Data Privacy

cAbstract

The privacy of any subject who participates in a clinical study must be protected for ethical and legal reasons. Clinical data management professionals must be familiar with privacy laws that exist for the regions in which clinical studies are occurring and ensure all reasonable and appropriate precautions are taken. This chapter discusses strategies and considerations that data managers must understand and follow, including the varying types of personal data in clinical studies, best practices for securing and protecting data (both paper and electronic), methods of data collection, and strategies for ensuring that personnel, both internal and external (e.g., vendors), follow applicable data privacy standards.

Introduction

Data privacy refers to the standards surrounding protection of personal data. Personal data can be defined as any information that can lead to identification, either directly or indirectly, of a research subject. Some examples of personal data are subject names, initials, addresses, and genetic information.

The ICH Guideline for Good Clinical Practice (GCP) states “The confidentiality of records that could identify subjects should be protected, respecting the privacy and confidentiality rules in accordance with applicable regulatory requirement(s).”

Privacy protection afforded to research subjects includes:

Protocol review and approval by an institutional review board (IRB)
Right to informed consent
Right of the subject to withdraw consent and have no further data collected
Right to notice of disclosure
Confidential collection and submission of data

Although the majority of data privacy responsibilities rest with site management or clinical monitoring, data management professionals should be familiar with basic data privacy issues and follow regulatory and organizational guidelines to ensure the privacy of research subjects.

Having complete anonymity may not always be practical for the design of a study, however, personal information should always be safeguarded to the greatest extent possible.

Scope

This chapter focuses on considerations needed to maintain a high degree of privacy protection (or security) for research subjects during data collection and management. Since significant regulatory guidance exists on data privacy, all applicable regulations should be considered in the creation of company policy or standard operating procedures (SOPs) to ensure full compliance with regulations governing the jurisdictions in which business is conducted. References for various regulatory documents can be found in the Further Reading section of this chapter.

Many of the tasks described in this chapter may be joint responsibilities between different groups, just as there may be many different groups involved in the implementation of various tasks. However, clinical data managers need to be conscious of whether or not these tasks have in fact been performed in a satisfactory manner.

Minimum Standards

Ensure all personnel (including vendors) who directly or indirectly handle identifiable personal data are properly trained on data privacy issues. Training sessions should cover data privacy concepts; company policy; regulatory agency policy and applicable local, state, federal, and international laws.
Design data-collection instruments with the minimum subject identifiers needed, including the design of case report forms (CRFs), clinical and laboratory databases, data transfer specifications, and any other area of data collection that may contain personal information.
Ensure personal data is not identifiable, other than subject identifiers used to link documentation to a database record, from documentation (e.g., CRFs, lab reports, images associated with the clinical study) submitted to data management.
Review and update data management processes regularly to ensure consistency with current company privacy policies and government regulations.

Best Practices

Develop and maintain an environment that respects the privacy of research subjects. Consider employee education programs that highlight the potential impact of lapses in data privacy, the benefits of applying strict criteria when handling personal information, and verification that procedures are in compliance with regulations.
Implement procedures prior to data transfer between sites, departments, subsidiaries, and countries to ensure all privacy considerations have been considered, addressed, and documented.
Promote internal and external accountability through company policies and regulations governing the use of personal information.
Implement procedures for using data for an alternate or new purpose other than what was originally intended by the informed consent. Ensure all privacy considerations have been considered, addressed, and documented.
Enforce a baseline policy of denying access to personal data. Evaluate any request for this information. If information is determined to be required for specific scientific reasons, ensure all privacy considerations have been considered, addressed, and documented.
Put stringent procedures in place to securely transfer, store, access, and report on extremely sensitive data (e.g., genetic information).

Work with those responsible for quality assurance to ensure compliance with data privacy regulations. This assurance of regulatory compliance should be a central focus of audits and a contract contingency when using external service providers.
Maintain proper physical and electronic security measures. Data should be stored in protective environments relevant to the type of media being stored. Paper CRFs should be stored in an environment with regulated access. Proper precautions should be taken to prevent external access to electronic data, such as password authentication and firewall security.

Importance of Data Privacy

Revealing a subject’s personal medical information could potentially lead to embarrassment, denial of insurance coverage, or discrimination in the workplace. For these and other reasons, most countries have passed stringent laws that mandate the protection of research subjects’ privacy.

Every organization with access to subjects’ personal data should have SOPs addressing data privacy. At a minimum these SOPs should comply with all regulations of the study locale, although many organizations put SOPs in place that are stricter than required by local regulations.

All personnel with access to personal data must be adequately educated in data privacy related SOPs. The reasons for data privacy, what constitutes personal data, and how to handle various situations that may arise in the course of the study should be explained.

The data manager’s role has a narrower focus than an investigator site in regards to data privacy. Nonetheless, the data manager needs to ensure data privacy is maintained throughout all aspects of data management.

Legislation and Regulatory Guidance

Legislation and guidance documents from the EU and US have a greater impact on clinical research than laws in other countries, because the EU and US are involved with a higher volume of clinical research. In Europe, EU Data Protection Directive 95/46/EC, which became mandatory in October 1998, covers privacy of all types of personal data including data from clinical studies.2 Directive 2001/20/EC subsequently became mandatory in May 2004

Good Clinical Data Management Practices

and expanded upon the previous directive in relation to data privacy and informed consent in clinical studies.3 One of the stipulations of these directives is that members of the EU are not allowed to transfer personal data to countries that the EU Commission has determined lack adequate subject privacy standards. Countries that are found to have adequate privacy standards are given an “adequacy determination” by the EU Commission. In regards to the US, the EU has agreed to give individual US companies an adequacy determination if they meet the privacy standards of the EU.4 As a result, many US companies have adopted the stricter privacy requirements of the EU.

The processes for US companies to acquire an adequacy determination are known as Safe Harbor Principles, and were developed by the US Department of Commerce in collaboration with the EU. Once a company receives an adequacy determination through adherence to these principles, they must recertify every 12 months. According to these principles, companies must provide the following:

Notice—Subjects must be informed of how their data will be collected and used.
Choice—Subjects must be able to opt out of collection of their data and its transfer to third parties.
Data transfers—Any transfers of data to third parties must only be to other organizations that have rigorous data-protection policies.
Security—All reasonable efforts must be made to prevent the loss of any data collected.
Data integrity—Data must be reliable and relevant to the purpose for which it was collected.
Access—Subjects must be able to access information about them that is collected, and have an opportunity to have this data corrected or deleted if necessary.
Enforcement—A mechanism must be in place to effectively and consistently enforce these rules.

It is recognized that laws dealing with medical data privacy in the US are more fragmented than those of the EU. One example of this fragmentation is the Health Insurance Portability and Accountability Act (HIPAA) Privacy Rule, which went into effect in April 2003.5 Although HIPAA covers a wide range of organizations possessing health data, research recruitment organizations, clinical research organizations and pharmaceutical companies fall outside HIPAA’s purview.4 Other US privacy laws include Section 5 of the Federal Trade Commission Act (15 United States Code § 45(a)(1)), the Gramm-Leach Bliley Act (15 United States Code, Subchapter 1, § 6801– 6809), several parts of Code of Federal Regulations Titles 21 and 45, and numerous state laws regarding data privacy. ICH Guideline for Good Clinical Practice and various FDA guidance documents give additional advice and directives for privacy issues in clinical studies, but are not legally binding documents.

What Constitutes Private or Personal Information?

According to EU Directive 95/46/EC, personal data “shall mean any information relating to an identified or identifiable natural person (‘data subject’); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity.”2

Similarly, 45 CFR Section 164.501 (HIPAA) defines individually identifiable health information as “...information that is a subset of health information, including demographic information collected from an individual and:

(1) Is created or received by a health care provider, health plan, employer, or health care clearinghouse; and

(2) Relates to the past, present, or future physical or mental health or condition of an individual; the provision of health care to an individual; or the past, present, or future payment for the provision of health care to an individual; and

(i) That identifies the individual; or

(ii) With respect to which there is a reasonable basis to believe the information can be used to identify the individual.”5

Data Privacy Focus Areas

Clinical data managers should make every effort to ensure access to data is restricted to qualified and approved personnel. In particular, the following areas should be examined to ensure appropriate data privacy is maintained.

Vendors with Access to Data

Different standards may need to be employed for vendors who only have access to vendor-specific data versus those who have access to the study database and all subject-associated data. For those vendors having access to the database, the data manager should ensure that the vendors subscribe to standards that meet or surpass internal standards. As an overall strategy, ensure your company is performing external audits of vendors that include investigations into their compliance with regulations concerning the protection of personal data.

Lab Data

Reports generated from all types of labs should not contain any subject- specific information. This information should be built into data-transfer and reporting specifications.

If source documents are to be collected (e.g., radiology, MRI, or ECG reports), the sites should be instructed that all documentation should be stripped of personal identifiers, and appropriate subject identifiers should be assigned prior to submission to data management. If that direction is not followed, data management should follow up with the appropriate internal or external clinical site management to ensure that follow-up and further direction is recommended for specific site violators.

Central Committees

Reports to and meetings with various committees may necessitate presentation of some study data. Different types of committees may require different data points and data sources, according to the committee’s function. A committee may require reports based on the database, data from the database, original source data or copies of source data. In all cases, personal subject identifiers should be removed prior to presentation of data to the committee, and in some cases, study identifiers may need to be added. The parties responsible for anonymity of the data may vary depending on the type and source of the data. Someone independent of the study may be utilized when necessary to ensure data anonymity, such as a liaison between the company and the committee.

Data transfers

Prior to any data transfer, a data transfer specification document should be produced to identify the secure method of transfer and fields to be transferred, including the data keys and structure. Before any data is transferred, the transfer process should be thoroughly tested to ensure no extraneous information is transferred that could jeopardize data privacy. Once the planned data transfer is performed, the transfer should be reviewed to ensure all transferred data matches the database.

Computer and network security

Computer and network security are typically developed and maintained by an organization’s information technology personnel. However, data managers do have a responsibility to ensure that the systems are used appropriately and responsibly. Any lapses in computer or network security may jeopardize the integrity of the database, and therefore, data privacy.

Appropriate Redaction of Personal Data

Redaction is the act of obscuring or removing text from a document before releasing the document to other personnel or departments. An example of clinical data needing to be redacted could include a situation where a comments field was completed with personal identifiers. If for example a comments field had the text “Mr. Jones showed improvements,” the data manager should obscure or remove “Mr. Jones” from this text. Organizations should have SOPs to determine when redaction of personal data is needed. This should preferably be performed by the site or monitor, but if not handled at the site, data managers should be mindful of when redaction of personal data is required as well as knowledgeable on the process.

Data Collection

To ensure proper assignment of data into a clinical database, data collection instruments should be designed with some type of research subject identifiers. The use of these identifiers should be taken into consideration not only in CRF design, but also in scenarios in which the processing, transfer, reporting, or analysis of data will be completed. These scenarios include the design of clinical databases, laboratory databases, and data transfer specifications. In general, a random subject number can be used to resolve any discrepancies that might arise from transcription errors.

Recent scientific advances in genetics have made it possible to capture the ultimate identifier, subject DNA. Utmost care should be taken to protect this data. Strict standards should be adopted, including storage in completely independent data servers and physical locations, independent resources to manage genomic data, and specific SOPs dedicated to the processing and use of this data.

Variance Between Data Collection Methods

Different data collection methodologies may necessitate different considerations to maintain privacy of data. The following are common considerations for different collection methodologies.

Paper-based studies—Follow organization SOPs for appropriate redaction of personal identifiers as well as appropriate study procedures for handling, transfer and storage of documents containing privacy data.
EDC studies—Follow organization SOPs to ensure appropriate network security, including password security and automatic user logout after a determined period of time.
ePRO—Follow organization SOPs to ensure appropriate network security, as well as training of subjects on use of devices and protection of data by use of assigned passwords and user identification or pin numbers.

International Studies and Data Privacy

International studies should adhere to the most restrictive regulations of the countries involved. However, ensuring data privacy also needs to be balanced with the need for collecting all data pertinent to the study. Some questions to ask in this regard may include:

Is the data really needed?
Does collection of needed data compromise privacy?
Is collection of the data acceptable in all countries with study sites?

Policy Definition and Training

Corporate policy definition and training should be based on relevant company policy; regulatory agency policy; and applicable local, state, federal, and international law. Policy training sessions should address the implementation and maintenance of standards and potential harm to subjects that may occur when basic principles are not followed.

Potential Future Concerns for Data Privacy

Electronic health records and their potential integration with EDC systems are expected to garner more attention in the future. Although there is currently no mandate to use electronic health records, the topic has been discussed frequently not only by those involved with health care or clinical studies, but also within political circles. If health records do become exclusively electronic, new safeguards will be needed to ensure privacy of these records.

Recommended Standard Operating Procedures

Organization Procedures for Data Privacy Protection
Vendor Management

Abstract

Sự riêng tư của bất kỳ chủ thể nào tham gia vào một nghiên cứu lâm sàng phải được bảo vệ vì lý do đạo đức và pháp lý. Các chuyên gia quản lý dữ liệu lâm sàng phải quen thuộc với các luật về quyền riêng tư đối với các khu vực đang tiến hành các nghiên cứu lâm sàng và đảm bảo tất cả các biện pháp phòng ngừa hợp lý và thích hợp. Chương này thảo luận các chiến lược và các cân nhắc mà các nhà quản lý dữ liệu phải hiểu và tuân theo, bao gồm các loại dữ liệu cá nhân khác nhau trong các nghiên cứu lâm sàng, các phương pháp hay nhất để bảo vệ và bảo vệ dữ liệu (cả giấy và điện tử), phương pháp thu thập dữ liệu và các chiến lược để đảm bảo rằng nhân viên , Cả bên trong và bên ngoài (ví dụ: nhà cung cấp), tuân theo các tiêu chuẩn về quyền riêng tư của dữ liệu.

Introduction

Bảo mật dữ liệu đề cập đến các tiêu chuẩn xung quanh bảo vệ dữ liệu cá nhân. Dữ liệu cá nhân có thể được định nghĩa là bất kỳ thông tin nào có thể dẫn đến việc nhận dạng, một cách trực tiếp hay gián tiếp, of a research subject. Một số ví dụ về dữ liệu cá nhân là tên chủ đề, tên viết tắt, địa chỉ và thông tin di truyền. (Original: Some examples of personal data are subject names, initials, addresses, and genetic information.)

The ICH Guideline for Good Clinical Practice (GCP) states "Việc giữ bí mật các hồ sơ có thể xác định các đối tượng cần được bảo vệ, tôn trọng các quy tắc riêng tư và bảo mật theo các yêu cầu quy định hiện hành."

Bảo vệ sự riêng tư đối với các chủ đề nghiên cứu bao gồm:

Protocol review and approval by an institutional review board (IRB)
Quyền thoả thuận thông báo - Right to informed consent
Right of the subject to withdraw consent and have no further data collected - Quyền của bệnh nhân thu hồi sự đồng ý và không thu thập thêm dữ liệu
Right to notice of disclosure - Quyền thông báo tiết lộ
Confidential collection and submission of data - Thu thập và gửi dữ liệu bí mật

Mặc dù phần lớn các trách nhiệm về bảo mật dữ liệu thuộc về site management or clinical monitoring, các chuyên gia quản lý dữ liệu phải quen thuộc với các vấn đề bảo mật dữ liệu cơ bản và tuân thủ các nguyên tắc và hướng dẫn tổ chức để đảm bảo sự riêng tư của các đối tượng nghiên cứu.

Việc ẩn danh hoàn toàn có thể không phải lúc nào cũng thực tế cho việc thiết kế một nghiên cứu, tuy nhiên, thông tin cá nhân nên luôn được bảo vệ ở mức độ cao nhất có thể.

Scope:

Chương này tập trung vào các cân nhắc cần thiết để duy trì mức độ bảo vệ sự riêng tư cao (hoặc an ninh) cho các đối tượng nghiên cứu trong quá trình thu thập và quản lý dữ liệu. Vì có những hướng dẫn về luật lệ về bảo mật dữ liệu, cần phải xem xét tất cả các quy định hiện hành trong việc xây dựng chính sách của công ty hoặc các quy trình vận hành chuẩn (SOPs) để đảm bảo tuân thủ đầy đủ các quy định về quản lý tài sản trong đó tiến hành kinh doanh. Tài liệu tham khảo cho các văn bản pháp quy khác nhau có thể được tìm thấy trong phần Đọc thêm của chương này.

Nhiều nhiệm vụ được mô tả trong chương này có thể là trách nhiệm chung giữa các nhóm khác nhau, cũng như có thể có nhiều nhóm khác nhau tham gia vào việc thực hiện các nhiệm vụ khác nhau. Tuy nhiên, các nhà quản lý dữ liệu lâm sàng cần phải có ý thức về việc liệu các tác vụ này có thực sự được thực hiện một cách thỏa đáng hay không.

Minimum Standards:

Đảm bảo tất cả nhân viên (bao gồm cả các nhà cung cấp) trực tiếp hoặc gián tiếp xử lý dữ liệu cá nhân có thể nhận dạng được đào tạo về các vấn đề riêng tư về dữ liệu. Các khoá đào tạo phải bao gồm các khái niệm về bảo mật dữ liệu; chính sách của công ty; Chính sách cơ quan quản lý và các điều luật hiện hành của địa phương, tiểu bang, liên bang và quốc tế.
Thiết kế các công cụ thu thập dữ liệu với số nhận dạng chủ đề tối thiểu cần thiết, bao gồm thiết kế các mẫu báo cáo trường hợp (CRFs), cơ sở dữ liệu lâm sàng và phòng thí nghiệm, đặc tả chuyển dữ liệu và bất kỳ khu vực thu thập dữ liệu nào khác có thể chứa thông tin cá nhân.
Đảm bảo dữ liệu cá nhân không thể nhận diện được, ngoại trừ mã nhận dạng chủ đề được sử dụng để liên kết tài liệu với một bản ghi cơ sở dữ liệu, từ tài liệu (ví dụ CRF, báo cáo về phòng thí nghiệm, hình ảnh liên quan đến nghiên cứu lâm sàng).
Rà soát và cập nhật quy trình quản lý dữ liệu thường xuyên để đảm bảo sự nhất quán với chính sách bảo mật hiện hành của công ty và các quy định của chính phủ.

Best Practices

Phát triển và duy trì một môi trường tôn trọng sự riêng tư của các đối tượng nghiên cứu. Xem xét các chương trình giáo dục nhân viên nêu bật tác động tiềm ẩn của sự mất mát trong bảo mật dữ liệu, lợi ích của việc áp dụng các tiêu chuẩn nghiêm ngặt khi xử lý thông tin cá nhân và xác minh rằng các thủ tục tuân thủ các quy định.
Thực hiện các thủ tục trước khi chuyển dữ liệu giữa các địa điểm, các phòng ban, các công ty con và các quốc gia để đảm bảo tất cả các cân nhắc về sự riêng tư đã được xem xét, giải quyết và ghi lại.
Tăng cường trách nhiệm giải trình bên trong và bên ngoài thông qua các chính sách của công ty và các quy định về quản lý việc sử dụng thông tin cá nhân.
Thực hiện các thủ tục sử dụng dữ liệu cho mục đích thay thế hoặc mục đích mới khác với những gì ban đầu được dự định bởi sự chấp thuận có thông báo. Đảm bảo tất cả các cân nhắc về sự riêng tư đã được xem xét, giải quyết và ghi lại.
Thực thi chính sách cơ bản từ chối truy cập vào dữ liệu cá nhân. Đánh giá mọi yêu cầu về thông tin này. Nếu thông tin được xác định là cần thiết vì lý do khoa học cụ thể, hãy đảm bảo rằng tất cả các cân nhắc về sự riêng tư đã được xem xét, giải quyết và ghi lại.
Đưa ra các thủ tục nghiêm ngặt để chuyển, lưu trữ, truy cập và báo cáo dữ liệu cực kỳ nhạy cảm (ví dụ: thông tin di truyền).
Làm việc với những người có trách nhiệm bảo đảm chất lượng để đảm bảo tuân thủ các quy định về bảo mật dữ liệu. Việc đảm bảo tuân thủ quy định này phải là trọng tâm trọng tâm của kiểm toán và sự dự phòng hợp đồng khi sử dụng các nhà cung cấp dịch vụ bên ngoài.
Duy trì các biện pháp an ninh vật lý và điện tử thích hợp. Dữ liệu nên được lưu trữ trong môi trường bảo vệ liên quan đến loại phương tiện được lưu trữ. Giấy CRFs nên được lưu trữ trong một môi trường với quyền truy cập được quy định. Cần phải thực hiện các biện pháp phòng ngừa thích hợp để ngăn chặn truy cập bên ngoài vào dữ liệu điện tử, chẳng hạn như xác thực mật khẩu và bảo mật tường lửa.

Importance of Data Privacy

Tiết lộ thông tin y khoa cá nhân của một chủ thể có thể dẫn đến sự bối rối, từ chối bảo hiểm, hoặc phân biệt đối xử tại nơi làm việc. Vì những lý do này và các lý do khác, hầu hết các quốc gia đều đã thông qua các luật nghiêm ngặt bắt buộc bảo vệ sự riêng tư của các đối tượng nghiên cứu.

Mọi tổ chức có quyền truy cập vào dữ liệu cá nhân của các cá nhân đều nên có SOP để giải quyết vấn đề bảo mật dữ liệu. Tối thiểu các quy trình tác nghiệp tuân thủ này phải tuân thủ tất cả các quy định của địa phương nghiên cứu, mặc dù nhiều tổ chức đưa các quy trình áp dụng vào thực tiễn nghiêm ngặt hơn quy định của địa phương.

Tất cả nhân viên có quyền truy cập vào dữ liệu cá nhân phải được giáo dục đầy đủ trong SOPs liên quan đến bảo mật dữ liệu. Các lý do bảo vệ dữ liệu, những gì cấu thành dữ liệu cá nhân, và cách xử lý các tình huống khác nhau có thể nảy sinh trong quá trình nghiên cứu cần được giải thích.

Vai trò của người quản lý dữ liệu có trọng tâm hẹp hơn investigator site liên quan đến bảo mật dữ liệu. Tuy nhiên, người quản lý dữ liệu cần đảm bảo tính bảo mật dữ liệu được duy trì trong tất cả các khía cạnh của quản lý dữ liệu.

Legislation and Regulatory Guidance

Các văn bản pháp luật và hướng dẫn từ EU và Hoa Kỳ có ảnh hưởng lớn hơn đến nghiên cứu lâm sàng so với luật pháp ở các nước khác vì EU và Hoa Kỳ đang tham gia vào một số lượng nghiên cứu lâm sàng cao hơn. Ở châu Âu, Chỉ thị 95/46 / EC về Bảo vệ Dữ liệu bắt đầu có hiệu lực từ tháng 10 năm 1998, bao gồm sự riêng tư của tất cả các loại dữ liệu cá nhân kể cả dữ liệu từ các nghiên cứu lâm sàng.

Chỉ thị 2001/20 / EC sau đó bắt đầu có hiệu lực vào tháng 5 năm 2004 và mở rộng theo chỉ thị trước đó liên quan đến bảo mật dữ liệu và sự đồng ý thông tin trong các nghiên cứu lâm sàng. Một trong những quy định của các chỉ thị này là các thành viên của EU không được phép chuyển dữ liệu cá nhân sang các nước mà Ủy ban Châu Âu xác định là thiếu các tiêu chuẩn về quyền riêng tư phù hợp. Các quốc gia được tìm thấy có các tiêu chuẩn về quyền riêng tư phù hợp sẽ được Ủy ban châu Âu "xác định đầy đủ". Liên quan đến Hoa Kỳ, EU đã đồng ý cho các công ty riêng lẻ của Mỹ một quyết định đầy đủ nếu họ đáp ứng các tiêu chuẩn về quyền riêng tư của EU. Kết quả là, nhiều công ty Mỹ đã thông qua các yêu cầu bảo mật chặt chẽ hơn của EU.

Các quy trình cho các công ty Hoa Kỳ để có được quyết định đầy đủ được gọi là Nguyên tắc Cảng An toàn và được Bộ Thương mại Hoa Kỳ phát triển cùng với EU. Một khi công ty nhận được một quyết định đầy đủ thông qua việc tuân thủ các nguyên tắc này, họ phải xác nhận lại 12 tháng một lần. Theo những nguyên tắc này, các công ty phải cung cấp những điều sau:

Thông báo - Subject phải được thông báo về cách dữ liệu của họ sẽ được thu thập và sử dụng.
Sự lựa chọn - Subject phải có quyền chọn không tham gia thu thập dữ liệu và chuyển giao cho bên thứ ba.
Chuyển dữ liệu - Bất kỳ chuyển dữ liệu nào cho bên thứ ba chỉ phải cho các tổ chức khác có chính sách bảo vệ dữ liệu nghiêm ngặt. (Data transfers — Any transfers of data to third parties must only be to other organizations that have rigorous data-protection policies.)
An ninh - Tất cả các nỗ lực hợp lý phải được thực hiện để ngăn ngừa sự mất mát của bất kỳ dữ liệu thu thập được. Security — All reasonable efforts must be made to prevent the loss of any data collected.
Tính toàn vẹn dữ liệu - Dữ liệu phải đáng tin cậy và phù hợp với mục đích thu thập dữ liệu. Data integrity — Data must be reliable and relevant to the purpose for which it was collected.
Truy cập - Các subject phải có khả năng truy cập thông tin về các thông tin được thu thập và có cơ hội để sửa đổi hoặc xóa dữ liệu này nếu cần. Access — Subjects must be able to access information about them that is collected, and have an opportunity to have this data corrected or deleted if necessary.
Thi hành - Một cơ chế phải được áp dụng để thực thi có hiệu quả và nhất quán các quy tắc này. Enforcement — A mechanism must be in place to effectively and consistently enforce these rules.

Người ta thừa nhận rằng các luật lệ về bảo mật dữ liệu y tế ở Hoa Kỳ có nhiều sự phân mảnh hơn các luật lệ của EU. Một ví dụ của sự manh mún này là Luật Bảo vệ Tính Riêng tư và Khả năng Chi trả của Bảo hiểm Y tế (HIPAA), có hiệu lực vào tháng 4 năm 2003. Mặc dù HIPAA bao gồm rất nhiều tổ chức có dữ liệu về sức khoẻ, các tổ chức tuyển dụng nghiên cứu, các tổ chức nghiên cứu lâm sàng và các công ty dược phẩm rơi Ngoài tầm nhìn của HIPAA. Các luật bảo mật khác của Hoa Kỳ bao gồm Phần 5 của Đạo luật Ủy ban Thương mại Liên bang (15 Bộ Luật Hoa Kỳ § 45 (a) (1)), Đạo luật Gramm-Leach Bliley (15 Bộ luật Hoa Kỳ, Tiểu mục 1, § 6801-6809) Các bộ phận của Bộ Quy tắc Liên bang số 21 và 45, và nhiều điều luật của tiểu bang liên quan đến bảo mật dữ liệu. Hướng dẫn ICH về Thực hành lâm sàng Tốt và các tài liệu hướng dẫn của FDA cung cấp thêm lời khuyên và hướng dẫn cho các vấn đề riêng tư trong các nghiên cứu lâm sàng, nhưng không phải là các tài liệu ràng buộc về mặt pháp lý.

What Constitutes Private or Personal Information?

Theo Chỉ thị 95/46 / EC của EU, dữ liệu cá nhân "có nghĩa là bất kỳ thông tin nào liên quan đến một cá nhân tự nhiên được xác định hoặc nhận dạng được ('chủ thể dữ liệu'); Người nhận dạng là người có thể được xác định, trực tiếp hoặc gián tiếp, đặc biệt bằng cách tham khảo số chứng minh nhân dân hoặc một hoặc nhiều yếu tố cụ thể cho bản sắc thể chất, sinh lý, tinh thần, kinh tế, văn hoá hoặc xã hội của mình ".

Tương tự như vậy, 45 CFR Phần 164.501 (HIPAA) xác định thông tin y tế có thể nhận dạng cá nhân là "... thông tin là tập hợp các thông tin y tế, bao gồm thông tin nhân khẩu học được thu thập từ một cá nhân và:

Được tạo ra hoặc nhận được bởi một nhà cung cấp dịch vụ chăm sóc sức khoẻ, kế hoạch y tế, người sử dụng lao động, hoặc cơ sở thanh toán bù trừ cho chăm sóc sức khoẻ;
Liên quan đến sức khoẻ thể chất hoặc tinh thần trong quá khứ, hiện tại hoặc tương lai của cá nhân; Cung cấp dịch vụ chăm sóc sức khoẻ cho cá nhân; Hoặc khoản thanh toán trong quá khứ, hiện tại hoặc tương lai để cung cấp dịch vụ chăm sóc sức khoẻ cho cá nhân;
- Điều đó xác định cá nhân; hoặc
- With respect to which there is a reasonable basis to believe the information can be used to identify the individual.”

Data Privacy Focus Areas

Các nhà quản lý dữ liệu lâm sàng nên cố gắng hết sức để đảm bảo rằng việc truy cập dữ liệu được giới hạn cho các nhân viên đủ tiêu chuẩn và được chấp thuận. Đặc biệt, cần kiểm tra các lĩnh vực sau để đảm bảo bảo mật dữ liệu phù hợp.

Vendors with Access to Data

Các tiêu chuẩn khác nhau có thể cần phải được áp dụng cho các nhà cung cấp chỉ có quyền truy cập vào dữ liệu cụ thể của nhà cung cấp so với những người có quyền truy cập cơ sở dữ liệu nghiên cứu và tất cả các dữ liệu liên quan đến chủ đề. Đối với những nhà cung cấp có quyền truy cập vào cơ sở dữ liệu, người quản lý dữ liệu phải đảm bảo rằng các nhà cung cấp tuân theo các tiêu chuẩn đáp ứng hoặc vượt qua các tiêu chuẩn nội bộ. Theo chiến lược tổng thể, hãy đảm bảo công ty của bạn đang thực hiện kiểm toán bên ngoài của các nhà cung cấp bao gồm các điều tra về việc tuân thủ các quy định liên quan đến bảo vệ dữ liệu cá nhân.

Lab Data