GDPR – Obecné nařízení o ochraně osobních údajů

V souvislosti s Obecným nařízením o ochraně osobních údajů (angl. General Data Protection Regulation neboli GDPR (dále jen „GDPR“) žádáme zadavatele, kteří předkládají žádost o povolení/ohlášení klinického hodnocení, aby na SÚKL nepředkládali dokumenty týkající se zpracování a zajištění ochrany osobních údajů. Zároveň žádáme, aby byly dané dokumenty týkající se zpracování a zajištění ochrany osobních údajů samostatnými dokumenty předávanými subjektům hodnocení a předkládanými etické komisi (u multicentrických klinických hodnocení pouze etické komisi pro multicentrická klinická hodnocení, v případě monocentrických klinických hodnocení příslušné etické komisi, která dané klinické hodnocení schvaluje).

 Etické komisi by měl zadavatel předložit samostatné dokumenty týkající se zpracování a zajištění ochrany osobních údajů v souladu s nařízením GDPR spolu s prohlášením, že při předávání dat bude zajištěna ochrana osobních údajů požadovaná nařízením GDPR. Je odpovědností zadavatele (správce osobních údajů), aby dokumenty týkající se zpracování a zajištění ochrany osobních údajů, včetně případných souhlasů a informací předávaných subjektům hodnocení, splňovaly požadavky GDPR a příslušné právní úpravy zpracování osobních údajů v České republice. Etická komise se nebude k těmto dokumentům vyjadřovat., nebude do textu zasahovat. Soulad s GDPR a platnou právní úpravou v České republice je tedy povinností a odpovědností zadavatele.

Vyjádření ÚOOÚ ze dne 31. května 2018:

Nelze směšovat souhlas k provedení klinické studie na pacientech nebo zdravých dobrovolnících a souhlas ke zpracování osobních údajů, neboť se jedná o dva rozdílné souhlasy. Subjekt hodnocení má právo na informace od správce údajů dle článku 13 až 15 oddílu 2 Obecného nařízení o ochraně osobních údajů (GDPR), i pokud je zpracování založeno na zákonném důvodu.

K otázce případných kompetencí regulační autority, případně etické komise, v oblasti ochrany osobních údajů, ÚOOÚ uvedl: „Zpracování osobních údajů při klinickém hodnocení musí být v souladu s platnou legislativou České republiky i s GDPR. Odpovědnost za správné zpracování osobních údajů a dodržení platné legislativy leží na správcích a zpracovatelích osobních údajů využitých při klinickém hodnocení.“

Inspektoři GCP budou dle doporučení pracovní skupiny kontrolovat, zda byla subjektu hodnocení předána informace o právním základu zpracování osobních údajů; zákonnost zpracování může vycházet pravděpodobně zejména z čl. 6 odst. 1 písm. c), e) nebo f) GDPR, pokud jde o obecné zpracování osobních údajů, ve spojení s z čl. 9 odst. 2 písm. i) nebo j) GDPR, pokud jde o právní titul zpracování zvláštních kategorií osobních údajů. Výběr právního titulu zpracování je na odpovědnosti správce osobních údajů, musí však být jednoznačně určený.

Z výše uvedeného vyplývá, že osobní údaje v klinických hodnoceních lze zpracovávat zejména na základě výše uvedených právních titulů, nikoliv výlučně z titulu souhlasu subjektu údajů.   

Forma dokumentů týkajících se zpracování a zajištění ochrany osobních údajů je na rozhodnutí zadavatele, přípustná je forma souhlasu i forma informace subjektu hodnocení.

Pro více informací uvádíme odkaz na revidovaný text Pracovní skupiny zřízené podle článku 29 „Pokyny pro souhlas podle nařízení216/679, ze dne 10. dubna 2018:

http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051

Vzhledem ke skutečnosti, že jediný kompetentní orgán, který může kontrolovat zajištění ochrany osobních údajů je ÚOOÚ a odpovědnost je na zadavatelích (správcích osobních údajů), tato kontrola nepřísluší ani SÚKL, ani etické komisi, nebude etická komise dokument posuzovat, ani se k němu vyjadřovat. Na případnou žádost zadavatele u běžících klinických hodnocení pouze potvrdí „obdržení dokumentu“. Při předložení nové žádosti o schválení klinického hodnocení bude etická komise uvádět dokument v seznamu předložených dokumentů s poznámkou neposuzován.

30.7.2018 (aktualizace k 7.12.2018)

Oddělení klinického hodnocení