Impactos da nova Lei Geral de Proteção de Dados na pesquisa com seres humanos

O regulamento europeu relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (General Data Protection Regulation – EU 2016/679 – GDPR, na sigla em inglês) é uma normativa aplicável a todos os indivíduos na União Europeia. Revoga a Diretiva de Proteção de Dados Pessoais, de 24 de outubro de 1995, do Parlamento Europeu e do Conselho (95/46/CE). Com sua entrada em vigor, em 25 de maio deste ano, impõem-se responsabilidades mais robustas e obrigações mais claras às empresas que trabalham com coleta, processamento e transferência de dados pessoais, inclusive com ocorrência fora do âmbito da União Europeia (artigo 3º do GDPR).

No Brasil, o Senado Federal aprovou em 10 de julho, por unanimidade, o Projeto de Lei 53/2018, oriundo da Câmara dos Deputados (Projeto de Lei 4.060/2012), sobre a proteção de dados pessoais, com texto inspirado na legislação europeia (GDPR). Em 14 de agosto, foi sancionada pelo Poder Executivo a Lei 13.709, publicada no dia seguinte, com entrada em vigor prevista para ocorrer em 15 de fevereiro de 2020. Logo conhecida como Lei Geral de Proteção de Dados (LGPD), ela consolida normas esparsas e princípios com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

Ainda não estão claros quais serão os impactos que causará na atividade de pesquisa clínica com seres humanos. Este artigo busca refletir sobre a nova situação, sem pretender esgotar o tema.

A evolução médica é baseada na pesquisa clínica, que se fundamenta, em parte, na experimentação envolvendo seres humanos. Para um novo medicamento ser registrado e comercializado, precisa ter sido antes submetido a testes clínicos em seres humanos, para demonstrar cientificamente sua eficácia e segurança. Denomina-se “pesquisa clínica” a pesquisa que é “conduzida em seres humanos com o objetivo de descobrir ou confirmar os efeitos clínicos e/ou farmacológicos e/ou qualquer outro efeito farmacodinâmico do medicamento experimental e/ou identificar qualquer reação adversa ao medicamento experimental e/ou estudar a absorção, distribuição, metabolismo e excreção do medicamento experimental para verificar sua segurança e/ou eficácia” (RDC Anvisa 9/2015, artigo 6º, VII).

Ao contrário da GDPR, que, em dois momentos, remete expressamente à aplicação da legislação europeia especificamente relacionada a “ensaios clínicos” (Regulamento UE 536/2014, do Parlamento Europeu e do Conselho), a nova lei brasileira nada dispõe a respeito, não havendo, até o momento, lei especial que verse de forma especial sobre pesquisa clínica no Brasil, mas apenas normas infralegais[1].

Muitas das responsabilidades e obrigações definidas pela LGPD não são novas para empresas do setor de pesquisa clínica, incluindo a obrigação de obtenção do consentimento prévio para tratamento de dados pessoais e sensíveis, que deve ser, ainda, livre e esclarecido. É que o “mundo” da pesquisa clínica já “respira” pelo consentimento informado desde a publicação do Código de Nuremberg, de 1947, que consagra como primeiro princípio ético o consentimento voluntário do ser humano, declarando-o “absolutamente essencial”.

De todo modo, em sendo a coleta e tratamento de dados pessoais e sensíveis a premissa essencial da pesquisa clínica, as empresas que realizam testes para verificar e comprovar cientificamente a eficácia e segurança de potenciais novos medicamentos também precisam se organizar para garantir a conformidade com a LGPD.

A Resolução 466/2012 do Conselho Nacional de Saúde é o diploma normativo que rege a pesquisa clínica no Brasil. Entre seus preceitos éticos — com fundamento em tratados de direitos humanos, documentos com natureza de soft law internacionalmente reconhecidos e direitos fundamentais constitucionalmente consagrados — preconiza que o termo de consentimento livre e esclarecido (TCLE) deva prever a garantia de que dados que permitam a identificação do participante da pesquisa, que voluntariamente se submete à pesquisa, serão mantidos confidenciais, a fim de preservar a privacidade e não provocar danos como estigmatização e discriminação.

Quando dados coletados são transferidos pelo centro de pesquisa (investigador principal e instituição de saúde, pública ou privada), seja para o patrocinador (empresa do ramo farmacêutico financiadora da pesquisa clínica e detentora de todos os direitos sobre a molécula), seja para relatar um evento adverso ao Sistema CEP/Conep[2] ou para a Agência Nacional de Vigilância Sanitária (Anvisa), deve ser mantido o mesmo nível de anonimização (codificação) realizada pelo centro de pesquisa, para garantir a privacidade do titular.

O item IV.3.d da Resolução CNS 466/2012 orienta que o TCLE deve assegurar plena liberdade ao participante para revogar o consentimento em qualquer momento da execução da pesquisa, inclusive verbalmente[3]. A revogação do consentimento é registrada no prontuário médico do participante. Não se prevê, todavia, a possibilidade de portabilidade dos dados e de se requerer a eliminação desses dados após o término do tratamento (artigo 16 da LGPD), já que não podem ser removidos do conjunto de dados da pesquisa sem afetar seu resultado estatístico e, portanto, a própria comprovação científica da eficácia e segurança do medicamento em fase de testes.

Ao se contemplar a definição de tratamento de dados trazida pelo inciso X do artigo 5º da LGPD, no âmbito da pesquisa clínica, verifica-se que todos as partes (players) envolvidas atuam, de certa forma, como “agentes de tratamento” de dados pessoais e sensíveis do participante da pesquisa: (i) o centro de pesquisa, quando coleta, processa, anonimiza, classifica e transfere para o patrocinador dados do participante e arquiva os dados do estudo; (ii) o patrocinador, quando recebe, classifica e transfere os dados; (iii) a Organização Representativa para Pesquisa Clínica (ORPC)[4], ente intermediário, quando recebe os dados fornecidos pelo centro de pesquisa, por meio do preenchimento da case report form (CRF, na sigla em inglês), e os transmite ao patrocinador; (iv) o Comitê de Ética e Pesquisa (CEP), quando recebe relatos de eventos adversos; (v) o laboratório central, quando recebe pelo centro de pesquisa amostra biológica para processamento e avaliação; (vi) a Anvisa e a Comissão Nacional de Ética em Pesquisa (Conep), quando recebem dados, seja por meio de relatório com relatos de eventos adversos ou de relatório dos resultados do estudo.

Há uma particularidade da pesquisa clínica: todos os dados pessoais e sensíveis coletados e tratados são anonimizados necessariamente pelo centro de pesquisa e, sempre que de lá forem transmitidos, carregam o mesmo nível de anonimização. Dentre essas partes, o centro de pesquisa é, portanto, o único agente de tratamento que poderá distinguir a identidade do paciente a partir do código de anonimização, e é o único com acesso ao prontuário médico.

Outra novidade trazida pela LGPD que impacta a pesquisa clínica é a previsão, na proteção de dados, das figuras de controlador, operador, agentes de tratamento (controlador e operador) e encarregado (data privacy officer, ou DPO, na GDPR). A complexidade está em se buscar identificar a corresponde, entre as partes da pesquisa clínica, cada uma dessas figuras, sopesando, a partir desse reconhecimento, as respectivas atribuições e responsabilidades, sobretudo perante o titular dos dados, que é o participante da pesquisa.

Poder-se-ia sustentar que o controlador é, inevitavelmente, o patrocinador, face à sua responsabilidade por iniciar, administrar, controlar e financiar a pesquisa clínica, a quem competiriam todas as decisões referentes ao tratamento de dados pessoais. Ocorre que, ao investigador principal, médico responsável no centro de pesquisa pela condução da pesquisa clínica, também compete decisões referentes ao tratamento de dados pessoais, por ser o responsável pela coordenação da pesquisa e corresponsável pela integridade e bem-estar dos participantes da pesquisa. Pode, inclusive, remover o participante da pesquisa se considerar que sua permanência implica em risco à sua saúde. Cabe, ainda, ao investigador principal definir se eventual dano sofrido à saúde do participante durante a pesquisa possui relação com a medicação experimental testada. O operador, por sua vez, seria o centro de pesquisa, por realizar o tratamento de dados pessoais do participante, em nome do controlador (por meio da coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, processamento, arquivamento, armazenamento, avaliação, comunicação, transferência, extração e anonimização).

À luz da LGPD (artigo 5º, X), observa-se que também outros sujeitos igualmente atuam no tratamento de dados pessoais e sensíveis do participante da pesquisa além do centro de pesquisa, podendo ser classificados como agentes de tratamento. A particularidade está em se avaliar se podem ser considerados agentes de tratamento de dados anonimizados, hipótese sem previsão LGPD. Outra particularidade da nova lei é a previsão de indicação, pelo controlador, de encarregado, que deve atuar como elo de comunicação entre o controlador, os titulares dos dados (os participantes na pesquisa) e a futura autoridade nacional (artigo 41 da LGPD).

Por conta da anonimização dos dados do participante pelo centro de pesquisa, é impossível a indicação pelo patrocinador de encarregado para aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências. O participante de pesquisa não acessa diretamente a empresa farmacêutica, já que sua identificação por qualquer das partes que não sejam o investigador principal e a equipe designada do centro de pesquisa é uma violação de padrões éticos nacional e internacionalmente reconhecidos.

É possível afirmar que a LGPD implicará mudanças consideráveis na redação do TCLE, para garantir a validade da participação do indivíduo em pesquisa clínica. O texto já deve contar com informações detalhadas sobre o contato direto com o investigador principal, para o caso de o participante sentir mal-estar ou tiver lesão no decorrer da pesquisa. Além disso, outras informações sobre esse contato direto são normalmente inseridas, a fim de se viabilizar esclarecimentos quanto a dúvidas adicionais ou a preocupações sobre a pesquisa ou sobre os direitos do participante. A adequação à LGPD se dará no sentido de se indicar no TCLE, de forma igualmente clara e objetiva, a identidade e informações de contato do encarregado designado pelo centro de pesquisa para a efetiva interface com o participante da pesquisa em tudo o que se relacionar a seus dados pessoais e sensíveis.

Tanto as autoridades éticas (Sistema CEP/Conep) quanto o patrocinador e o centro de pesquisa clínica deverão cuidar para que o TCLE indique claramente toda a logística pretendida para os dados pessoais e sensíveis, isto é, o ciclo de vida de quaisquer desses dados durante a pesquisa e após sua conclusão. Isto é, detalhes sobre: (i) de que forma serão processados e arquivados; (ii) o propósito de coleta, tratamento, armazenamento e destino; (iii) a justificativa para a eventual impossibilidade de se requerer a eliminação dos dados; (iv) a eventual impossibilidade de se compartilhar com o titular o resultado de um exame; (vi) a identidade e as informações claras e objetivas de contato do encarregado do centro de pesquisa; (vii) a garantia do livre e fácil acesso do participante a consulta sobre o status do tratamento de seus dados no centro de pesquisa; (viii) os direitos do participante no que se refere à titularidade de seus dados (artigo 18 da LGPD).

Pode ser que a Conep passe a exigir que o investigador principal e o patrocinador apresentem uma declaração de compromisso com a LGPD no rol de documentos do pacote regulatório inicial apresentado ao Sistema CEP/Conep. Poderá, ainda, requerer que o centro de pesquisa indique a identidade e informações de contato do encarregado no próprio site (artigo 41, da LGPD), além de disponibilizar essa informação ao participante da pesquisa em cartão específico (além do cartão de segurança, já previsto para relatos de eventos adversos).

Em conclusão, muito embora o “mundo” da pesquisa clínica esteja familiarizado com a obrigação de proteção de dados pessoais e da privacidade dos participantes de pesquisa, novos direitos estão codificados na LGPD para assegurar aos titulares a garantia de que esses dados serão processados de forma adequada, transparente, necessária, responsável, segura e com proteção adequada, fixando-se novas responsabilidades e obrigações mais claras. As implicações na pesquisa clínica são significativas, e as partes deverão se adaptar para garantir a conformidade.

Até o presente momento, não houve manifestação oficial da Conep sobre como se dará a adequação da pesquisa com seres humanos à nova lei de proteção de dados. Porém, é prudente que se comece a realizar planos para a governança e adequação da gestão dos dados dos participantes de pesquisa, por meio de due diligence e auditoria sobre a aderência à LGPD.