A AIPD operacional por tipologia de ensaio clínico

Obrigatoriedade da AIPD em ensaios clínicos

O Art. 35.º RGPD impõe a realização de uma AIPD antes do início de qualquer tratamento suscetível de resultar em elevado risco para os direitos e liberdades dos titulares. O tratamento de dados de saúde em larga escala — critério tipicamente preenchido em ensaios multicêntricos e em ensaios de fase III e IV — consta da lista de tratamentos sujeitos a AIPD publicada pela CNPD ao abrigo do Art. 35.º n.º 4 RGPD. A AIPD deve estar concluída antes da submissão do pedido de autorização ao Infarmed, I.P., e deve integrar o dossier de autorização ou estar disponível para inspeção.

Tipologia de estudo e perfil de risco

Os ensaios de fase I, realizados em voluntários sãos em número reduzido, apresentam perfil de risco de privacidade distinto dos ensaios de fase III, que envolvem centenas ou milhares de participantes em múltiplos centros e países. Os estudos observacionais e de intervenção mínima ao abrigo do Regulamento (UE) 536/2014 beneficiam de regime simplificado, mas não estão isentos de AIPD quando o volume ou a sensibilidade dos dados o justifiquem. O promotor deve documentar a decisão quanto à obrigatoriedade da AIPD, mesmo quando conclui pela sua não obrigatoriedade.

Estrutura metodológica da AIPD para ensaios

A AIPD para ensaios clínicos deve mapear todos os fluxos de dados — da recolha no centro investigador à transmissão ao promotor, à CRO (Contract Research Organization / organização de investigação por contrato) e eventualmente a parceiros extra-UE —, identificar os responsáveis pelo tratamento e os subcontratantes, avaliar a necessidade e proporcionalidade do tratamento, e propor medidas de mitigação dos riscos identificados. As orientações WP248 do antigo Grupo do Artigo 29.º mantêm valor metodológico de referência.

Consulta prévia à CNPD

Quando o risco residual identificado na AIPD permanecer elevado após aplicação de todas as medidas de mitigação viáveis, o promotor deve proceder à consulta prévia nos termos do Art. 36.º RGPD. A consulta à CNPD deve ser realizada com antecedência suficiente para não comprometer o calendário de início do ensaio, dado que a autoridade de controlo dispõe de prazo de oito semanas, prorrogável por seis semanas adicionais, para emitir o seu parecer.

• Obrigatoriedade nos termos do Art. 35.º RGPD para tratamento em larga escala de categorias especiais;
• Lista de tratamentos sujeitos a AIPD da CNPD;
• Mapeamento de fluxos: centro investigador, promotor, CRO e parceiros;
• Distinção por fase do ensaio (I a IV) e regime do Regulamento (UE) 536/2014;
• Consulta prévia à CNPD quando risco residual elevado (Art. 36.º RGPD);
• Revisão da AIPD em caso de alteração substancial do protocolo.