Der Euro­päi­sche Daten­schutz­aus­schuss (EDSA) hat am 23. Janu­ar 2019 eine neue Leit­li­nie zum Zusam­men­spiel zwi­schen der DSGVO und der Ver­ord­nung (EU) Nr. 536/2014 über kli­ni­sche Prü­fun­gen ver­öf­fent­licht (Opi­ni­on 3/2019 con­cer­ning the Questi­ons and Ans­wers on the inter­play bet­ween the Cli­ni­cal Tri­als Regu­la­ti­on and the Gene­ral Data Pro­tec­tion Regu­la­ti­on). Die Leit­li­nie geht auf eine Bera­tungs­an­fra­ge der Gene­ral­di­rek­ti­on Gesund­heit und Lebens­mit­tel­si­cher­heit der Kom­mis­si­on (GD SANTE) vom 8. Okto­ber 2018 in Form eines Fra­gen­ka­ta­logs zurück, zu dem der EDSA Stel­lung neh­men soll­te.

Vor­aus­zu­schicken ist, dass die Ver­ord­nung über kli­ni­sche Prü­fun­gen zwar in Kraft ist, aber erst gilt, wenn die vor­ge­se­he­ne IT-Infra­­struk­tur, nament­lich das gemein­sa­me EU-Por­­tal und die EU-Daten­bank gemäss Art. 80 und 81, funk­ti­ons­fä­hig sind. Dies wird vor­aus­sicht­lich im Lau­fe des Jah­res 2020 der Fall sein. Die Stel­lung­nah­me des EDSA­ kommt den­noch nicht ver­früht, denn sie dient auch der Klä­rung des Ver­hält­nis­ses zwi­schen der DSGVO und kli­ni­schen Stu­di­en, die unter dem Regime der aktu­ell gül­ti­gen Richt­li­nie 2001/20/EG zu kli­ni­schen Prü­fun­gen durch­ge­führt wer­den.

Der EDSA hält fest, dass die DSGVO und die Ver­ord­nung über kli­ni­sche Prü­fun­gen in kei­nem hier­ar­chi­schen Ver­hält­nis zuein­an­der ste­hen, son­dern par­al­lel Anwen­dung fin­den und unter­schied­li­chen Zwecken­ die­nen. Ins­be­son­de­re ver­folgt die „Ein­wil­li­gung nach Auf­klä­rung“ (infor­med con­sent) gemäss Art. 29 der Ver­ord­nung über kli­ni­sche Prü­fun­gen eine ande­re Stoss­rich­tung als die Ein­wil­li­gung als denk­ba­re Berech­ti­gungs­grund­la­ge für die mit dem kli­ni­schen Ver­such ein­her­ge­hen­den Daten­ver­ar­bei­tun­gen: Erste­re dient der Ein­hal­tung ethi­scher Prin­zi­pi­en und hat aus daten­schutz­recht­li­cher Optik kei­ne Bedeu­tung. Dies gilt für die Ein­wil­li­gun­gen sowohl in die pri­mä­re Ver­ar­bei­tung im Rah­men des Prüf­plans wie auch in die Wei­ter­ver­wen­dung der Daten für wei­te­re wis­sen­schaft­li­che For­schun­gen.

Damit die Ein­wil­li­gung des Pati­en­ten in die Ver­ar­bei­tung sei­ner gesund­heits­be­zo­ge­nen Anga­ben daten­schutz­recht­lich wirk­sam ist, müs­sen somit sämt­li­che Anfor­de­run­gen an die aus­drück­li­che Ein­wil­li­gung gemäss Art. 9 Abs. 2 lit. a DSGVO erfüllt sein, wobei hier­zu die Kri­te­ri­en des ein­schlä­gi­gen Arbeits­pa­piers der Arti­kel-29-Daten­­schut­z­­grup­­pe (Gui­de­li­nes on con­sent) zu beher­zi­gen sind. Beson­de­res Augen­merk ist dabei auf das Kri­te­ri­um der Frei­wil­lig­keit zu legen. Im Kon­text von kli­ni­schen Stu­di­en besteht häu­fig ein Kräf­te- und Infor­ma­ti­ons­ge­fäl­le zwi­schen dem Prü­fer und der betrof­fe­nen Per­son, wes­halb aus Sicht des EDSA nur sel­ten von einer wirk­sa­men Ein­wil­li­gung aus­ge­gan­gen wer­den kann. Dies führt das Gre­mi­um zu fol­gen­dem Schluss:

Con­se­quent­ly, the EDPB con­si­ders that data con­trol­lers should con­duct a par­ti­cu­lar­ly tho­rough assess­ment of the cir­cum­stan­ces of the cli­ni­cal tri­al befo­re rely­ing on indi­vi­du­als’ con­sent as a legal basis for the pro­ces­sing of per­so­nal data for the pur­po­ses of the rese­arch activi­ties of that tri­al.

Alter­na­ti­ve Berech­ti­gungs­grund­la­gen für die Ver­ar­bei­tung von Per­so­nen­da­ten im Kon­text von kli­ni­schen Stu­di­en sind in der DSGVO rasch gefun­den:

  • Für die pri­mä­ren Ver­ar­bei­tungs­zwecke kann auf Art. 9 Abs. 1 lit. i (Ver­ar­bei­tung aus Grün­den des öffent­li­chen Inter­es­ses im Bereich der öffent­li­chen Gesund­heit) und auf Art. 9 Abs. 1 lit. j in Ver­bin­dung mit Art. 89 Abs. 1 DSGVO (Ver­ar­bei­tung für For­schungs­zwecke unter Berück­sich­ti­gung geeig­ne­ter tech­ni­scher und orga­ni­sa­to­ri­scher Mass­nah­men) abge­stellt wer­den.
  • Bei der Wei­ter­ver­wen­dung der im Rah­men des Prüf­plans erho­be­nen Daten für son­sti­ge For­schungs­zwecke (secon­da­ry use) darf gemäss Art. 5 Abs. 1 lit. b DSGVO grund­sätz­lich vom Grund­satz der Zweck­bin­dung abge­wi­chen wer­den (presump­ti­on of com­pa­ti­bi­li­ty), so dass für die Wei­ter­ver­ar­bei­tung kei­ne neue Berech­ti­gungs­grund­la­ge erfor­der­lich ist.

Bezüg­lich der erleich­ter­ten Wei­ter­ver­wen­dung scheint das EDSA aller­dings über sei­nen eige­nen und den Mut des EU-Ver­­or­d­­nungs­­­ge­­bers erschrocken zu sein und will sich noch nicht defi­ni­tiv fest­le­gen:

The­se con­di­ti­ons, due to their hori­zon­tal and com­plex natu­re, will requi­re spe­ci­fic atten­ti­on and gui­d­ance from the EDPB in the future. For the time being, the presump­ti­on of com­pa­ti­bi­li­ty, sub­ject to the con­di­ti­ons set forth in Arti­cle 89, should not be exclu­ded, in all cir­cum­stan­ces, for the secon­da­ry use of cli­ni­cal tri­al data out­si­de the cli­ni­cal tri­al pro­to­col for other sci­en­ti­fic pur­po­ses.

Die Leit­li­nie des EDSA führt zu zwei wesent­li­chen Erkennt­nis­sen:

  1. Die Ein­wil­li­gung ist kei­ne ver­läss­li­che Berech­ti­gungs­grund­la­ge. Sie ist „last resort“ und soll­te erst erwo­gen wer­den, wenn kei­ne ande­re Berech­ti­gungs­grund­la­ge zur Hand ist. Etwas über­ra­schend gilt dies für den EDSA selbst im Rah­men von kli­ni­schen Stu­di­en (vgl. bspw. die gegen­tei­li­ge Auf­fas­sung in der „Hand­rei­chung“ des Arbeits­krei­ses medi­zi­ni­scher Ethik­kom­mis­sio­nen in der Bun­des­re­pu­blik Deutsch­land e.V.). Dem Pati­en­ten wird also zuge­traut, das Wesen, die Zie­le, der Nut­zen, die Fol­gen, die Risi­ken und die Nach­tei­le einer kli­ni­schen Stu­die zu erfas­sen und in Kennt­nis die­ser Umstän­de sei­ne Ein­wil­li­gung in einen inve­sti­ga­ti­ven medi­zi­ni­schen Ein­griff zu ertei­len, nicht aber, aus frei­en Stücken den damit ein­her­ge­hen­den Daten­ver­ar­bei­tun­gen zuzu­stim­men. Dies zeigt ein­mal mehr, dass sich der Daten­schutz zu wich­tig nimmt. Die Pati­en­ten­ein­wil­li­gung wäre für Spon­so­ren und Prü­fer nicht nur eine ver­läss­li­che­re Grund­la­ge als eine vage Inter­es­sen­ab­wä­gung, das allei­ni­ge Abstel­len auf öffent­li­che Gesun­d­heits- und For­schungs­in­ter­es­sen zur Recht­fer­ti­gung für die Ver­ar­bei­tung von aus medi­zi­ni­schen Ein­grif­fen gewon­ne­nen Daten weckt auch ungu­te Gefüh­le: Dem Indi­vi­du­um wird die Fähig­keit zur Selbst­be­stim­mung aberkannt, an deren Stel­le tritt der Staat mit sei­ner eige­nen Wert­ord­nung. Kei­ne Ant­wort lie­fert der EDSA zudem auf die bren­nen­de Fra­ge, ob bei einer unwirk­sa­men Ein­wil­li­gung die Beru­fung auf alter­na­ti­ve Berech­ti­gungs­grund­la­gen offen bleibt. Eine Klä­rung wäre ins­be­son­de­re im Hin­blick auf die unsi­che­re Fort­gel­tung alt­recht­li­cher Ein­wil­li­gun­gen wün­schens­wert.
  2. So streng die Anfor­de­run­gen der DSGVO an die Wirk­sam­keit der Ein­wil­li­gung daher­kom­men, so libe­ral und zahl­reich neh­men sich die Aus­nah­men zugun­sten der For­schung aus, z.B. bei der Zweck­bin­dung, der Daten­spar­sam­keit, der Infor­ma­ti­ons­pflicht und dem Löschungs­recht (vgl. Art. 5 Abs. 1 lit. b und e, Art. 14 Abs. 5 lit. b und Art. 17 Abs. 3 lit. d DSGVO). Die Kon­tu­ren müs­sen aber erst noch gefun­den wer­den, und es ist zu hof­fen, dass Auf­sichts­be­hör­den und Ethik­kom­mis­sio­nen eine Balan­ce fin­den, die prak­ti­ka­bel und frei von Wer­tungs­wi­der­sprü­chen ist. Es wäre mög­li­cher­wei­se ziel­füh­ren­der, die Gemein­sam­kei­ten anstatt Unter­schie­de zwi­schen Daten­­schutz- und Human­for­schungs­re­gu­lie­rung zu erken­nen.

Posted by Michael Isler