Промежуточные результаты сбора обратной связи по проблемам работы с персональными данными в исследованиях реальной клинической практики

Настоящий документ подготовлен по итогам первого этапа сбора обратной связи от представителей индустрии по вопросам и проблемам, связанным с обработкой персональных данных (ПД) в Исследованиях Реальной Клинической Практики (ИРКП).
Сбор обратной связи по использованию ПД в ИРКП у представителей индустрии – это первый этап проекта «Персональные данные в Исследованиях Реальной Клинической Практики».
Полное о писание проекта: https://prorwe.ru/pd

На основе проведённого анализа был подготовлен настоящий документ, включающий перечень вопросов и проблем, полученных от представителей индустрии. Документ предназначен для распространения промежуточных итогов сбора обратной связи в индустрии, а также для подготовки проведения круглых столов с приглашенными внешними экспертами.

Методология сбора и анализа обратной связи

Цель сбора данных

Выявить актуальные практические вопросы, правовые неопределённости и потребности сторон-участников исследований, возникающие при работе с ПД в рамках исследований.

Целевая аудитория (индустрия ИРКП)

Фармацевтические компании
Контрактно-исследовательские организации
Поставщики данных
Исследовательские центры

Способы сбора информации

Сбор мнений о существующих проблемах по использованию ПД в ИРКП осуществлялся следующими способами:

анонимная онлайн-форма;
онлайн-встречи с представителями индустрии исследовании, посвящённые сбору обратной связи по работе с ПД в исследованиях;
онлайн встреча проектной группы.

Результаты сбора данных представлены в настоящем документе в агрегированном виде. Документ не содержит сведений, определяющих или позволяющих определить личность респондентов или принадлежность отдельных комментариев конкретным участникам индустрии.

Методология анализа

Анализ полученных данных проводился в несколько этапов.

1. Первичная систематизация материалов
На первом этапе все поступившие вопросы, комментарии и описания проблем были собраны в единый массив данных. Дублирующиеся или близкие по смыслу обращения были объединены, при этом сохранялась суть высказанных вопросов и проблем.
2. Выполнение мер для обеспечения конфиденциальности полученной информации
Из материалов исключались сведения, которые потенциально могли указывать на конкретного респондента, организацию, проект, исследовательский центр или иной идентифицируемый субъект. В настоящий документ включались только обобщённые формулировки вопросов и проблем.
3. Агрегирование результатов
Полученные вопросы и комментарии были распределены по тематическим блокам в зависимости от предмета обращения.При необходимости близкие по содержанию обращения объединялись в одну формулировку, отражающую общий запрос индустрии. Это позволило избежать повторов и представить результаты в структурированном виде.

Промежуточные результаты: сбор обратной связи о проблемах работы с ПД в исследованиях

1.Законодательство

Проблемы в регулировании направления Real World Evidence: Правовая база для использования данных реальной клинической практики (Real World Data) находится на «ранней стадии развития».
Несовершенство и неопределенность законодательной базы в области ПД: Законодательство в области персональных данных не позволяет однозначно определить его применимость к данным реальной клинической практики, а в случае применимости создает множество препятствий для его надлежащего исполнения на практике.
Соотнесение GDPR c ФЗ 152: необходимо определить, применяется ли GDPR в случаях, когда спонсором исследования выступает иностранная компания. Также требуется соотнести терминологию и требования GDPR с положениями Федерального закона от 27 июля 2006г. № 152-ФЗ «О персональных данных».
Необходимость формирования перечня применимых для ПД внутренних документов компании: существует практический запрос на формирование перечня рекомендуемых документов, включая локальные нормативные акты внутри компании, необходимые для управления персональными данными в рамках деятельности компаний (спонсоров и поставщиков услуг) и проведения исследований.
Необходимость формирования перечня применимых для ПД законодательных документов: подготовка перечня применимых нормативно-правовых актов, регулирующих вопросы персональных данных, помимо Федерального закона № 152-ФЗ, как для Российской Федерации, так и для ЕАЭС.
Понятие «обезличивание»: понятие обезличенных персональных данных для многих остается неоднозначным: с одной стороны, обезличенные персональные данные остаются персональными данными; с другой стороны, возникает вопрос, признаются ли такие данные персональными для получающей их стороны (например, для спонсора исследования). В то же время существуют методы обезличивания персональных данных, которые должны быть также соблюдены.

2.Стороны исследования и распределение ответственности за ПД

Определение правового статуса каждой из сторон исследования с точки зрения законодательства о ПД с учетом двух отдельных процессов: 1) проведение исследования; 2) сбор данных реальной клинической практики (RWD) для различных целей.
Квалификация ролей сторон в части обработки ПД: оператор — оператор; оператор —лицо, осуществляющее обработку по поручению оператора; кто является оператором персональных данных: КИО или спонсор? Роль , В случае если спонсором исследования является иностранная (глобальный офис) международная фармацевтическая компания, какова роль локального офиса этой фармацевтической компании (по сути, представляет интересы иностранной компании).

Области актуальности: сбор ПД исследователей, участников ЛЭКов; передача данных исследования (включая данные реальной клинической практики)от исследовательских центров (медицинских организаций и т.п.) спонсору и КИО.
Игнорирование ответственности, связанной с обработкой ПД, сторонами исследования: спонсор / КИО / исследовательский центр зачастую не имеют однозначного понимания роли каждой из сторон, в связи с чем не могут выполнить корректную оценку рисков и последствий несоблюдения требований законодательства о персональных данных. Отсутствие единого понимания роли каждой из сторон приводит к перекладыванию ответственности в документах на других участников исследования, что потенциально приводит к различным рискам, включая юридические и репутационные.
Не все стороны исследования зарегистрированы как операторы ПД.

Договорные взаимоотношения с точки зрения ПД:

Закрепление ответственности сторон при обработке ПД в договорах сторон, участвующих в исследованиях: в исследованиях, спонсором которых является фармкомпания, в коллаборационных исследованиях (например, исследования, инициируемые исследователями, научное сотрудничество с медицинскими учреждениями, в договорах с исследовательскими центрами).
Действительность договора спонсор/КИО – исследовательский центр при нарушениях ПД: если данные в исследовательских центрах собраны и(или) переданы с нарушением законодательства, существует риск признания сделки между спонсором/КИО и ЛПУ недействительной.

Недопонимание важности проблематики ПД в исследованиях: при обсуждении с крупными исследовательскими центрами, с исследователями.

3.Ответственность сторон исследования

Ответственность спонсора:

Возникает вопрос ответственности и возможных митигационных мер в случае если спонсор узнал о нарушениях в отношении оснований обработки ПД уже после сбора данных/завершения исследования.

4.Согласие на ПД

4.1. Пациенты

Актуализация форм согласий пациентов: вопросы, связанные с корректностью и своевременным обновлением форм согласий, в том числе в случаях, когда используемые формы не приводятся в соответствие с изменениями законодательства.
Определение необходимого количества согласий:

требуется ли оформлять отдельные согласия для разных целей — например, отдельное согласие на участие в исследовании и отдельное согласие на обработку ПД, — либо допустимо объединение всех положений в один документ;
каким образом оформлять отдельное (от информированного согласия) согласие на обработку ПД.
Правомерность включения в информированное согласие (ИС) на участие в исследовании паспортных данных: если допустимо оформлять 1 ИС, в которое можно включить согласие на обработку персональных данных, то каким образом форма информированного согласия должна учитывать требования законодательства о персональных данных, в т.ч. требования о включении паспортных данных субъекта персональных данных, его адреса в письменную форму согласия на обработку персональных данных, адреса места жительства в соответствии с Федерального закона № 152,.

Необходимость указания базы данных (БД) в ФИС: должны ли в согласиях пациентов на обработку их персональных данных прописываться названия компаний-владельцев БД, куда вносятся данные о пациентах исследователями; если спонсор планирует сменить такую БД (EDC -EditDataCapture), нужно ли организовывать подписание нового согласия на обработку ПД от пациентае.
Электронное согласие на обработку ПД в КИ и НИ:

Каким образом происходит отзыв согласия в электронной форме?
Какая подпись необходима при предоставлении согласия в электронной форме — простая электронная подпись или усиленная (квалифицированная или неквалифицированная)?

4.2. Исследовательский центр

Необходимость сбора согласий на обработку ПД для членов локальных этических комитетов (ЛЭКов): списки членов ЭК либо общедоступны на сайтах комитетов/ учреждений, либо предоставляются комитетом по запросу (ФИО, место работы, профессия, пол), в связи с этим возникает вопрос, какие основания обработки и передачи персональных данных участников ЛЭК могут быть использованы участниками исследования; вопросы относительно оснований для обработки таких списков спонсором, оснований и необходимость выполнения обязательств, связанных с трансграничной передачей персональных данных в связи с использованием спонсором исследования электронного файла (trialmasterfile);вправе ли спонсор поручить обязанности по сбору согласий, если такие согласия необходимы, на обработку ПД членов ЭК непосредственно ЛЭКу (т.к. напрямую спонсор не взаимодействует с членами ЛЭКа).
Необходимость сбора согласий на обработку ПД для исследователей: в случае, если спонсор передает исследование в КИО, кто из сторон остается ответственным за сбор согласий и какие применимы требования к такому согласию.

5.Ретроспективные исследования

Наличие правовых оснований для ретроспективных исследований:

Требуется ли лицу, организующему исследование, организовывать повторный сбор информированных согласий и согласий на обработку ПД, учитывая, что исследовательский центр должен был самостоятельно получить необходимые согласия в рамках рутинной клинической практики;
каким должен быть подход с точки зрения согласий к data based study (исследованиям на основе баз данных – регистры, ЭМК и др); возможно ли осуществлять обработку ретроспективных данных без получения согласий на исследование/ПД;
как корректно подходить к вопросу получения согласия на обработку ПД в рамках ретроспективного investigator study (исследования с участием исследователей).

Сбор данных умерших на момент начала исследования пациентов: допустимые и недопустимые действия с данными;
Информированное согласие и согласие на обработку ПД: необходимость получения согласия(ий) при проведении ретроспективных исследований.
Риски этических комитетов при рассмотрении ретроспективных исследований

6.Трансграничная передача данных

Правомерность и концепция трансграничной передачи персональных данных в исследованиях:

область вопроса: ПД общей категории (включая ПД исследователей) и специальные категории ПД (включая медицинские данные);
проведение ИРКП, спонсором которых являются международные фармацевтические компании;
в случае, если спонсором является зарубежная компания, данные исследования (сведения о состоянии здоровья, если применимо, и ПД общей категории) могут передаваться в штаб-квартиру (заграницу)
данные из нескольких исследований могут быть объедены штаб-квартирой в один новый набор данных для post-hoc анализа;
передача отчетов об исследовании (данные в агрегированном виде) в штаб-квартиру (заграницу) – в исследованиях с участием исследователей и в ретроспективных исследованиях, основанных на вторичном использовании данных (регистры, ЭМК и т.п);
спонсор из другой страны нанял для проведения исследования локальное КИО; в конце исследования КИО передает спонсору документацию исследования (включая наборы данных с ID и ПД общей категории, например, ПД исследователей).

Запрет на передачу генетических данных. С 1 сентября 2026 года вступают в силу строгие ограничения на трансграничную передачу генетических данных, что может парализовать международные исследования.
Использование платформ для сбора данных:

является ли использование гугл-форм трансграничной передачей персональных данных;
что необходимо выполнить в отношении используемых платформ и (или) в отношении персональных данных, чтобы соблюсти требования о локализации и трансграничной передаче персональных данных;
если платформа EDC принадлежит западной компании, можно ли ее использовать для исследований в России.

7.Проведение исследований, мониторинг

Правомерность использования средств ИИ с точки зрения обработки ПД
Требования к облачным дискам, которые компания использует для хранения рабочих файлов, содержащих ПД
Post-hoc анализ со слиянием наборов данных из разных исследований: данные из нескольких исследований могут быть объедены штаб-квартирой в один новый набор данных для post-hoc анализа;
Мониторинг с точки зрения ПД:

предоставление доступа мониторам к первичной документации для SourceDataVerification (SDV);
является ли мониторинг обработкой ПД;
возможно ли использовать следующее решение: исследовательский центр предоставляет монитору копии первичной документации без персональных данных; если возможно, то каким образом это реализуется и какие данные не должны предоставляться монитору во избежание признания таких данных персональными;
является ли обработкой ПД следующий процесс: мониторы, осуществляя сверку первичной документации и ИРК, видят ПД пациентов (включая ФИО), но не копируют в отчеты о мониторинге ПД.

8.Орфанные заболевания

Непонимание правовых аспектов проведения исследований орфанных заболеваний (КИ и НИ) с точки зрения работы с ПД:

основная проблема: в исследованиях редких заболеваний есть информация, которая позволяет идентифицировать пациента, в то время как в исследованиях более распространенных заболеваний аналогичная информация не раскроет пациента; таким образом, влияет ли сфера проведения исследования на факт признания данных, получаемых спонсором / третьим лицом / КИО, персональными.
являются ли сведения о пациентах персональными данными, если они не содержат ФИО и даты рождения пациента, а также если остаются сведения об исследовательских центрах и ФИО исследователей в исследованиях орфанных заболеваний (знание этой информации потенциально позволяет «вычислить» пациентов);

Влияние ФЗ «О государственном регулировании в области генно-инженерной деятельности» от 20.02.2026 на проведение клинических и неинтервенционных исследований орфанных заболеваний.

9.Уровень знаний и компетенций в области ПД

Уровень осведомленности участников индустрии исследованийв вопросах обработки ПД остается неоднородным:

все стороны исследования, включая спонсоров и КИО;
на практике встречаются различные подходы и трактовки законодательства.

Требуется повышение уровня экспертизы в области ПД:

все стороны исследования, включая спонсоров и КИО;
в частности в части корректного разграничения таких понятий, как обезличивание и псевдоанонимизация, а также понимания процессов и мер, обеспечивающих надлежащее обезличивание данных.

10.Утечка персональных данных

Риски и опасения пациентов, связанные с возможной утечкой ПД

Промежуточные результаты: запросы и предложения от представителей индустрии исследований

Рассмотреть возможность запуска дополнительного анонимного опроса о практических подходах к работе с ПД в рамках исследований.

Цель опроса — собрать информацию о текущей практике компаний, в том числе о том, кто определяется в качестве оператора и/или лица, осуществляющего обработку ПД.
Также существует запрос на сбор информации об опыте других компаний в части оформления информированных согласий, включая следующие вопросы:
- сколько согласий целесообразно подписывать;
- допустимо ли включать паспортные данные в тексты согласий;
- какие подходы применяются на практике.

Обсудить проблематику работы с ПД в других юрисдикциях.

В частности, актуальны ситуации, когда международные спонсоры проводят исследования на территории Республики Беларусь, Армении, и иных государств, что требует учета и соблюдения законодательства соответствующих стран.Проработать вопрос о возможности выдачи поручения на обработку персональных данных:
- кто должен оформлять такое поручение — спонсор или КИО;
- в каких случаях оно необходимо;
- какие формулировки целесообразно использовать в соответствующем документе.

Организовать «горячую линию» или иной канал, куда участники индустрии исследований могли бы направлять вопросы по обработке ПД.

Пригласить эксперта, который сможет поделиться практическим опытом организации процессов работы с ПД в медицинском учреждении.

Вопросы для обсуждения:
- c кем пациент подписывает согласие на обработку персональных данных в медицинском учреждении?
- кто в таком случае является оператором персональных данных: исследовательский центр, КИО или спонсор?
- в какой форме с точки зрения требований к персональным данным пациент подписывает согласие?
- с кем именно пациент должен подписывать такое согласие?
- как оформляется согласие на обработку персональных данных применительно к исследованию, если оно выступает как дополнительное согласие к информированному согласию?

Организовать последующие круглые столы по категориям субъектов ПД, отдельно рассмотрев вопросы, связанные с:

- исследователями;
- пациентами;
- сотрудниками вендоров.