ПОЗИЦИЯ АССОЦИАЦИИ ОРГАНИЗАЦИЙ КЛИНИЧЕСКИХ ИССЛЕДОВАНИЙ ПО ПРИМЕНЕНИЮ ЗАКОНА «О ПЕРСОНАЛЬНЫХ ДАННЫХ» В ОТНОШЕНИЯХ «СПОНСОР КЛИНИЧЕСКОГО ИССЛЕДОВАНИЯ – УЧАСТНИК КЛИНИЧЕСКОГО ИССЛЕДОВАНИЯ»

Позиция АОКИ по применению закона «О персональных данных» в отношениях «спонсор КИ – участник КИ»

Март 2020 г.

За 13 лет действия закона «О персональных данных» Ассоциация организаций по клиническим исследованиям (АОКИ) не сталкивалась со случаями, когда спонсоры и/или CRO включали бы в форму информированного согласия на участие в клиническом исследовании адрес и паспортные данные пациентов. Такая практика сложилась не спонтанно, она является результатом продуманной политики крупнейших международных спонсоров и контрактных исследовательских организаций в отдельности и АОКИ в целом.

Несмотря на длительный опыт и отсутствие каких-либо нареканий и возражений как от уполномоченных органов исполнительной власти (Минздрав России, Роскомнадзор, Росздравнадзор), так и от экспертных организаций (Совет по этике при Минздраве России, локальные этические комитеты), отдельные компании периодически сталкиваются с толкованием федерального закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), согласно которому им предлагается включить адрес и паспортные данные пациентов в форму информированного согласия участника исследования. Исходят подобные советы либо от юристов компаний, либо от внешних юридических консультантов.

Осознавая, что данный подход противоречит интересам самих пациентов, не вытекает из российского законодательства о персональных данных и не коррелирует с принципами проведения клинических исследований, АОКИ посчитала необходимым выступить публично со следующей позицией. В ней мы постарались ответить на вопросы, часто возникающие в рамках дискуссии вокруг означенной темы, а также привести аргументы, которые, как нам кажется, должны быть учтены при решении вопроса о содержании формы информированного согласия пациента-участника клинического исследования.

1. Является ли компания-спонсор и/или CRO оператором персональных данных участников исследования с точки зрения российского законодательства?

Непосредственно с пациентом контактирует врач-исследователь, который, являясь лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну, имеет право, в соответствии с подпунктом 4 части 2 статьи 10 ФЗ «О персональных данных», осуществлять обработку персональных данных, касающихся состояния здоровья, без получения согласия субъекта на обработку персональных данных в письменной форме.

Данные, по которым можно идентифицировать субъекта (в первую очередь, его ФИО) содержатся в первичной документации, а также в форме информированного согласия на участие в исследовании. Один экземпляр согласия хранится у врача-исследователя в медицинской организации, второй у участника исследования. Спонсору данная документация не передается, данные о пациенте (например, в составе Case Report Form, CRF¹) поступает к спонсору исключительно под идентификационным кодом субъекта² (Subject Identification Code). То есть, пользуясь терминологией ФЗ «О персональных данных» (подпункт 9 статьи 3), происходит обезличивание персональных данных, в результате чего становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных». Спонсор, равно как и любое иное лицо, не может идентифицировать пациента без использования идентификационного кода. Список идентификационных кодов хранится исключительно в файле исследователя/в медицинской организации³.

Порой приходится слышать мнение, что деятельность спонсора может быть отнесена к деятельности оператора персональных данных, так как мониторы спонсора получают прямой доступ⁴ к документам исследования, включая первичную документацию, содержащую, в том числе, персональные данные. С таким толкованием нельзя согласиться по следующим основаниям. Согласно п. 3 статьи 3 ФЗ «О персональных данных» обработкой персональных данных является любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Мониторинг же, согласно п. 1.38 ICH GCP, заключается в контроле за ходом клинического исследования, обеспечении его проведения, сбора данных и представления результатов в соответствии с протоколом, стандартными операционными процедурами, надлежащей клинической практикой (GCP) и применимыми нормативными требованиями. В рамках данной деятельности мониторы не занимаются сбором, записью, извлечением, использованием, передачей, равно как и другими действиями с персональными данными пациентов, они не вправе копировать и выносить из центра, передавать в компанию персональные данные пациентов, они лишь видят их при проверке документации, при этом, согласно п. 1.21 ICH GCP, обязаны соблюдать требования по защите конфиденциальной информации, позволяющей идентифицировать субъектов исследования. Сами субъекты проинформированы и дают согласие на прямой доступ как мониторов (представителей спонсора), так и представителей уполномоченных органов и аудиторов при подписании формы информированного согласия на участие в исследовании.

Отдельно хочется оговорить, что понятие «видеть» в данном случае также вряд ли можно отнести к «любому действию (операции), совершаемому с персональными данными», так как никакому активному воздействию, влекущему какие-либо изменения в их природе, данные не подвергаются. Точно так же, полагаем, человек, смотрящий на любой неодушевленный предмет (гору, карандаш, экран телевизора), не оказывает на него никакого воздействия. Представляется, что попытка широкого толкования понятия «обработка персональных данных» через «любое действие» в данном случае несостоятельна: деятельность монитора не может быть отнесена к деятельности по обработке персональных данных, так как при подобной трактовке из фокуса выпадает второй признак определения понятия: действие должно совершаться непосредственно с персональными данными.

Учитывая изложенное, полагаем, что попытка квалификации деятельности спонсора клинического исследований (контрактной исследовательской организации, действующей по поручению спонсора) в качестве оператора персональных данных пациентов, безосновательна, и подобный вывод не соответствует правовой природе отношений в рамках клинических исследований.

2. Отличается ли порядок работы с персональными данными и с обезличенными персональными данными? Не может ли тот факт, что спонсор исследования оперирует обезличенными персональными данными пациента, быть истолкован как подтверждение его статуса в качестве оператора персональных данных?

ФЗ «О персональных данных» не дает подробного объяснения порядка работы с обезличенными данными. И может сложиться впечатление, что работа с обезличенными персональными данными по-прежнему влечет за собой для спонсора те же обязательства, которые закон возлагает на операторов, занимающихся обработкой не обезличенных персональных данных. Полагаем, что это не так.

Согласно части 7 статьи 5 ФЗ «О персональных данных», к одному из основных принципов обработки персональных данных отнесено требование о том, что по достижении целей обработки или в случае утраты необходимости в достижении этих целей обрабатываемые персональные данные подлежат уничтожению либо обезличиванию. Ставя в один смысловой ряд понятия «уничтожение» и «обезличивание», закон, по сути, однозначно определяет режим работы с обезличенными данными в качестве свободного.

Стоит также упомянуть, что в сентябре 2019 г. Минкомсвязи вынесен на общественное обсуждение законопроект, которым предполагается более подробно раскрыть правовой режим работы с обезличенными персональными данными. В частности, вводится положение о том, что в случае передачи оператором третьему лицу обезличенных персональных данных, полученные этим лицом персональные данные могут быть использованы свободно, в том числе в целях, связанных с осуществлением предпринимательской деятельности.

Критики данного подхода могут сказать, что в настоящий момент законопроект не принят, поэтому риск квалификации деятельности спонсора в качестве оператора персональных данных пациента существует. Полагаем, что если такой риск и существует, то он минимален. Во-первых, с учетом логики действующей редакции закона. Во-вторых, напомним, что автором упомянутого законопроекта является Минкомсвязи России, федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере обработки персональных данных. С трудом можно представить ситуацию, в которой ктолибо попытался поставить под сомнение и оспорить позицию, достаточно четко сформулированную профильным ведомством в указанном проекте.

3. Обосновано ли требование внесения в письменное информированное согласие участника клинического исследования информации, предусмотренной частью 4 статьи 9 ФЗ «О персональных данных», в т.ч. адреса субъекта персональных данных и номера основного документа, удостоверяющего его личность, сведений о дате выдачи указанного документа и выдавшем его органе?

Полагаем, что попытка включения в форму письменного информированного согласия на участие в клиническом исследовании дополнительных идентифицирующих пациента сведений не соответствует букве и духу ФЗ «О персональных данных» и противоречит интересам пациентов.

Согласно части 5 статьи 5 ФЗ «О персональных данных», содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки. Как уже было указано выше, ФИО пациента присутствует в форме информированного согласия на участие в исследовании. Данные о месте жительства (адрес) и паспортные данные для целей проведения клинических исследований не собираются и являются в данном случае явно избыточными. Врач, как уже отмечено, не обязан получать письменное согласие на обработку персональных данных пациента в силу своих профессиональных полномочий. Таким образом, полагаем, что для целей проведения клинических исследований вполне достаточно той письменной формы информированного согласия на участие в исследовании, которую подписывают потенциальные участники исследования без указания в данной форме адреса и паспортных данных пациента.

В случае же толкования норм закона таким образом, что у участника клинического исследования должно быть получено письменное согласие на обработку его персональных данных (в качестве самостоятельного документа либо в составе согласия на участие в исследовании), возникает также вопрос – кто должен быть указан в качестве оператора, получающего согласие субъекта на обработку?

Если в данном случае речь идет о риске компании-спонсора быть обвиненной в обработке персональных данных с нарушением требований к составу сведений, включаемых в согласие в письменной форме субъекта персональных данных на обработку его персональных данных, то, полагаем, необходимо вести речь и об указании именно спонсора в качестве оператора. Следуя этой логике, согласие субъекта персональных данных на обработку в таком случае должно собираться и храниться также спонсором: согласно части 3 статьи 9 ФЗ «О персональных данных» обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных возлагается на оператора. Но согласия участников клинических исследований никогда не собираются и не хранятся компанией-спонсором, они находятся (в том числе по причине необходимости соблюдения конфиденциальности) в медицинской организации.

В случае же, если включение паспортных данных и адреса в согласие пациента на участие в исследовании (равно как и альтернативное требование получения отдельного согласия на обработку персональных данных) проистекает от спонсора, но возлагается на врача-исследователя/медицинскую организацию (в качестве оператора указывается медицинская организация), полагаем, имеет место неоправданное давление на контрагента по договору и попытка переложить мнимую ответственность на иное лицо.

Кроме того, надо понимать – в случае, если компания в течение многих лет проводила в России клинические исследования без указания в форме информированного согласия пациента его адреса и паспортных данных, и вдруг с определенного момента решила указывать эту информацию, возникает вопрос: означает ли это, что, начиная с 26 января 2007 г. (дата вступления в силу ФЗ «О персональных данных») она допускала нарушение закона? Также необходимо принимать во внимание, что в случае внесения изменений в форму информированного согласия участника клинического исследования эти изменения должны быть одобрены локальными этическими комитетами, а пациенты должны будут получить эту информацию и переподписать свое согласие, причем эту процедуру необходимо будет провести по всем текущим клиническим исследованиям компании.

4. А если все же кто-то попытается обвинить спонсора в том, что письменная форма информированного согласия участника клинического исследования не содержит его адреса и паспортных данных?

Полагаем, что в таком случае под сомнение будут поставлены не только позиция компании-спонсора, но и действия Минздрава России, Совета по этике, организованного при нем, а также локальных этических комитетов. Напомним, что все указанные организации, согласно действующему законодательству, осуществляют оценку материалов планируемого клинического исследования, включая форму информированного согласия⁵. Ситуация, в которой орган, осуществляющий контроль в сфере обработки персональных данных, поставил бы под сомнение деятельность не только хозяйствующего субъекта, но и в другого органа исполнительной власти, представляется мало реалистичной.

Учитывая изложенное, Ассоциация организаций по клиническим исследованиям полагает, что включение адреса и паспортных данных пациентов в письменную форму информированного согласия на участие в клиническом исследовании не отвечает интересам пациентов-участников клинических исследований, не вытекает из действующего законодательства и крайне нежелательно с точки зрения общих интересов индустрии клинических исследований.

_________________________