Il principio di correttezza nel GDPR e le buone pratiche cliniche nel settore sanitario

Il principio di correttezza tra GDPR e buona pratica clinica

La correttezza è un principio fondamentale del quadro normativo dell'Unione Europea in materia di protezione dei dati. Il principio è incluso sia nell'art. 8, par. 2, della Carta dei diritti fondamentali dell'Unione Europea, sia nell'art. 5, par. 1, lett. a), GDPR.

Il diritto è un obbligo. La buona fede serve come fondamento etico. La correttezza rappresenta l'applicazione pratica di questo valore etico e soccorre al vincolo giuridico imponendo a chi la deve applicare di assumere la prospettiva del soggetto tutelato. I dati personali, pertanto, dovrebbero essere trattati esclusivamente entro i limiti di ciò che le persone ragionevolmente si aspetterebbero, evitando attività di trattamento che possano cagionare effetti negativi ingiustificati.

La correttezza codificata nelle GCP va oltre la norma e si pone l'obiettivo di trovare un sostanziale bilanciamento di interessi tra i titolari del trattamento e i soggetti interessati, contenendo gli squilibri che tipicamente creano situazioni di "vulnerabilità" in un contesto sanitario. Pertanto, la migliore interpretazione del principio di correttezza del GDPR è la mitigazione di dette vulnerabilità dei soggetti interessati attraverso misure e salvaguardie specifiche.

Definizioni di GCP e standard di riferimento

Nel 1982, la Food and Drug Administration (FDA) statunitense mise a punto una serie di regole per la conduzione degli studi clinici (International Guideline for Biomedical Research Involving Human Subjects). Relativamente a tale ambito ogni nazione produceva al tempo le proprie procedure interne. Nel 1996 si decise di consolidare tutte le linee guida globali in un unico documento universale da utilizzare a livello mondiale e così nacquero le linee guida di Buona Pratica Clinica (GCP), recepite in Italia con il D.M. luglio 1997 e la cui versione più recente, la E6 (R3) è del maggio 2023.

Le GCP sono uno standard internazionale di etica e qualità scientifica per la progettazione, la conduzione, la registrazione e la rendicontazione di studi clinici che coinvolgono soggetti umani. L'adesione a tali standard GCP garantisce la tutela dei diritti, della sicurezza e del benessere dei soggetti dello studio, in accordo con i principi stabiliti dalla Dichiarazione di Helsinki (1964) e dal Codice di Norimberga (1947), oltre che l'integrità e la conformità dei dati ottenuti, in linea con il Regolamento generale sulla protezione dei dati dell'Unione Europea (2016/679) e con il decreto legislativo italiano del giugno 2003 relativo alla protezione dei dati personali.

Il termine "conduzione della sperimentazione" nel documento delle GCP si riferisce, a seconda dei casi, ai processi che partono dalla progettazione e arrivano alla comunicazione dei risultati della sperimentazione clinica, comprese le attività di pianificazione, avvio, esecuzione, conduzione, registrazione, supervisione, valutazione, analisi e le attività di segnalazione. L'obiettivo delle GCP è fornire uno standard unificato per facilitare l'accettazione reciproca dei dati delle sperimentazioni cliniche per i Paesi e le regioni membri dell'International Council for Harmonization (ICH) da parte delle autorità regolatorie competenti. Gli studi clinici variano notevolmente per portata, complessità e costi: un'attenta valutazione delle priorità di ogni studio e dei rischi associati aiuta a garantire l'efficienza, concentrandosi sulle attività fondamentali per il raggiungimento degli obiettivi perseguiti.

Le GCP sono costituite da principi e allegati di approfondimento, con dettagli specifici per i diversi tipi di studi clinici. I principi sono destinati ad essere applicati a tutti i tipi e contesti di studi e a rimanere rilevanti al verificarsi di progressi tecnologici e metodologici. I principi delineati nelle GCP possono essere soddisfatti utilizzando approcci diversi e devono essere applicati per soddisfare lo scopo previsto della sperimentazione clinica.

Nel novembre 2016 è stata effettuata la più grande revisione delle GCP degli ultimi 20 anni: in risposta ai problemi emersi dalle ispezioni effettuate nel corso del tempo, è stato creato un Addendum, l'E6 (R2). Attualmente è in corso di revisione un ulteriore Addendum, l'E6 (R3), adottato nel maggio 2023.

Principi delle GCP

Le GCP forniscono uno standard unificato per l'Unione Europea, il Giappone, gli Stati Uniti, il Canada e la Svizzera al fine di agevolare l'accettazione reciproca dei dati degli studi clinici da parte delle autorità regolatorie delle rispettive giurisdizioni. È necessario che vengano aggiornate costantemente per aumentare la qualità e l'efficienza delle sperimentazioni cliniche.

Il ciclo di vita dei dati comprende la creazione/registrazione, trasmissione, elaborazione, revisione, controllo, reporting (inclusa l'analisi dei dati anomali), l'archiviazione e l'accesso/disponibilità. La progettazione dello studio, per garantire un'adeguata qualità e risultati significativi, può avvalersi del contributo di diverse parti interessate, come ad esempio i pazienti e gli operatori sanitari. Il loro contributo può aumentare la probabilità di ottenere risultati significativi, che siano rilevanti sia per i partecipanti allo studio sia per i futuri pazienti. Tale feedback guiderà anche le decisioni sulla fattibilità della raccolta dei dati e garantirà che la partecipazione allo studio non diventi eccessivamente onerosa per le persone coinvolte. I processi della sperimentazione clinica e le strategie di mitigazione del rischio implementate per supportare la conduzione dello studio devono essere adeguati  all'importanza e alla numerosità dei dati raccolti e ai rischi per la sicurezza dei partecipanti.

Nella definizione dei protocolli di ricerca si deve tenere conto della realizzabilità dal punto di vista operativo evitando inutili complessità; di conseguenza è necessario incentivare approcci ottimali ed efficienti per la progettazione, la conduzione, la supervisione, la registrazione e la rendicontazione delle sperimentazioni cliniche, nonché la protezione dei soggetti coinvolti e l'affidabilità dei risultati ottenuti.

Campo di applicazione

Lo scopo di un IRB o di un IEC è quello di tutelari i diritti, il benessere e la sicurezza dei soggetti arruolati in una sperimentazione clinica. In particolare, dovrà verificare che la sperimentazione sia condotta in conformità ai protocolli e agli emendamenti approvati, alle GCP vigenti e alle disposizioni normative applicabili e verificare che il sito sperimentale sia adeguato in termini di strutture e personale, all'inizio e per l'intera durata della sperimentazione clinica. Inoltre, deve garantire la qualità, l'accuratezza, la completezza e la veridicità dei dati raccolti attraverso i dati originali (i dati procedurali devono essere documentabili) e correggere eventuali errori procedurali affinché sperimentatore e sponsor ottengano dati di buona qualità.

a)    Sperimentatore e sponsor

Come indicato nelle GCP, lo sponsor deve garantire la tracciabilità delle diverse operazioni effettuate sui dati nel corso dell'elaborazione e analisi degli stessi. È inoltre responsabile della definizione delle modalità e dei requisiti di gestione dei dati. Lo sperimentatore è di conseguenza tenuto a rispettare le regole stabilite dallo sponsor.  Quando si utilizzano strumenti elettronici per la gestione dei dati di ricerca, lo sponsor o lo sperimentatore devono assicurarsi che venga utilizzato un sistema "validato". Deve trattarsi di un sistema che soddisfi i requisiti stabiliti in termini di completezza, accuratezza, affidabilità e sicurezza delle prestazioni attese e che vengano mantenute procedure operative standard (SOP) per il suo utilizzo. 

Quando genera e registra i dati dello studio lo sperimentatore deve garantirne, sotto la propria responsabilità, l'integrità, indipendentemente dal supporto utilizzato. Altresì lo sperimentatore è tenuto a mantenere un'adeguata documentazione originale che includa le pertinenti osservazioni su ciascuno dei partecipanti allo studio. I documenti originali devono essere rintracciabili, leggibili, accurati e completi. Le modifiche apportate ai documenti di origine devono essere tracciabili, non devono oscurare la voce originale e devono essere spiegate laddove necessario (tramite una traccia di controllo). 

Prima dell'inizio dello studio lo sperimentatore dovrebbe definire quali siano i record di origine, i metodi di acquisizione dei dati e il loro luogo di conservazione e procedere a tracciare gli eventuali aggiornamenti che si dovessero rendere necessari. Si dovrebbero evitare trascrizioni non necessarie tra i registri di origine e lo strumento di acquisizione dei dati. Per i sistemi implementati dallo sperimentatore che mantengono e archiviano dati e informazioni della sperimentazione clinica, questi dovrebbe garantire che tali dati siano protetti da accessi, divulgazioni, diffusione o alterazioni non autorizzate, nonché dalla distruzione o dalla perdita accidentale.

b)    Protocollo clinico

Entrando nel merito della validità scientifica del protocollo clinico, i dati derivanti dalla conduzione della sperimentazione devono essere raccolti sulla base della disponibilità di adeguate informazioni cliniche e non cliniche. La presenza di un protocollo chiaro e dettagliato per la conduzione della sperimentazione clinica è fondamentale e deve essere approvato da un IRB/IEC. L'applicazione delle indicazioni espresse dalle autorità competenti (EMA, FDA, AIFA), come la registrazione, l'elaborazione e l'archiviazione di qualsiasi informazione relativa alla sperimentazione clinica, deve essere effettuata in modo tale da consentire un'accurata rendicontazione, interpretazione e verifica finale. La verifica dell'appropriatezza dei dati è una delle fasi più importanti delle sperimentazioni cliniche. Nell'ambito del controllo e della validazione del protocollo, lo sperimentatore è responsabile della verifica dell'adeguatezza dei dati raccolti e della loro idoneità tecnica in base alle variabili raccolte durante la sperimentazione clinica. Per adeguatezza dei dati si intende, ad esempio, la verifica della correttezza della procedura di calcolo dei dosaggi relativi al trattamento, quando questi non derivino da calcoli automatici tramite software prescrittivi; o dosi basate sulle condizioni cliniche generali del paziente o terapie accessorie e/o sottostudi relativi al protocollo.

c)    Consenso informato

Sulla base dei principi delle GCP ogni soggetto deve fornire liberamente il proprio consenso informato prima di partecipare alla sperimentazione clinica, il trial deve essere strutturato per garantire la riservatezza dei dati e la possibilità di utilizzo degli stessi per ricerche future (nel rispetto della normativa sulla protezione dei dati personali). Il soggetto deve essere informato che dalle indagini previste dallo studio potrebbero emergere risultati "inattesi" o "incidentali", come la presenza di altre patologie oltre a quelle già note o la predisposizione a svilupparle. In questo caso, deve essere in grado di decidere se informarsi comunque o solo quando ciò possa portare benefici in termini terapeutici o di prevenzione, o può essere utile ai fini delle scelte riproduttive. Nel caso in cui da un'analisi emerga un risultato genetico "inatteso" e che comporti la possibilità che parenti o discendenti siano ugualmente interessati, il soggetto deve essere informato che il suo "diritto a non sapere" potrebbe avere dei limiti.  L'informazione è un requisito primario rispetto al quale è opportuno considerare diverse declinazioni a seconda del soggetto coinvolto nella ricerca, che potrebbe essere un soggetto capace o incapace di intendere e di volere.

Elaborazione dei dati non conforme

L'integrità dei dati originali è necessaria per la ricostruzione e la valutazione della sperimentazione clinica; pertanto, lo scopo dei documenti originali è documentare l'arruolamento del soggetto e dimostrare l'integrità dei dati sperimentali raccolti. I promotori dovrebbero concentrarsi sulle attività sperimentali essenziali per garantire la protezione dei soggetti umani e l'affidabilità dei risultati delle sperimentazioni cliniche.

Le sperimentazioni cliniche devono incorporare processi di gestione dei dati efficienti e ben controllati attraverso un'adeguata gestione dell'integrità dei dati, della tracciabilità e della protezione delle informazioni personali, consentendo così un'accurata e puntuale segnalazione delle deviazioni alle autorità competenti.

Secondo le GCP, il monitoraggio dei dati della sperimentazione clinica serve a identificare errori significativi nella raccolta e nella comunicazione dei dati, potenziali manipolazioni e problemi di integrità. In particolare, lo sperimentatore e lo sponsor devono garantire l'implementazione di processi documentati durante l'intero ciclo di vita della sperimentazione clinica, la tracciabilità e la sicurezza dei dati, consentendo così la rendicontazione, la verifica e l'interpretazione delle informazioni cliniche.

Una copia cartacea o elettronica dei documenti originali che sia stata verificata (ad esempio, mediante data e firma) o che sia stata generata attraverso un processo validato, produce una copia esatta avente tutte le caratteristiche, attributi e informazioni dell'originale. Produrre una copia di un sistema elettronico significa riprodurre tutti i dati, compresi i metadati, preservando anche la dinamicità del sistema e la possibilità di estrazione dei dati. Inoltre, le informazioni di audit devono essere conservate e disponibili.

L'approccio basato sul rischio consiste nell'analisi dei processi, nell'identificazione  delle fasi critiche e del loro potenziale impatto sulla sicurezza dei dati, nella prevenzione dei rischi, allocando al meglio le risorse disponibili, nonché nella validazione e nel controllo documentati.

Regole e sviluppi futuri

Con l'avanzamento della globalizzazione e l'emergere di nuove tecnologie, la sfida nell'applicazione delle GCP si è intensificata. Ad esempio, conducendo studi clinici in diverse nazioni, ci troviamo di fronte a questioni come l'omogeneità dei dati, il rispetto delle normative locali, le differenze linguistiche e culturali, e le sfide del coordinamento da remoto.

Le nuove tecnologie, in particolare l'intelligenza artificiale, possono offrire analisi più dettagliate e rendere i processi più efficienti. Tuttavia, ciò porta anche al rischio di interpretazioni errate dei dati o possibili errori algoritmici. Questo sottolinea l'importanza della trasparenza nell'uso dell'intelligenza artificiale, garantendo che le decisioni mediche basate su di essa siano tanto comprensibili quanto riproducibili.

Parallelamente, c'è una responsabilità crescente da parte degli sperimentatori e delle organizzazioni nel garantire che le GCP siano applicate con rigore, tenendo conto delle specificità di ogni nuova tecnologia. La digitalizzazione dei dati clinici, sebbene porti efficienza, comporta anche un rischio maggiore di frode, come la manipolazione, l'omissione o la distorsione dei dati, mettendo a rischio la sicurezza dei pazienti e la credibilità dello studio. Garantire l'integrità, la sicurezza e la privacy dei dati è diventato fondamentale, soprattutto in un'era in cui il rischio “cyber” è in crescita esponenziale.

In conclusione

L'applicazione delle GCP in un ambiente in continua trasformazione e in cui nuove  questioni etiche vengono alla luce, necessita di una revisione e aggiornamento regolari delle linee guida, di una formazione continua e di una sorveglianza rigorosa, tutto ciò al fine di assicurare la sicurezza dei pazienti, la robustezza degli studi clinici e assicurare che le decisioni sanitarie siano fondate su informazioni accurate e affidabili.

Sperimentazioni cliniche ben progettate e condotte rappresentano la spina dorsale dell'innovazione nell'assistenza sanitaria, aiutando a rispondere a domande chiave nello sviluppo e nell'applicazione di nuovi farmaci, terapie e procedure. I risultati che ne derivano sono essenziali per le scelte sanitarie basate sull'evidenza.