L’adesione al Codice di condotta EUCROF rappresenta per le CRO un importante strumento per dimostrare la propria accountability e conformità al GDPR nell’ambito della ricerca clinica, facilitando la gestione dei rapporti contrattuali con gli Sponsor e degli altri stakeholder nella gestione dei dati personali.
Il Codice di condotta EUCROF GDPR per i fornitori di servizi nella ricerca clinica rappresenta il primo codice transnazionale approvato nell'ambito della salute, applicabile in tutti i 27 Stati membri dell'Unione Europea. Esso definisce i requisiti generali per l’adesione delle organizzazioni di ricerca a contratto (CRO) e di altri fornitori di servizi specializzati nella ricerca clinica che assumono il ruolo di Responsabili del trattamento ai sensi dell’articolo 28 del GDPR.
Il Codice di condotta è stato elaborato e finanziato da EUCROF, la Federazione europea delle CRO composta da associazioni nazionali di CRO e singole CRO con sede in uno o più Paesi europei i cui obiettivi sono quelli di contribuire alla ricerca clinica di alta qualità e promuovere l’eccellenza della ricerca clinica a livello internazionale.
L’EUCROF svolge le proprie attività attraverso gruppi di lavoro composti da esperti in materia selezionati tra le CRO affiliate; tale Codice di condotta, in particolare, è stato redatto da una task force internazionale dedicata nell’ambito del gruppo di lavoro sulle nuove tecnologie. La task force ha consultato gli affiliati dell'EUCROF, nonché i rappresentanti di altre parti interessate: industrie farmaceutiche, associazioni di pazienti, aziende produttrici di dispositivi medici, rappresentanti di comitati etici, rappresentanti di varie organizzazioni accademiche, avvocati specializzati in sistemi sanitari elettronici ed esperti in certificazioni ISO.
L’EUCROF ha invitato le CRO di tutte le dimensioni e che offrono qualsiasi tipo di servizio specializzato nel campo degli studi clinici ad aderire al Codice di Condotta. Se, dopo una verifica indipendente, i servizi di una CRO saranno conformi al Codice di Condotta, la CRO otterrà un marchio di conformità che attesterà l’impegno della CRO a rispettare le garanzie di protezione dei dati personali richieste per la ricerca clinica.
Il Codice di condotta ha ottenuto l’approvazione nella sua versione definitiva il 12 settembre 2024 dalla CNIL, l'Autorità francese per la protezione dei dati, ed è stato riconosciuto dal Comitato Europeo per la Protezione dei Dati (EDPB). La CNIL, in particolare, funge da Autorità di controllo capofila per garantire l’efficace monitoraggio di tale Codice.
Il Codice fornisce un’interpretazione specifica del Regolamento (UE) 2016/679 (GDPR) nel contesto della ricerca clinica, delineando come i rispettivi fornitori di servizi devono gestire i dati personali in conformità al GDPR. In particolare, il Codice rappresenta un punto di riferimento pratico e armonizzato per l’adeguamento delle CRO, che trattano dati personali per conto degli Sponsor degli studi clinici, agli obblighi previsti dalle norme europee in materia di protezione dei dati personali.
La finalità del Codice pertanto è duplice: da un lato assicura una protezione uniforme dei dati personali trattati nell’ambito della ricerca clinica tutelando i diritti degli interessati; dall’altro facilità le relazioni contrattuali tra Sponsor e fornitori di servizi nella ricerca clinica.
Qual è l’ambito di applicazione del Codice?
Il Codice si applica ai fornitori di servizi (inclusi nelle 23 classi di servizi coperti dal Codice) che agiscono come Responsabili del trattamento per conto degli Sponsor degli studi clinici quali Titolari del trattamento e che pertanto sono tenuti a rispettare le istruzioni documentate fornite dal Titolare ponendo particolare attenzione alle misure tecniche e organizzative che dovranno essere adeguate a garantire la sicurezza dei dati personali dei partecipanti agli studi clinici.
Sono esclusi dal campo di applicazione del Codice i casi in cui gli Sponsor e la CRO agiscono come Contitolari del trattamento o quando le CRO forniscono un servizio non contemplato dalle categorie di servizi del Codice.
Infine, vale il principio di non esclusività e non equivalenza: l’adesione al Codice non esonera dall’applicazione delle altre norme del GDPR, né sostituisce eventuali codici di condotta settoriali già esistenti.
Il Codice di condotta indica i seguenti principi fondamentali di protezione dei dati personali che devono essere applicati alle attività di trattamento condotte dalle CRO:
Ogni CRO aderente al Codice di condotta è tenuta ad effettuare i seguenti specifici adempimenti:
Le CRO che aderiscono al Codice, dopo una verifica indipendente che include audit da parte di enti accreditati, ottengono il diritto di esporre il marchio di conformità EUCROF valido per tre anni. L'adesione può essere avviata registrandosi nel registro pubblico disponibile sul sito di EUCROF.
La conformità al Codice è garantita da un Comitato di Sorveglianza (COSUP), un organo indipendente e imparziale con poteri di audit, di gestione delle adesioni delle CRO e dei reclami, di irrogazione di sanzioni, tra cui la sospensione o la revoca dell’adesione e la segnalazione alle Autorità di controllo in caso di violazioni gravi.
I membri del COSUP devono avere almeno dieci anni di esperienza in settori quali la ricerca sanitaria, la protezione dei dati personali, i sistemi informativi sanitari, la tutela dei diritti dei pazienti o l'esperienza in processi di audit, ispezione o certificazione.
Le sperimentazioni cliniche dei farmaci, dei DM e degli IVD prevedono l’inserimento di informazioni e dati in sistemi informatici unici a livello comunitario. EMA ha pubblicato le proprie Linee guida su come identificare le informazioni riservate; alcuni principi e indicazioni di metodo sono applicabili anche ai DM e IVD.
Il trattamento dei dati personali nelle sperimentazioni e nelle indagini cliniche non è regolato da norme specifiche. Analizziamo la Guidance di EMA sulla gestione dei dati personali da pubblicare sul CTIS e i modelli di contratto redatti dal Centro di Coordinamento dei Comitati Etici per la conduzione delle sperimentazioni cliniche su medicinali e delle indagini cliniche sui dispositivi medici.
Il passaggio dalla MDD al MDR comporta un importante rafforzamento dei fascicoli tecnici. Processo che passa attraverso la raccolta di dati clinici, che - a loro - volta vengono generati (anche) attraverso indagini cliniche. Quasi sconosciute nel settore medical device, oggi le indagine cliniche stanno crescendo in maniera esponenziale. La nuova disciplina del MDR prevede poi la presentazione di tutte le domande di indagine clinica in EUDAMED, pensata secondo principi di trasparenza. Trasparenza che si scontra però con una diffusa esigenza in capo allo sponsor di salvaguardare la riservatezza di alcune informazioni che possono rappresentare per lo sponsor (o per il fabbricante) un asset aziendale di rilevante valore economico. Nel nostro articolo v i spieghiamo come fare per trovare un punto di equilibrio tra trasparenza e riservatezza.
L’approvazione dell’emendamento all’art. 110 del Codice Privacy sembra aprire una nuova era del trattamento dei dati a fini di ricerca scientifica. Lo scorso 29 aprile è stato pubblicato in Gazzetta Ufficiale il decreto “PNRR bis”, che ha apportato l’attesa modifica alla norma che disciplina il trattamento di dati personali a fini di ricerca medica, biomedica ed epidemiologica. L’eliminazione dell’obbligo di consultare il Garante Privacy per poter svolgere studi retrospettivi senza il consenso dei pazienti è il lodevole risultato raggiunto dalla riforma. Una scelta di buon senso, che agevola la ricerca scientifica – settore da sempre “favorito” nella ratio del GDPR – e che nulla toglie alle garanzie di protezione dei dati dei pazienti. Vediamo perché.
Dal 26 maggio scorso i profili collegati al MDR sono diventati cardine. Tra questi senza dubbio merita una particolare attenzione la valutazione clinica del dispositivo medico (articolo 61 MDR): nella nuova architettura del regolamento europeo è il documento che deve accompagnare tutta la vita del device, confermando il rispetto dei pertinenti requisiti generali di sicurezza e prestazione (Allegato I) nonché la valutazione degli effetti collaterali indesiderati e dell’accettabilità del rapporto benefici-rischi.