Klagomål: 444/2022/MIG

Ärendetitel: Europeiska läkemedelsmyndighetens vägran att ge allmänheten tillgång till delar av en klinisk studierapport om ett läkemedel för behandling av schizofreni och bipolär sjukdom

Datum: Onsdagen den 30 mars 2022

Arrangemang för distanssammanträden: Microsoft Teams

Närvarande

Europeiska läkemedelsmyndigheten

Chef för juridiska avdelningen

Chef för avdelningen för tillgång till handlingar och publikationer

Chef för tjänsten för tillgång till handlingar

Chef för tvistemålsavdelningen

Juridisk rådgivare (rättsavdelningen vid tvistemålsbyrån |)

Dataskyddsombud

EUROPEISKA OMBUDSMANNEN

Fergal O'Regan, chefsjurist

Jennifer King, juridisk expert

Michaela Gehring, handläggare

Olatz Finez Marañon, Förfrågningar Trainee

Mötets syfte

Syftet med mötet var att diskutera ärendet och få ytterligare information från EMA om varför myndigheten nekade tillgång till de redigerade uppgifter som var aktuella i klagomålet, det vill säga patient-ID-nummer och patienternas kön, inbegripet ytterligare information om den riskbedömning som EMA gjorde i detta fall och om den medicinska betydelsen av de redigerade uppgifterna.

Inledning och förfarandeinformation

Ombudsmannens undersökningsgrupp presenterade sig, tackade EMA:s företrädare för mötet med dem och redogjorde för syftet med mötet. De beskrev den rättsliga ram som gäller för möten som hålls av ombudsmannen, särskilt att ombudsmannen inte skulle lämna ut någon information som EMA identifierat som konfidentiell, varken till klaganden eller till någon annan person utanför ombudsmannens kontor, utan EMA:s förhandsgodkännande ^[1].

Undersökningsgruppen förklarade att den skulle utarbeta ett utkast till rapport om mötet som skulle skickas till EMA för att säkerställa att den var sakligt korrekt och fullständig. Mötesrapporten skulle sedan färdigställas, ingå i ärendehandlingarna och överlämnas till klaganden. Inga konfidentiella uppgifter skulle ingå i rapporten eller på annat sätt lämnas till klaganden eller någon tredje part.

Information från EMA

Om EMA:s strategi för att bedöma handlingar som allmänheten begär tillgång till

EMA:s företrädare förklarade att EMA tillämpar ett enhetligt tillvägagångssätt för att bedöma handlingar som är föremål för begäranden om allmänhetens tillgång och använder ett definierat tillvägagångssätt för att fastställa lämplig nivå av maskering av personuppgifter. De uppgav att EMA som ett första steg klassificerar en begärd handling, beroende på dess sammanhang och på vilken typ av personuppgifter den innehåller, till exempel ”data på patientnivå från kliniska prövningar”. Beroende på dokumentets klassificering bedömer EMA sedan personuppgifterna i dokumentet med hjälp av en särskild intern metod som är lämplig för denna klassificering.

I synnerhet när det gäller kliniska studierapporter utvärderar EMA riskkategorin för återidentifiering för de berörda patienterna. I detta syfte beaktar EMA olika aspekter, såsom förekomsten av det aktuella tillståndet, antalet patienter som deltog i den kliniska prövningen och den kliniska prövningens varaktighet. På grundval av en definierad metod tilldelar EMA dokumentet en riskkategori (hög, medelhög eller låg risk) som sedan avgör om tillgång kan ges till de olika typerna av personuppgifter som berörs. Detta inbegriper direkta identifierare (t.ex. patienternas namn) samt indirekta identifierare, dvs. information som kan leda till återidentifiering av patienter när den används i kombination med annan information (t.ex. patienternas ålder eller kön, oavsett om de ingick i en sårbar grupp av försökspersoner eller inte).

EMA:s företrädare förklarade också att EMA, när den fastställer den riskkategoriseringsmetod som ska användas för dess bedömning, beaktar känsligheten hos de olika typerna av personuppgifter i fråga samt nyttan av att de lämnas ut till allmänheten. EMA skulle till exempel normalt inte redigera patienternas sjukdomshistoria eller de negativa effekter som de upplevde under en klinisk prövning, utom om denna information anses vara mycket känslig. På samma sätt skulle EMA normalt informera om de berörda patienternas ålder. Om den aktuella kliniska prövningen avser exempelvis barn anser EMA emellertid att ett utlämnande skulle öka risken för återidentifiering utan att ge något mervärde för läsaren av rapporten (för vilken det räcker att veta att patienterna till exempel var ungdomar).

Om EMA:s bedömning i förevarande fall

EMA:s företrädare förklarade därefter, på grundval av den relevanta riskkategoriseringsmetoden, hur riskbedömningen genomfördes i detta fall. I enlighet med EMA:s metod klassificerades den aktuella landsspecifika rekommendationen som ”innehållande data på patientnivå från kliniska prövningar”. Det konstaterades att den kliniska prövningen avsåg en icke-sårbar patientgrupp, att antalet patienter som hade deltagit i den kliniska prövningen hade varit förhållandevis litet, att den kliniska prövningen hade genomförts under en kort period och endast i ett land och att den inte gällde en sällsynt sjukdom eller ett särläkemedel. På grundval av detta klassificerade EMA risken som ”medelhög” och använde lämplig metod för sin detaljerade riskbedömning.

Om de redigeringar som bestrids av klaganden

När det gäller patient-ID-nummer uppgav EMA:s företrädare att patient-ID-nummer är pseudonymiserade uppgifter som gör det möjligt att återidentifiera den eller de registrerade.

EMA:s företrädare förklarade också att det är företaget som genomför den kliniska prövningen som genererar patient-ID-numret och skapar en nyckelkod som möjliggör återidentifiering. 

Även om nyckelkoden är konfidentiell och tillgången till den är begränsad, bevaras den vanligtvis av det berörda företaget under en lång period, till exempel om det blir nödvändigt att kontakta en patient.

I allmänhet lämnar EMA inte ut patient-ID-nummer ^[2] (oavsett vilken riskkategori den gäller för ett dokument) eftersom dessa nummer är unika, dvs. de avser endast en specifik patient, och därmed är förknippade med en hög risk för återidentifiering.

EMA:s företrädare uppgav att all information som kan bidra till identifieringen av en fysisk person måste betraktas som personuppgifter. Att vara en patientspecifik identifierare (i motsats till information som ras eller ålder, som gäller för mer än en individ) gör patient-ID-numret det möjligt att ansluta orelaterad information från olika delar av ett dokument till samma patient. Det ökar därmed avsevärt risken för återidentifiering av en patient jämfört med mer allmänna identifierare, såsom ålder, ras etc., som kan gälla flera patienter.

EMA:s företrädare sade att EMA:s redigeringar av patient-ID-nummer i en klinisk studierapport är anpassade till Europeiska ombudsmannens tidigare beslut i samma fråga (se särskilt besluten 1602/2016/JAS och 2123/2020/VS). De hänvisade också till yttrande 4/2007 om begreppet personuppgifter från artikel 29-gruppen av den 20 juni 2007. På sidan 18 och följande sidor i denna rapport noterade arbetsgruppen att nyckelkodad information, av det slag som vanligen används i kliniska prövningar med läkemedel, är pseudonymiserade personuppgifter, inte anonymiserade uppgifter.

Dessutom omfattar patient-ID-numren i detta fall prövarnumret och patientsekvensnumret. Eftersom prövarnumret motsvarar platsnumret ansåg EMA att utlämnande av denna information skulle avslöja det geografiska läget för den plats där en patient har behandlats, vilket avsevärt skulle öka risken för att de identifieras igen.

När det gäller maskeringen av patienternas kön förklarade EMA:s företrädare att det är nödvändigt att balansera nyttan av informationen för allmänheten med risken för återidentifiering av patienter. I detta fall ansåg EMA att faktorn ”ålder” (som har avslöjats) var medicinskt mer signifikant än faktorn ”kön”, medan avslöjande av båda skulle ha ökat risken för återidentifiering av de patienter som deltog i prövningen, i kombination med sjukdomshistoria, ålder och rasursprungsuppgifter, som inte redigerades från rapporten.

Om tidens gång

EMA:s företrädare uppgav att det faktum att nästan 30 år har förflutit sedan den kliniska prövningen genomfördes inte innebär att risken för återidentifiering har minskat. De uppgav att patienternas rätt att få sina personuppgifter skyddade kvarstår och att det var rimligt att förvänta sig att ett antal patienter fortfarande levde.  EMA har därför i förevarande fall inte beaktat den tid som förflutit som en faktor som påverkar risken för återidentifiering. EMA kan inte kontrollera vilken information tredje parter kan ha (t.ex. förteckningen med studiedeltagarnas ID-nummer och namn) som kan göra det möjligt för dem att identifiera studiedeltagarna.

Om möjligheten att koda om patient-ID-nummer

När det gäller möjligheten att ersätta patient-ID-numren med en ny kod (för att göra det möjligt för läsaren av den redigerade versionen av kemikaliesäkerhetsrapporten att ”följa” specifika patienter i hela dokumentet) ansåg EMA:s företrädare att detta skulle innebära att en ny handling skapades som inte krävs enligt lag. EMA:s företrädare hävdade vidare att omkodning av patient-ID-nummer skulle medföra en alltför stor administrativ arbetsbörda och att det skulle vara tekniskt utmanande. Dessutom skulle det inte undanröja risken för återidentifiering: Läsaren av den redigerade versionen av den landsspecifika rekommendationen skulle fortfarande kunna koppla samman olika uppgifter om samma patient. De skulle således kunna få tillgång till information om specifika patienter, vilket skulle öka risken för att de kan identifieras. De erinrade också om att Europeiska ombudsmannen i sitt beslut 1602/2016/JAS beslutade att EMA:s vägran att omkoda, snarare än att redigera, patientidentifierare i de handlingar som lämnats ut till klaganden inte utgjorde ett administrativt missförhållande.

Mötets avslutande

Undersökningsgruppen tackade EMA:s företrädare för deras tid och för de förklaringar som lämnats, och mötet avslutades.

Efter mötet fick utredningsgruppen kopior av följande handlingar från EMA:^[3]

• Två metoddokument som användes för bedömningen av den omtvistade handlingen i klagandens begäran om tillgång (inklusive resultaten av bedömningen).

Bryssel den 9 juni 2022

Fergal Ó Regan Michaela Gehring

Chief Legal Expert Inquiries Officer

[1] Artikel 4.8 i Europeiska ombudsmannens genomförandebestämmelser.

[2] Undersökningsgruppen informerade EMA:s företrädare om att klaganden ifrågasatte detta. Ombudsmannen kommer att delge EMA de relevanta bevis som klaganden lämnat in och ge EMA möjlighet att lämna synpunkter.

[3] Dessa handlingar är konfidentiella och kommer inte att lämnas ut till klaganden eller någon annan person utanför ombudsmannens kansli utan EMA:s förhandsgodkännande.