К вопросу об обработке персональных данных в клинических исследованиях: правовые аспекты

К ВОПРОСУ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В КЛИНИЧЕСКИХ ИССЛЕДОВАНИЯХ: ПРАВОВЫЕ АСПЕКТЫ

А. В. ПАЩЕНКО, В. В. ХРЕШКОВА

Пащенко Андрей Владимирович, кандидат медицинских наук, магистрант кафедры финансового права Национального исследовательского университета "Высшая школа экономики".

Хрешкова Виктория Валентиновна, юрисконсульт 1-й категории финансово-договорного отдела Международного института экономики и финансов, преподаватель кафедры финансового права Национального исследовательского университета "Высшая школа экономики".

Внесение изменений в законодательство Российской Федерации в области персональных данных в 2011 году привело к необходимости пересмотра подходов к обработке персональных данных, в том числе персональных данных, обрабатываемых в связи с клиническими исследованиями. В некоторых случаях изменения кардинальны и не согласуются с существующей практикой.

Ключевые слова: информационное право, персональные данные, клинические исследования.

On the processing of personal data in clinical trials: legal aspects A. V. Paschenko, V. V. Khreshkova

Changes to the legislation of the Russian Federation in the field of personal data in 2011 led to the need to review approaches to the processing of personal data, including personal data processed in connection with clinical trials. In some cases, changes are not consistent with the current practice dramatically.

Key words: information law, personal data, medical clinical trials.

Принятие Федерального закона от 27 июля 2006 года N 152-ФЗ "О персональных данных" <1> (далее - Федеральный закон "О персональных данных") в 2006 году привело к жарким дискуссиям, а впоследствии практически повсеместно с граждан стали запрашивать письменные согласия на обработку персональных данных. Тем не менее считалось, что в некоторых случаях, например, связанных с клиническими исследованиями <2>, получение письменного согласия на обработку персональных данных не является обязательным. С момента вступления в силу Федерального закона "О персональных данных" вносились изменения, в основном связанные с приведением его в соответствие с иными федеральными законами. Первые существенные изменения в регулировании отношений, связанных с обработкой персональных данных, были внесены Федеральным законом от 25 июля 2011 года N 261-ФЗ "О внесении изменений в Федеральный закон "О персональных данных" <3>, что привело к необходимости пересмотра подходов к обработке персональных данных, включая случаи, когда в силу обычаев обработка персональных данных осуществлялась без получения согласия субъекта персональных данных и без учета положений Федерального закона "О персональных данных". -------------------------------- <1> Российская газета. 29.07.2006. N 165. <2> Изучение диагностических, лечебных, профилактических, фармакологических свойств лекарственного препарата в процессе его применения у человека, животного в том числе процессов всасывания, распределения, изменения и выведения, путем применения научных методов оценок в целях получения доказательств безопасности, качества и эффективности лекарственного препарата, данных о нежелательных реакциях организма человека, животного на применение лекарственного препарата и об эффекте его взаимодействия с другими лекарственными препаратами и (или) пищевыми продуктами, кормами (п. 41 ст. 4 - Федерального закона от 12 апреля 2010 года N 61-ФЗ "Об обращении лекарственных средств"). <3> Российская газета. 27.02.2011. N 162.

В области клинических исследований пересмотр подходов к обработке персональных данных, как правило, сводится к ответу на следующие вопросы: 1. Являются ли данные, собираемые в связи с клиническим исследованием, персональными данными? 2. Подпадают ли отношения по обработке персональных данных, собранных в связи с клиническим исследованием, под регулирование Федерального закона "О персональных данных"? 3. Необходимо ли согласие субъектов персональных данных, как участников отношений, возникающих в связи с клиническими исследованиями, на обработку персональных данных? 4. В какой форме может быть предоставлено согласие на обработку персональных данных в случае необходимости такого согласия? 5. Возникают ли какие-либо обязанности у организатора клинического исследования в связи с обработкой персональных данных, собираемых в связи с клиническим исследованием? В связи с чем, целью нашего исследования явился анализ отношений по обработке данных, собираемых в связи с клиническими исследованиями, через ответы на поставленные выше вопросы.

Являются ли данные, собираемые в связи с клиническим исследованием, персональными данными?

Анализ Национального стандарта Российской Федерации "Надлежащая клиническая практика" ГОСТ Р 52379-2005 (далее - Национальный стандарт "Надлежащая клиническая практика") позволяет выделить две группы основных участников, помимо организатора клинического исследования (далее - спонсор), данные о которых могут обрабатываться в связи с клиническими исследованиями: 1. Исследователи, главные исследователи, соисследователи, исследователь-координатор - физические лица, непосредственно исполняющие процедуры клинического исследования, лица, отвечающие за проведение клинического исследования в исследовательском центре или за координацию деятельности всех исследовательских центров, участвующих в многоцентровом клиническом исследовании (далее - исследователи)(п. п. 1.13, 1.14 Национального стандарта "Надлежащая клиническая практика"); 2. Субъект исследования - физическое лицо, участвующее в клиническом исследовании в составе группы, получающей исследуемый продукт, либо в составе контрольной группы (далее - субъект исследования) (п. 1.58 Национального стандарта "Надлежащая клиническая практика"). На практике объем обрабатываемых данных об исследователях не превышает объема данных, предоставляемых в научной биографии (Curriculum vitae) и необходимых для подтверждения надлежащей квалификации исследователя. Данные об исследователе могут включать в себя: 1) фамилию, имя, отчество; 2) контактные данные (телефон, e-mail, адрес места работы); 3) уровень образования и квалификации; 4) стаж работы и перечень организаций, где работал исследователь; 5) наличие сертификата GCP; 6) опыт участия в клинических исследованиях; 7) список основных научных публикаций. Объем обрабатываемых данных о субъекте исследования зависит от фазы клинического исследования, целей клинического исследования, исследуемого препарата, методов, применяемых в клиническом исследовании, и т. д. Данные о субъекте исследования могут включать в себя: физиологические показатели, результаты анализов биологических жидкостей; данные инструментальных методов исследования и т. д. Однако независимо от целей клинического исследования, фазы клинического исследования и т. п. осуществляется обработка следующих данных: 1) сокращение фамилии, имени и отчества; 2) дата рождения; 3) расовая принадлежность; 4) антропометрические данные; 5) семейное положение; 6) анамнез заболевания и состояние здоровья. В соответствии с п. 1 ст. 3 Федерального закона "О персональных данных" персональными данными является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). В ст. 2 Конвенции о защите физических лиц при автоматизированной обработке персональных данных <4>, принятой 28 января 1981 года в Страсбурге, под персональными данными понимается информация, касающаяся конкретного или могущего быть идентифицированным лица ("субъекта данных"). -------------------------------- <4> Ратифицирована Федеральным законом от 19 декабря 2005 года N 160-ФЗ "О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных".

Таким образом, можно выделить два критерия отнесения данных к персональным данным: 1) данные должны прямо или косвенно относиться к физическому лицу; 2) должна существовать возможность идентификации физического лица, к которому относятся данные. Наличие фамилии, имени, отчества в научной биографии исследователя позволяет идентифицировать исследователя, к которому прямо относятся данные, указанные в научной биографии. Следовательно, данные, указанные в научной биографии, являются персональными данными исследователя (субъекта персональных данных). Данные, собираемые о субъекте исследования, относятся к прямо или косвенно определенному субъекту исследования. Сбор данных осуществляется в медицинской карте и с целью последующей статистической обработки копируются в бумажную или электронную индивидуальную регистрационную карту (далее - ИРК). В медицинской карте идентификация субъекта исследования проводится по фамилии, имени, отчеству. В ИРК идентификация субъекта исследования проводится по уникальному идентификационному коду. Обязанность использовать уникальный идентификационный код, позволяющий идентифицировать все данные по каждому субъекту исследования, установлена п. 5.5.5 Национального стандарта "Надлежащая клиническая практика". Соотношение уникального идентификационного кода с конкретным субъектом персональных данных производится с помощью списка идентификационных кодов субъектов (п. 8.3.21 Национального стандарта "Надлежащая клиническая практика"), позволяющего идентифицировать любого субъекта исследования. Следовательно, существует возможность идентификации физического лица, к которому относятся данные в ИРК, а значит, данные, собираемые о субъекте исследования в ходе клинического исследования и регистрируемые в медицинской карте и ИРК, являются персональными данными. К персональным данным субъекта исследования, собираемым исследователем в ходе клинического исследования и вносимых в ИРК, относятся, в том числе, информация о факте обращения за медицинской помощью, состоянии здоровья гражданина, диагнозах его заболеваний и иные сведения, получаемые при его обследовании и лечении. Указанные персональные данные в соответствии с ч. 1 ст. 61 Основ законодательства Российской Федерации об охране здоровья граждан, утвержденных Верховным Советом Российской Федерации 22 июля 1993 года N 5487-1 <5> (далее - Основы законодательства Российской Федерации об охране здоровья граждан), составляют врачебную тайну <6> и согласно п. 4 Перечня сведений конфиденциального характера, утвержденных Указом Президента Российской Федерации от 6 марта 1997 года N 188 <7>, относятся к сведениям конфиденциального характера. Законодательством Российской Федерации в области персональных данных, данные о состоянии здоровья и интимной жизни отнесены к специальной категории персональных данных (ч. 1 ст. 10 Федерального закона "О персональных данных"). -------------------------------- <5> Российские вести. 09.09.1993. N 174. <6> В соответствии с п. 1 ст. 13 Федерального закона от 21 ноября 2011 года N 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации", вступающего в силу с 1 января 2012 года, к врачебной тайне относятся сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении. <7> Российская газета. 14.03.1997. N 51.

Следовательно, данные о субъекте исследования, собираемые в связи с клиническим исследованием, являются персональными данными субъекта исследования, относящимися к врачебной тайне, конфиденциальной информации и к специальной категории персональных данных. Таким образом, данные об исследователе и субъекте исследования, собираемые в связи с клиническим исследованием, являются персональными данными, а исследователь и субъект исследования - субъектами персональных данных.

Подпадают ли отношения по обработке персональных данных, содранных в связи с клиническим исследованием, под регулирование Федерального закона "О персональных данных"?

Отношения, связанные с обработкой персональных данных, регулируются Федеральным законом "О персональных данных" только в том случае, если дни удовлетворяют критериям, указанным в ч. 1 ст. 1 Федерального закона "О персональных данных". Первым таким критерием является связь рассматриваемых отношений с обработкой персональных данных. Вторым критерием является способ обработки персональных данных. Предусмотрено два способа обработки: 1) с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях; 2) без использования средств автоматизации, но имеющий следующие характеристики: позволяет осуществлять поиск персональных данных в соответствии с заданным алгоритмом; персональные данные зафиксированы на материальном носителе; персональные данные систематизированы в собраниях персональных данных; к персональным данным имеется доступ. При этом под обработкой персональных данных понимается любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Федерального закона "О персональных данных"). В ч. 2 ст. 1 Федерального закона "О персональных данных" предусмотрены отношения, на которые не распространяется действие Федерального закона "О персональных данных". Данные исключения не встречаются при обработке персональных данных, связанных с клиническими исследованиями. Персональные данные об исследователях собираются, записываются, накапливаются, уточняются, систематизируются, хранятся и т. д. в связи с проведением клинического исследования. Научные биографии исследователей на бумажных носителях хранятся в файле спонсора и отсортированы по разделам, в которых находятся данные по исследовательским центрам, что приводит к возможности поиска запрашиваемой научной биографии по заданному алгоритму (например, по номеру центра). Следовательно, персональные данные об исследователях зафиксированы на материальном носителе, систематизированы в файле спонсора и к ним имеется доступ персонала спонсора. В некоторых случаях персональные данные об исследователях для ускорения обработки могут вноситься в электронную базу данных (электронные таблицы, специализированные базы данных, электронные файлы в иных форматах). Следовательно, обработка персональных данных об исследователях проводится с помощью средств автоматизации, либо без использования средств автоматизации но при наличии всех признаков, указанных в ч. 1 ст. 1 Федерального закона "О персональных данных". Таким образом, отношения по обработке персональных данных исследователей попадают под регулирование Федерального закона "О персональных данных". Персональные данные субъекта исследования подвергаются сбору, записи, накоплению, хранению, систематизации, использованию, передаче и т. д. Согласно п. 9 ч. 1 ст. 6 Федерального закона "О персональных данных" обработка персональных данных в исследовательских целях, допускается при условии обязательного обезличивания персональных данных (п. 9 ст. 3 Федерального закона "О персональных данных"). В клинических исследованиях обезличивание проводится путем присвоения уникального идентификационного кода каждому субъекту исследования (п. 5.5.5 Национального стандарта "Надлежащая клиническая практика"). Указанные действия производятся с помощью средств автоматизации (электронные ИРК, программы статистической обработка, электронные таблицы и т. д.). В случае использования бумажных ИРК данные из них в последующем вносятся в электронные базы данных для статистической обработки. Не исключается обработка персональных данных субъекта исследования без использования средств автоматизации (например, создание архива документов в бумажной форме по серьезным нежелательным явлениям), но в данном случае такая обработка будет иметь все признаки, указанные в ч. 1 ст. 1 Федерального закона "О персональных данных". Например, все данные о серьезных нежелательных явлениях могут быть систематизированы спонсором по субъектам исследования и исследовательским центрам. Сами персональные данные будут зафиксированы на бумажных носителях в виде копий медицинской документации, а доступ к персональным данным субъекта исследования будет обеспечен для персонала спонсора. Следовательно, действия с персональными данными субъектов исследования могут быть квалифицированы как обработка персональных данных и, следовательно, должны регулироваться Федеральным законом "О персональных данных".

Необходимо ли согласие субъектов персональных данных, как участников отношений, связанных с клиническими исследованиями, на обработку персональных данных?

Обработка персональных данных допускается только в случаях, прямо указанных в ч. 1 ст. 6 Федерального закона "О персональных данных". К таким случаям относятся: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6 Федерального закона "О персональных данных"); 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (п. 2 ч. 1 ст. 6 Федерального закона "О персональных данных"); 3) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно (п. 6 ч. 1 ст. 6 Федерального закона "О персональных данных"); 4) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в ст. 15 Федерального закона "О персональных данных", при условии обязательного обезличивания персональных данных (п. 9 ч. 1 ст. 6 Федерального закона "О персональных данных"); 5) обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (п. 10 ч. 1 ст. 6 Федерального закона "О персональных данных"). Однако на обработку персональных данных, относящихся к специальным категориям, наложены дополнительные ограничения. В ч. 1 ст. 10 Федерального закона "О персональных данных" выделены следующие специальные категории персональных данных: о расовой принадлежности, о политических взглядах, о религиозных или философских убеждениях, о состоянии здоровья, об интимной жизни. По общему правилу обработка персональных данных, относящихся к специальным категориям, запрещена (ч. 1 ст. 10 Федерального закона "О персональных данных"). Исключения из этого правила определены в ч. 2 ст. 10 Федерального закона "О персональных данных". В частности, допускается обработка персональных данных, относящихся к специальным категориям, если: 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных (п. 1 ч. 2 ст. 10 Федерального закона "О персональных данных"); 2) персональные данные сделаны общедоступными субъектом персональных данных (п. 2 ч. 2 ст. 10 Федерального закона "О персональных данных"); 3) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно (п. 3 ч. 2 ст. 10 Федерального закона "О персональных данных"); 4) обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну (п. 4 ч. 2 ст. 10 Федерального закона "О персональных данных"). При этом в Федеральном законе "О персональных данных" нет указаний на то, что к обезличенным персональным данным, относящимся к специальным категориям, не применяются положения ст. 10 Федерального закона "О персональных данных". Также нет указания на то, что обезличивание переводит персональные данные, относящиеся к специальным категориям, в иные категории. В процессе разработки основ будущего законодательства государств-участников СНГ и его унификации введение понятия "обезличивание персональных данных" было обусловлено, в частности, тем, что обезличивание должно было придавать персональным данным форму анонимных сведений, что служило основанием для снятия правового режима, установленного для персональных данных, а также исключения возможности идентификации субъекта персональных данных (ст. 14 Модельного закона о персональных данных <8> (далее - Модельный закон о персональных данных)). Однако положение об изменении правового режима персональных данных после обезличивания не нашло своего отражения в Федеральном законе "О персональных данных", следовательно обезличивание персональных данных не является юридическим фактом, в связи с которым спонсор освобождается от соблюдения положений Федерального закона "О персональных данных". -------------------------------- <8> Принят на 14 пленарном заседании Межпарламентской ассамблеи государств-участников СНГ в г. Санкт-Петербурге 16 октября 1999 года Постановлением N 14-19 // Информационный бюллетень. Межпарламентская Ассамблея государств-участников Содружества Независимых Государств. 2000. N 23. С. 315 - 326.

Таким образом, обезличивание персональных данных не изменяет статуса персональных данных. Обработка некоторых персональных данных, собираемых об исследователях в связи с клиническими исследованиями, обусловлена требованиями законодательства об обращении лекарственных средств. Так, п. 7 ч. 2 ст. 39 Федерального закона от 12 апреля 2010 года N 61-ФЗ "Об обращении лекарственных средств" <9> (далее - Федеральный закон "Об обращении лекарственных средств") установлено, что для получения разрешения на проведение международного многоцентрового клинического исследования лекарственного препарата для медицинского применения или пострегистрационного клинического исследования лекарственного препарата для медицинского применения спонсор должен представить в уполномоченный федеральный орган исполнительной власти сведения об опыте работы исследователей по соответствующим специальностям и опыте работы по проведению клинических исследований. В соответствии с п. 2 ч. 1 ст. 6 Федерального закона"О персональных данных", если обработка персональных данных необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на лицо функций, полномочий и обязанностей, то наличие согласия субъекта персональных данных на такую обработку не требуется. -------------------------------- <9> Российская газета. 14.04.2010. N 78.

Следовательно, согласие исследователя на обработку его персональных данных, относящихся к опыту работы по соответствующим специальностям, и работы по проведению клинических исследований, не требуется. Правовой статус обработки иных персональных данных исследователей необходимо решать исходя из категории персональных данных и целей обработки. Например, если исследователь предоставил доступ к персональным данным неограниченному кругу лиц, то такие персональные данные могут быть обработаны спонсором без согласия исследователя в случае отсутствия иных ограничений (п. 10 ч. 1 ст. 6 Федерального закона "О персональных данных"). Также необходимо учитывать, что обработка персональных данных должна быть признана отвечающей целям обработки, в противном случае обработка таких персональных данных не допускается (ч. ч. 2, 4 и 5 ст. 5 Федерального закона "О персональных данных"). Обработка персональных данных субъекта исследования осуществляется в исследовательских целях, включающих в себя исследование безопасности лекарственного препарата, подбор оптимальных дозировок лекарственного препарата, изучение возможности расширения показаний для медицинского применения и т. д. (ч. 1 ст. 38 Федерального закона "Об обращении лекарственных средств"). В соответствии с п. 9 ч. 1 ст. 6 Федерального закона "О персональных данных" разрешается обработка персональных данных, осуществляемая в исследовательских целях при условии обязательного обезличивания персональных данных (п. 9 ч. 1 ст. 6 Федерального закона "О персональных данных"), при этом законодатель явно не указывает на необходимость наличия согласия субъекта персональных данных на обработку обезличенных персональных данных. Однако часть персональных данных субъекта исследования относится к состоянию его здоровья, расовой, национальной принадлежности и эти персональные данные относятся к врачебной тайне, сведениям конфиденциального характера и специальной категории персональных данных, что накладывает дополнительные ограничения на отношения, связанные с такими персональными данными. Законодательно установлено, что передача сведений, составляющих врачебную тайну, для научных исследований допускается только с согласия гражданина или его законного представителя (ч. 3 ст. 61 Основ законодательства Российской Федерации об охране здоровья граждан) <10>, а обработка персональных данных, относящихся к специальным категориям, возможна только в случаях, предусмотренных ч. 2 ст. 10 Федерального закона "О персональных данных". -------------------------------- <10> В п. 3 ст. 13 Федерального закона от 21 ноября 2011 года N 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации", вступающего в силу с 1 января 2012 года, сохраняется требование о наличии согласия гражданина или его законного представителя для разглашения сведений, составляющих врачебную тайну, другим гражданам, в том числе должностным лицам, в целях медицинского обследования и лечения пациента, проведения научных исследований.

Проведенный анализ ст. 10 Федерального закона "О персональных данных" с учетом существующей практики позволяет выделить три условия, при которых персональные данные субъекта исследования, относящиеся к специальным категориям персональных данных, могут быть обработаны: 1) субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных (п. 1 ч. 2 ст. 10 Федерального закона "О персональных данных"); 2) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно (п. 3 ч. 2 ст. 10 Федерального закона "О персональных данных"); 3) обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством (п. 8 ч. 2 ст. 10 Федерального закона "О персональных данных"). Обработка персональных данных субъекта исследования в соответствии с законодательством об обязательных видах страхования будет происходить только при возникновении страхового случая у субъекта исследования. В иных случаях Типовые правила обязательного страхования жизни и здоровья пациента, участвующего в клинических исследованиях лекарственного препарата <11>, исключают обработку персональных данных субъекта исследования как исследователем, так и страховщиком. -------------------------------- <11> Утверждены Постановлением Правительства Российской Федерации от 13 сентября 2010 года N 714 "Об утверждении Типовых правил обязательного страхования жизни и здоровья пациента, участвующего в клинических исследованиях лекарственного препарата" // СЗ РФ. 2010. N 38. Ст. 4832.

Вероятность применения в практике клинических исследований п. 3 ч. 2 ст. 10 Федерального закона "О персональных данных" кажется ничтожно малой, т. к. при надлежащей организации исследования субъект персональных данных или его законный представитель практически всегда смогут дать согласие на обработку персональных перед включением в исследование. В ином случае субъект исследования или его законный представитель должен быть в кратчайшие сроки поставлен в известность об исследовании и у него должно быть запрошено согласие на продолжение участия в исследовании, а также иные согласия в соответствии с п. 4.8.10 Национального стандарта "Надлежащая клиническая практика" (п. 4.8.15 Национального стандарта "Надлежащая клиническая практика"), в этот же момент может быть получено и согласие на обработку персональных данных. Однако в этом случае должно быть доказано, что включение пациента в клиническое исследование отвечает интересам пациента и иные средства защиты жизни и здоровья субъекта не могут быть использованы в данном случае. Тем не менее возможность включения в исследование пациента, когда в течение определенного периода времени получение согласия субъекта персональных данных невозможно, требует рассмотрения такого случая детально. Согласно требованиям ч. 3 ст. 64 Федерального закона "Об обращении лекарственных средств" субъекты обращения лекарственных средств обязаны сообщать в установленном уполномоченным федеральным органом исполнительной власти порядке обо всех случаях побочных действий, не указанных в инструкции по применению лекарственного препарата, о серьезных нежелательных реакциях, непредвиденных нежелательных реакциях при применении лекарственных препаратов, об особенностях взаимодействия лекарственных препаратов с другими лекарственными препаратами, которые были выявлены при проведении клинических исследований и применении лекарственных препаратов. Информирование о побочных действиях, не указанных в инструкции по применению лекарственного препарата, о серьезных нежелательных реакциях, непредвиденных нежелательных реакциях проводится в рамках мониторинга безопасности лекарственных препаратов, целью которого является выявление возможных негативных последствий их применения, предупреждения пациентов и их защиты от применения таких препаратов (ч. 1 ст. 64 Федерального закона "Об обращении лекарственных средств"). В соответствии с ч. 5 ст. 64 Федерального закона "Об обращении лекарственных средств" Росздравнадзор разработал и разместил на информационном сайте Росздравнадзора форму извещения о нежелательной реакции (HP) лекарственного средства или отсутствии ожидаемого терапевтического эффекта <12>, предпочтительного для направления информации о нежелательных событиях в Росздравнадзор от субъектов обращения лекарственных средств. -------------------------------- <12> http:// www. roszdravnadzor. ru/ i/ upload/ files/ 1308641445.19876-26263.doc

В извещении о нежелательной реакции лекарственного средства или отсутствии ожидаемого терапевтического эффекта необходимо указывать следующие персональные данные: 1) о лице, сообщившем о нежелательной реакции (фамилия, имя, отчество; должность и место работы; адрес учреждения; телефон); 2) о субъекте, у которого была зарегистрирована информация о нежелательной реакции (инициалы; номер амбулаторной карты или истории болезни; пол; возраст; вес; иные данные о состоянии здоровья (включая: принимаемые лекарственные средства, описание нежелательной реакции, исход события и т. д.)). Следовательно, обработка персональных данных, представленных в извещении о нежелательной реакции лекарственного средства или отсутствии ожидаемого терапевтического эффекта, направлена на предупреждение пациентов и их защиты от применения таких препаратов, также необходима для защиты жизни, здоровья субъекта персональных данных и жизни и здоровья других лиц. В указанном случае обработка персональных данных допускается без согласия субъекта персональных данных, если получение согласия субъекта персональных данных невозможно (п. 3 ч. 2 ст. 10 Федерального закона "О персональных данных"). Обработка иных персональных данных, не представленных в извещении о нежелательной реакции (HP) лекарственного средства или отсутствии ожидаемого терапевтического эффекта, не может быть признана отвечающей целям обработка и, следовательно, обработка таких персональных данных, относящихся в частности к специальным категориям персональных данных, без согласия субъекта персональных данных не допускается (ч. ч. 2, 4 и 5 ст. 5 Федерального закона "О персональных данных"). На основании проведенного анализа можно сделать вывод, что обработка персональных данных исследователей и субъекта исследования в связи с клиническими исследованиями требует получения согласия субъекта персональных данных, если персональные данные относятся к специальной категории данных или врачебной тайне. Исключением из данного правила являются отношения по обработке персональных данных и связанные с мониторингом безопасности лекарственных средств и указанные в форме извещения о нежелательной реакции (HP) лекарственного средства или отсутствии ожидаемого терапевтического эффекта в случае, если получение согласия у субъекта персональных данных невозможно.

В какой форме может быть предоставлено согласие на обработку персональных данных в случае необходимости такого согласия?

В соответствии с ч. 1 ст. 9 Федерального закона "О персональных данных" согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Не содержится специальных требований к форме согласия и в Основах законодательства Российской Федерации об охране здоровья граждан <13>. -------------------------------- <13> В п. 3 ст. 13 Федерального закона от 21 ноября 2011 года N 323-ФЗ "Об основах охраны здоровья граждан в Российской Федерации", вступающего в силу с 1 января 2012 года, законодатель впервые установил обязательность письменной формы согласия гражданина или его законного представителя для разглашения сведений, составляющих врачебную тайну. Однако форма согласия субъекта персональных данных для разглашения персональных данных, за исключением относящихся к врачебной тайне, законодательно не установлена.

Однако в официальном отзыве Правительства Российской Федерации от 7 апреля 2010 года N 1575п-П39 на проект Федерального закона N 282499-5 "О внесении изменений в Федеральный закон "О персональных данных" <14> сообщалось, что при устной форме соглашения доказать его наличие при спорных ситуациях будет невозможно или весьма затруднительно. Предложение о соглашении в виде акцепта субъектом персональных данных условий договора или путем совершения конклюдентных действий также было подвергнуто критике в заключении Правового управления Аппарата Государственной Думы Федерального Собрания Российской Федерации от 2 декабря 2009 года N 2.2-1/4451 по проекту Федерального закона N 282499-5 "О внесении изменений в Федеральный закон "О персональных данных" (первое чтение)" <15>. -------------------------------- <14> http:// asozd2.duma. gov. ru/ main. nsf/ (ViewDoc)?OpenAgent&work/ dz. nsf/ ByID&6E2AFBF3C213FD98C32577000039C8A9 <15> http:// asozd2.duma. gov. ru/ main. nsf/ (ViewDoc)?OpenAgent&work/ dz. nsf/ ByID&FD5D5089B7F6D4D1C32576810021DA00

Анализ источников периодической печати позволяет сделать вывод, что письменная форма согласия является наиболее предпочтительной. Так, ряд учреждений, оказывающих медицинские услуги, были привлечены к ответственности за обработку персональных данных без согласия субъекта, хотя персональные данные были предоставлены в учреждения самими субъектами персональных данных, обратившимися за медицинской помощью <16>. -------------------------------- <16> Емельянников М. Ю. Персональные данные в медицинских учреждениях - новые задачи и новые риски // Врач и информационные технологии. 2011. N 1. С. 59 - 64.

Следовательно, доктрина, а также процесс внесения изменений в Федеральный закон "О персональных данных" показывает, что единственно допустимой формой согласия является письменная или электронная форма согласия, оформленная надлежащим образом. В отношении специальных категорий персональных данных, включая данные, касающиеся расовой, национальной принадлежности, состояния здоровья, интимной жизни, п. 1 ч. 2 ст. 10 Федерального закона "О персональных данных" установлено, что согласие на обработку специальных категорий персональных данных должно быть дано в письменной форме.

Возникают ли какие-либо обязанности у спонсора клинического исследования в связи с обработкой персональных данных, собираемых в связи с клиническим исследованием?

Федеральный закон "О персональных данных" устанавливает обязанности только для одного субъекта отношений, связанных с обработкой персональных данных, за исключением контрольных и надзорных органов - оператора. В определении понятия "оператор" установлены признаки, которыми должен обладать субъект, чтобы считаться оператором. К таким признакам относятся (п. 1 ст. 3 Федерального закона "О персональных данных"): 1) определение целей обработка персональных данных; 2) определение состава персональных данных, подлежащих обработке; 3) определение действий (операции), совершаемых с персональными данными; 4) организация и осуществление обработки персональных данных. Однако ни в Национальном стандарте "Надлежащая клиническая практика", ни в Федеральном законе "Об обращении лекарственных средств", ни в иных нормативных актах не содержится норм, прямо устанавливающих права или обязанности спонсора, эквивалентные правам и обязанностям оператора. При этом ни в Национальном стандарте "Надлежащая клиническая практика", ни в Федеральном законе "Об обращении лекарственных средств", ни в иных нормативных актах не содержится норм, прямо устанавливающих признаки, определенные в п. 1 ст. 3 Федерального закона "О персональных данных" и на основании которых лицо может быть отнесено к оператору. Тем не менее анализ положений раздела 5 Национального стандарта "Надлежащая клиническая практика" позволяет утверждать, что именно спонсор клинического исследования является оператором. Например, в соответствии с п. 1.55 Национального стандарта "Надлежащая клиническая практика" спонсор является инициатором клинического исследования, несет ответственность за его организацию и/или финансирование. Несмотря на то, что спонсор может передать полностью или частично обязанности и функции, связанные с проведением исследования, контрактной исследовательской организации, ответственность за качество и полноту полученных в ходе исследования данных всегда лежит на спонсоре (п. 5.2.1 Национального стандарта "Надлежащая клиническая практика"). Трудно представить, что спонсор не определяет цели обработки персональных данных, но он может передать определение состава персональных данных и иные действия в контрактную исследовательскую организацию, однако и в этом случае он будет нести ответственность за переданные функции. Следовательно, спонсор клинического исследования является оператором. В связи с этим спонсор несет ответственность за обработку персональных данных в соответствии с Федеральным законом "О персональных данных" и на него, как оператора, возлагаются, в частности, следующие обязанности: 1) уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных (ч. 1 ст. 22 Федерального закона "О персональных данных"); 2) предоставлять субъекту персональных по его просьбе персональные данные субъекта персональных данных (ч. 1 ст. 18 Федерального закона "О персональных данных"); 3) принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами (ч. 1 ст. 18 Федерального закона "О персональных данных"); 4) обеспечить неограниченный доступ к документу, определяющему политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных (ч. 2 ст. 18 Федерального закона "О персональных данных"); 5) иные обязанности, предусмотренные Федеральным законом "О персональных данных". Помимо обязанностей, Федеральным законом "О персональных данных" установлены права оператора. Например, оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (ч. 3 ст. 6 Федерального закона "О персональных данных"). Лицом, которому поручается обработка персональных данных в клинических исследованиях, является, как правило, контрактная исследовательская организация. Если оператор поручает обработку данных иному лицу, то получение этим лицом согласия субъекта персональных данных на обработку персональных данных субъекта не обязательно (ч. 4 ст. 6 Федерального закона "О персональных данных"). В клиническом исследовании спонсор поручает исследователям сбор (собирание анамнеза), запись (внесение в амбулаторную карту), накопление, уточнение, передачу (заполнение ИРК), систематизацию, обезличивание персональных данных. В связи с этим спонсор должен заключить договор с исследователем на осуществление обработки персональных данных субъекта исследования. Проведенный анализ действующего законодательства Российской Федерации в области персональных данных и в области обращения лекарственных средств, иных нормативных правовых актов показал, что данные, собираемые в связи с клиническим исследованием, являются персональными данными. При этом часть собираемых в связи с клиническими исследованиями персональных данных относится к специальным категориям персональных данных, врачебной тайне. Действия, проводимые с персональными данными, собираемыми в связи с клиническим исследованием, должны расцениваться как обработка персональных данных и регулироваться Федеральным законом "О персональных данных". Обработка персональных данных, относящихся к специальным категориям персональных данных и врачебной тайне, должна проводиться только с письменного согласия субъекта исследования. Спонсор клинического исследования является оператором персональных данных, что накладывает на него дополнительные права и обязанности, которые необходимо учитывать при организации и проведении клинических исследований.

------------------------------------------------------------------

Название документа