roli poszczególnych podmiotów badania klinicznego w zakresie przetwarzania danych osobowych – teoria współadministrowania przez sponsora i ośrodek (względnie głównego badacza) i teoria powierzenia przetwarzania danych osobowych, wedle której administratorem jest sponsor, a ośrodek i badacz są procesorami. 

Pierwsza teoria współadministrowania eksponuje obwiązki ośrodka badawczego – takie jak zbieranie danych osobowych, dopuszczanie monitorów sponsora do dokumentów zawierających dane osobowe, odpowiedzialność za bezpieczne przechowywanie dokumentacji badania. Sponsor jest zatem administratorem danych osobowych dla celów badania, zaś ośrodek jest administratorem jako podmiot udzielający świadczeń medycznych i prowadzący dokumentację medyczną. Współadministrowanie wedle tych teorii jest związane z niemożliwością praktycznego rozdzielenia danych zbieranych na potrzeby badania i na potrzeby dokumentacji medycznej. Innym ujęciem tego zagadnienia jest obarczanie rolą współadministratora głównego badacza – podkreślając jego samodzielność w badaniu, np. możliwość jego przerwania w określonych sytuacjach, przy czym wówczas badacza rozumie się jako mającego istotne znaczenie dla determinowania celów i sposobu przetwarzania danych w samym badaniu klinicznym. Moim zdaniem jednak są to kwestie związane z regulacją uprawnień i obowiązków poszczególnych podmiotów w badaniu klinicznym od strony organizacyjno – medycznej, co niekoniecznie przekłada się na definicje zawarte w RODO. 

Druga koncepcja opiera się na rozdzieleniu celu zbierania danych – wedle niej sponsor i ośrodek są oddzielnymi niezależnymi administratorami. Skłonna jestem przychylić się bardziej do drugiej koncepcji, przy jednoczesnej konieczności zawarcia umowy powierzenia przetwarzania danych osobowych w badaniu klinicznym, gdzie sponsor jest administratorem a badacz i ośrodek procesorem. Dlaczego? Otóż dane w badaniu klinicznym zbierane są w celu ściśle oznaczonym, o którym decyduje wyłącznie sponsor. Od sponsora pochodzą wzorce świadomej zgody i innych dokumentów, w których przetwarzane są dane osobowe. Jaskrawo taka sytuacja jest widoczna przy zdrowych ochotnikach – ich dane osobowe są zbierane i przetwarzane przez ośrodek wyłącznie dlatego, że taki cel (przeprowadzenie badania klinicznego) został wyznaczony przez sponsora. Wcześniejsze posiadanie bazy danych kandydatów do badań klinicznych przez ośrodek nie zmienia faktu, że powstaje zupełnie nowy cel przetwarzania, do którego zbierane są oddzielne zgody. Również rola głównego badacza wydaje się być w badaniu klinicznym w zakresie danych osobowych rolą procesora, powoływanie się na pewien (w mojej ocenie wąski) zakres samodzielności badacza, ma związek bardziej z medyczna rolą badacza niż z ustalaniem celów i sposobów przetwarzania danych osobowych na potrzeby badania klinicznego. 

W typowej zatem sytuacji zajdzie potrzeba zawarcia umowy powierzenia przetwarzania pomiędzy sponsorem jako administratorem a badaczem i ośrodkiem jako procesorami. Na co w praktyce zwracamy uwagę w takich umowach? Ważne jest zawarcie klauzuli, iż umowa na badanie sama w sobie stanowi polecenie przetwarzania danych osobowych. Warto przyjrzeć się też zapisom dotyczącym udzielania pomocy administratorowi - czy nie nakładają one więcej obowiązków niż RODO stanowi. Można z góry w umowie uzyskać zgodę na takich podprocesorów jak przykładowo firma archiwizująca, firma informatyczna. Z punktu widzenia ośrodka czy badacza warto próbować też ograniczyć odpowiedzialność odszkodowawczą procesora względem administratora, aczkolwiek te klauzule nie zyskują z oczywistych względów aprobaty ze strony działów prawnych sponsorów. 

Aleksandra Dalecka

adwokat

Kancelaria Zdanowicz i Wspólnicy

Kontakt: blog@zdanowiczlegal.pl

Adwokat Aleksandra Dalecka ma praktyczne doświadczenie w prawie badań klinicznych. Więcej o autorce można znaleźć tu (klik).