PILAR 2 · PROTEÇÃO DE DADOS EM ENSAIOS CLÍNICOS
O RGPD aplicado aos participantes em ensaios clínicos
O Regulamento Geral sobre a Proteção de Dados (RGPD) e o Regulamento (UE) 536/2014 sobre ensaios clínicos aplicam-se em paralelo e de forma complementar. Os dados dos participantes são dados de saúde, categoria especial ao abrigo do Art. 9.º do RGPD, e a sua licitude exige base jurídica dupla: uma no Art. 6.º e outra no Art. 9.º n.º 2.
Aplicação paralela dos dois regulamentos
O Regulamento (UE) 536/2014 regula a autorização, a condução e a notificação de ensaios clínicos de medicamentos para uso humano na União Europeia. Em paralelo, o RGPD impõe as suas exigências de proteção de dados sempre que o ensaio implique tratamento de dados pessoais dos participantes. Nenhum dos dois diplomas derroga o outro: o promotor e o investigador-principal devem satisfazer, simultaneamente, as obrigações decorrentes de ambos.
Dados de saúde como categoria especial
Os dados recolhidos no âmbito de um ensaio clínico — diagnósticos, resultados laboratoriais, dados de imagem, registos de medicação — são dados de saúde na acepção do Art. 4.º n.º 15) RGPD e integram, por isso, as categorias especiais de dados cuja utilização está sujeita a proibição geral com exceções taxativas. Esta qualificação determina obrigações reforçadas de minimização, pseudonimização e segurança.
A dupla base jurídica: Art. 6.º conjugado com Art. 9.º n.º 2
O tratamento de dados de saúde em ensaios clínicos assenta, em regra, numa base jurídica dupla. Para fins de segurança e fiabilidade do medicamento — obrigações que incumbem por lei ao promotor —, a base do Art. 6.º n.º 1 al. c) RGPD (obrigação jurídica) conjuga-se com o Art. 9.º n.º 2 al. i) RGPD (interesse público no domínio da saúde pública, incluindo a garantia de normas elevadas de qualidade e segurança dos medicamentos). Para atividades de investigação científica associadas ao ensaio, releva o Art. 9.º n.º 2 al. j) RGPD, nos termos em que foi desenvolvido pela EDPB Opinion 3/2019.
O papel da Lei n.º 58/2019 e da CNPD
A Lei n.º 58/2019 adapta o RGPD à ordem jurídica nacional e contém disposições específicas sobre o tratamento para fins de investigação científica, designadamente o regime do consentimento, as garantias adequadas e o papel da CNPD (Comissão Nacional de Proteção de Dados) enquanto autoridade de controlo competente em Portugal. A notificação de violações de dados que afetem participantes em ensaios obedece a prazos estritos fixados no RGPD e deve ser coordenada com as comunicações exigidas pelo Regulamento (UE) 536/2014.
- Aplicação paralela do RGPD e do Regulamento (UE) 536/2014;
- Dados de saúde como categoria especial — Art. 9.º RGPD;
- Base de licitude: Art. 6.º n.º 1 al. c) RGPD conjugado com Art. 9.º n.º 2 al. i) RGPD;
- Fins de investigação científica: Art. 9.º n.º 2 al. j) RGPD;
- Notificação de violações de dados à CNPD (72 horas);
- Pseudonimização como garantia adequada nos termos do Art. 89.º RGPD.
Obrigações do promotor quanto à proteção de dados
- Identificar a base jurídica dupla (Art. 6.º + Art. 9.º n.º 2) antes do início do ensaio.
- Implementar medidas técnicas e organizativas de pseudonimização dos dados dos participantes.
- Elaborar e manter atualizado o registo das atividades de tratamento.
- Notificar a CNPD de violações de dados pessoais no prazo de 72 horas.
- Assegurar que o protocolo do ensaio inclui uma secção dedicada à proteção de dados.
- Nomear um encarregado de proteção de dados quando aplicável ao abrigo do Art. 37.º RGPD.
Necessita de um Trial Data Protection Officer?
O TDPO (Trial Data Protection Officer) assegura a articulação entre o Regulamento (UE) 536/2014 e o RGPD em cada fase do ensaio clínico — da autorização ao arquivo.