Przetwarzanie danych osobowych w badaniach klinicznych – czy European Biotech Act ujednolici zasady?
Prowadzenie badań klinicznych wymaga pogodzenia krajowych i unijnych wymogów regulacyjnych z zasadami ochrony danych osobowych uczestników. Dla sponsorów, badaczy i organizacji prowadzących badania szczególnym wyzwaniem jest prawidłowe określenie podstaw prawnych przetwarzania danych, zwłaszcza gdy projekt obejmuje kilka państw UE. European Biotech Act może uporządkować te zasady i ograniczyć różnice pomiędzy regulacjami krajowymi.
Przetwarzanie danych osobowych w badaniach klinicznych – aktualne podstawy prawne
Przed rozpoczęciem przetwarzania sponsor lub inny podmiot odpowiedzialny za dane powinien określić cel każdej operacji i przypisać mu właściwą podstawę prawną.
Badanie kliniczne wiąże się z przetwarzaniem „zwykłych” danych osobowych oraz tych dotyczących zdrowia. Podmiot prowadzący badanie musi więc ustalić podstawę prawną przetwarzania zarówno na gruncie art. 6 RODO, jak i, w przypadku danych szczególnych kategorii, art. 9 RODO.
Właściwa podstawa prawna przetwarzania danych osobowych w badaniach klinicznych powinna być ustalana z uwzględnieniem celu i charakteru konkretnej operacji przetwarzania. W konsekwencji poszczególne czynności mogą opierać się na różnych podstawach prawnych.
Przykłady podstaw prawnych przetwarzania danych osobowych w badaniach klinicznych:
- obowiązki prawne związane z prowadzeniem badania,
- realizacja zadań wykonywanych w interesie publicznym,
- prawnie uzasadniony interes administratora,
- zgodęa osoby, której dane dotyczą.
Istotne jest przy tym rozróżnienie zgody na udział w badaniu klinicznym od zgody stanowiącej podstawę prawną przetwarzania danych na gruncie RODO. Sama zgoda na udział w badaniu nie oznacza automatycznie, że przetwarzanie danych osobowych uczestnika odbywa się na podstawie art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO. W zależności od celu przetwarzania zastosowanie mogą bowiem znaleźć inne podstawy prawne.
Brak jednolitych zasad w UE
Kwestia podstaw prawnych przetwarzania danych w badaniach klinicznych nie została w pełni ujednolicona na poziomie Unii Europejskiej.
Europejska Rada Ochrony Danych wskazuje na istotne różnice pomiędzy państwami członkowskimi w zakresie podstaw prawnych wykorzystywanych przy przetwarzaniu danych w badaniach klinicznych. Różnice te mają szczególne znaczenie w przypadku badań prowadzonych jednocześnie w kilku państwach, ponieważ mogą wymagać uwzględnienia odmiennych krajowych podstaw prawnych dla poszczególnych operacji przetwarzania danych.
European Biotech Act – próba harmonizacji zasad
Na ten problem odpowiadać ma m.in. European Biotech Act - propozycja Komisji Europejskiej przedstawiona w grudniu 2025 r., której jednym z celów jest uproszczenie i harmonizacja ram regulacyjnych dla sektora biotechnologicznego i badań klinicznych.
Propozycja obejmuje również kwestię przetwarzania danych osobowych w badaniach klinicznych. Jednym z zakładanych rozwiązań jest ustanowienie jednolitej podstawy prawnej przetwarzania danych osobowych przez sponsorów i badaczy. Ma nią być:
- w przypadku danych zwykłych: art. 6 ust. 1 lit. c RODO, tj. niezbędność przetwarzania do wypełnienia obowiązku prawnego wynikającego z przepisów regulujących prowadzenie badań klinicznych;
- w przypadku danych szczególnych kategorii - art. 9 ust. 2 lit. i i j RODO. - tj. przetwarzanie niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego lub niezbędne do celów badań naukowych.
Propozycja Komisji idzie jednak o krok dalej – zakłada ograniczenie możliwości wprowadzania przez państwa członkowskie dodatkowych warunków dotyczących przetwarzania danych w badaniach klinicznych. Państwa członkowskie nie będą mogły wprowadzać dodatkowych wymogów, w tym wymogu uzyskania zgody osoby, której dane dotyczą, na przetwarzanie jej danych osobowych w ramach badań klinicznych.
Do propozycji Komisji odniosły się w marcu 2026 r. Europejska Rada Ochrony Danych (EROD) oraz Europejski Inspektor Ochrony Danych (EIOD). Oba organy poparły kierunek zmierzający do większej harmonizacji zasad przetwarzania danych w badaniach klinicznych, wskazując jednocześnie na konieczność zachowania odpowiedniego poziomu ochrony danych dotyczących zdrowia i danych genetycznych.
Co to oznacza dla organizatorów i sponsorów badań?
European Biotech Act jest obecnie procedowany w ramach zwykłej procedury ustawodawczej UE. Projekt pozostaje przedmiotem dalszych prac w Parlamencie Europejskim oraz Radzie UE, a przed jego przyjęciem konieczne będzie jeszcze przeprowadzenie negocjacji trójstronnych (trilogów) z udziałem Komisji Europejskiej. W związku z tym trudno obecnie jednoznacznie określić termin zakończenia procesu legislacyjnego. W komentarzach branżowych pojawiają się jednak przewidywania, że rozpoczęcie obowiązywania aktu planowane jest na przełom 2027 i 2028 r.
Dla sponsorów i badaczy prowadzących badania w kilku państwach UE jest to szansa na jednolite zasady przetwarzania danych osobowych oraz mniejszą potrzebę uwzględniania odmiennych wymogów krajowych. W efekcie, kwestie związane z ochroną danych mogą stać się bardziej przewidywalnym elementem organizacji badań transgranicznych.
