Którą drogę do danych wybierzesz?

Projekt, oparty na art. 70 rozporządzenia w sprawie europejskiej przestrzeni danych dotyczących zdrowia (EHDS), wprowadza trzy wzory:

  • Załącznik I – wniosek o dostęp do danych dotyczących zdrowia (art. 67): służy do uzyskania dostępu do danych zanonimizowanych lub spseudonimizowanych w bezpiecznym środowisku przetwarzania. Na tym samym formularzu składa się wniosek o zmianę istniejącego zezwolenia.
  • Załącznik II – zezwolenie na dostęp do danych (art. 68): wydaje je organ ds. dostępu do danych dotyczących zdrowia. Określa ono użytkowników, dane, cel, okres obowiązywania i warunki dostępu.
  • Załącznik III – wniosek o dane dotyczące zdrowia (art. 69): zapewnia jedynie zanonimizowaną odpowiedź statystyczną, bez dostępu do danych źródłowych.

Dlaczego producent wyrobów medycznych powinien zapoznać się z formularzem dostępu do danych?

Wśród celów wymienionych we wzorach lit. e wyraźnie obejmuje trenowanie, testowanie i ocenę algorytmów, w tym w wyrobach medycznych, wyrobach medycznych do diagnostyki in vitro i systemach sztucznej inteligencji. Lit. a obejmuje działania zapewniające jakość i bezpieczeństwo wyrobów medycznych.

Dla zespołów badawczo-rozwojowych i klinicznych oznacza to regulowane źródło danych rzeczywistych (real-world data), które mogą wspierać ocenę kliniczną, ocenę działania lub walidację algorytmów. Wniosek musi szczegółowo opisywać planowane działania rozwojowe, w tym wszelkie etapy iteracyjne. Ma to znaczenie, ponieważ zezwolenie upoważnia wyłącznie do tego, co w nim określono, a jego zakres może być węższy niż zakres wniosku.

Wniosek o dostęp jest publikowany wkrótce po jego otrzymaniu. Tajemnice przedsiębiorstwa, własność intelektualną, informacje objęte ochroną danych regulacyjnych lub informacje wrażliwe ze względów bezpieczeństwa można oznaczyć w pkt 7.2, jednak to organ ds. dostępu do danych dotyczących zdrowia decyduje, które informacje zostaną utajnione.

Warunki zezwolenia są rygorystyczne:

  • Zezwolenie obowiązuje maksymalnie 10 lat i można je przedłużyć o nie więcej niż kolejne 10 lat.
  • Dane są usuwane z bezpiecznego środowiska przetwarzania w ciągu sześciu miesięcy od wygaśnięcia zezwolenia.
  • Wynik przetwarzania może opuścić to środowisko dopiero wtedy, gdy przegląd potwierdzi, że zawiera wyłącznie dane nieosobowe.
  • Użytkownik danych dotyczących zdrowia musi opublikować anonimowe wyniki w ciągu 18 miesięcy od zakończenia przetwarzania.

Producent musi zatem zaplanować strategię dotyczącą poufności przed złożeniem wniosku, a nie po otrzymaniu zezwolenia.

Co można przygotować przed 2029 r.?

  1. Sprawdź, czy zanonimizowana odpowiedź statystyczna zgodnie z załącznikiem III spełniłaby Twoje potrzeby.
  2. Jeśli potrzebujesz danych spseudonimizowanych, przygotuj uzasadnienie, dlaczego dane zanonimizowane nie wystarczą (pkt 5.2).
  3. Określ podstawę prawną zgodnie z RODO i w stosownych przypadkach udokumentuj test prawnie uzasadnionego interesu oraz ocenę skutków dla ochrony danych (DPIA).
  4. Sprawdź krajowe wymogi dotyczące oceny etycznej.
  5. Zdecyduj, które informacje o rozwoju produktu stanowią tajemnicę przedsiębiorstwa, zanim trafią do publicznego formularza.
  6. Wskaż wszystkie podmioty finansujące i partnerów, którzy mają wpływ na wykorzystanie danych (pkt 2.15).

Dokument ma nadal charakter projektu. Europejski Inspektor Ochrony Danych nie wydał jeszcze opinii, a treść może ulec zmianie. Poziom szczegółowości oczekiwany przez Komisję jest jednak już jasny, a zespoły, które wcześnie dostosują zasady zarządzania danymi, unikną pośpiechu przy pierwszym wniosku.