Wanneer zijn elektronische data een GMP registratie

Veel systemen gebruikt in de productie en het testen van geneesmiddelen, medische hulpmiddelen en levensmiddelen hebben de mogelijkheid om gegevens elektronisch op te slaan. Aan de opslag van elektronische gegevens zijn op basis van de wet- en regelgeving strikte regels gebonden om de integriteit van de gegevens te waarborgen. Deze regels (21CFRpart11) zijn nu ruim 2 decennia in werking, maar omdat ze nogal wat technische aanpassingen vragen proberen veel bedrijven weg te blijven bij de elektronische opslag van gegevens. Ondanks dat het systeem de mogelijkheid biedt om elektronische gegevens op te slaan, worden de gegevens afgelezen van het scherm en handmatig genoteerd in logboeken of andere registraties. Deze praktijk roept een aantal vragen op.

Mogen gegevens handmatig worden verwerkt als ruwe data ook elektronisch worden opgeslagen?

De MHRA concept richtlijn Data Integrity Definitions and Guidance geeft de volgende definitie van raw data:

Original records, retained in the format in which they were originally generated (i.e. paper or electronic), or as a ‘true copy’. Raw data must be contemporaneously and accurately recorded by permanent means.

The definition of ‘original records’ currently varies across regulatory documents. By its nature, paper copies of raw data generated electronically cannot be considered as ‘raw data’.

Raw data must permit the full reconstruction of the activities resulting in the generation of the data. In the case of basic electronic equipment which does not store electronic data, or provides only a printed data output (e.g. balance or pH meter), the printout constitutes the raw data.

Dus als een systeem is ontworpen om data elektronisch op te slaan of een afdruk te genereren dan geldt het gegevensbestand of de uitdraai als originele gegevens. Originele gegevens moeten altijd worden bewaard om een track record te kunnen genereren van alle bewerkingen die op en met deze data zijn uitgevoerd. Als elektronische gegevens zijn gebruikt voor besluitvorming of verdere dataverwerking, dan moeten ze worden bewaard en beheerd in overeenstemming met de wet- en regelgeving.

Maar als gegevens van het scherm worden overgeschreven, dan zijn dat ook originele gegevens. In de FDA draft Guidance for Industry –  Data Integrity and Compliance With CGMP staat:

You may employ a combination of technical and procedural controls to meet CGMP documentation practices for electronic systems. For example, a computer system, such as a Laboratory Information Management System (LIMS) or an Electronic Batch Record (EBR) system, can be designed to automatically save after each separate entry. This would be similar to recording each entry contemporaneously on a paper batch record to satisfy CGMP requirements. The computer system could be combined with a procedure requiring data be entered immediately when generated.

De laatste regel geeft aan dat het is toegestaan om gegevens handmatig te noteren, ondanks dat het systeem de mogelijkheid biedt om gegevens elektronisch op te slaan of uit te draaien.

Moet ik de elektronische gegevens bewaren als gegevens handmatig worden genoteerd?

Het probleem dat veel bedrijven hebben is dat zij onvoldoende kunnen waarborgen dat de elektronische originele gegevens onveranderd blijven. Met andere woorden, de elektronische gegevens zijn een onbetrouwbare bron voor latere gegevensverwerking of raadpleging ten behoeve van besluitvorming. Waarom ze dan bewaren? Dat levert alleen maar het risico op dat ze toch worden gebruikt of geraadpleegd. Om dat te voorkomen zou je ze kunnen verwijderen. Veel beter is het om dan de elektronische gegevens opslagfunctie onbruikbaar te maken. Eén van de belangrijke principes voor het voorkomen van ongewenste handelingen is het voorkomen van de gelegenheid.

Mag ik ook de elektronische gegevens uitdraaien en bewaren als origineel?

Regelgeving stelt dat een exacte kopie van de originele (elektronische) gegevens kan worden gezien als vervanging van de originele gegevens. De PIC/S concept richtlijn Good practices for data management and integrity in regulated GMP/GDP environments zegt hierover:

It is conceivable for raw data generated by electronic means to be retained in an acceptable paper or pdf format, where it can be justified that a static record maintains the integrity of the original data. However, the data retention process must be shown to include verified copies of all raw data, metadata, relevant audit trail and result files, software / system configuration settings specific to each analytical run, and all data processing runs (including methods and audit trails) necessary for reconstruction of a given raw data set. It would also require a documented means to verify that the printed records were an accurate representation. This approach is likely to be onerous in its administration to enable a GMP compliant record.

Dus je moet 100% kunnen waarborgen dat de uitdraai een exacte kopie is van de originele gegevens. Daarvoor moet je kunnen aantonen dat de elektronische gegevens niet zijn gewijzigd in de periode die ligt tussen het genereren van de data en het uitdraaien ervan. Het probleem nu juist is dat we dat niet kunnen en daarom tot andere methodieken overgaan. Ook het bewerken van de gegevens om tot een leesbare uitdraai te komen kan dan al een onacceptabele handeling zijn.

Het tweede argument dat een uitdraai niet altijd alle gegevens (b.v. meta data zoals systeemidentificatie en systeeminstellingen) omvat is ook, of misschien juist nog wel meer een probleem bij het rechtstreeks handmatig noteren van de gegevens vanaf het scherm.

Kortom, de originele elektronische gegevens uitdraaien en aftekenen als exacte kopie is toegestaan, maar is lastig (zo niet onmogelijk) te verantwoorden.

Zou je moeten willen om gegevens handmatig over te nemen van het scherm?

Voor vele complexe systemen is het feitelijk onmogelijk, omdat er zoveel gegevens, inclusief de metadata worden gegenereerd dat handmatig noteren überhaupt geen optie is.

Voor simpele meetsystemen die geen of nauwelijks metadata genereren is het een optie. Maar de praktijk leert dat deze optie de betrouwbaarheid van de gegevens niet ten goede komt. Het handmatig noteren van de gegevens is zeer foutgevoelig. Vaak zie je dat voor verdere verwerking van laboratoriumgegevens de gegevens opnieuw elektronisch worden gemaakt in statische software of spreadsheets. Opnieuw een foutgevoelige overschrijfstap. Tevens zijn hierop dan weer dezelfde regels voor elektronische registraties van toepassing. Dus je ontkomt er dan toch niet aan als bedrijf.

De PIC/S richtlijn adviseert een risicoanalyse toe te passen op de dataverwerkingsprocessen en de gegevensstromen. Alle risico’s met betrekking tot de ALCOA principes moeten worden beoordeeld. De complexiteit van een (hybride) systeem en de fraude- en foutgevoeligheid van humane interactie moeten worden beoordeeld. Ik ben benieuwd of je na een dergelijke analyse nog steeds stelt dat een investering in systemen om de integriteit van elektronische gegevens te beheersen niet opweegt tegen de risico’s en complexiteit van handmatige verwerking.