EDPB“关于《临床试验条例》与GDPR间相互关系”意见的全文翻译（DPO沙龙出品）
众所周知，对于《通用数据保护条例》GDPR的解释和实施，欧洲数据保护委员会（European Data Protection Board，EDPB），包括其前身——第29条工作组，所发布的指导意见最为权威。经过DPO社群中热心同学的努力，第七份“EDPB及第29条工作组”的指导意见——“关于《临床试验条例》（CTR）与《通用数据保护条例》（GDPR）间相互关系的问答文件的意见3/2019”的中文全文翻译，现在推出。目前，社群还在翻译其他的指导意见，预计很快完成。在此，把译者前言贴出来。
译者前言
《通用数据保护条例》（GDPR）生效之后，其将如何适用于临床试验，存在很多困惑。例如，GDPR要求尊重、保障参与试验的个人数据主体的一系列权利，但开展临床试验的（非医疗机构）组织往往并不希望直接与个人参与者有互动，也不想确定知晓这些参与人的真实身份。如何落实个人数据主体的权利就成为棘手问题之一。此外，临床试验的个人数据处理必然涉及到“健康数据”。在GDPR中，健康数据被划归为“特殊类型的个人数据”，享有更高的保护要求。这是临床试验中个人数据保护的复杂性的又一体现。
欧盟委员会越来越意识到GDPR与《临床试验法规》（CTR，536/2014）之间的相互关系需要澄清。目前，其正在准备关于GDPR和CTR之间相互作用的问答（Q & A）。在该Q & A正式公布之前，欧盟委员会已要求欧洲数据保护委员会（EDPB）就问答提出意见和建议。2019年1月23日，EDPB公开发布了对欧盟委员会准备的Q & A的（“正式意见”）。DPO社群组织了对EDPB“正式意见”的全文翻译工作。
EDPB的“正式意见”主要着墨于数据处理的“合法性基础”（lawful processing grounds）。其观点总结起来如下：
数据处理 | 合法性基础 （GDPR 第六条） | 特殊类型个人数据处理的合法性基础 （GDPR 第九条） |
“可靠性和安全性相关目的”的数据处理 | 6.1（c） 【法定义务】 | 9.2(i) 【健康领域的公共利益】 |
“研究活动相关”的数据处理 | 在特定条件下适用6.1（a） 【同意】 | 在特定条件下适用9.2(a) 【明示同意】 |
6.1（e） 【公共利益】 | 9.2(i) 【健康领域的公共利益】 | |
9.2(j) 【科学研究】 | ||
在公共利益不可行时， 6.1（f） 【正当利益】 | 9.2(j) 【科学研究】 |
研读、翻译这份“正式意见”时，EDPB对GDPB“同意”的坚持让人印象深刻：
“CTR第五章中对知情同意的规定，特别是第28条，主要是对《赫尔辛基宣言》中涉及关于人类的研究项目的核心伦理要求作出回应。获得临床试验参与者知情同意的义务，主要是一项确保《欧盟基本权利宪章》第1条和第3条规定的个人尊严和廉洁权利得到保护的措施；它并不被认为是一种数据保护合规的工具。”
换句话说，EDPB认为CTR中的“同意”，并非GDPR中的“同意”。两者有不同的含义，分别起到不同的功能。按照CTR中相关规定取得参与试验人的“同意”，并不必然意味着满足了GDPR中“同意”的要求。
根据GDPR，同意必须是自由的、具体的、知情的和明确的。EDPB坚持认为“自由”（freely given）的同意意味着个人应该有真正的选择和控制。
如果个人数据主体与处理其个人数据的组织之间存在“明显的不平衡”，则在这样的关系中实际上并不存在“自由”的同意。EDPB在“正式意见”中认为：
“根据临床试验的情况，有可能出现资助者/研究者与参与者之间权力不平衡的情况。CTR明确指出了这些风险，并要求研究者考虑所有相关情况，特别是潜在的主体是否属于经济或社会弱势群体，或者因为特定体制或等级的关系，从而可能会不恰当地影响她或他决定是否参加临床试验。”
也就是说，当参与者处于疾病的状况，或属于经济或社会方面的弱势群体，或存在制度或等级方面的依赖情况时，这种权力的不平衡将导致个人数据主体给出的同意，不满足GDPR关于“同意”应当是“自由给出”的限定。出于这些原因，在EDPB看来，在大多数情况下，同意不能成为临床试验个人数据处理适当的法律依据。
因此在“正式意见”发布之后，有不少专家认为：EDPB对同意近乎“宗教式”的限制，可能导致商业制药组织在欧盟开展研究目的的临床试验非常困难，甚至近乎不可能。EDPB这种的方法显然旨在“最大化”对个人数据主体权利的保护，有可能最终导致相关研究无法开展，进而影响改善公众健康水平的结果。
实际上EDPB对GDPR中“同意”的解释和坚持，也可见于法国CNIL对谷歌5000万欧元的处罚，以及德国反垄断监管机构（Bundeskartellamt）对Facebook收集、合并和使用用户数据方面滥用了其市场支配地位的认定。
显然，GDPR中的“同意”与我国《网络安全法》中“经被收集者同意”，也有着截然不同的含义。这一点通过观察《个人信息安全规范》中对“授权同意”的各种设计即可有直观感受。
洪延青 孟洁
2019年3月10日
下载EDPB“关于《临床试验条例》（CTR）与《通用数据保护条例》（GDPR）间相互关系的问答文件的意见3/2019”中文全文翻译，请点击文末左下角的“阅读原文”。【提取码：ntcy】
关于DPO沙龙活动的有关情况，请见：
DPO社群成果
线下沙龙实录见：
线上沙龙见：
时评见：
DPO社群成员观点