ORDEN SAN/12/2022, DE 13 DE ABRIL, POR LA QUE SE MODIFICA LA ORDEN SAN/43/2016, DE 29 DE SEPTIEMBRE, POR LA QUE SE ESTABLECE EL MODELO DE CONTRATO PARA LA REALIZACIÓN DE ENSAYOS CLÍNICOS CON MEDICAMENTOS Y PRODUCTOS SANITARIOS EN EL SISTEMA SANITARIO PÚBLICO DE CANTABRIA.
El acceso a los sistemas de información clínica es esencial para el despliegue de la actividad investigadora en el entorno sanitario, actividad imprescindible por otra parte para el avance de la medicina en todas sus facetas. Este acceso es especialmente relevante en el despliegue de los ensayos clínicos con medicamentos en los que, con el adecuado consentimiento del paciente, además de recogerse información específica para el ensayo en sistemas ajenos a los de información clínica, se requiere una verificación de estos datos y en general de todo el despliegue de cada ensayo a través de un proceso denominado monitorización siempre siguiendo estándares internacionales.
El proceso de monitorización de los ensayos clínicos está previsto en la normativa vigente europea y en la nacional, en concreto en el Real Decreto 1090/2015, de 4 de diciembre 
, por el que se regulan los ensayos clínicos con medicamentos, los Comités de Ética de la Investigación con medicamentos y el Registro Español de Estudios Clínicos que define en su artículo 2 la figura del monitor como profesional capacitado con la necesaria formación y competencia clínica y/o científica, elegido por el promotor, que se encarga del seguimiento directo de la realización del ensayo. El mismo Real Decreto 1090/2015 en su artículo 40 detalla las funciones del monitor dentro del ensayo clínico.
Se reconoce una situación, por tanto, en la que un profesional no sanitario y ajeno al entorno clínico donde se desarrolla el ensayo clínico (hospital, centro de salud, etc.) accede físicamente a los centros asistenciales y a sus sistemas de información clínica con un fin no asistencial, el de investigación, con el fin de verificar el desarrollo correcto del ensayo y garantizar que los datos son registrados de forma correcta y completa. Todo ello con los necesarios permisos y la adecuada supervisión del equipo investigador.
La situación de pandemia COVID ha provocado que se tengan que desarrollar nuevos modelos de trabajo en todos los entornos, primando el trabajo a distancia y el uso de herramientas on line. Los ensayos clínicos no han sido ajenos a estos cambios, y algunas actividades como la monitorización de ensayo se han revisado para que puedan ser desplegadas en remoto, a la vista del relativo alto riesgo de la visita a los centros asistenciales por personal no sanitario durante la pandemia, encontrando soluciones alternativas viables que por otra parte son mucho más eficientes.
A la vista de la necesidad de trabajo remoto en el proceso de monitorización de los ensayos clínicos con medicamentos la agencia española de protección de datos ha emitido un informe ad hoc con resultado favorable planteando como requisitos para el acceso remoto con verificación de datos fuente por parte de los monitores de los ensayos clínicos la actualización del contrato de ensayos clínicos con cláusulas específicas, la firma de un acuerdo de confidencialidad especifico por parte del monitor y el cumplimiento de requisitos de seguridad.
Así las cosas, la presente Orden modifica la Orden SAN/43/2016, de 29 de septiembre , por la que se establece el modelo de contrato para la realización de ensayos clínicos con medicamentos y productos sanitarios en el Sistema Sanitario Público de Cantabria. Por una parte, se amplían determinadas obligaciones del promotor en materia de protección de datos. Por otro lado, para los supuestos de realización de labores de monitorización en remoto que incluyan la verificación de datos fuente en el contexto de actividades de investigación clínica, la presente Orden incorpora al modelo de contrato de ensayo clínico un compromiso de confidencialidad y un protocolo seguridad.
En virtud de lo expuesto y de conformidad con las atribuciones conferidas por el artículo 35.
f) de la Ley 5/2018, de 22 de noviembre , de Régimen Jurídico del Gobierno, de la Administración y del Sector Público Institucional de la Comunidad Autónoma de Cantabria, DISPONGO Artículo Único. Modificación de la Orden SAN/43/2016, de 29 de septiembre , por la que se establece el modelo de contrato para la realización de ensayos clínicos con medicamentos y productos sanitarios en el Sistema Sanitario Público de Cantabria.
Uno. La cláusula 2.ª. 2. del Anexo queda redactada como sigue:
"2.- El promotor se compromete a:
a) Aportar la documentación necesaria que incluye el protocolo, el certificado de la póliza de seguros y los informes de seguimiento.
b) Abonar las cantidades derivadas de la gestión y realización del ensayo en los términos previstos en la cláusula tercera.
c) Respetar la confidencialidad del ensayo.
d) Publicar los resultados del ensayo.
e) Observar las normas de régimen interno del centro y de IDIVAL, que serán facilitadas por estas entidades, así como las indicaciones que sobre el desarrollo del ensayo realice el Comité de Ética de la Investigación con medicamentos (en adelante CEIm) responsable de su seguimiento.
f) Cumplir con la normativa aplicable en materia de protección de datos personales y, en particular, con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y la Ley Orgánica 3/2018, de 5 de diciembre , de Protección de Datos Personales y garantía de los derechos digitales, así como con las previsiones del Convenio de Derechos Humanos y Biomedicina.
g) Garantizar que el monitor llevará a cabo sus funciones de conformidad con sus procedimientos normalizados de trabajo establecidos y que accederá únicamente a la información estrictamente necesaria para la realización de sus funciones en el marco del Ensayo. A estos efectos, el Promotor suscribirá con el monitor que lleve a cabo las labores de monitorización en remoto, el acuerdo de confidencialidad previsto en el Anexo I, y facilitará al Centro una copia firmada de dicho acuerdo de manera previa a que se inicien las labores de monitorización en remoto.
h) Cumplir la totalidad de las medidas cuya implementación se haya llevado a cabo por el Centro en los términos establecidos en el protocolo de seguridad que se incorpora como Anexo II. En el supuesto de que el Promotor incumpla lo establecido en dicho Anexo, será plenamente responsable de las consecuencias que puedan derivarse de dicho incumplimiento".
Dos. Se añade un apartado 6 a la cláusula 10.ª de Anexo con la siguiente redacción:
"6.- En el caso de realización de labores de monitorización en remoto que incluyan la verificación de datos fuente en el contexto de actividades de investigación clínica, se aplicará el compromiso de confidencialidad previsto en el Anexo I del presente modelo de contrato y el protocolo seguridad previsto en el Anexo II".
Tres. Se añade un Anexo I con la siguiente redacción:
"ANEXO I COMPROMISO DE CONFIDENCIALIDAD PARA LA REALIZACIÓN DE LABORES DE MONITORIZACIÓN EN REMOTO QUE INCLUYAN LA VERIFICACIÓN DE DATOS FUENTE EN EL CONTEXTO DE ACTIVIDADES DE INVESTIGACIÓN CLÍNICA De conformidad con lo previsto en la cláusula 2.ª. 2. g) el Promotor suscribirá con el monitor que lleve a cabo las labores de monitorización en remoto, un acuerdo de confidencialidad conforme al siguiente modelo:
D. / Dña. [*], con DNI. N.º [*], (en adelante, el "Monitor") en su condición de monitor, tal y como se define en la normativa de investigación clínica, del ensayo denominado [*] (en adelante, el "Ensayo") que se desarrolla en el centro [*] (en adelante, el "Centro") de conformidad con lo dispuesto en el protocolo del Ensayo, por medio del presente documento, MANIFIESTA 1. Que el Monitor realiza en nombre y por cuenta de [*] (en adelante, el "Promotor") las labores de monitorización relacionadas con el Ensayo.
2. Que ha sido informado por parte del Promotor y del Centro de la habilitación por parte de esté de un sistema de acceso remoto a la información necesaria para ejercer las labores de monitorización del Ensayo como alternativa a la monitorización presencial que podrá ser utilizado en tanto la situación sanitaria derivada de la emergencia por la pandemia del Covid-19 en España así lo requiera.
3. Que las labores de monitorización del Ensayo son esenciales para garantizar la continuidad del mismo, así como la seguridad e integridad de los pacientes que participan en dicho Ensayo.
4. Que, en virtud de lo expuesto, manifestando disponer de la capacidad legal suficiente y necesaria para obligarse, el Monitor se compromete a observar y cumplir fielmente las siguientes, OBLIGACIONES PRIMERA.- Cumplir con la normativa aplicable en materia de protección de datos personales y, en particular, con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y la Ley Orgánica 3/2018, de 5 de diciembre , de Protección de Datos Personales y garantía de los derechos digitales, así como con las previsiones del Convenio de Derechos Humanos y Biomedicina.
SEGUNDA.- Llevar a cabo sus funciones de conformidad con los procedimientos normalizados de trabajo establecidos por el Promotor accediendo únicamente a la información estrictamente necesaria para la realización de dichas funciones. En particular, el Monitor se compromete a cumplir la totalidad de las medidas establecidas en el protocolo de seguridad que se adjunta al presente documento, formando parte integrante e inseparable del mismo.
TERCERA.- Realizar las labores de monitorización del Ensayo en el horario [*] y en un lugar de trabajo que cumpla con lo establecido en el protocolo de seguridad que se ajunta al presente documento, garantizando que no se produce el acceso por parte de terceros no autorizados a la información utilizada para la realización de dichas labores.
CUARTA.- Hacer uso únicamente del dispositivo que le haya sido facilitado por el Promotor para la realización de las labores de monitorización del Ensayo. En particular, el Monitor se compromete a no utilizar equipos informáticos de uso personal, dispositivos telefónicos móviles, así como cualesquiera otros a los que pudieran tener acceso terceros distintos de aquél.
QUINTA.- Cumplir con lo establecido protocolo de seguridad que se ajunta al presente documento en relación con las redes y canales utilizados para la ejecución de las labores de monitorización. En particular, las redes y canales utilizados por el Monitor deberán cumplir con los siguientes requisitos:
a) El equipo corporativo no se debe utilizar con fines particulares evitando el acceso a redes sociales, correo electrónico personal, navegación en Internet, así como otros sitios susceptibles de contener virus o favorecer la ejecución de código dañino.
b) Para realizar las labores de monitorización del Ensayo el Monitor debe establecer una conexión segura a través de la red privada virtual (VPN, por sus siglas en inglés) habilitada por la organización que garantice la confidencialidad e integridad de la información transmitida a través de la red públicas y la autenticación extremo a extremo.
c) Únicamente, en situaciones excepcionales como cortes prolongados de servicio o incidencias técnicas prolongadas, tanto la Organización como el Promotor, podrán habilitar canales alternativos, siempre que se mantengan los mismos criterios de seguridad.
d) El dispositivo facilitado por el Promotor deberá contar con sistemas operativos soportados y adecuadamente actualizados, al igual que las aplicaciones empleadas para la ejecución de sus tareas. Asimismo, deberá disponer de soluciones eficientes en materia de seguridad tecnológica que incluyan, entre otros: cifrado de soportes de almacenamiento, firewall local, sistemas antivirus, programas anti-espi?as y malware, todos ellos adecuadamente configurados y actualizados.
e) Sólo deberán instalarse aquellas aplicaciones formalmente autorizadas por el promotor y deshabilitar todas las interfaces y servicios que no sean necesarios.
f) El dispositivo facilitado por el promotor deberá tener activado el bloqueo automático de la pantalla cuando se produzca un periodo de inactividad de [*] minutos. El Monitor deberá bloquear manualmente el acceso al mismo de manera inmediata cuando no esté utilizando dicho dispositivo. Una vez finalizados los trabajos de monitorización vinculados al Ensayo, deberá procederse al cierre de la conexión remota establecida.
g) El dispositivo facilitado por el promotor deberá tener un sistema de contraseñas de acceso de carácter personal y confidencial (contraseñas mayores de 7 caracteres que incorporen una combinación de mayúsculas, minúsculas, y caracteres especiales que deben modificarse con carácter regular) conforme a los parámetros identificados en el Anexo 2.
SEXTA.- Tratar la información a la que acceda en remoto únicamente para la realización de los servicios de monitorización en nombre y por cuenta del Promotor y de conformidad con las instrucciones impartidas por escrito por éste sin que, en ningún caso, pueda utilizarlos para otras finalidades. En particular, el Monitor no facilitará al Promotor datos personales de los participantes en el Ensayo sin que hayan sido sometidos a un proceso previo de codificación, de manera que el Promotor no pueda identificar en ningún caso al afectado cuyos datos son facilitados SÉPTIMA.- No conservar copia alguna, en ningún soporte, de cualquier material, información y/o documentación a la que tenga acceso en el marco de las labores desarrolladas. En particular, el Monitor se compromete a no realizar capturas de pantalla, fotografías, impresiones, descargas o cualquier otra acción que permita reproducir de cualquier otra forma el material, información o documentación a la que tenga acceso con ocasión de su actividad.
OCTAVA.- En el supuesto de que produzca (i) una pérdida o uso indebido (por cualquier medio) de datos personales, (ii) el tratamiento, divulgación, acceso, alteración, corrupción, transferencia, venta, alquiler, destrucción o uso involuntario, no autorizado o ilegal de datos personales o, (iii) cualquier otro acto u omisión que comprometa o pueda comprometer la seguridad, confidencialidad o integridad de los datos personales, el Monitor lo notificará al Centro sin dilación indebida y, en todo caso, dentro de las veinticuatro (24) horas siguientes a haber tenido constancia del incidente de seguridad. Si la notificación al Centro no tiene lugar en el mencionado plazo, cuando ésta se realice deberá ir acompañada de una explicación de los motivos de la dilación. Asimismo, el Monitor se compromete a colaborar con el Centro en la gestión de los incidentes de seguridad que pudieran producirse. El monitor notificará la brecha de seguridad al Promotor del ensayo excluyendo de dicha notificación los datos personales de los afectados.
NOVENA.- Llevar a cabo personalmente las labores de monitorización. En el supuesto de que fuese necesario que dichas labores se realizaran por otro monitor o co-monitor del Ensayo, el Monitor se compromete a notificar dicha circunstancia al Centro en un plazo máximo de [*].
El Nuevo monitor o el co-monitor deberán firmar un compromiso de confidencialidad en los mismos términos aquí previstos con carácter previo a la iniciación de su actividad.
DÉCIMA.- Permitir que el Centro pueda verificar en cualquier momento el cumplimiento de las obligaciones aquí previstas. En el caso de que se determine el incumplimiento por parte del Monitor de lo establecido en el presente documento, se suspenderá de manera automática el acceso a la información relativa a los participantes en el Ensayo.
Las obligaciones asumidas a través del presente documento serán efectivas y comenzarán a cumplirse en la fecha de su firma y permanecerán en vigor mientras el Monitor lleve a cabo las labores de monitorización de manera remota conforme a lo aquí dispuesto, sin perjuicio de las obligaciones en materia de confidencialidad y protección de datos personales, que subsistirán, incluso una vez finalizadas dichas labores por cualquier causa, y se mantendrán de manera indefinida.
Y en prueba de conformidad y aceptación de cuanto antecede, lo firma por duplicado y a un solo efecto en el lugar y fecha al principio indicados.
Firma ________________________________________________________________ Nombre Código ensayo Fecha".
Cuatro. Se añade un Anexo II con la siguiente redacción:
"ANEXO II PROTOCOLO DE SEGURIDAD DE LA CONEXIÓN REMOTA PARA EL ENTORNO DE MONITORIZACIÓN DE ENSAYOS CLÍNICOS Para la realización de labores de monitorización de ensayos clínicos en remoto deberán observarse los siguientes requisitos de seguridad:
1. Requerimientos de Administración de Acceso para un monitor.
a) El Monitor solicitará una cuenta de acceso a la Organización, donde resida el sistema de gestión de datos de pacientes, para la realización del ensayo clínico que cada Centro designe.
b) El Monitor firmará y remitirá a dicha Organización el "Acuerdo de confidencialidad", que incluye la prohibición de descargar, imprimir, fotografiar o capturar (por cualquier) medio la información confidencial a la que se le va a dar acceso.
c) Una vez otorgada la autorización por el responsable que administre el sistema de gestión de datos de pacientes de la Organización designado por cada Centro, se podrá realizar el acceso conforme al protocolo siguiente:
1.º El departamento de IT de la Organización creará la cuenta.
2.º Se proporcionará usuario y contraseña, al que se recomienda añadir autenticación de doble factor (2FA). Si la autenticación se realiza mediante aplicativo móvil, el dato del numero deberá estar en posesión de la organización previamente al proceso de autenticación.
3.º Los requisitos de contraseña para el sistema de gestión de datos de pacientes deberán cumplir con los estándares de complejidad de la industria: se recomienda una longitud mayor de 7 caracteres, incluyendo mayúsculas, minúsculas, números y caracteres especiales.
4.º La cuenta deberá otorgar al monitor acceso únicamente de lectura sobre la información requerida del paciente participante en ese ensayo, dentro del sistema de gestión de datos de pacientes.
5.º Se define el tiempo (fecha de comienzo/fin) que la cuenta del monitor estará activa para acceder al sistema. Este proceso se rige por una política aprobada por la Organización.
6.º El monitor se conecta en el entorno web mediante su navegador habitual.
7.º No se podrá acceder al sistema de gestión de datos de pacientes, a través de conexiones NO cifradas.
2. Arquitectura y Conexión.
a) Infraestructura/software a través del portal seguro vida servicios Citrix (en Premisa), en "Cloud" o equivalente.
b) Deberá asegurar que el monitor remoto acceda a la Organización mediante una conexión https y servicios de autenticación fuerte y por el otro lado se establecerá una conexión segura Cloud-Servicios corporativos mediante una maquina "Conector".
c) La solución deberá de poder manejar conectividad remota con Pc y otros dispositivos móviles como IPads.
3. Cifrado.
Ha de garantizarse la confidencialidad e integridad de la información tratada, tanto almacenada en los sistemas de gestión de información, como en tránsito por la red, por lo que deberá recurrirse a mecanismos de cifrado:
Información "en la línea de transmisión" mediante cifrado basado en certificados TLS 1.2 o superior.
4. Gestión de "Logs" y auditoria.
El centro ha de disponer de gestión de log y auditoria:
a) Deberá posibilitar la revisión periódica de usuarios, para asegurar que estén configuradas al nivel de privilegio adecuado y activas las cuentas que deban estarlo (eliminando el personal que haya causado baja y su cuenta siga activa). La periodicidad dependerá de cada Organización.
b) Las interacciones del usuario con el sistema de gestión de datos de pacientes se deberán registrar y almacenar en un entorno seguro durante 5 años.
c) Los registros de anotaciones deberán incluir suficiente información para rastrear la actividad de un individuo / usuario con una marca de tiempo, incluyendo accesos, modificaciones, inserciones y búsquedas realizadas.
d) El sistema de gestión de datos de pacientes deberá proporcionar una pista de auditoría completa de la navegación que realiza la cuenta del monitor, ya que no se permitirá realizar cambios en el registro de los pacientes.
e) Antes del inicio de las actividades de monitorización se deberá realizar una auditoría previa de la adecuación de los sistemas de todos los intervinientes. Esta auditoría se ha de realizar con periodicidad de al menos un mes o cuando surja algún incidente.
5. Gestión de vulnerabilidades.
El sistema de gestión de datos de pacientes deberá estar desarrollado utilizando estándares de codificación seguros y estar protegido contra ataques de aplicaciones web.
6. Requerimientos del Monitor.
a) Equipo: El equipo proporcionado por el Promotor al monitor deberá reunir medidas de seguridad y protección frente a ataques externos:
1.º El disco duro deberá estar cifrado.
2.º Deberá tener instalado, operativo y adecuadamente configurado un sistema antivirus que actualizará las firmas diariamente.
3.º Deberá tener instalado un firewall correctamente configurado de acuerdo con la política de seguridad definida por el promotor.
4.º Deberá tener instaladas las últimas actualizaciones del sistema operativo.
5.º Deberá manejar las políticas de IT del promotor/CRO.
6.º El acceso deberá estar protegido por contraseña o patrón de desbloqueo robusto.
7.º Deberá ser un equipo utilizado en exclusiva para las tareas de ensayo realizadas por cuenta de los promotores.
8.º Todos los servicios e interfaces de conexión que no sean necesarios deberán estar deshabilitados.
9.º El perfil de trabajo configurado en los equipos para los usuarios monitores carecerá de privilegios de administración.
b) Personal: Cada monitor utilizará el equipo (PC y/o IPad) que le haya facilitado el propio promotor/CRO. El monitor deberá:
1.º Evitar instalar y utilizar aplicaciones que no hayan sido formalmente aprobadas por el promotor.
2.º Revisar y eliminar periódicamente la información residual que pueda haber quedado almacenada en el dispositivo, como archivos temporales o documentos descargados.
3.º Finalizados los trabajos de ensayo sobre los sistemas de gestión de datos del paciente de la Organización, debe procederse al cierre de la sesión contra el servidor de acceso remoto.
4.º Se deberá comprobar a priori la conectividad de equipo con la URL de la Organización:
revisar si el Puerto de Acceso que proporciona la Organización pueda crear un problema en la red del promotor/CRO, y que se tenga que manejar una excepción para que la URL pase los firewalls del promotor/CRO.
5.º La solución ofrecida por la Organización no permitirá instalar ningún componente de software en el equipo del monitor proporcionado por el promotor/CRO.
6.º Se sugiere a la Organización no haga cambios sin previo aviso al promotor/CRO y mantener activos los puertos estándares para recibir llamadas desde el exterior.
c) Entorno de Trabajo:
1.º El lugar de trabajo deberá reunir unas condiciones mínimas de privacidad, como en un recinto de acceso limitado (casa), evitando que otras personas puedan tener acceso.
2.º Si fuera preciso trabajar desde espacios de acceso público, se adoptarán medidas de protección adicionales para preservar la confidencialidad de la información tratada como el uso de filtros de privacidad en las pantallas de los dispositivos.
3.º Ha de evitarse trabajar con información en soporte papel y nunca proceder a su eliminación sin el empleo de mecanismos seguros (destructora de papel).
4.º Se deberá trabajar desde redes cifradas, nunca desde redes wifigratuitas y/o libres.
5.º Ante cualquier anomalía que pueda afectar a la seguridad de la información y la protección de los datos tratados el monitor debe comunicarlo al punto de contacto establecido en la Organización".
Cinco. La "Memoria Económica" pasa a denominarse "Anexo III Memoria Económica".
Disposición final única. Entrada en vigor.
La presente Orden entrará en vigor el día siguiente al de su publicación en el "Boletín Oficial de Cantabria".
