Was beim Fernzugriff auf Studiendaten in klinischen Prüfungen zu beachten ist

Die Arbeitsgruppe der GCP-Inspektoren der EMA hat im Abschnitt "Records of Study Subject Data Related to Clinical Trials" der Q&As zur Guten Klinischen Praxis (Good Clinical Practice - GCP) eine neue Frage und Antwort Nr. 3 zum direkten Fernzugriff hinzugefügt.

Direkter Fernzugriff ist jeder Zugriff von einem Zugangspunkt (Standort und/oder Hardware), der nicht unter der Kontrolle und Aufsicht des Prüfers/der Institution steht. In der Regel beinhaltet der direkte Fernzugriff eine zusätzliche Datenverarbeitung, wie z. B. das Sammeln, Aufzeichnen, Organisieren, Strukturieren, Speichern, Anpassen oder Ändern, Abrufen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreiten oder anderweitiges Verfügbarmachen, Abgleichen oder Kombinieren, Einschränken, Löschen oder Vernichten von Daten.

Was ist zu beachten, wenn im Rahmen einer klinischen Studie ein direkter Fernzugriff auf Gesundheitsdaten erforderlich ist?

Dabei ist Folgendes zu beachten:

• Der direkte Fernzugriff muss in den Unterlagen zur Einwilligung nach Aufklärung klar erläutert werden. 
• Der Studienplan muss eine Beschreibung darüber enthalten, wie die Vorkehrungen für den Fernzugriff mit den geltenden Datenschutzbestimmungen übereinstimmen. Außerdem muss er die Maßnahmen beschreiben, die zur Gewährleistung der Vertraulichkeit der Aufzeichnungen und personenbezogener Daten der Studienteilnehmer ergriffen werden, sowie die Maßnahmen, die im Falle einer Verletzung der Datensicherheit ergriffen werden, um die möglichen nachteiligen Auswirkungen abzumildern. 
• Es wird dringend empfohlen, vor dem Fernzugriff auf vertrauliche Gesundheitsdokumente eine Datenschutz-Folgenabschätzung (Data Protection Impact Assessment - DPIA) durchzuführen, insbesondere um die mit dem Fernzugriff verbundenen Risiken zu ermitteln und zu mindern.  
• Spezifische Punkte, die zu berücksichtigen sind, werden für den Ort, an dem der Zugriff gewährt wird, für die Übermittlung der Daten und für den Ort, an dem der Zugriff erfolgt, beschrieben (z. B. sollten nur Daten, die durch das Protokoll oder aufgrund geltender Rechtsvorschriften erforderlich sind, remote dokumentiert werden).

Weitere Informationen finden Sie in den Q&As der EMA: Good Clinical Practice (GCP).