RODO w branży farmaceutycznej a prawa strony albo administratora

Przemysł farmaceutyczny to jeden z najbardziej uregulowanych sektorów gospodarki. Połączenie restrykcyjnych norm prawa medycznego, farmaceutycznego oraz przepisów o ochronie danych osobowych (RODO) tworzy skomplikowaną siatkę zależności prawnych. Kluczowym wyzwaniem w tej materii jest wyważenie praw osób, których dane są przetwarzane (pacjentów, lekarzy, uczestników badań klinicznych), z obowiązkami i uprawnieniami administratorów danych (firm farmaceutycznych, hurtowni, aptek czy podmiotów prowadzących badania na zlecenie – CRO). Niniejsza publikacja ma na celu szczegółowe omówienie tych relacji, ze szczególnym uwzględnieniem procedur, terminów oraz ryzyk prawnych.

1. Specyfika przetwarzania danych w branży farmaceutycznej

W branży farmaceutycznej przetwarzane są przede wszystkim dane szczególnej kategorii, o których mowa w art. 9 RODO. Są to m.in. dane dotyczące zdrowia, dane genetyczne czy dane biometryczne. Przetwarzanie tego typu informacji wymaga spełnienia dodatkowych, surowszych przesłanek legalności niż w przypadku danych zwykłych. Każdy podmiot działający w tym sektorze musi precyzyjnie zidentyfikować swoją rolę prawną – czy występuje jako administrator danych (ADO), czy też jako podmiot przetwarzający (procesor).

Warto wskazać, że administratorem danych najczęściej będzie sponsor badania klinicznego, wytwórca produktu leczniczego (w zakresie monitorowania bezpieczeństwa farmakoterapii) lub apteka realizująca recepty. Z kolei podmioty takie jak CRO (Contract Research Organization) czy laboratoria analityczne zazwyczaj działają na zlecenie i na podstawie umowy powierzenia przetwarzania danych, stając się procesorami.

2. Podstawy prawne przetwarzania danych wrażliwych

Przetwarzanie danych o zdrowiu w celach farmaceutycznych nie może opierać się na dowolnej podstawie. Najczęściej stosowanymi przesłankami z art. 9 ust. 2 RODO są:

Zgoda osoby, której dane dotyczą (art. 9 ust. 2 lit. a RODO) – musi być dobrowolna, konkretna, świadoma i jednoznaczna. W badaniach klinicznych zgoda ta często współwystępuje ze zgodą na udział w badaniu wymaganą przez prawo farmaceutyczne.
Obowiązek prawny ciążący na administratorze (art. 9 ust. 2 lit. i RODO) – ma kluczowe znaczenie przy monitorowaniu bezpieczeństwa produktów leczniczych (tzw. pharmacovigilance). Producenci leków mają ustawowy obowiązek zbierania i zgłaszania działań niepożądanych, co legitymizuje przetwarzanie danych pacjentów nawet bez ich wyraźnej zgody.
Cele naukowe i statystyczne (art. 9 ust. 2 lit. j RODO) – podstawa ta jest wykorzystywana przy prowadzeniu badań epidemiologicznych, retrospektywnych oraz innych prac badawczo-rozwojowych.

3. Współadministrowanie a powierzenie przetwarzania danych

W praktyce klinicznej i farmaceutycznej niezwykle istotne jest prawidłowe ukształtowanie relacji między podmiotami uczestniczącymi w procesie. Często dochodzi do sytuacji, w której dwa lub więcej podmiotów wspólnie ustalają cele i sposoby przetwarzania danych – mamy wtedy do czynienia ze współadministrowaniem (art. 26 RODO). Przykładem może być relacja między sponsorem badania klinicznego a ośrodkiem badawczym (np. szpitalem). Choć szpital przetwarza dane pacjenta w celach leczniczych (jako samodzielny administrator), to w zakresie prowadzenia badania klinicznego cele te są ściśle powiązane z celami sponsora. Brak precyzyjnej umowy regulującej podział obowiązków między współadministratorami jest jednym z najpoważniejszych uchybień wykrywanych podczas audytów.

4. Transfery danych poza Europejski Obszar Gospodarczy (EOG)

Branża farmaceutyczna ma charakter globalny. Koncerny farmaceutyczne często posiadają swoje centra badawcze lub serwery w państwach trzecich, np. w Stanach Zjednoczonych, Szwajcarii czy Wielkiej Brytanii. Transfer danych osobowych (nawet spseudonimizowanych) poza EOG wymaga spełnienia warunków określonych w rozdziale V RODO. Administrator musi upewnić się, że kraj odbiorcy zapewnia odpowiedni stopień ochrony (na podstawie decyzji Komisji Europejskiej) lub zastosować odpowiednie zabezpieczenia, takie jak Standardowe Klauzule Umowne (SCC) oraz przeprowadzić ocenę skutków transferu (TIA – Transfer Impact Assessment). Zaniedbanie tego obowiązku naraża firmę na natychmiastowe wstrzymanie transferu przez organ nadzorczy.

5. Prawa strony (osoby, której dane dotyczą)

Osoby fizyczne, których dane są przetwarzane w branży farmaceutycznej, posiadają szereg uprawnień gwarantowanych przez RODO. Należy do nich podejść z dużą ostrożnością ze względu na nadrzędność niektórych przepisów prawa farmaceutycznego:

Prawo dostępu do danych oraz uzyskania ich kopii (art. 15 RODO) – pacjent ma prawo wiedzieć, jakie informacje na jego temat posiada firma farmaceutyczna.
Prawo do sprostowania danych (art. 16 RODO) – kluczowe w przypadku wykrycia błędów w dokumentacji medycznej lub badawczej.
Prawo do usunięcia danych ('prawo do bycia zapomnianym' - art. 17 RODO) – uprawnienie to napotyka jednak istotne ograniczenia w sektorze farmaceutycznym. Administrator może odmówić usunięcia danych, jeśli ich przetwarzanie jest niezbędne do celów statystycznych, badań naukowych lub wywiązania się z obowiązku prawnego (np. monitorowania bezpieczeństwa leków).
Prawo do ograniczenia przetwarzania (art. 18 RODO) – pacjent może żądać wstrzymania operacji na jego danych w ściśle określonych przypadkach.
Prawo do przenoszenia danych (art. 20 RODO) – dotyczy sytuacji, gdy przetwarzanie odbywa się na podstawie zgody lub umowy w sposób zautomatyzowany.

6. Obowiązki administratora danych i procedury postępowania

Na administratorze danych w branży farmaceutycznej spoczywa szereg obowiązków o charakterze organizacyjnym i technicznym. Do najważniejszych należą:

Realizacja obowiązku informacyjnego (art. 13 i 14 RODO) – administrator musi dostarczyć osobie, której dane dotyczą, komplet informacji o celach, podstawach prawnych i okresie przechowywania danych. W przypadku badań klinicznych informacja ta jest zazwyczaj częścią formularza świadomej zgody.
Prowadzenie rejestru czynności przetwarzania (RCP) – dokumentu wykazującego zgodność procesów z RODO.
Przeprowadzenie oceny skutków dla ochrony danych (DPIA) – obowiązkowe przy przetwarzaniu danych wrażliwych na dużą skalę, co jest standardem w badaniach klinicznych i programach wsparcia pacjentów.
Wyznaczenie Inspektora Ochrony Danych (IOD) – ze względu na masowe przetwarzanie danych o zdrowiu, większość podmiotów farmaceutycznych ma prawny obowiązek powołania IOD.

7. Procedura obsługi wniosków krok po kroku

Gdy do administratora wpływa wniosek od pacjenta lub uczestnika badania, należy uruchomić wewnętrzną procedurę weryfikacji i realizacji żądania. Proces ten powinien przebiegać według następujących etapów:

Krok 1: Identyfikacja i weryfikacja tożsamości wnioskodawcy. Administrator musi upewnić się, że osoba składająca wniosek jest rzeczywiście tą, za którą się podaje. W branży farmaceutycznej, gdzie dane są często pseudonimizowane (np. w badaniach klinicznych pacjent występuje pod kodem), proces ten może wymagać kontaktu z ośrodkiem badawczym (lekarzem badaczem), który posiada klucz do odkodowania tożsamości.

Krok 2: Analiza merytoryczna wniosku. Należy ocenić, czy żądanie (np. usunięcia danych) jest prawnie uzasadnione. Jeśli pacjent wycofuje zgodę na udział w badaniu klinicznym, administrator musi zaprzestać zbierania nowych danych, ale dotychczas zebrane informacje mogą (a wręcz muszą na mocy przepisów o badaniach klinicznych) być dalej przetwarzane w celach naukowych i bezpieczeństwa.

Krok 3: Podjęcie decyzji i realizacja żądania. Jeśli wniosek jest zasadny, administrator dokonuje odpowiednich modyfikacji w systemach IT i dokumentacji papierowej.

Krok 4: Udzielenie odpowiedzi. Administrator ma obowiązek poinformować wnioskodawcę o podjętych działaniach bez zbędnej zwłoki, a w każdym razie w terminie jednego miesiąca od otrzymania wniosku. W skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym należy poinformować stronę przed upływem pierwszego miesiąca.

8. Rola organu nadzorczego i sankcje

Organem nadzorczym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Organ ten posiada szerokie uprawnienia kontrolne i śledcze. W przypadku stwierdzenia naruszenia przepisów RODO przez podmiot z branży farmaceutycznej, organ może nałożyć administracyjne kary pieniężne sięgające do 20 000 000 EUR lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego. Dodatkowo, organ może wydać nakaz wstrzymania określonych operacji przetwarzania, co w praktyce może zablokować proces wprowadzania leku na rynek.

9. Najczęstsze błędy i ryzyka w branży farmaceutycznej

Praktyka pokazuje, że podmioty z sektora farmaceutycznego najczęściej popełniają następujące błędy:

Brak rozróżnienia między wycofaniem zgody na badanie a wycofaniem zgody na przetwarzanie danych – wycofanie się pacjenta z badania klinicznego nie oznacza automatycznie, że administrator musi usunąć wszystkie dotychczas zebrane dane medyczne. Przepisy szczególne nakładają obowiązek ich przechowywania ze względów bezpieczeństwa.
Niewłaściwa pseudonimizacja – uznawanie danych za całkowicie anonimowe, podczas gdy wciąż istnieje klucz pozwalający na identyfikację pacjenta (dane spseudonimizowane to nadal dane osobowe podlegające RODO).
Niedopełnienie obowiązku informacyjnego – stosowanie zbyt skomplikowanego, niezrozumiałego języka w formularzach dla pacjentów.
Przekroczenie terminów – opóźnienia w udzielaniu odpowiedzi na wnioski stron, wynikające z braku jasnych procedur wewnętrznych i utrudnionej komunikacji na linii sponsor-CRO-ośrodek badawczy.

10. Praktyczny przykład: Wycofanie zgody a bezpieczeństwo farmakoterapii

Wyobraźmy sobie sytuację, w której pacjent uczestniczący w badaniu klinicznym nowatorskiego leku onkologicznego decyduje się na wycofanie z badania i składa wniosek o usunięcie wszystkich swoich danych osobowych z bazy sponsora (firmy farmaceutycznej). Jak powinien postąpić administrator?

Sponsor ma obowiązek natychmiast zaprzestać generowania nowych danych dotyczących tego pacjenta. Jednakże, dane zebrane do momentu wycofania zgody są kluczowe dla oceny bezpieczeństwa i skuteczności leku. Zgodnie z unijnym rozporządzeniem w sprawie badań klinicznych oraz motywem 161 RODO, dalsze przetwarzanie tych danych jest dopuszczalne i konieczne ze względów interesu publicznego w dziedzinie zdrowia publicznego oraz do celów badań naukowych. Administrator odmawia zatem usunięcia dotychczasowych danych, powołując się na odpowiednie wyłączenia w RODO, jednocześnie szczegółowo wyjaśniając pacjentowi podstawę prawną tej decyzji w ustawowym terminie jednego miesiąca.

11. Skutki prawne i biznesowe prawidłowego wdrożenia RODO

Zgodność z RODO w branży farmaceutycznej to nie tylko unikanie kar finansowych. To przede wszystkim budowanie zaufania pacjentów, lekarzy i partnerów biznesowych. Prawidłowo zaprojektowane procesy (privacy by design) ułatwiają komercjalizację wyników badań, minimalizują ryzyko wycieku danych (data breach) oraz usprawniają współpracę międzynarodową, np. przy transferze danych do państw trzecich (USA, Wielka Brytania), co jest powszechne w globalnych projektach badawczych.

12. Podsumowanie

Zarządzanie danymi osobowymi w branży farmaceutycznej wymaga głębokiej wiedzy interdyscyplinarnej. Administratorzy muszą nie tylko znać ogólne rozporządzenie o ochronie danych, ale również precyzyjnie poruszać się w gąszczu przepisów krajowych i unijnych regulujących rynek medyczny. Kluczem do minimalizacji ryzyk jest wdrożenie jasnych procedur obsługi wniosków, przeszkolenie personelu oraz ścisła współpraca z Inspektorem Ochrony Danych. Tylko wtedy prawa stron zostaną należycie zabezpieczone, a administrator uniknie dotkliwych sankcji ze strony organu nadzorczego.