Sessão de apresentação da Unidade de Investigação Clínica (UIC), com a descrição da reorganização da Unidade, circuitos e procedimentos para o desenvolvimento de estudos clínicos.
A segunda parte abordou essencialmente questões relacionadas com o tratamento de dados pessoais no âmbito da investigação clínicaN/

Herrero Valverde, A

Monteiro, E

Portuguese

Repositório do Hospital Prof. Doutor Fernando Fonseca

Emilia	Monteiro,	MD,	PhD		25	de	outubro	de	2018	Confidencialidade	de	dados			Regulamento	Geral	de	Proteção	de	Dados	(RGPD),	que	entrou	em	vigor	no	passado	dia	25	de	maio	de	2018,	vem	subsAtuir	a	atual	direAva	e	tem	aplicação	direta	no	quadro	legal	Português			 Até	haver	legislação	nacional	de	execução	do	RGPD	que	revogue	a	Lei	67/98	de	26	de	Outubro	(Lei	de	proteção	de	dados	pessoais)	nas	matérias	abrangidas	pelo	regulamento,	a	Lei	67/98	con>nua	em	vigor	em	tudo	o	que	não	contrarie	o	RGPD.		Disclosure	InvesAgadora			Membro	da	CEIC		Membro	da	NOVACRU		(Academic	clinical	research	unit)		Coordenadora	PtCRIN			Especialista	em	proteção	de	dados		A	perspecAva	do	uAlizador	invesAgador	Referências	bibliográficas					 Conselho	de	Ministros		Proposta	de	Lei	n.º	120/XIII		(22	de	março	de	2018)	hZp://app.parlamento.pt/webuAls/docs/doc.pdf?path=6148523063446f764c324679595842774f6a63334e7a637664326c756157357059326c6864476c3259584d7657456c4a535339305a58683062334d76634842734d5449774c56684a53556b755a47396a&fich=ppl120-XIII.doc&Inline=true	CNPD	(Comissão	Nacional	de	Proteção	de	Dados)			10	medidas	para	preparar	a	aplicação	do	RGPD		(janeiro	de	2018)		Apresentação	no	Simpósio	no	Infarmed	sobre	o	RGPD	(19	setembro	2018)				CEIC	(Comissão	de	É>ca	para	a	Inves>gação	Clínica)		Documento		sobre	o	regulamento	geral	de	proteção	de	dados	(RGPD)	no	contexto	da	invesAgação	clínica	(14	outubro	2018)	Parlamento	Europeu	e	Conselho	Europeu		REGULAMENTO	(UE)	2016/679	de	27	de	abril	de	2016	(RGPD)		Take	home	messages	O	RGPD:	1.  Conceptualmente,	esAmula	e	protege	a	invesAgação	cienjfica	2.  Reforça	os	direitos	dos	Atulares	dos	dados	3.  Responsabiliza	mais	os	invesAgadores	e	as	insAtuições	4.  Altera	o	papel	da	CNPD	5.  Cria	a	figura		do	encarregado	de	proteção	de	dados	nas	insAtuições	6.  Obrigações	melhor	definidas	para	reforço	de	segurança	na	portabilidade	de	dados		7.  Estabelece	os	mecanismos	de	fiscalização	e	coimas	para	violações		Tem	algumas	ambiguidades	e	contradições	que	se	irão	esclarecendo	•  Informação	relaAva	a	uma	pessoa	viva,	idenAficada	ou	idenAficável,		•  Conjunto	de	informações	disAntas	que	podem	levar	à	iden>ficação	de	uma	determinada	pessoa		Dados	pessoais		•  Dados	pessoais	que	tenham	sido	descaracterizados,	codificados	ou	pseudonimizados,	mas	que	possam	ser	u>lizados	para	re-iden>ficar	uma	pessoa,	conAnuam	a	ser	dados	pessoais	e	são	abrangidos	pelo	âmbito	de	aplicação	do	RGPD.	•  Dados	pessoais	que	tenham	sido	tornados	anónimos		(irreversivelmente)	deixam	de	ser	considerados	dados	pessoais,	e	por	isso	não	são	abrangidos	pelo	RGPD.		•  O	RGPD	não	se	aplica	aos	dados	pessoais	de	pessoas	falecidas,	sendo	que	este	remete	para	os	Estados-Membros	Em	Portugal,		aos	dados	pessoais	de	pessoas	falecidas	aplicam-se	os	mesmos	níveis	de	proteção	estabelecidos	pelo	RGPD,	e	os	direitos	das	pessoas	falecidas	são	exercidos	pela	pessoa	designada	para	o	efeito	ou	pelos	herdeiros	(proposta	de	lei	março	2018)	Cifragem	(=encriptação)								Pseudonimização	Cifrar		dados	implica	torná-los	indecifráveis	para	quem	não	tenha	autorização	de	acesso	aos	mesmos.	A	descodificação	só	é	possível	graças	a	uma	"chave"	que,	idealmente,	deve	estar	na	posse	de	quem	detém	os	dados.	Tratamento	de	dados	pessoais	de	forma	a	que	deixem	de	poder	ser	atribuídos	a	um	Atular	de	dados	específico	sem	recorrer	a	informações	suplementares,	desde	que	essas	informações	suplementares	sejam	man>das	separadamente	e	sujeitas	a	medidas	técnicas	e	organiza>vas	para	assegurar	que	os	dados	pessoais	não	possam	ser	atribuídos	a	uma	pessoa	singular	idenAficada	ou	idenAficável.	A	data	de	nascimento	e		as	iniciais	(e.g	HFFMECSM25102018)			não	são	formas	de	cifragem	ou	pseudonimização!			Dados	sensíveis		Todos	os	dados	com		riscos	significaAvos	para	os	direitos	e	liberdades	fundamentais	das	pessoas.			a	origem	racial	ou	étnica,	as	opiniões	políAcas,	as	convicções	religiosas	ou	filosóficas,	ou	a	filiação	sindical,	bem	como	o	tratamento	de	dados	genéAcos,	dados	biométricos	para	idenAficar	uma	pessoa	de	forma	inequívoca,	dados	relaAvos	à	saúde	ou	dados	relaAvos	à	vida	sexual	ou	orientação	sexual	de	uma	pessoa	(art.	9º)	Tratamento	de	dados	sensíveis	proibido,	excepto:		•  Se	Atular	Aver	consenAdo	ou	publicitado,		•  Para	a	avaliação	da	capacidade	de	trabalho	do	empregado,		•  Para	diagnósAco	médico,		•  Para	prestação	de	cuidados	ou	tratamentos	de	saúde	ou	de	ação	social,	•  Por	moAvos	de	interesse	público,		•  Para	assegurar	um	elevado	nível	de	qualidade	e	de	segurança	dos	cuidados	de	saúde	e	dos	medicamentos	ou	disposiAvos	médicos	(inclui	invesAgação)	As	categorias	especiais	de	dados	pessoais	que	merecem	uma	proteção	mais	elevada	só	deverão	ser	objeto	de	tratamento	para	fins	relacionados	com	a	saúde	quando	tal	for	necessário	para	a>ngir	os	obje>vos	no	interesse	das	pessoas	singulares	e	da	sociedade	no	seu	todo			Passa	para	fiscalizadora	em	vez	de	administra>va	prévia:		A	obrigação	de	no6ficação	prévia	de	tratamentos	de	dados	pessoais	à	CNPD	desaparece			As	autorizações	emi6das	pela	CNPD	anteriores	à	aplicação	do	RGPD	con6nuam	válidas,	em	tudo	o	que	não	contrarie	o	disposto	no	RGPD			Faz	auditorias	e	recebe	noAficações	de	violações	(data	breach)				CNPD	(Comissão	Nacional	de	Proteção	de	Dados)		A	escolha	do	DPO	numa	ins>tuição	passa	a	ser	crí>ca	para	o	desenvolvimento	e	condições	é>cas		da	inves>gação	numa	ins>tuição	“Encarregado	de	proteção	de	dados”	nas	organizações,	como	pessoa	responsável	pela	garanAa	do	cumprimento	de	todas	as	obrigações	legais	decorrentes	do	RGPD;	Toda	a	invesAgação	tem	de	passar	pelo	DPO?		Sim,	no	caso	de	tratamento	de	dados	de	elevado	risco			Não,	se	o	DPO	Aver	publicado	todas	as	orientações	e	códigos	de	conduta.	Informa,	aconselha,	controla	e	coopera	com	a	autoridade	de	controlo	(CNPD).	Co-responsabilização	dos	invesAgadores		É	o	ponto	de	contacto	para	reclamações	e	informações		Se	houver	violações	pode	ser	co-responsável	porque	não	criou	mecanismos	ou	formação		Considerando	33	-	Consen>mento	mais	alargado		“porque	nem	sempre	é	possível	iden6ficar	na	totalidade	a	finalidade	do	tratamento	de	dados	pessoais	para	efeitos	de	inves6gação	cienIfica	no	momento	da	recolha	dos	dados,			“…os	6tulares	dos	dados	deverão	poder	dar	o	seu	consen6mento	para	determinadas	áreas	de	inves6gação	cienIfica,	desde	que	estejam	de	acordo	com	padrões	é6cos	reconhecidos	para	a	inves6gação	cienIfica...”			DISPOSIÇÕES	ESPECÍFICAS	PARA		INVESTIGAÇÃO	Consen>mento	alargado	Ar>go	5	(1)	b	-	Uso	secundário	dos	dados	para	inves>gação		“...Recolhidos	para	finalidades	determinadas,	explícitas	e	legíAmas	e	não	podendo	ser	tratados	posteriormente	de	uma	forma	incompajvel	com	essas	finalidades.	As	operações	de	tratamento	posterior	para	fins	de	arquivo	de	interesse	público,	para	fins	de	invesAgação	cienjfica	ou	histórica	ou	para	fins	estajsAcos,	deverão	ser	consideradas	tratamento	lícito	compajvel	(considerando	50)			Mas		adoção	de	medidas	técnicas	e	organizaAvas	a	fim	de	assegurar,	nomeadamente,	o	respeito	do	princípio	da	minimização	dos	dados	eg	pseudonimização	ou	idealmente	anonimização.			DISPOSIÇÕES	ESPECÍFICAS	PARA		INVESTIGAÇÃO	Uso	secundário		Ar>go	5	(1)	e	-	Armazenamento	de	dados	por	periodos	mais	longos	“…os	dados	pessoais	podem	ser	conservados	durante	períodos	mais	longos,	desde	que	sejam	tratados	exclusivamente	para	fins	de	arquivo	de	interesse	público,	ou	para	fins	de	invesAgação	cienjfica	ou	histórica	ou	para	fins	estajsAcos,	em	conformidade	com	o	arAgo	89.o,	n.o	1…”	DISPOSIÇÕES	ESPECÍFICAS	PARA		INVESTIGAÇÃO	Duração	da	conservação	Geral		Dados	Conservados	de	uma	forma	que	permita	a	idenAficação	dos	Atulares	dos	dados	apenas	durante	o	período	necessário	para	as	finalidades	para	as	quais	são	tratados;			Ar>go	89	-	Derrogação	parcial	dos	direitos	dos	sujeitos	sobre	os	seus	dados			DISPOSIÇÕES	ESPECÍFICAS	PARA		INVESTIGAÇÃO	Derrogação	“Os	Estados-Membros	deverão	ser	autorizados	a	estabelecer,	especificações	e	derrogações	dos	requisitos	de	informação	e	direitos	à	reAficação,	ao	apagamento	dos	dados	pessoais,	a	ser	esquecido,	à	limitação	do	tratamento	e	à	portabilidade	dos	dados	e	de	oposição	aquando	do	tratamento	de	dados	pessoais	para	fins	de	arquivo	de	interesse	público,	ou	para	fins	de	invesAgação	cienjfica	ou	histórica	ou	para	fins	estajsAcos”	(considerando	156)”.		Tratamento	de	dados	para	fins	de	invesAgação	cienjfica	é	sempre	possível		Mas..	Perdi	uma	pen	que	guardava	uma	base	de	dados	pessoais		Um	fornecedor	de	serviços	idenAficar	uma	falha	que	permita	acesso	a	informação	pessoal		Dados	pessoais	são	enviados		para	a	mailling	list	errada		ParAlhei	a	base	de	dados	pseudoanonimizados	com	os	colegas		da	equipe	de	invesAgação	de	outra	unidade	de	saúde				...	Respeitar	os	principios	básicos	da	proteção	de	dados	significa			criar	procedimentos	que	evitem,	eg:	Nos	ensaios	clínicos:	Só	podem	ter	acesso	aos		dados	pessoais		que	iden>ficam	os	par>cipantes	os	inves>gadores	e	autoridades	(e	os	coordenadores	de	estudo?	Fazem	parte	da	equipa	de	invesAgação);			Os	representantes	dos	Promotor	(especificamente	monitores	do	estudo	e	auditores)	responsáveis	por	verificar	a	correta	condução	do	estudo	terão	acesso	aos	dados	não	codificados	por	intermédio	do	Médico-InvesAgador.			Os	codificados		podem	ser	acedidos	por	outros	centros	etc	PARTILHA	DE	DADOS	EM	INVESTIGAÇÃO	•  transferência	para	países	terceiros	(Considerando	133)	•  tornar	acessíveis	os	dados	de	invesAgação	(Considerando	157)			•  O	Responsável	pelo	tratamento	é	responsável	por	assegurar	que	a	parAlha	de	dados	cumpre	as	disposições	do	Regulamento	(Art	28)	É	obrigatório	ter	um	Subcontratante	(Processor)	para:		•  Tratar	os	dados	de	acordo	com	instruções	escritas	do	Responsável	de	Tratamento	(Art	28	(3)	a)	•  Assegurar	as	obrigações	de	confidencialidade	entre	todos	os	envolvidos	no	tratamento	dos	dados	(Art	28	(3)	b)	•  Assegurar	as	medidas	de	segurança		•  Apoiar	o	Responsável	de	tratamento	na	obtenção	de	aprovações	•  Fornecer	toda	a	informação	necessária	para	demonstrar	o	cumprimento	com	o	Regulamento		•  Devolver	ou	destrói	os	dados	no	final	do	serviço	de	tratamento	de	dados.	Obrigações	melhor	definidas	para	reforço	de	segurança	na	portabilidade	de	dados	(ParAlha	de	dados	em	InvesAgação)		A	figura	de	Responsável	(Controller)	e	a	obrigatoriedade	de	Subcontratante	(Processor)	só	se	aplica	à	parAlha	Obrigações	melhor	definidas	para	reforço	de	segurança	na	portabilidade	de	dados	(ParAlha	de	dados	em	invesAgação)		Recipient	Take	home	messages	O	RGPD:	1.  Conceptualmente,	esAmula	e	protege	a	invesAgação	cienjfica	2.  Reforça	os	direitos	dos	Atulares	dos	dados	3.  Responsabiliza	mais	os	invesAgadores	e	as	insAtuições	4.  Altera	o	papel	da	CNPD	para	fiscalizador	5.  Cria	a	figura		do	encarregado	de	proteção	de	dados	nas	insAtuições	6.  Obrigações	melhor	definidas	para	reforço	de	segurança	na	portabilidade	de	dados		7.  Estabelece	os	mecanismos	de	fiscalização	e	coimas	para	violações		Tem	algumas	ambiguidades	e	contradições	que	se	esclarecerão	com	a	aplicação			Data	protecAon,	an	excuse	to	do	clinical	research?	

Confidencialidade de dados

https://repositorio.hff.min-saude.pt/bitstream/10400.10/2032/4/20181025Confidencialidade%20dados%20HFF.pdf

Confidencialidade de dados

Abstract

Similar works

Full text

Available Versions

Repositório do Hospital Prof. Doutor Fernando Fonseca