Działanie niepożądane produktu leczniczego – okres przechowywania danych osobowych przez podmiot odpowiedzialny

• 27.08.2018

• Autor: Agnieszka Świerczyńska

• analizy

RODO w sektorze farmaceutycznym

Zgodnie z definicją zawartą w prawie farmaceutycznym  działaniem niepożądanym badanego produktu leczniczego  jest każde niekorzystne i niezamierzone działanie tego produktu, występujące po zastosowaniu jakiejkolwiek jego dawki.

Działania niepożądane produktów leczniczych zgłasza się Prezesowi Urzędu Rejestracji Produktów Leczniczych, Wyrobów Medycznych i Produktów Biobójczych lub podmiotowi odpowiedzialnemu (tj. przedsiębiorca sektora farmaceutycznego, który uzyskał pozwolenie na dopuszczenie produktu leczniczego do obrotu).

Zgłoszeń działań niepożądanych produktów leczniczych mogą dokonać osoby wykonujące zawód medyczny oraz pacjenci, przy czym pacjenci (bądź ich opiekunowie) dokonują zgłoszenia osobie wykonującej zawód medyczny, Prezesowi Urzędu lub podmiotowi odpowiedzialnemu.

Prawidłowo wniesione zgłoszenia zawiera m.in.: dane chorego (inicjały, płeć lub inne dane identyfikujące chorego), dane osoby zgłaszającej (imię, nazwisko, sposób kontaktu – adres, telefon, faks, e-mail).  W odniesieniu do danych pacjenta przydatne do oceny są również informacje o wzroście i masie ciała, dotyczy to zwłaszcza dzieci oraz osób dorosłych o nietypowym wzroście i masie ciała. Dane osoby zgłaszającej muszą zostać podane w każdym przypadku, z uwzględnieniem imienia, nazwiska, pełnego adresu lub numeru telefonu, faksu czy też adresu elektronicznego.

Zgodnie z powyższym, w ramach zgłaszania działań niepożądanych produktów leczniczych, dochodzi do przetwarzania danych osobowych, zarówno danych dotyczących stanu zdrowia pacjentów (jeżeli możliwa jest identyfikacja pacjenta) oraz danych zwykłych osób zgłaszających działania niepożądane.

Jedną z podstawowych zasad RODO jest zasada ograniczenia czasowego przechowywania danych, zgodnie z którą dane powinny być przechowywane w formie umożliwiającej identyfikacje osoby, której dotyczą, przez okres nie dłuższy niż jest to niezbędne do osiągnięcia celów, dla których dane te są przetwarzane (retencja).

Na administratorze danych ciąży obowiązek określenia powyższego okresu oraz poinformowania o tym osoby, której dane są przetwarzane.

W zakresie zgłaszania działań niepożądanych brak jest przepisów regulujących okres przechowywania danych przez podmiot odpowiedzialny. Praktyka wskazuje, że najczęściej stosowane są dwa rozwiązania.

Zastosowanie przez analogię art. 8 ust. 8 prawa farmaceutycznego „dokumenty dołączone do wniosku, raporty oraz inne dokumenty i dane gromadzone w postępowaniu o dopuszczenie do obrotu, o przedłużenie terminu ważności pozwolenia, o zmianę danych stanowiących podstawę wydania pozwolenia lub o zmianę w dokumentacji będącej podstawą wydania pozwolenia są przechowywane w Urzędzie Rejestracji przez 10 lat po wygaśnięciu pozwolenia i przyjęcie okresu retencji wynoszącego 10 lat od chwili wygaśnięcia pozwolenia, albo odniesienie się do terminów przechowywania dokumentacji medycznej (por. art. 29 ustawy o prawach pacjenta), co polega na przyjęciu okresu retencji 30 lat od wystąpienia zdarzenia.

Do czasu jednoznacznego uregulowania powyżej kwestii, należy uznać, że okres retencji powinien być dostosowany do konkretnego przypadku, przy uwzględnieniu, że podmioty odpowiedzialne –  zgodnie z RODO – zobowiązane są do minimalizacji przetwarzanych danych np.: anonimizować dane pacjenta (gdy nie są potrzebne), oraz osoby która w imieniu pacjenta dokonała zgłoszenia  a dane lekarza zgłaszającego działanie niepożądane przetwarzać (przechowywać) do czasu wygaśnięcia pozwolenia na dopuszczenie produktu leczniczego do obrotu.

Autor

Agnieszka Świerczyńska

Ma doświadczenie w prowadzeniu szkoleń z zakresu ochrony danych osobowych, przeprowadzaniu audytów, sporządzaniu oraz weryfikacji umów. Bierze udział w procesie analizy ryzyka pod kątem naruszenia praw i wolności osób fizycznych oraz wdrażaniu RODO ze szczególnym uwzględnieniem podmiotów prowadzących działalność leczniczą.