Mit der Verordnung (EU) Nr. 536/2014 wurden die Weichen für eine zentrale europäische Arbeitsplattform im Rahmen der klinischen Studien gestellt. Mit dem Clinical Trial Information System (CTIS) hat die European Medicines Agency (EMA) die Grundlage geschaffen, den Austausch von Informationen und Dokumenten über eine zentrale Online-Plattform zu ermöglichen. Die Nutzung der Online-Plattform war gemäß den Übergangsregelungen bis zum 31.01.2023 freiwillig. Die Einreichung von Anträgen war noch im Rahmen der nationalen Genehmigungsprozesse möglich. Seit dem 31.01.2023 sind nunmehr Anträge zu neuen klinischen Studien über das CTIS einzureichen.
In diesem Blogbeitrag werden die datenschutzrechtlich relevanten Rahmenbedingungen dargestellt und entsprechende Hinweise zur Umsetzung in der Praxis gegeben.
Öffentlicher und nicht-öffentlicher Bereich des CTIS
Die Online-Plattform ist in einen öffentlichen und einen nicht-öffentlichen Bereich aufgeteilt. Aus Gründen der Transparenz gegenüber der Öffentlichkeit sowie den Studienteilnehmern werden im öffentlich zugänglichen Bereich Informationen zu aktuellen oder geplanten klinischen Studien zur Verfügung gestellt. Dieser Bereich wird für die Webseitenbesucher zugänglich sein. Den Interessierten wird es möglich sein, Studien zu suchen und sich über den aktuellen Stand zu informieren.
In einem nicht-öffentlichen Bereich werden zwischen den Sponsoren, Aufsichtsbehörden und Ethikkommissionen studienrelevante Dokumente wie Berichte, Anträge oder Protokolle ausgetauscht und zur Verfügung gestellt. Alle Beteiligten erhalten dafür ihren eigenen Arbeitsbereich.
Eine datenschutzrechtliche Relevanz ergibt sich somit aus der Verarbeitung von personenbezogenen Daten in den öffentlichen und nicht-öffentlichen Bereichen. Es ist daher zu klären, welche Dokumente über das CTIS zur Verfügung gestellt werden.
Relevante Dokumente
Über das CTIS sollen zukünftig alle Antragsverfahren abgewickelt und die dabei relevanten Dokumente ausgetauscht werden. Sobald eine klinische Studie genehmigt und durchgeführt wird, sollen über das CTIS etwaige Meldungen und Reports zwischen den Aufsichtsbehörden und den Sponsoren übertragen werden. Die Liste der Dokumente, welche somit über die Plattform hochgeladen und zur Verfügung gestellt werden, ist entsprechend umfangreich. Dem aktuellen Entwurf der EMA „Guidance document on how to approach the protection of personal data and commercially confidential information in documents uploaded and published in the Clinical Trial Information System (CTIS)”, kann eine entsprechende Liste entnommen werden. Neben der Einwilligungserklärung (Informed Consent Form – ICF) finden sich auch das Studienprotokoll sowie verschiedene Safety Reports in dieser Liste wieder.
In Abhängigkeit von dem jeweiligen Dokument wird entschieden, ob dieses in zweifacher Ausführung zur Verfügung gestellt werden muss, eine für den öffentlichen und eine für den nicht-öffentlichen Bereich. Danach richten sich dann die Anforderungen an die Anonymisierung oder Pseudonymisierung von personenbezogenen Daten innerhalb der Dokumente. Betroffene, deren personenbezogene Daten in den Dokumenten verbleiben, sind über diese Datenverarbeitung vorab zu informieren.
Datenschutzrechtliche Verantwortlichkeiten und Information nach Art. 13 DSGVO
Das Betreiben sowie die Nutzung der Plattform werden aus datenschutzrechtlicher Sicht als Verarbeitungsprozesse im Rahmen einer gemeinsamen Verantwortlichkeit bewertet. Eine entsprechende Anfrage wurde an den für die EMA zuständigen europäischen Datenschutzbeauftragten gestellt und beantwortet. Seitens der EMA wird ein Vertrag nach Art. 26 DSGVO zur Verfügung gestellt.
Dem Annex II des Vertrages zur gemeinsamen Verantwortlichkeit kann ferner eine Information nach Art. 13 DSGVO für die Betroffenen entnommen werden, deren personenbezogene Daten über das CTIS verarbeitet werden. Diese Information bietet eine erste Grundlage für den Sponsor, um die einzelnen Datenverarbeitungsprozesse über und durch das CTIS zu erfassen und die Plattform datenschutzkonform in seine Arbeitsprozesse zu integrieren.
Datenschutzrechtliche Empfehlungen zur Integration im Unternehmen
Der Einsatz des CTIS hat für die Beteiligten und insbesondere für die Sponsoren datenschutzrechtliche Relevanz. Die Verwendung einer Online-Plattform mit einem öffentlichen und nicht-öffentlichen Bereich, auf welcher personenbezogene und besondere personenbezogene Daten verarbeitet werden, birgt das grundsätzliche Risiko einer ungerechtfertigten Offenbarung. Es wird daher empfohlen, den ersten Schritten in und mit CTIS die notwendige Aufmerksamkeit zu widmen.
Um entsprechenden Risiken zu begegnen, sollten Verantwortliche in einem ersten Schritt eruieren, (1) welche fallbezogenen Dokumente über die Plattform zur Verfügung gestellt werden müssen. Daran anschließend ist zu klären, (2) welche personenbezogenen Daten in diesen Dokumenten enthalten sind. Dabei sind sowohl die Angaben zu den Prüfärzten aus den Studienzentren als auch die pseudonymen Daten der Studienteilnehmer zu bedenken. In Abhängigkeit davon, ob dieses Dokument in dem öffentlichen oder nicht-öffentlichen Bereich des CTIS bereitgestellt wird, kann beurteilt werden, (3) ob die Offenlegung der personenbezogenen Daten notwendig oder sogar gesetzlich vorgeschrieben ist. Hilfestellung gibt es hierbei von der EMA in der vorgenannten Orientierungshilfe. Hier wird danach unterschieden, welche personenbezogenen Daten der Studienteilnehmer und Nicht-Studienteilnehmer für welche Bereiche zu anonymisieren oder pseudonymisieren sind.
In Bezug auf die pseudonymen Daten der Studienteilnehmer lässt sich festhalten, dass diese für die Freigabe im öffentlichen Bereich anonymisiert sein müssen, wie in der Orientierungshilfe der EMA unter Punkt 3.3.2 “Anonymisation of personal data of trial participants – documents version ‚For publication’” deutlich wird:
“In accordance with Article 81(7) of the Clinical Trials Regulation and prior to being uploaded in CTIS, personal data related to clinical trial participants must be anonymised in the version of documents ‘for publication’.”
Bei Nicht-Studienteilnehmern (u.a. Team-Mitglieder an den Studienzentren, Beschäftigte der Sponsoren) sind personenbezogene Daten bei der Veröffentlichung im frei zugänglichen Bereich ebenfalls zu anonymisieren. Ausnahmen gibt es hingegen für die personenbezogenen Daten der Prüfärzte, der Vertreter des Sponsors und der Verantwortlichen auf Seite des Studienzentrums. Diese sind näher im “Appendix, on disclosure rules, to the ‚Functional specifications for the EU portal and EU database to be audited – EMA/42176/2014‘” geregelt, welcher ebenfalls online verfügbar ist.
Sollte eine Offenlegung der personenbezogenen Daten nicht notwendig sein, so sind diese entsprechend zu anonymisieren. In ihrer Guideline weist die EMA auf verschiedene (4) Möglichkeiten hin, welche zur Anonymisierung eingesetzt werden können. Es obliegt dem Verantwortlichen, die Qualität der Anonymisierung zu bewerten und sicherzustellen, dass diese vorliegt.
Die Betroffenen, deren personenbezogene Daten über das CTIS verarbeitet werden, sind (5) über diese Verarbeitungstätigkeit entsprechend zu informieren. Zur Erstellung der eigenverantwortlichen Information nach Art. 13 DSGVO kann auf die bereits erstellte Information nach Art. 13 DSGVO der EMA sowie die hier aufgeführten Orientierungshilfen zurückgegriffen werden.
Abschließend bleibt zu berücksichtigen, dass die gemeinsame Verantwortlichkeit bei der Verwendung des CTIS den Sponsor in die Verantwortung bringt, seinen (6) Verpflichtungen nach Art. 26 Abs. 3 DSGVO nachkommen zu können. Demzufolge sind durch den Sponsor entsprechende Prozesse zu implementieren, um beispielsweise Betroffenenanfragen beantworten oder weiterleiten zu können.
Schlusswort
Kritik an der Stabilität sowie der Funktionalität der Plattform wurde zuletzt an verschiedenen Stellen laut. Seitens der Bundesregierung wurde daher bereits die Bitte an die EU-Kommission herangetragen, vorsorglich die Verlängerung der Übergangsfrist zu prüfen. Davon unabhängig wurde seitens der EMA die Pflicht zur Verwendung der Onlineplattform ab dem 31.01.2023 bestätigt. Die weiteren Entwicklungen bleiben abzuwarten.