Incumplir los deberes de promotor o investigador

Conducta

Promotor o investigador que incumple las obligaciones establecidas para cada uno de ellos en la legislación vigente, cuando el hecho no merezca la calificación de muy grave. Aquí caen los deberes de archivo, acceso y trazabilidad del artículo 43 y los de confidencialidad del artículo 41. Infracción grave.

Importe

De 30.001 a 90.000 euros

RDL 1/2015, art. 111.2.b).9.ª · art. 114.1.b)

Incumplirlos con perjuicio para los sujetos

Conducta

Promotor o investigador que incumple esas mismas obligaciones cuando el incumplimiento suponga perjuicio en los derechos, la seguridad y el bienestar de los sujetos. Infracción muy grave.

Importe

De 90.001 a 1.000.000 de euros, pudiendo rebasarse hasta el quíntuplo del valor de los productos o servicios objeto de la infracción

RDL 1/2015, art. 111.2.c).9.ª · art. 114.1.c)

Información no veraz sobre el ensayo

Conducta

Facilitar al comité de ética o a las autoridades sanitarias información o documentación relacionada con un ensayo clínico no veraz o que dé lugar a conclusiones inexactas. Es el tipo que alcanza la manipulación del dato de investigación. Infracción grave.

Importe

De 30.001 a 90.000 euros

RDL 1/2015, art. 111.2.b).11.ª · art. 114.1.b)

Incumplir los plazos de comunicación

Conducta

Promotor que incumple los plazos de comunicación a las autoridades sanitarias de las reacciones adversas graves e inesperadas ocurridas en un ensayo clínico. Infracción grave.

Importe

De 30.001 a 90.000 euros

RDL 1/2015, art. 111.2.b).10.ª · art. 114.1.b)

Comité que no cumple sus requisitos

Conducta

Integrantes del comité de ética que actúan sin ajustarse a los requisitos de funcionamiento establecidos legalmente o sin estar debidamente acreditados. Alcanza a los procedimientos normalizados de trabajo, que incluyen las garantías de confidencialidad y el archivo de la documentación. Infracción grave.

Importe

De 30.001 a 90.000 euros

RDL 1/2015, art. 111.2.b).13.ª · art. 114.1.b)

No comunicar las reacciones adversas

Conducta

No comunicar el promotor a las autoridades sanitarias las reacciones adversas ocurridas en el desarrollo del ensayo o los informes periódicos de seguridad. Infracción muy grave.

Importe

De 90.001 a 1.000.000 de euros, pudiendo rebasarse hasta el quíntuplo del valor de los productos o servicios objeto de la infracción

RDL 1/2015, art. 111.2.c).8.ª · art. 114.1.c)

El real decreto no tipifica ninguna infracción ni fija ninguna cuantía. Su artículo 54 hace una sola cosa: remitir en bloque al capítulo II del título IX del texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios para las infracciones, y a su artículo 114 para las sanciones. Esa remisión es lo que hace exigible por vía sancionadora todo lo que la ficha documenta.

No hay CSIRT y no hay autoridad de ciberseguridad: el destinatario es siempre la autoridad sanitaria y el comité de ética. Un promotor o un centro que sufra un incidente de seguridad con datos personales tendrá además la obligación del Reglamento general de protección de datos, con su propio plazo y su propia autoridad, y esta no la sustituye. Conviene tener presente que los datos del ensayo son datos de salud, y que la historia clínica del sujeto sigue su propio régimen de custodia.

Incumplimiento grave del protocolo autorizado o de este real decreto ocurrido en España, entendido como el que puede comprometer significativamente la seguridad y los derechos de los sujetos o la fiabilidad y solidez de los datos.

Plazo

Sin demoras indebidas y a más tardar siete días naturales

Desde cuándo corre

Desde la fecha en que el promotor tiene conocimiento del incumplimiento

Art. 29.1 y 29.2

Acontecimiento adverso grave, salvo que el protocolo disponga que para determinados acontecimientos no se requiere comunicación inmediata.

Plazo

Sin demoras indebidas y en un plazo de veinticuatro horas, del investigador al promotor

Desde cuándo corre

Desde que el investigador tiene conocimiento del acontecimiento

Art. 49.2

Sospecha de reacción adversa grave e inesperada mortal o que ponga en peligro la vida, incluida la que en un principio no se consideró tal.

Plazo

Lo antes posible y en cualquier caso en siete días

Desde cuándo corre

Desde que el promotor tiene conocimiento de la reacción, o de que es mortal o pone en peligro la vida

Art. 51.3, letras a) y c)

Sospecha de reacción adversa grave e inesperada no mortal y que no ponga en peligro la vida.

Plazo

A más tardar quince días

Desde cuándo corre

Desde que el promotor tiene conocimiento de la reacción

Art. 51.3.b)

Cualquier información que afecte de manera importante a la relación entre beneficio y riesgo del ensayo, distinta de las sospechas de reacción adversa graves e inesperadas.

Plazo

Sin demoras indebidas y en el plazo de quince días naturales

Desde cuándo corre

Desde que el promotor dispone de la información

Art. 50.2

Agencia Española de Medicamentos y Productos Sanitarios y comité de ética con medicamentos que evaluó el estudio

Cuándo

Siete días naturales para el incumplimiento grave; quince para la información que cambie la relación beneficio-riesgo

En España

La Agencia Española de Medicamentos y Productos Sanitarios es la autoridad competente estatal y el punto nacional de contacto. Las comunicaciones se cursan por el portal europeo y, mientras no esté disponible o como complemento, por el sistema de información de ensayos clínicos que la propia Agencia mantiene, que actúa de punto único y redirige la información a la Agencia, a los comités, a las comunidades autónomas y al registro de estudios.

Agencia Española de Medicamentos y Productos Sanitarios ↗

Art. 29.1 · art. 50.2 · art. 21

Agencia Española de Medicamentos y Productos Sanitarios, para las sospechas de reacción adversa graves e inesperadas, a través de la base de datos europea Eudravigilance

Cuándo

Siete días si es mortal o pone en peligro la vida; quince en los demás casos

Art. 51.1, 51.2 y 51.3

Órganos competentes de las comunidades autónomas, para los incumplimientos graves que afecten a centros de su territorio y para las reacciones adversas ocurridas en España

Cuándo

La Agencia les informa; las reacciones adversas están disponibles en tiempo real por el sistema de información

Art. 29.3 · art. 52

Investigadores participantes, cuando el promotor dispone de información que pueda afectar negativamente a la seguridad de los sujetos o a la realización del ensayo

Cuándo

Rápidamente, con comunicación concisa y práctica

Art. 50.3

Ensayo clínico con medicamentos

El estudio clínico que asigna de antemano al sujeto a una estrategia terapéutica concreta, o en el que la decisión de prescribir se toma junto con la de incluirlo, o en el que se aplican procedimientos de diagnóstico o seguimiento adicionales a la práctica clínica habitual. La norma se aplica a los que se realicen en España (arts. 1.1 y 2.1.i)

Ensayo de bajo nivel de intervención

Entra igual, con las mismas obligaciones de archivo y confidencialidad. Su especialidad está en otro sitio: permite revisión rápida por el comité y exime de la obligación general de contratar un seguro cuando los medicamentos se usan conforme a su autorización o según práctica clínica acreditada (arts. 2.1.j), 9 y 16.3.e)

Estudios observacionales, solo en parte

Los estudios observacionales con medicamentos se rigen por su normativa específica, con una excepción tasada: sí les alcanzan el capítulo de los comités y los artículos 18, 47 y 48, es decir, la evaluación por el comité y la inscripción y publicación en el Registro Español de Estudios Clínicos (disposición adicional segunda)

Promotores

Concentran el grueso de los deberes documentales y de seguridad del dato: sistema de garantía y control de calidad con procedimientos escritos, nombramiento de los responsables del archivo maestro y limitación de su acceso, conservación de los documentos esenciales, notificación de incumplimientos graves y de reacciones adversas, y responsabilidad sobre lo publicado en el registro (arts. 39, 43, 29, 51 y 48.2)

Investigadores y sus equipos

Conservan su parte del archivo maestro, recogen y registran los datos garantizando su veracidad, y responden de que todas las personas implicadas respeten la confidencialidad y la protección de los datos personales de los sujetos. La delegación en el equipo se documenta en la hoja de delegación de responsabilidades, y los cambios también (arts. 41.3, 41.5 y 43.2)

Monitores

Verifican en el centro que el protocolo se cumple y que los datos se registran de forma correcta y completa, y remiten al promotor informes de cada visita. No pueden formar parte del equipo investigador, lo que convierte esta figura en la verificación independiente del dato dentro del propio ensayo (art. 40)

Organizaciones en quien se delega

El promotor puede delegar la totalidad o parte de sus tareas en un particular, una organización de investigación por contrato, una institución o un organismo, que deberá disponer de un sistema de garantía y control de calidad. Las obligaciones delegadas le son de aplicación, la delegación se documenta en contrato y el promotor sigue siendo responsable del resultado (arts. 39.4 y 39.5)

Centros y su dirección

La dirección del centro autoriza al personal contratado y en esa autorización especifica si tiene o no acceso a la historia clínica y a los datos personales de los sujetos, por contrato si es personal propio o por documento independiente de acceso si lo contrata un tercero. El centro custodia además la historia clínica del sujeto (arts. 41.6 y 43.4)

Comités de ética con medicamentos

Evalúan, dictaminan y hacen seguimiento del estudio. Sus deberes de confidencialidad son propios y concretos: declaración de sus miembros, garantías escritas en los procedimientos normalizados, instalaciones que permitan trabajar en condiciones que la garanticen con espacio para manejar y archivar documentos confidenciales, extensión del deber a los expertos externos y conservación de los documentos al menos tres años (arts. 12, 14.3, 15.5, 16.3.j), 16.4 y 16.7)

Agencia y autoridades autonómicas

La Agencia autoriza, mantiene los sistemas de información y el registro de estudios, y recibe las comunicaciones. Ambas inspeccionan en su ámbito el cumplimiento de las normas de buena práctica clínica, y en esa actividad les aplican los requisitos de protección de datos personales (arts. 44, 45, 46 y 47)

Exclusiones

Real Decreto 1090/2015, de 4 de diciembre, por el que se regulan los ensayos clínicos con medicamentos, los Comités de Ética de la Investigación con medicamentos y el Registro Español de Estudios Clínicos

Identificador

BOE-A-2015-14082

Fuente

BOE · Texto consolidado del Real Decreto 1090/2015 · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

Esta norma regula quién puede hacer un ensayo clínico con medicamentos en España, cómo se autoriza, quién lo evalúa y qué se notifica cuando algo va mal. La ciberseguridad no es su objeto y no aparece nombrada ni una vez: no hay medidas de seguridad, ni cifrado, ni gestión de vulnerabilidades, ni notificación de incidentes de seguridad, ni continuidad, ni autoridad de ciberseguridad. Quien busque aquí un catálogo de controles no lo va a encontrar. Lo que sí hay, y es lo que sostiene el nivel 2 frente al 1, es un puñado de exigencias que en lenguaje de práctica son controles reconocibles, escritas además con una precisión inusual en una norma sanitaria. El artículo 43 obliga al promotor a nombrar a los responsables del archivo maestro y a limitar su acceso a las personas designadas, a conservar los documentos esenciales en soporte electrónico como regla general, completos y legibles durante veinticinco años, y a que toda modificación de los registros sea trazable permitiendo conocer el dato inicial, el corregido, la fecha y la firma del autor. Esos cuatro elementos son un registro de auditoría descrito por sus componentes, no una fórmula vaga. A ellos se suman el deber del investigador de garantizar la confidencialidad y la protección de los datos de todos los implicados, la autorización nominal del personal contratado especificando si tiene acceso a la historia clínica, y la identificación de los sujetos por código en toda comunicación de seguridad. Todo ello es verificable por inspección y su incumplimiento es infracción grave o muy grave. Lo que impide subir es que estas exigencias protegen la integridad y la confidencialidad del dato de investigación, no el sistema que lo trata: nada se dice de la infraestructura, de quién la opera ni de qué pasa cuando falla.

Valoración del curador · nivel 2 de 5

Nombrar responsables del archivo maestro y limitar su acceso Ciber

Es la obligación de control de acceso de esta norma, y cabe en una línea: el promotor nombra a las personas de su organización responsables de los archivos, y el acceso a esos archivos queda limitado a las personas designadas. Dos consecuencias prácticas conviene sacarlas del texto. La primera es que el nombramiento es nominal y de la organización del promotor, no un reparto genérico de funciones: tiene que haber personas concretas identificadas, y eso es lo que la inspección puede pedir. La segunda es que la limitación de acceso se predica del archivo entero, sin distinguir entre soporte papel y electrónico, de modo que alcanza tanto al armario donde se guardan los documentos como al sistema donde se conservan. La norma no dice cómo se implanta esa limitación ni exige mecanismo alguno de autenticación.

Literal de la norma El promotor nombrará a las personas de su organización responsables de los archivos y el acceso a los mismos deberá limitarse a las personas designadas.

Art. 43.6

Conservar en electrónico, completo y legible, con toda modificación trazable Ciber

Aquí está el contenido técnico real de la norma, y es un registro de auditoría descrito por sus componentes. Los soportes usados para conservar los documentos esenciales serán, con carácter general, electrónicos, y deben garantizar tres cosas: que los documentos permanezcan completos, que permanezcan legibles durante todo el período de conservación, y que estén a disposición de las autoridades competentes cuando los soliciten. Sobre esa base, cualquier modificación de los registros ha de ser trazable, y la trazabilidad se define por cuatro elementos que se exigen juntos: el dato inicial, el dato corregido, la fecha y la firma del autor. El período de conservación son al menos veinticinco años tras la finalización del ensayo, y puede ser mayor si otros requisitos lo imponen, como cuando el estudio sirve de base para registrar un medicamento, o si así lo acuerdan promotor, investigador y centro.

Literal de la norma Los soportes utilizados para conservar los documentos esenciales serán, con carácter general, en formato electrónico y deberán garantizar que los documentos permanecen completos y legibles durante el período previsto de conservación y que estén a disposición de las autoridades competentes en caso de que los soliciten. Cualquier modificación de los registros habrá de ser trazable, permitiendo conocer el dato inicial y el corregido, así como la fecha y la firma del autor.

Art. 43.7, párrafo primero · art. 43.2

Archivar donde se pueda garantizar la confidencialidad Ciber

Dos reglas breves cierran el artículo del archivo y ninguna es decorativa. La primera es de seguridad del entorno: la documentación se archiva, preferentemente agrupada por protocolos, en un lugar que permita garantizar la confidencialidad de la información durante todo el tiempo de archivo requerido. La agrupación por protocolos es preferente y la confidencialidad del lugar no lo es. La segunda es una retención por causa judicial: si hay procesos judiciales abiertos, los documentos esenciales se conservan mientras no haya una decisión judicial firme, lo que puede alargar la conservación más allá de los veinticinco años y bloquea cualquier política de borrado automático.

Literal de la norma Esta documentación debe archivarse, preferentemente agrupada por protocolos, en un lugar que permita garantizar la confidencialidad de la información durante el tiempo de archivo requerido.

Art. 43.7, párrafos segundo y tercero

Tener el archivo disponible para la autoridad y documentar su transferencia Ciber parcial

El archivo maestro cumple lo establecido en los artículos 57 y 58 del Reglamento (UE) 536/2014, y su contenido debe tener en cuenta las orientaciones que publique la Comisión Europea. Se conserva de forma que pueda ponerse fácilmente a disposición de las autoridades competentes si lo solicitan. Y toda transferencia de la propiedad del contenido del archivo se documenta: el nuevo propietario asume las responsabilidades del artículo, lo que impide que un cambio de titular del ensayo deje el archivo huérfano.

Art. 43.1, 43.3 y 43.5

Garantizar la confidencialidad y la protección de datos de todos los implicados Ciber

Es el deber de confidencialidad de mayor alcance subjetivo de la norma, porque no se limita a quien lo asume: el investigador garantiza que todas las personas implicadas respetarán la confidencialidad de cualquier información acerca de los sujetos del ensayo, así como la protección de sus datos de carácter personal. La palabra que hace el trabajo es garantizar: no basta con que el investigador guarde silencio, tiene que responder de que lo hagan quienes participan con él. Se apoya en la condición general del artículo 3, que no permite iniciar un ensayo si no se respetan los derechos del sujeto a su intimidad y no se protegen sus datos personales conforme a la normativa aplicable.

Literal de la norma Garantizar que todas las personas implicadas respetarán la confidencialidad de cualquier información acerca de los sujetos del ensayo, así como la protección de sus datos de carácter personal.

Art. 41.3.g) · art. 3.1.d)

Autorizar al personal contratado diciendo si accede a la historia clínica Ciber

Una autorización de acceso nominal, escrita y con el alcance declarado. El personal contratado debe ser autorizado por la dirección del centro sanitario, y esa autorización especifica si tiene o no acceso a la historia clínica y a los datos de carácter personal de los sujetos incluidos en el ensayo. El instrumento depende de quién contrate: la firma de un contrato si es personal contratado por el centro, o un documento independiente de acceso si lo contrata un tercero. Ese segundo caso es el que importa en la práctica, porque cubre justo al personal que el promotor o la organización en quien delega ponen a trabajar dentro del hospital. Quien decide no es el promotor ni el investigador, es la dirección del centro.

Literal de la norma El personal contratado debe ser autorizado por la dirección del centro sanitario, especificando si tiene o no acceso a la historia clínica y datos de carácter personal de los sujetos incluidos en el ensayo. […]

Art. 41.6

Identificar a los sujetos solo por su código en las comunicaciones Ciber

La norma impone seudonimización donde más circula el dato. En las comunicaciones de acontecimientos adversos graves del investigador al promotor, tanto en la inicial como en las de seguimiento, se identificará a los sujetos del ensayo únicamente mediante el código de identificación del sujeto en el ensayo, específico para cada uno de ellos. El adverbio no admite lectura blanda: únicamente por el código. Es una regla de minimización aplicada al flujo que sale del centro hacia el promotor y, desde ahí, hacia la base de datos europea de farmacovigilancia.

Literal de la norma En las comunicaciones iniciales y en las de seguimiento se identificará a los sujetos del ensayo únicamente mediante el código de identificación del sujeto en el ensayo, específico para cada uno de ellos.

Art. 49.2

Garantías de confidencialidad en el comité de ética Ciber

El comité maneja el expediente completo del ensayo y la norma le pone cuatro exigencias de confidencialidad que se acumulan. Sus procedimientos normalizados de trabajo deben incluir las garantías para asegurar la confidencialidad en su funcionamiento interno, junto al procedimiento para declarar una incompatibilidad sobrevenida. Sus miembros deben garantizar la confidencialidad de la información a la que tengan acceso y hacer pública una declaración de conflicto de interés. El experto externo al que el comité recabe asesoramiento respetará el principio de confidencialidad. Y la secretaría técnica debe disponer de instalaciones específicas que permitan trabajar en condiciones que garanticen la confidencialidad, con espacio apropiado para el manejo y archivo de documentos confidenciales, además de equipamiento informático con capacidad suficiente para manejar toda la información recibida y generada.

Art. 16.3.j) · art. 15.5 · art. 16.4 · art. 14.3.b)

Conservar la documentación del comité al menos tres años Ciber parcial

Los comités conservan todos los documentos esenciales relacionados con cada estudio clínico evaluado durante al menos tres años tras la finalización del estudio, o durante un período más largo si así lo establece la Agencia en colaboración con las comunidades autónomas. El contenido concreto del archivo relativo a ensayos clínicos se remite a las instrucciones que publique la Agencia. Además, los procedimientos normalizados de trabajo del comité deben cubrir expresamente el archivo y la conservación de su documentación y de la relacionada con los estudios evaluados.

Art. 16.7 · art. 16.3.i)

Sistema de garantía y control de calidad con procedimientos escritos Ciber parcial

El promotor establece y mantiene un sistema de garantías y control de calidad, con procedimientos normalizados de trabajo escritos, de forma que los ensayos se realicen y los datos se generen, documenten y comuniquen conforme al protocolo, a las normas de buena práctica clínica y a este real decreto. La norma va más allá del enunciado general y tasa las fases que esos procedimientos deben cubrir con estándares de calidad: la documentación de un acontecimiento adverso, la recogida de datos, la validación, la evaluación, el archivo, la comunicación y el seguimiento.

Literal de la norma Establecer y mantener un sistema de garantías y control de calidad, con procedimientos normalizados de trabajo escritos, de forma que los ensayos sean realizados y los datos generados, documentados y comunicados de acuerdo con el protocolo, las normas de buena práctica clínica y lo dispuesto en este real decreto. […]

Art. 39.3.a)

Delegar solo en quien tenga sistema de calidad, y por contrato documentado Ciber parcial

El promotor puede delegar la totalidad o una parte de sus tareas en un particular, una organización de investigación por contrato, una institución u organismo, que deberá disponer de un sistema de garantía y control de calidad. Las obligaciones del promotor establecidas en las normas de buena práctica clínica que se hayan delegado pasan a ser de aplicación a quien las asume. Aun así, el promotor sigue siendo el responsable de garantizar que la realización del ensayo y los datos finales generados se ajustan a lo dispuesto en este real decreto, y cualquier delegación debe quedar específicamente documentada en un contrato entre ambas partes.

Art. 39.4 y 39.5

Registrar los datos de forma correcta y garantizar su veracidad Ciber parcial

El investigador recoge, registra y notifica los datos de forma correcta, y garantiza su veracidad. El control independiente de ese deber lo ejerce el monitor, que visita al investigador antes, durante y después del ensayo para comprobar el cumplimiento del protocolo y garantizar que los datos son registrados de forma correcta y completa, y que no puede formar parte del equipo investigador.

Art. 41.3.d) · art. 40.1.a)

Comunicar los incumplimientos graves en siete días Ciber parcial

Los incumplimientos graves del protocolo autorizado o de este real decreto ocurridos en España se comunican por el promotor, sin demoras indebidas y a más tardar en siete días naturales desde que tuvo conocimiento, a la Agencia Española de Medicamentos y Productos Sanitarios y al comité de ética que evaluó el estudio. Incumplimiento grave es el que puede comprometer significativamente la seguridad y los derechos de los sujetos de ensayo o la fiabilidad y solidez de los datos obtenidos. La Agencia informa después a las comunidades autónomas de los que afecten a centros de su territorio.

Art. 29

Cursar solicitudes y comunicaciones por el canal electrónico oficial

Los promotores presentan sus solicitudes y comunicaciones y reciben las notificaciones a través del portal de la Unión previsto en el artículo 80 del Reglamento (UE) 536/2014, dirigidas a la Agencia y al comité que haya aceptado la evaluación. La Agencia es el punto nacional de contacto y mantiene, mientras el portal no esté disponible o como complemento de este, el sistema de información de ensayos clínicos, que actúa como punto único para el promotor y redirige la información a la propia Agencia, a los comités, a las comunidades autónomas y al registro de estudios.

Art. 21 · art. 46

Registrar el estudio y publicar sus resultados

La Agencia mantiene en su página web el Registro Español de Estudios Clínicos, que incluye de modo obligatorio los ensayos clínicos con medicamentos que autoriza y los estudios observacionales con medicamentos que se inicien en España. El promotor es el responsable de la calidad, la exactitud y la actualización periódica de toda la información del estudio que se incluya, y la Agencia verifica antes de publicarla que los datos son completos y adecuados. El registro se tramita después de obtener todas las autorizaciones y antes de incluir al primer sujeto; en los ensayos con medicamentos, el promotor dispone de catorce días naturales desde la notificación de la autorización para completar la información adicional. La actualización es obligatoria en los datos que la norma enumera y, en todo caso, anual hasta la conclusión del estudio y la publicación de resultados. Si el promotor incumple los plazos, la Agencia puede publicar información parcial haciendo constar expresamente sus datos y los motivos.

Art. 47 · art. 48

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 43.2 y 43.7 · art. 41.3.d) · RDL 1/2015, art. 111.2.b).11.ª · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 43.6 · art. 41.6 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Art. 41.3.g) · art. 41.6 · art. 15.5 · art. 16.4 · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

Art. 43.7, párrafo segundo · art. 14.3.b) · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 39.4 y 39.5 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 29 · art. 21 · art. 46 · categorización del curador, no de la norma

Promotor

Quien inicia, gestiona y organiza la financiación del ensayo. Es el destinatario principal de lo que esta ficha documenta: nombra a los responsables del archivo maestro y limita su acceso, responde de que los documentos esenciales se conserven completos, legibles y con toda modificación trazable, mantiene el sistema de garantía y control de calidad con procedimientos normalizados escritos, y responde de la calidad y la actualización de lo que se publica en el registro de estudios. Puede delegar tareas, pero no la responsabilidad.

Literal de la norma Individuo, empresa, institución u organización responsable de iniciar, gestionar y organizar la financiación de un ensayo clínico.

Art. 2.1.s) · art. 39 · art. 43

Investigador

Quien dirige y se responsabiliza de la realización práctica del ensayo en un centro. Conserva su parte del archivo maestro junto al promotor y carga con el deber de confidencialidad más amplio de la norma: garantizar que todas las personas implicadas respetarán la confidencialidad de cualquier información sobre los sujetos y la protección de sus datos personales. Puede delegar tareas en su equipo dejando constancia documentada de quién hace qué, sin quedar eximido.

Literal de la norma Persona encargada de la realización del ensayo clínico en un centro de ensayos clínicos.

Art. 2.1.t) · art. 41 · art. 43.2

Monitor

Profesional elegido por el promotor que hace el seguimiento directo del ensayo y sirve de vínculo entre promotor e investigador. En lo que aquí importa es el control de primera línea sobre la calidad del dato: comprueba en visitas al centro que los datos se registran de forma correcta y completa. No puede formar parte del equipo investigador, que es lo que le da valor como verificación independiente.

Literal de la norma Profesional capacitado con la necesaria formación y competencia clínica y/o científica, elegido por el promotor, que se encarga del seguimiento directo de la realización del ensayo. Sirve de vínculo entre el promotor y el investigador principal, cuando éstos no concurran en la misma persona. En ningún caso el monitor debe formar parte del equipo investigador.

Art. 2.2.i) · art. 40

Comité de Ética con medicamentos (CEIm)

Comité de Ética de la Investigación acreditado además para dictaminar estudios clínicos con medicamentos. Evalúa, dictamina y hace seguimiento del estudio hasta el informe final. Tiene deberes propios de confidencialidad que van más allá del deber genérico: sus miembros garantizan la confidencialidad de la información a la que acceden, sus procedimientos normalizados incluyen las garantías para asegurarla en el funcionamiento interno, sus instalaciones deben permitir trabajar en condiciones que la garanticen, y conserva los documentos esenciales de cada estudio al menos tres años.

Literal de la norma Comité de Ética de la Investigación que además está acreditado de acuerdo con los términos de este real decreto para emitir un dictamen en un estudio clínico con medicamentos y en una investigación clínica con productos sanitarios.

Art. 2.2.b) · arts. 12 a 16

Organización de investigación (CRO)

Particular, organización, institución u organismo en quien el promotor delega la totalidad o parte de sus tareas. La norma le pone dos condiciones que son de gestión de proveedores en estado puro: debe disponer de un sistema de garantía y control de calidad, y la delegación tiene que quedar específicamente documentada en un contrato. Las obligaciones delegadas le son de aplicación, y aun así el promotor sigue siendo el responsable último.

Art. 39.4 y 39.5 · art. 2.2.ag)

Centro donde se realiza el ensayo

El hospital, institución o consulta donde se lleva a cabo el ensayo. Su dirección es quien autoriza al personal contratado y, al hacerlo, quien decide y deja escrito si esa persona tiene o no acceso a la historia clínica y a los datos personales de los sujetos. Custodia además la historia clínica del sujeto conforme a la normativa de autonomía del paciente y al período máximo que el propio centro permita.

Art. 41.6 · art. 43.4 · art. 32

Agencia Española de Medicamentos

Autoridad competente estatal y punto nacional de contacto. Autoriza los ensayos, mantiene el sistema de información nacional y el Registro Español de Estudios Clínicos, recibe las comunicaciones de incumplimientos graves y de reacciones adversas, e inspecciona el cumplimiento de las normas de buena práctica clínica. En su actividad de inspección le aplican los requisitos de protección de datos personales.

Art. 46.1 · art. 47 · art. 44 · Real Decreto 1275/2011

Autoridad sanitaria autonómica

Órgano competente de cada comunidad autónoma. Acredita a los comités de su territorio, inspecciona en su ámbito junto con la Agencia y recibe la información sobre incumplimientos graves que afecten a centros de su comunidad y sobre reacciones adversas graves e inesperadas ocurridas en pacientes de ensayos realizados en España.

Art. 11 · art. 19 · art. 29.3 · art. 44.1 · art. 52