Conformidade com 21 CFR Parte 11: o que realmente exige

Principais conclusões

• A conformidade com o 21 CFR Part 11 resulta dos controlos que envolvem um sistema (validação, controlos de acesso e registos de auditoria), e não da tecnologia em si. Nenhum produto é „intrinsecamente“ conforme.
• A regra resume-se a uma ideia: cada ação sobre um registo tem um nome, uma data e hora e um motivo, mesmo quando não há papel.
• A Part 11 não é a HIPAA. A HIPAA rege a privacidade e a segurança dos dados de saúde, ao passo que a Part 11 rege a integridade e a rastreabilidade dos registos e das assinaturas regulamentados pela FDA. Uma empresa pode cumprir uma e não a outra.
• A Part 11 está em vigor desde 1997 e continua a ser um requisito essencial para organizações farmacêuticas, de biotecnologia, de dispositivos médicos e de investigação clínica.

‍

A conformidade com o 21 CFR Part 11 não é uma propriedade de nenhuma tecnologia isolada. É o conjunto de controlos que comprovam que um registo eletrónico é fiável: um sistema validado, controlos de acesso e um registo de auditoria que associa cada ação a uma pessoa identificada, a uma data e hora e a um motivo. A FDA (a Food and Drug Administration dos EUA) não certifica produtos como conformes com a Part 11. A organização que utiliza um sistema é responsável pelas salvaguardas que o rodeiam, razão pela qual duas empresas podem utilizar o mesmo software e apenas uma delas estar em conformidade.

‍

O que é o 21 CFR Part 11?

O 21 CFR Part 11 é a regulamentação da FDA que define como devem ser geridos os registos eletrónicos e as assinaturas eletrónicas em setores regulados pela FDA, como o farmacêutico, a biotecnologia, os dispositivos médicos e a investigação clínica. Um registo eletrónico é qualquer dado criado, modificado, mantido, arquivado, consultado ou transmitido em formato eletrónico, e uma assinatura eletrónica é o equivalente eletrónico de uma assinatura manuscrita. O objetivo é simples de enunciar: tornar os registos e as assinaturas eletrónicos tão fiáveis e rastreáveis como o papel e a tinta. A regra foi publicada a 20 de março de 1997 e entrou em vigor a 20 de agosto de 1997, e quase três décadas depois continua plenamente em vigor. Pode consultar o texto do 21 CFR Part 11 no eCFR.

‍

O que exige, na prática, a conformidade com o 21 CFR Part 11?

A regra tem três subpartes, mas os requisitos práticos do 21 CFR Part 11 resumem-se a uma lista curta. A forma mais clara de os recordar: cada ação tem um nome, uma data e hora e um motivo, mesmo quando não há papel. Um registo de auditoria é o registo, com data e hora e atribuído a um utilizador, de cada criação, edição ou eliminação que torna isto possível.

‍

‍

A quem se aplica o 21 CFR Part 11?

A Part 11 aplica-se às organizações reguladas pela FDA que mantêm eletronicamente os registos exigidos ou que utilizam assinaturas eletrónicas em vez de assinaturas manuscritas. O âmbito acompanha o registo, e não o departamento: no momento em que uma organização regulada cria, armazena ou transmite um documento eletrónico regulado pela FDA, o sistema que o processa passa a estar abrangido. Isto inclui os sistemas de transmissão, pelo que um serviço de fax online seguro como Fax.Plus teria de ser operado com registos de auditoria e controlos de acesso quando transporta documentos regulados. A FDA descreve a abrangência da norma em nas suas orientações sobre âmbito e aplicação.

‍

21 CFR Part 11 e HIPAA: qual é a diferença?

Estas duas normas são muitas vezes confundidas, e a distinção é importante. A HIPAA (Health Insurance Portability and Accountability Act) protege a privacidade e a segurança das informações de saúde protegidas (PHI), ou seja, os dados de saúde individualmente identificáveis tratados por uma entidade abrangida. O 21 CFR Part 11 protege a integridade e a rastreabilidade dos registos e das assinaturas eletrónicas regulados pela FDA. Um instrumento comum da HIPAA é o Business Associate Agreement (BAA), o contrato que permite a um fornecedor tratar PHI em seu nome. Resolvem problemas diferentes, e um sistema pode cumprir uma sem cumprir a outra.

‍

‍

Como abordar a conformidade com o 21 CFR Part 11

Encare a conformidade como um conjunto de controlos que pode demonstrar, e não como uma etiqueta que se compra. Na prática, isto significa um sistema validado com documentação do fornecedor, controlos de acesso e contas de utilizador únicas, registos de auditoria completos, assinaturas eletrónicas únicas e verificadas, e uma conservação de registos definida. Quando uma afirmação não puder ser comprovada, atenue-a em vez de a exagerar, porque os reguladores avaliam o que consegue demonstrar, não o que afirma.

‍

Perguntas frequentes

‍

Quando entrou em vigor o 21 CFR Part 11?

A regra final foi emitida em 1997 e entrou em vigor a 20 de agosto de 1997. Continua em vigor atualmente e continua a aplicar-se aos registos e assinaturas eletrónicos regulados pela FDA.

‍

A quem se aplica o 21 CFR Part 11?

Aplica-se às organizações reguladas pela FDA (como as do setor farmacêutico, biotecnológico, de dispositivos médicos e de operações clínicas) que criam, modificam, mantêm, arquivam, recuperam ou transmitem eletronicamente os registos exigidos, ou que utilizam assinaturas eletrónicas em vez de assinaturas manuscritas.

‍

Qual é o objetivo do 21 CFR Part 11?

O seu objetivo é tornar os registos e as assinaturas eletrónicos tão fiáveis como o papel, para que um registo regulado pela FDA possa ser considerado exato, atribuível e com deteção de adulteração.

‍

Existe algum produto „em conformidade com o 21 CFR Part 11“ de origem?

Não. A conformidade resulta dos controlos e da forma como um sistema é validado e operado, e não do produto por si só. Um fornecedor pode apoiar a Part 11, mas é a organização utilizadora que tem a responsabilidade de demonstrar a conformidade.

‍

Uma assinatura eletrónica pode estar em conformidade com o 21 CFR Part 11?

Uma assinatura eletrónica pode apoiar a Part 11 quando cada assinatura é única para uma só pessoa, a identidade é verificada (frequentemente com dois fatores) e a assinatura regista o nome do signatário, a data e a hora, e o motivo da assinatura. Saber se uma determinada ferramenta se qualifica depende da forma como está configurada e validada.

‍

É possível utilizar software cloud ao abrigo do 21 CFR Part 11?

Sim. O software cloud pode ser utilizado ao abrigo da Part 11 quando o sistema está validado, o acesso é controlado, os registos de auditoria são completos e o fornecedor disponibiliza documentação que apoia o seu próprio esforço de validação.