Transferências internacionais de dados em ensaios com promotores extra-UE

O regime do Capítulo V do RGPD

O Capítulo V RGPD proíbe a transferência de dados pessoais para países terceiros salvo quando esteja preenchida uma das condições aí previstas: decisão de adequação da Comissão Europeia, garantias adequadas (como as Cláusulas Contratuais Tipo ou regras vinculativas para empresas) ou derrogações para situações específicas. Em ensaios clínicos, a derrogação do Art. 49.º RGPD para a execução de um contrato com o titular raramente é aplicável como fundamento autónomo, devendo o promotor recorrer a instrumentos de transferência robustos.

Cláusulas Contratuais Tipo e EU-US Data Privacy Framework

O instrumento de transferência mais utilizado em ensaios globais são as Cláusulas Contratuais Tipo (CCT) adotadas pela Comissão Europeia através da Decisão (UE) 2021/914. As CCT de 2021 distinguem entre responsável-para-responsável e responsável-para-subcontratante e incluem modulações adaptadas à estrutura de ensaios multicêntricos. Para transferências para os Estados Unidos, o EU-US Data Privacy Framework (EU-US DPF) — instaurado pela Decisão de Adequação de julho de 2023 — dispensa as CCT para entidades certificadas, mas o promotor deve verificar a certificação antes de a invocar como fundamento de transferência.

O acórdão Schrems II e a obrigatoriedade da TIA

O acórdão Schrems II (C-311/18) do Tribunal de Justiça da União Europeia invalidou o Privacy Shield e estabeleceu que as CCT, por si sós, não garantem a proteção adequada se o direito do país de destino permitir o acesso das autoridades públicas aos dados. Desde então, a celebração de CCT deve ser acompanhada de uma Transfer Impact Assessment (TIA — avaliação de impacto da transferência) que analise o enquadramento jurídico do país de destino, o risco concreto de acesso por autoridades e as medidas suplementares eventualmente necessárias. O EDPB emitiu recomendações detalhadas sobre a metodologia da TIA.

Decisões de adequação e transferências intragrupo

A Comissão Europeia adotou decisões de adequação em relação a um número limitado de países terceiros — entre os quais o Reino Unido (com revisão periódica), o Japão, a Coreia do Sul e o Canadá (para entidades sujeitas à PIPEDA). Nas transferências intragrupo de promotores multinacionais, as regras vinculativas para empresas (Binding Corporate Rules) aprovadas pela CNPD constituem alternativa às CCT, embora o seu processo de aprovação seja mais demorado.

• Capítulo V RGPD — regime geral das transferências internacionais;
• Decisão (UE) 2021/914 — Cláusulas Contratuais Tipo (CCT) adotadas em 2021;
• EU-US DPF — adequação para entidades certificadas nos EUA;
• TIA obrigatória após o acórdão Schrems II (C-311/18) (Schrems II);
• Decisões de adequação: verificar vigência antes de as invocar;
• Regras vinculativas para empresas como alternativa para grupos multinacionais.