21 CFR Part 11 e prove digitali nei trial: la lista di controllo per gli sponsor italiani
Uno sponsor farmaceutico italiano che apre un trial multicentrico registrato anche presso la FDA si trova davanti a due insiemi di regole sui dati che non coincidono. In Europa il riferimento è la buona pratica clinica ICH GCP, recepita dall'ordinamento nazionale; negli Stati Uniti, ogni record elettronico e ogni firma apposta su quel dato ricadono sotto il 21 CFR Part 11, la norma con cui la FDA stabilisce quando un documento digitale vale quanto un originale cartaceo.
La complicazione nasce quando lo stesso dato (un consenso informato, un eCRF, un referto caricato da un centro periferico) deve reggere a entrambe le ispezioni. Un tracciato di audit accettabile per il monitor europeo può non bastare a un investigator FDA, e una firma valida secondo eIDAS non è automaticamente riconosciuta come facile e veloce ai sensi del Part 11. La domanda operativa per un quality manager GxP è quindi una sola: quali controlli servono perché un dato raccolto in Italia sia difendibile davanti alla FDA senza moltiplicare i sistemi?
La risposta è che il 21 CFR Part 11 non chiede una tecnologia specifica, ma tre garanzie verificabili: un tracciato di audit non modificabile, l'identificazione univoca di chi firma, la validazione del sistema che produce il dato. Allineare i processi italiani significa mappare ciascuna di queste garanzie su un controllo concreto. Questo approfondimento fornisce la lista di controllo per farlo, e mostra dove la certificazione alla fonte chiude il divario tra prassi europea e requisiti americani. Per il quadro completo del settore rimandiamo alla guida sulla certificazione delle prove digitali nelle sperimentazioni cliniche.
Questo approfondimento fa parte della guida: Sperimentazioni cliniche certificate: prove digitali per trial e monitoraggio
I tre pilastri del 21 CFR Part 11 sui dati di sperimentazione
Il 21 CFR Part 11 si regge su tre requisiti che la FDA verifica in ispezione: tracciato di audit, identità del firmatario, validazione del sistema. Sono cumulativi: la mancanza di uno solo rende l'intero record elettronico contestabile. Tradurli in una lista di controllo operativa è il primo passo per uno sponsor italiano.
Tracciato di audit non modificabile
La norma (§11.10(e)) richiede un tracciato di audit generato dal sistema, con marca temporale, che registri in modo indipendente data e ora di ogni creazione, modifica o cancellazione di un record. Deve rispondere a quattro domande: chi ha agito, cosa ha fatto, quando, e perché. Secondo la guida FDA sui sistemi computerizzati nelle indagini cliniche, il tracciato non deve poter essere alterato dall'utente che ha generato il dato, e deve restare disponibile per tutto il periodo di conservazione del record.
Il punto debole tipico dei processi europei è che il tracciato vive dentro lo stesso database che custodisce il dato: chi amministra il sistema può, in teoria, riscriverlo. La FDA chiede invece una garanzia di immodificabilità che non dipenda dalla fiducia nell'amministratore. È qui che l'apposizione di un sigillo digitale con marca temporale qualificata, ancorato al dato al momento della raccolta, separa la prova dell'integrità dal sistema che la conserva.
Identificazione univoca del firmatario
Il §11.100 e §11.200 impongono che ogni firma elettronica sia legata a un'unica persona, non riutilizzabile da altri, e che il legame tra firma e firmatario sia dimostrabile. In un trial decentralizzato, dove il consenso può essere firmato da casa e il dato caricato da un infermiere di ricerca, questo requisito diventa critico: serve provare non solo che il documento è autentico, ma che è stato firmato proprio da quella persona, in quel momento.
Le firme elettroniche europee basate su un certificato qualificato eIDAS soddisfano i criteri di univocità e non ripudio. La cross-recognition tra firme qualificate eIDAS e i requisiti Part 11, già tracciata da iniziative come SAFE-BioPharma, consente di usare un'unica infrastruttura di firma per entrambi i fronti regolatori, evitando di duplicare i sistemi di autenticazione.
Validazione del sistema
Il §11.10(a) richiede di validare i sistemi per garantire accuratezza, affidabilità e capacità di distinguere record validi da record alterati. La guida FDA aggiornata nel 2024 conferma un approccio basato sul rischio: l'estensione della validazione è proporzionale alla criticità del dato, non uniforme per ogni componente. Per uno sponsor questo significa documentare il ciclo di vita del sistema, i test e le procedure di gestione del cambiamento, con un livello di rigore scalato sull'impatto del dato sulla sicurezza del paziente e sull'esito dello studio.
Dove la GCP E6 europea e il 21 CFR Part 11 si incontrano (e dove no)
La GCP ICH E6 e il 21 CFR Part 11 condividono l'obiettivo dell'integrità del dato, ma lo affrontano da angolazioni diverse: la prima è una buona pratica di processo, il secondo è una norma tecnica su record e firme. Conoscere il punto di sovrapposizione e i divari residui evita di dare per scontata una conformità che la FDA non riconoscerebbe.
Sovrapposizioni e divari residui
La E6(R2) chiede che i sistemi computerizzati usati per creare, modificare e archiviare i dati clinici siano validati e tracciabili: questo copre buona parte del §11.10. Il divario emerge sulla firma. La E6 non prescrive un meccanismo tecnico di firma elettronica equivalente alla firma autografa, mentre il Part 11 lo richiede esplicitamente con i §11.50 e §11.70 (manifestazione e legame della firma al record). Uno sponsor che ha solo validato l'EDC ma non ha formalizzato il regime di firma elettronica è conforme alla E6 ma esposto a un rilievo FDA.
| Requisito | ICH GCP E6 | 21 CFR Part 11 |
|---|---|---|
| Validazione del sistema | Richiesta (processo) | Richiesta (§11.10(a)) |
| Tracciato di audit | Tracciabilità del dato | Generato dal sistema, marca temporale, immodificabile (§11.10(e)) |
| Firma elettronica | Non prescrive meccanismo tecnico | Univoca, non ripudiabile, legata al record (§11.50, §11.70, §11.200) |
| Approccio | Buona pratica di processo | Norma tecnica su record e firme |
L'impatto dei trial decentralizzati (DCT)
La E6(R2) non affrontava esplicitamente i trial decentralizzati. La revisione E6(R3), entrata in vigore nel 2025, integra gli elementi decentralizzati nel disegno dello studio e ribadisce che i principi GCP si applicano anche ai DCT. Questo sposta il problema dei dati lontano dal centro sperimentale: il consenso, le visite e le immagini raccolte a casa del paziente devono nascere già difendibili. La marca temporale e il sigillo applicati nel momento e nel luogo della raccolta diventano l'unico modo per dimostrare l'origine di un dato prodotto fuori dal perimetro controllato del sito.
Come la certificazione alla fonte risponde ai requisiti Part 11
La certificazione alla fonte risponde ai tre pilastri del Part 11 spostando la garanzia dal sistema di archiviazione al momento della raccolta del dato. Invece di dimostrare a posteriori che un database non è stato manomesso, si crea una prova di integrità ancorata al dato fin dalla sua origine. TrueScreen è la piattaforma che acquisisce il dato con metodologia forense e lo certifica con valore legale: calcola l'hash SHA-256 del dataset, applica una marca temporale qualificata e integra il sigillo elettronico di un QTSP qualificato terzo, producendo un log di accesso firmato.
Per uno sponsor che corre un trial registrato FDA, questo significa che il chi, cosa, quando del tracciato di audit non dipende più dalla buona fede dell'amministratore di sistema: è inciso in un sigillo verificabile da chiunque, indipendente dal database. L'identità del firmatario si appoggia a certificati qualificati eIDAS, già allineati ai criteri di univocità del Part 11. La validazione del sistema beneficia di un processo documentato e ripetibile, coerente con l'approccio basato sul rischio chiesto dalla FDA.
Le funzionalità che entrano nel flusso del trial
L'apposizione del sigillo digitale certifica consensi informati ed eCRF con un legame dimostrabile tra firma e firmatario. L'acquisizione tramite la piattaforma TrueScreen certifica immagini, video di televisita e referti caricati dai centri periferici, applicando hash e marca temporale all'origine. Un centro che gestisce un trial DCT può così provare che un consenso firmato da remoto è autentico, integro e riconducibile alla persona, esattamente ciò che un investigator FDA verifica in ispezione. Resta fermo un punto: TrueScreen non è un QTSP né un ente certificatore. Integra via API il sigillo erogato da QTSP qualificati terzi, fornendo allo sponsor la prova senza sostituirsi all'autorità che la emette. Questo è il fondamento del modello di Provenienza digitale applicato ai dati clinici.
