L’epidemia di Covid-19 ha portato a ripensare molteplici attività nei settori più vari. In particolare nella Sanità digitale dove l’impiego di strumenti elettronici permette di ridurre al minimo il contatto fisico grazie all’impiego di strumenti digitali. L’ambito delle sperimentazioni cliniche non ha fatto eccezione. Vediamo implicazioni e vantaggi.
Test clinici, le nuove indicazioni dell’Aifa
L’urgenza di adattare la regolamentazione in vigore alle esigenze dettate dal coronavirus ha condotto l’Agenzia Italiana del Farmaco (“AIFA”) a comunicare specifiche previsioni per la gestione degli studi clinici in Italia, diversi da quelli relativi al COVID-19, nel contesto di crisi sanitaria (comunicazione pubblicata il 12 marzo 2020 e poi aggiornata il 7 aprile 2020, “Comunicazione”). Tali misure eccezionali sono strettamente legate allo stato di emergenza deliberato dal Consiglio dei Ministri e saranno valide fino a nuova comunicazione.
In primo luogo, in via generale, AIFA ha sottolineato che la conduzione degli studi clinici deve essere gestita secondo principi di buon senso garantendo, da un lato, la massima tutela dei partecipanti agli studi e, dall’altro, un’adeguata supervisione da parte degli sperimentatori principali. In secondo luogo, sono stati approfonditi singoli aspetti che caratterizzano le sperimentazioni cliniche per individuare eventuali deroghe al regime ordinario al fine di assicurare la possibilità di sottoporre nuove sperimentazioni (o emendamenti sostanziali) e di gestire le attività già in corso contenendo il rischio di contagio e diffusione del virus.
Alcune delle indicazioni fornite da AIFA offrono interessanti spunti per ripensare parzialmente l’attuale disciplina della sperimentazione clinica in chiave digitale anche al di là del contesto emergenziale. Da tale punto di vista, assumono particolare rilievo sia le misure attinenti al rapporto tra promotore e centro sperimentale per il monitoraggio delle sperimentazioni cliniche, sia le misure relative al rapporto con i soggetti arruolati. In merito a queste ultime, AIFA ammette la possibilità di effettuare alcune procedure direttamente a casa del paziente (e.g. procedure cliniche non effettuabili altrimenti o terapie non autosomministrabili), nonché di ricorrere a strumenti digitali per la comunicazione a distanza con i soggetti e per il rilascio dei consensi informati per la sperimentazione e per il trattamento dei dati personali.
Monitoraggio delle sperimentazioni cliniche
In base alla Comunicazione, le visite da parte del promotore per il monitoraggio in situ delle sperimentazioni cliniche potrebbero costituire un rischio per tutti i soggetti coinvolti nella sperimentazione, pertanto il promotore dovrà redigere un documento che valuti tale rischio al fine di predisporre un piano d’azione volto anche a ridurre i contatti non necessari. In tal senso, la Comunicazione incentiva, innanzitutto, il ricorso al monitoraggio centralizzato, ossia ad un sistema che prevede una valutazione da remoto dell’accumulo di dati, eseguita in modo tempestivo, supportata da persone adeguatamente qualificate e formate, come data managers, biostatisti, etc. (ICH-GCP-6, punto 5.18.3) in possesso delle opportune autorizzazioni in base alla normativa sulla tutela dei dati personali. Ciò può essere realizzato mediante diversi livelli di automatizzazione: i dati possono essere inseriti manualmente o attraverso collegamenti automatici e l’analisi può essere affidata ad algoritmi più o meno avanzati, anche attraverso il ricorso all’Intelligenza Artificiale.
Laddove non fosse possibile ricorrere a tale modalità o differire la visita locale, AIFA ammette il ricorso a misure eccezionali e alternative al fine della source data verification come contatti telefonici o videoconferenze con il personale del sito sperimentale, fino a consentire l’accesso temporaneo ai dati contenuti nelle cartelle cliniche elettroniche della struttura sanitaria rilevanti ai fini della sperimentazione, purché (i) tale misura sia giustificata dall’intento di proteggere i diritti e il benessere dei soggetti in sperimentazione; (ii) sia redatta una procedura chiara e concordata con tutti i soggetti coinvolti; e (iii) siano previamente interpellati i rispettivi Responsabili della Protezione dei Dati.
Il ricorso ad una source data verification da remoto per far fronte alle contingenze dettate dall’emergenza è previsto anche nelle linee guida pubblicate dall’European Medicine Agency (“EMA”) e dalla Food and Drug Administration (“FDA”) sulle modalità di svolgimento delle sperimentazioni durante l’epidemia. Nel fornire specifiche indicazioni sull’implementazione di tali verifiche da remoto, le autorità hanno evidenziato alcune questioni fondamentali, quali: (i) l’ubicazione e la sicurezza delle risorse informatiche utilizzate; (ii) la necessità di informare il soggetto coinvolto nello studio e di formare adeguatamente tutti coloro che prenderanno parte al monitoraggio; (iii) la previsione di sistemi atti a garantire l’impossibilità per il promotore di fare copie locali dei documenti oggetto di verifica e, in particolare, delle cartelle cliniche elettroniche; e (iv) l’individuazione di specifiche procedure a seconda che il monitoraggio preveda la redazione da parte del personale del sito di documenti con dati pseudonimizzati, un processo di verifica a mezzo video, oppure l’accesso da remoto alle cartelle cliniche elettroniche.
Trial clinici, vantaggi dell’approccio digitale
Tale spinta verso il ricorso ad un monitoraggio telematico nel contesto emergenziale potrebbe incentivare, anche in futuro, la scelta di un approccio digitale al controllo del rischio di uno studio clinico. Questo, però, richiede uno sforzo significativo in termini di gestione dello studio e di implementazione di piattaforme in grado di raccogliere, trasmette e, se del caso, analizzare i dati in modo accurato e sicuro.
Ciò impone una riflessione anche in materia di trattamento dei dati personali dei soggetti coinvolti nella sperimentazione: il ricorso ad un fornitore terzo per la realizzazione e la gestione della piattaforma richiede un’attenta valutazione del flusso dei dati e dei ruoli da attribuire ai diversi soggetti coinvolti nel trattamento. In merito a quest’ultimo punto, il fornitore si configurerà, tendenzialmente, come responsabile del trattamento; pertanto, il promotore dovrà assicurarsi che questo sia effettivamente in grado di soddisfare i requisiti ex articolo 28 del Regolamento Generale sulla Protezione dei Dati (Regolamento UE 2016/679, “GDPR”), soprattutto in relazione alle misure di sicurezza, tenendo conto della tipologia particolarmente sensibile dei dati trattati e delle caratteristiche proprie della tecnologia impiegata. Una volta individuato un fornitore adeguato, sarà necessario concludere un contratto per il trattamento dei dati personali come espressamente richiesto dal medesimo articolo 28 del GDPR, in modo da identificare con esattezza i trattamenti a questo demandati e gli obblighi gravanti sullo stesso.
Comunicazioni a distanza e consenso telematico
Al fine di limitare i contatti fisici tra i soggetti arruolati nella sperimentazione e il personale incaricato di gestirla, potranno essere utilizzati, secondo quanto previsto dalla Comunicazione, mezzi telefonici o video chiamate per consentire lo scambio di tutte le informazioni che non verranno più fornite di persona. In tal caso, si dovrà tener traccia documentata delle comunicazioni, di qualunque tipo, avvenute tramite tali mezzi.
Nel contesto emergenziale, il personale incaricato potrebbe annotare per iscritto il contenuto delle comunicazioni garantendo un bilanciamento tra la necessità di documentare le informazioni fornite e il principio di minimizzazione dei dati (previsto dall’articolo 5 del GDPR), soprattutto in relazione a misure eccezionali attuate per rispondere ad esigenze che richiedono un’immediata soluzione.
Tuttavia, guardando al futuro, la comunicazione a distanza potrebbe essere implementata come modalità ordinaria (laddove clinicamente possibile), indipendentemente dall’esistenza di misure emergenziali, all’interno di un programma di digitalizzazione più ampio che consenta di progettare una solida struttura tecnologica in grado, ad esempio, di registrare le conversazioni o, addirittura, di individuare automaticamente le sole informazioni rilevanti limitando la quantità di dati registrati.
La realizzazione di un simile sistema, però, richiede un sensibile sforzo tecnico, dato il numero elevato di soggetti coinvolti, l’estensione del lasso di tempo in cui le registrazioni avranno luogo e il possibile ricorso a servizi terzi per lo svolgimento di tale attività. Si dovrà tenere conto, inoltre, delle implicazioni in ambito data protection, ad esempio in termini di individuazione della base legale per tale trattamento, di attuazione del principio di privacy by design nonché del periodo di conservazione dei dati raccolti.
Trial all digital, il consenso informato
L’adozione di procedure telematiche per lo scambio di informazioni con i soggetti coinvolti nello studio non riguarda solo le comunicazioni periodiche, ma anche un momento cruciale nel quadro della sperimentazione, ossia l’ottenimento del consenso informato. AIFA indica come misure alternative per la raccolta del consenso contatti telefonici, seguiti da e-mail di conferma o sistemi elettronici validati, pur richiedendo che il soggetto esprima il consenso scritto presso il centro una volta superato il rischio sanitario. In caso di soggetti in isolamento, si potrà fare uso di telecamere o di fotografie della documentazione prese attraverso le barriere di isolamento.
La Comunicazione, inoltre, menziona la possibilità di raccogliere anche il consenso esplicito per il trattamento dei dati personali attraverso mezzi digitali, purché il titolare del trattamento attui misure idonee a comprovare l’avvenuta acquisizione di un valido consenso, ad esempio tramite una registrazione vocale o la conservazione dell’e-mail.
A fornire un quadro più dettagliato delle possibilità percorribili per esprimere un valido consenso esplicito al trattamento dei dati personali in via digitale è l’European Data Protection Board (“EDPB”) nelle Linee guida sul consenso ai sensi del GDPR, aggiornate il 4 maggio 2020. L’interessato, infatti, può emettere tale dichiarazione compilando un modulo elettronico, inviando un’e-mail, caricando un documento scansionato con la propria firma o utilizzando una firma elettronica. Si menziona anche l’eventualità del consenso esplicito ottenuto tramite conversazione telefonica, ma a condizione che le informazioni fornite siano corrette, intelligibili e chiare e venga richiesta una conferma specifica da parte dell’interessato.
Sicurezza nella gestione dati
Le misure previste nella Comunicazione offrono l’opportunità per ripensare alcuni aspetti dell’organizzazione delle sperimentazioni cliniche in un’ottica volta non solo a far fronte alle attuali esigenze emergenziali, ma anche a implementare nuovi sistemi tecnologici da utilizzare a lungo termine.
Chiaramente le indicazioni fornite da AIFA sono caratterizzate dall’urgenza e, dunque, dal tentativo di sfruttare le potenzialità offerte dalla tecnologia per rispondere in via immediata alle necessità contingenti, senza inserire tali strumenti in un programma di digitalizzazione su larga scala. Tuttavia, la Comunicazione ha il pregio di portare l’attenzione proprio sulla possibilità di compiere un salto “digitale” in materia di sperimentazioni cliniche realizzando progetti sufficientemente solidi e ampi che vadano al di là del contesto emergenziale.
Dal punto di vista della tutela dei dati personali, ogni qual volta si intenda modificare il trattamento o introdurne uno ulteriore, è sempre necessario prendere in considerazione una serie di adempimenti e valutazioni, soprattutto laddove si ricorra a strumenti tecnologicamente avanzati per svolgere il trattamento del dato personale. Inoltre, nel caso delle sperimentazioni cliniche, i dati trattati saranno prevalentemente dati particolari, i quali richiedono tutele elevate e analisi specifiche.
Innanzitutto, il titolare del trattamento dovrà valutare il rischio derivante dal trattamento considerando i mezzi impiegati e la tipologia dei dati, nonché adeguare le misure di sicurezza già previste o implementarne di nuove. All’esito di tale valutazione, il titolare dovrà considerare anche l’opportunità (se non l’obbligo) di effettuare una valutazione d’impatto (“DPIA”) ex articolo 35 del GDPR, o, a seconda dei casi, di adeguare l’eventuale DPIA già svolta. Infine, le modifiche apportate al trattamento in ogni suo aspetto dovranno essere rispecchiate nel registro dei trattamenti.
In merito agli aspetti attinenti alla digitalizzazione della sperimentazione clinica in sé, appare particolarmente interessante l’indicazione riguardo al consenso informato ottenuto in via telematica. Nonostante la Comunicazione preveda una disposizione derogatoria ed eccezionale, la quale è associata alla richiesta di un consenso scritto del soggetto non appena questo si recherà presso il centro, tale apertura potrebbe spingere verso una completa digitalizzazione del processo (laddove ritenuta idonea caso per caso anche in considerazioni delle condizioni del paziente) basata su un sistema sufficientemente verificato da poter garantire la genuinità e la validità del consenso prestato in via telematica, senza la necessità di una conferma ulteriore presso il centro.
