Клинические исследования в России. Обработка персональных данных

Важное значение при проведении клинических исследований лекарственных препаратов имеет регулирование отношений в сфере обработки и защиты персональных данных. Под «персональными данными», в соответствии с п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», понимается любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных). По общему правилу, обработка персональных данных должна осуществляться с согласия субъекта. При этом согласие на обработку специальных категорий персональных данных, к которым относятся данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрических данных необходимо получить от субъекта персональных данных именно в письменной форме, за некоторыми исключениями, предусмотренными действующим законодательством.

К персональным данным субъекта исследования, обрабатываемым в ходе клинического исследования, относятся, в том числе, фамилия, имя и отчество, дата рождения, данные о состоянии здоровья и иные сведения, получаемые при обследовании и лечении. На практике, в дополнение к медицинской организации, проводящей исследование, а также контрактно-исследовательской организации, осуществляющей мониторинг, обработка персональных данных добровольцев/ пациентов может потребоваться и представителям других организаций, в зависимости от процедур конкретного клинического исследования, предусмотренных спонсором. Примерами таких организаций могут служить компании, организующие выплаты и компенсации субъектам за участие в исследовании, организации, содействующие в перевозке и организации питания пациентов, компании, осуществляющие организацию визитов медицинских работников к пациентам на дом. Соглашаясь участвовать в клиническом исследовании, пациент или доброволец должен дать согласие на обработку персональных данных, без которого его участие будет невозможным. Такое согласие может быть дано субъектом исследования в виде отдельного документа, однако, исходя из сложившейся практики, согласие на обработку персональных данных нередко включается в состав формы информированного согласия на участие в клиническом исследовании, подписание которого пациентом или его законным представителем, является необходимым условием в силу п. 2.9 Решения Совета Евразийской экономической комиссии от 03.11.2016 N 79 «Об утверждении Правил надлежащей клинической практики Евразийского экономического союза», п. 3 ст. 43 Федерального закона от 12.04.2010 N 61-ФЗ «Об обращении лекарственных средств», п. 4 Приказа Минздрава России от 01.04.2016 N 200н «Об утверждении правил надлежащей клинической практики». По этой причине, понимание механики, способов и объема обрабатываемых персональных данных субъекта исследования различными лицами необходимо уже на ранних этапах, при планировании проведения клинического исследования. Принимая во внимание различные способы взаимодействия с пациентами в рамках клинических исследований, рассмотрим вопрос необходимости получения согласия на обработку персональных данных пациента в целом, а также необходимости соблюдения его письменной формы на примере организации перевозки и питания пациентов.

Одним из способов организации питания пациентов, участвующих в клинических исследованиях, является доставка еды непосредственно в медицинское учреждение в дни визитов пациентов. Меню, как правило, составляется накануне исследования и привозится в исследовательский центр в необходимое время. Указывается время, к которому должна быть готова пища, название блюд и количество порций. В названном случае обработки персональных данных пациентов компанией, организующей питание, не возникает, а следовательно, не возникает и необходимости получения каких-либо согласий. Еще одним из способов организации питания является предоставление пациентам карт с депонированными на них денежными средствами. В указанной модели пациенту через врача-исследователя передается сама карта, список мест общественного питания, в которых пациент вправе воспользоваться указанными картами, а также инструкция по пользованию сервисом. При этом привязка карты с определенным номером к пациенту может осуществляться исследователем или членами исследовательской команды, и, таким образом, в передаче персональных данных еще одному звену — компании, организующей питание, необходимости не возникает. В некоторых случаях, когда, например, пациент не имеет возможности личного посещения исследовательского центра, может быть организована доставка питания в место, указанное пациентом. В этом случае компании, организующей питание, может потребоваться обработка фамилии, имени, отчества пациента, его номера телефона для связи, а также адреса доставки. Принимая во внимание, что указанные сведения не относятся к категории специальных, получение согласия на обработку персональных данных в письменной форме не является обязательным: его можно получить в любой форме, позволяющей идентифицировать факт предоставления, например:

• через СМС-код,
• чекбокс с галочкой согласия на сайте или в мобильном приложении,
• в составе информированного согласия на участие в клиническом исследовании,
• иным способом.

Что касается организации трансфера, то в данном случае транспорт может подаваться в назначенное время к назначенному месту, соответствующие данные могут передаваться исследователем или одним из членов исследовательской команды непосредственно компании, организующей трансфер, без необходимости обработки каких-либо персональных данных пациентов. Однако данный способ, очевидно, имеет определенные недостатки ввиду отсутствия возможности прямого контакта субъекта исследования с перевозчиком. Поэтому чаще всего в организации трансфера пациентов используется модель, при которой пациенту либо предоставляется доступ к личному кабинету, где он может самостоятельно заказать себе транспорт, либо соответствующий заказ делается непосредственно исследователем или членами исследовательской команды, а пациенту приходят уведомления (SMS/email/звонок) о статусе выполнения заказа. По аналогии с подходом, указанным выше, компания, организующая трансфер пациентов, будет обрабатывать, как минимум, данные о номере телефона и адресе пациента, поэтому важно обеспечить наличие согласия пациента на обработку указанных персональных данных. Принимая во внимание, что указанные данные не относятся к категории специальных, согласие на обработку может быть получено в любой форме, позволяющей подтвердить факт его получения.

Учитывая отсутствие необходимости обработки персональных данных спонсором или уполномоченным им лицом в рассмотренных выше случаях, компания, специализирующаяся на предоставлении подобных сервисов, предоставляет ему детализированный отчет об организованном питании и/или поездках с ослеплением персональных данных пациентов.

Дискуссионным в настоящее время остается вопрос необходимости заключения в соответствии с п. 3 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» договора поручения между медицинской организацией, проводящей клиническое исследование, и третьими лицами, которым такие персональные данные будут передаваться центром для дальнейшего использования.

При этом учитываются несколько условий:

• согласие на передачу данных третьим лицам было дано пациентом в составе информированного согласия, в котором учреждение значится как оператор,
• отдельное согласие не будет предоставлено пациентом таким третьим лицам.

На практике нам не известны случаи заключения подобных договоров поручения. Поэтому, во избежание возможного привлечения к административной ответственности за нарушение положений действующего законодательства в области обработки персональных данных в случае, если согласие на обработку персональных данных пациента третьими лицами, привлекаемыми в целях выполнения тех или иных активностей в рамках проводимого исследования, включается в состав информированного согласия, рекомендуется, чтобы такие третьи лица значились в согласии в качестве операторов персональных данных.