Compartir datos de ensayos clínicos: guía de cumplimiento

Compartir datos de ensayos clínicos significa mover registros de pacientes a nivel individual, resultados de laboratorio, notificaciones de eventos adversos y formularios de reporte de casos entre promotores, CROs, centros y reguladores, cumpliendo simultáneamente con el RGPD artículo 9, ICH E6(R3) BPC, Reglamento UE 536/2014 sobre ensayos clínicos y 21 CFR Part 11. Los archivos implicados —exportaciones CSV seudonimizadas de CRD, datasets SDTM/ADaM en .xpt, formularios de consentimiento escaneados en .pdf e imagen DICOM— necesitan cifrado de extremo a extremo, registros de auditoría verificables y controles de retención que sobrevivan una inspección regulatoria años después de que el ensayo cierre.

Por qué los datos del ensayo son más exigentes que los datos clínicos ordinarios

Un dataset de ensayo no es solo información sanitaria protegida. Es un producto regulado que la EMA, la AEMPS o la FDA pueden auditar una década después. Un estudio de Fase III en oncología puede producir 800 GB de documentos fuente, 120 GB de imagen médica por centro y una base de datos bloqueada que debe conciliarse contra cada registro de transferencia.

Perder el historial de transferencia de un único archivo de evento adverso puede derivar en una observación GCP de la EMA o un hallazgo de integridad de datos bajo el Reflection Paper europeo sobre datos electrónicos de fuente. Por eso el límite de adjuntos de correo corporativo o el enlace público de almacenamiento en la nube no son suficientes. Se necesita prueba criptográfica de que el archivo A salió del centro, llegó íntegro al promotor y no fue alterado en tránsito.

Mapear los datos al marco regulatorio correcto

Antes de elegir el método de transferencia, clasifique lo que está moviendo:

• Documentos fuente (CRD, consentimiento, informes de SAEs): bajo 21 CFR Part 11 para registros electrónicos; Part 11.10(e) exige registros de auditoría seguros, generados por ordenador y con marca temporal
• Datasets de pacientes seudonimizados: datos seudonimizados bajo el artículo 4(5) RGPD —siguen siendo datos personales, siguen requiriendo base jurídica bajo el artículo 6 y salvaguardas bajo el artículo 32
• Datos de publicación anonimizados depositados en repositorios como ClinicalStudyDataRequest.com o Vivli deben cumplir la guía ICH E3
• Datos de la UE que salen del EEE: activa las normas de transferencia del Capítulo V RGPD; las Cláusulas Contractuales Tipo (CCT) bajo la Decisión de la Comisión de 2021 son el mecanismo por defecto
• Datos con involucración de centros españoles: la AEMPS puede auditar los registros de transferencia como parte de una inspección GCP

Mapee cada tipo de archivo a su regulación de control antes de abrir la herramienta de transferencia.

Cifrado que supera el escrutinio regulatorio

Los reguladores ya no aceptan "usamos SSL". Quieren especificaciones concretas. Las guías de la EMA sobre datos electrónicos de fuente y el NIST SP 800-52 Rev. 2 para datos en tránsito establecen el suelo práctico:

• TLS 1.3 para el canal de transferencia (TLS 1.2 con cifrados AEAD es aceptable; SSLv3 y TLS 1.0/1.1 no lo son)
• AES-256-GCM para cifrado de archivos en reposo con cifrado autenticado
• PBKDF2-SHA256 con 600.000+ iteraciones o Argon2id para claves derivadas de contraseña
• Cifrado en el lado del cliente para los archivos de mayor riesgo, de modo que el proveedor de transferencia nunca tenga acceso al texto plano

HexaTransfer ejecuta AES-256-GCM en el navegador antes de la subida, lo que coincide con el modelo de conocimiento cero que los reguladores esperan progresivamente para datos de ensayos transfronterizos.

Requisitos del registro de auditoría bajo ICH E6(R3) y el Reglamento 536/2014

Su sistema de transferencia debe producir un registro de auditoría que un inspector de la EMA o la AEMPS pueda reconstruir sin llamar al soporte del proveedor. Los campos mínimos:

1. Identidad del usuario (autenticada, no solo "centro03@hospital.es")
2. Hash del archivo (SHA-256) en la subida y en la descarga
3. Marcas temporales en UTC con zona horaria de origen
4. Dirección IP del remitente y del receptor
5. Estado de éxito o fallo
6. Método de intercambio de contraseña o clave

Bajo el artículo 58 del Reglamento UE 536/2014, los promotores deben mantener registros de todas las transferencias de datos durante el período del ensayo más el período de retención —típicamente 25 años para dossieres de autorización de comercialización bajo la legislación europea. Si su proveedor elimina los registros a los 90 días, tiene una brecha de cumplimiento.

Seudonimización antes de que los archivos salgan del centro

El artículo 4(5) RGPD define la seudonimización como el tratamiento de datos de modo que ya no puedan atribuirse a un interesado concreto sin información adicional mantenida por separado. Para las transferencias del ensayo, eso significa que la clave de reidentificación permanece en el centro investigador, nunca en la misma transferencia que el dataset codificado.

Flujo de trabajo práctico: el centro envía datasets SDTM codificados por número de sujeto (p. ej., ES001-0042) mientras la tabla de vinculación que mapea números de sujeto a nombres y números de historia clínica permanece en el EDC del centro detrás del control de acceso por rol. Si un portátil con el dataset codificado se pierde en el tren, no hay exposición directa de identificadores —aunque la EDPB sigue tratando los datos codificados como personales.

Transferencias transfronterizas y la realidad post-Schrems II

Un centro alemán enviando datos a un promotor español o estadounidense tras la Sentencia Schrems II (TJUE C-311/18) necesita más que CCT. Las Recomendaciones EDPB 01/2020 exigen una Evaluación de Impacto de la Transferencia documentando medidas suplementarias. El cifrado donde el proveedor genuinamente no puede descifrar es la medida suplementaria más clara de la lista de la EDPB.

Para ensayos que involucran centros en China, el PIPL artículo 38 requiere evaluación de seguridad por la CAC, certificación o contrato estándar. Rusia exige localización bajo la Ley Federal 152-FZ. No asuma que un único flujo de transferencia sirve para todos los centros.

Cadena de custodia del centro al promotor al regulador

Una cadena de custodia defendible significa poder decirle a un inspector: "El archivo SAE-ES04-v3.pdf se generó en el Centro 04 el 2026-03-12 14:22 UTC con hash SHA-256 8f3a...; se transfirió al monitor médico del promotor el 2026-03-12 14:24 UTC con hash idéntico; se acusó recibo en la base de datos de seguridad a las 14:31 UTC."

Construya esta cadena en el SOP de transferencia, no como una nota al margen. Herramientas como Medidata Rave, Veeva Vault CDMS y Oracle Clinical One registran los eventos de fuente, pero la capa de transferencia entre ellos y los colaboradores externos es con frecuencia donde se rompe la cadena de custodia.

Imagen y datasets de gran tamaño

Las lecturas radiológicas para ensayos oncológicos, trazados de ECG cardiológicos e imágenes de histología de sección completa llevan los tamaños de archivo a los gigabytes. Un archivo SVS típico de histología pesa 2-4 GB; un estudio DICOM con secuencias de RM puede alcanzar los 500 MB. El correo electrónico queda descartado. El FTP sin TLS también. El SFTP funciona pero carece del panel de auditoría orientado al usuario que los inspectores esperan.

La transferencia web con subidas resumibles, cifrado por archivo y enlaces con caducidad gestiona este rango. Mantenga las transferencias individuales por debajo de 10 GB para que una subida fallida no cueste horas de retransmisión, y divida los envíos más grandes en lotes lógicos (una visita, un sujeto, una lectura).

Retención, destrucción y el derecho al olvido

El artículo 17 RGPD da a los participantes derecho de supresión, pero el artículo 17(3)(c) lo excluye para la investigación científica cuando la supresión impediría los objetivos de la investigación. Aun así, necesita una política de eliminación para los artefactos de transferencia —las copias en el servidor de transferencia, no el archivo maestro del ensayo.

Configure las transferencias para que caduquen automáticamente a los 7 o 14 días. La copia de trabajo desaparece; la copia de autoridad vive en su eTMF validado. Docúmentelo en su Plan de Gestión de Datos para que un inspector de la EMA o la AEMPS vea una gestión del ciclo de vida intencionada, no residuos olvidados en una herramienta de compartición de archivos.

Hacer el flujo de trabajo práctico para los centros

Los centros investigadores gestionan múltiples promotores, cada uno con un portal diferente, cada uno exigiendo un inicio de sesión nuevo. Así es como los archivos acaban en el correo personal. Manténgalo simple: un flujo de transferencia por promotor, instrucciones claras en el cuaderno de inicio del centro, y un canal de frase de contraseña separado del canal de transferencia (SMS para el enlace, llamada telefónica para la contraseña, funciona).

Para transferencias ad hoc —un consentimiento que llega tarde, una solicitud de imagen inesperada—, un servicio de transferencia cifrada sin cuenta elimina fricciones. HexaTransfer no requiere cuenta en el receptor. Pruébelo en https://hexatransfer.com — sin cuenta, hasta 10 GB, gratuito. Luego registre la transferencia en el archivo del centro de la misma manera que registraría un envío de mensajería: fecha, hora, receptor, descripción del archivo, número de confirmación.

Compartir datos de ensayos clínicos no es un único problema. Es seudonimización, cifrado, auditoría, legislación transfronteriza y retención cosidos juntos. Coser bien las juntas convierte las inspecciones en revisiones de documentación en lugar de crisis.