Souhlas pacienta při výzkumu a léčbě – kdy nestačí a co místo něj?

Společnosti, které se zabývají vývojem a přípravou léků a léčebných postupů, zpracovávají zdravotní údaje pacientů, ale často se nemohou opřít o stejný právní titul pro zpracování jako zdravotnická zařízení. Řada z nich proto volí souhlas pacienta jako zdánlivě nejbezpečnější cestu. Dozorové orgány – včetně těch českých – ale varují, že takový souhlas může být strukturálně nesvobodný. V tomto příspěvku analyzujeme některé situace, kdy je na místě se nad tímto zamyslet.

Zpracování zdravotních dat pacientů je v klinickém výzkumu každodenní realitou. Zdravotnická zařízení a lékaři – zkoušející – se při výkonu všeobecného poskytování zdravotní péče, a to i v rámci klinického výzkumu, mohou opřít o výjimku ze zákazu zpracování zvláštních kategorií osobních údajů dle čl. 9 odst. 2 písm. h) GDPR, která umožňuje zpracování zdravotních údajů v rámci poskytování zdravotní péče nebo léčby. Tato výjimka je však vyhrazena výhradně zdravotnickým pracovníkům. Společnosti (typicky ty farmaceutické) jako zadavatelé klinických hodnocení do této kategorie nespadají, byť by to v mnoha případech bylo vhodné. A právě zde vzniká praktický problém: pokud nemají k dispozici „zdravotnickou“ výjimku, jaký titul použijí? Po dlouhá léta odpovídala praxe jednoduše – souhlas pacienta. Dnes tato odpověď nestačí, nebo přinejmenším není tak jednoznačná.

Proč souhlas pacienta v praxi problém vždy nevyřeší

Souhlas podle GDPR musí splňovat přísné podmínky – musí být svobodný, informovaný, konkrétní a výslovný (čl. 9 odst. 2 písm. a) ve spojení s čl. 4 bodem 11 a čl. 7 GDPR). Právě podmínka svobodnosti je v kontextu klinického výzkumu klíčová – a problematická. EDPB (European Data Protection Board) ve svém stanovisku č. 3/2019 k souhře nařízení o klinických hodnoceních (č. 536/2014) a GDPR upozorňuje, že souhlas nebude platným právním základem v situaci, kdy existuje zjevná nerovnováha sil mezi účastníkem a správcem. Jako příklady uvádí situace, kdy účastník není v dobrém zdravotním stavu, kdy patří do ekonomicky nebo sociálně znevýhodněné skupiny, nebo kdy je v situaci institucionální či hierarchické závislosti. Jinými slovy: pacient závislý na léčbě, kterou poskytuje např. jediný výrobce, nebo který je k léčebnému postupu přiveden svým ošetřujícím lékařem, prakticky svobodně souhlas udělit nemůže. EDPB proto uzavírá, že souhlas ve většině případů nebude vhodným právním základem pro primární výzkumné aktivity (tj. zpracování přímo spojené s prováděním klinické studie). Dle našich zkušeností se Úřad pro ochranu osobních údajů („ÚOOÚ“) ztotožňuje s výše popsaným závěrem EDPB. Nelze sice apriori souhlas vyloučit jako právní titul v prostředí zdravotnictví – zejména u sekundárního využití zdravotních dat pro vědecké účely, které nebyly součástí původního protokolu studie, zůstává souhlas jednou z možností – ale správce je povinen důsledně dodržet veškeré podmínky, které se k tomuto titulu vážou, zejména požadavek svobodnosti. 

Jaký právní titul tedy zvážit?

EDPB rozlišuje dvě základní kategorie zpracování:

1. Zpracování pro účely bezpečnosti a spolehlivosti – například hlášení bezpečnostních událostí regulatorním orgánům nebo archivace dokumentace v souladu s nařízením o klinických hodnoceních. Tato zpracování vycházejí z právní povinnosti (čl. 6 odst. 1 písm. c) GDPR) a pro citlivé zdravotní údaje se opírají o čl. 9 odst. 2 písm. i) GDPR (veřejný zájem v oblasti veřejného zdraví, zajištění kvality a bezpečnosti léčivých přípravků). 
2. Zpracování výzkumné povahy/zajištění kvality léčby – zde jde např. o provádění klinické studie jako takové, shromažďování dat o účincích léku, analýzy výsledků. Zde jsou tři alternativy: 
   1. Oprávněný zájem správce (čl. 6 odst. 1 písm. f) ve spojení s čl. 9 odst. 2 písm. i) a j)) – pro komerční správce, kteří neprovádějí výzkum jako veřejný úkol ze zákona. Podmínkou je provedení třístupňového testu proporcionality (tzv. balančního testu).
   2. Úkol plněný ve veřejném zájmu (čl. 6 odst. 1 písm. e)) – připadá v úvahu spíše okrajověji, pokud je provádění klinického hodnocení přímo svěřeno dané organizaci zákonem jako veřejný úkol. V případě správce, kterým je sponzor klinického hodnocení, který není zadavatelem / veřejným subjektem, tento právní základ nepřichází v úvahu.
   3. Výslovný souhlas (čl. 6 odst. 1 písm. a) + čl. 9 odst. 2 písm. a)) – u primárního zpracování pouze tehdy, pokud je správce za konkrétních okolností schopen prokázat, že souhlas je skutečně svobodný a splňuje veškeré zákonné podmínky. Typicky bychom toto viděli např. u operací, které nejsou nezbytné pro život a zdraví pacienta. U sekundárního využití dat je pozice souhlasu též silnější.

Klinické hodnocení jako praktický příklad

Výše zmiňované klinické hodnocení léčivých přípravků je modelovým příkladem prostředí, kde je souhlas jako právní titul dle našeho názoru nejproblematičtější. Pacient trpí onemocněním, pro které typicky neexistuje nebo je nedostatečná léčba dostupnými registrovanými léčivými přípravky. V rámci klinického hodnocení mu je nabídnuta možnost přístupu k potenciálně účinnému léku. Výzkumný tým zastupuje zájmy  zadavatele jakožto správce údajů. V takovém asymetrickém vztahu je obtížné tvrdit, že souhlas je skutečně „svobodný“ ve smyslu GDPR. 

Příslušný pokyn SÚKL KLH-22 přitom správně odlišuje informovaný souhlas jako etický a regulatorní požadavek podle nařízení o klinických hodnoceních na straně jedné a souhlas jako právní titul pro zpracování osobních údajů na straně druhé. Jde o dva různé dokumenty sledující dva různé účely – a jejich záměna je jednou z nejčastějších chyb v praxi. Informovaný souhlas dle pokynů SÚKL není typicky souhlasem dle GDPR, byť v praxi s ním bývá směšován. V současné době jsme svědky stále většího odklonu od souhlasových režimů v soukromé sféře. Vzorové formuláře pro subjekty hodnocení dnes častěji než dříve výslovně uvádějí oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR) a plnění zákonné povinnosti (čl. 6 odst. 1 písm. c) GDPR) jako právní základy pro primární zpracování, s odkazem na čl. 9 odst. 2 písm. i) a j) GDPR pro citlivé zdravotní údaje. 

Kde se souhlasem v rámci klinických hodnocení typicky stále setkáváme, je sekundární použití dat. Zde máme zato, že je možné při správném nastavení obhájit použití souhlasu.

Praktické dopady a rizika nesprávného přístupu

Správce osobních údajů, který se pro primární zpracování v klinickém hodnocení opírá o souhlas pacienta bez důkladné analýzy jeho svobodnosti, a tedy platnosti, nese několik zásadních rizik:

• Regulatorní riziko: ÚOOÚ může při kontrole konstatovat, že souhlas nesplňuje podmínku svobodnosti, a je tedy neplatný. Zpracování by pak probíhalo bez právního titulu – se všemi důsledky, které z toho vyplývají, včetně rizika, že získané údaje nebude možné pro tyto účely použít, bude nutné je vymazat, či dokonce uložení sankce.
• Riziko odvolání souhlasu: Pokud je souhlas použit jako právní titul, má subjekt údajů právo jej kdykoli odvolat (čl. 7 odst. 3 GDPR). Odvolání souhlasu pro výzkumné aktivity pak znamená povinnost veškeré výzkumné zpracování zastavit a data dále nepoužívat, což může mít za následek znehodnocení integrity minimálně části studie (zejména u těch s menším objemem pacientů).
• Riziko nesprávného nastavení dokumentace: Záměna informovaného souhlasu (etický dokument) s dokumentem řešícím ochranu osobních údajů (právní tituly zpracování) vede k chybně nastaveným procesům z oblasti ochrany osobních údajů – například k nevhodnému smluvnímu nastavení nebo k neprovedení balančního testu (LIA) či posouzení vlivu na ochranu osobních údajů (DPIA). Na druhé straně ani oprávněný zájem není „volná vstupenka“. Správce musí provést balanční test, zdokumentovat jej a být schopen jej na vyžádání ÚOOÚ doložit.

Závěr: čas přehodnotit nastavení

Praxe ve vztahu ke zpracování osobních údajů se, stejně jako celý obor, vyvíjí. Řada správců souhlas pacienta pro primární zpracování v rámci jejich výzkumných činností opouští a nahrazuje jej kombinací oprávněného zájmu anebo zákonné povinnosti, s výjimkami dle čl. 9 GDPR. U sekundárního využití dat naopak může souhlas při správném nastavení nadále představovat vhodný právní základ. Dozorové orgány – EDPB i ÚOOÚ – tento posun aprobují. Pokud vaše společnost používá souhlas pacienta jako výchozí titul pro primární zpracování zdravotních dat, je čas se zamyslet nad přenastavením. Využijte náš tým pro ochranu osobních údajů v HAVEL & PARTNERS k vyhodnocení Vaší situace a nastavení správného právního rámce pro zpracování zdravotních dat.