For etiske komitéer

1. Proceduren kort

Adhera Sign er en signeringstjeneste til klinisk forskning. Studiet uploader den deltagerinformation og samtykkeerklæring, komitéen har godkendt, og platformen styrer, hvem der signerer, i hvilken rækkefølge og gennem hvilken kanal. Alle underskrifter er MitID-signaturer, og hvert samtykke ender i én bevispakke.

Bekendtgørelsen om kliniske forsøg med lægemidler giver komitéerne mulighed for at tillade, at samtykket underskrives elektronisk:

Komitéen godkender den elektroniske procedure for det enkelte studie. Et site kan først starte samtykker i Adhera Sign, når det har registreret komitéens godkendelse af proceduren.

Beskrivelsen her gælder standardsamtykke fra en voksen, der selv kan give samtykke, med kontrasignatur fra den, der har givet informationen. Flows til stedfortrædende samtykke, akutforsøg, mindreårige, gensamtykke og tilbagetrækning er planlagt til næste fase og bliver beskrevet her, når de er klar.

2. Sådan signerer deltageren

Deltageren kommer til dokumentet på en tablet ved fremmøde, via en QR-kode på egen telefon eller via et link på SMS eller e-mail. Kanalen afgør kun, hvordan deltageren kommer frem. Selve signeringen er den samme.

1. InvitationDeltageren ser studiets titel, sitet og en kort beskrivelse af forløbet på dansk eller engelsk. Ved fjernsignering vises intet dokument før MitID.
2. MitIDDeltageren logger ind med MitID. Det gælder også ved fremmøde, hvor personalets enhed allerede har åbnet sessionen.
3. DokumentetDokumentet vises side for side, og hver side, deltageren når, registreres. Versionsbetegnelse og hash står på hver side, der er en downloadknap på alle skærme, og teksten kan forstørres og læses højt.
4. BekræftelserHver bekræftelse er en almindelig sætning med ét flueben, fx »Jeg har modtaget den skriftlige information« og »Jeg har haft tid til at overveje og stille spørgsmål«. Studiespecifikke tilvalg, fx et genetisk substudie, bekræftes hver for sig.
5. SigneringDeltageren signerer med MitID på en signeringsside med studiets navn og på samme sprog som resten af flowet.
6. KopiDeltageren får sin kopi med det samme: til download, via et permanent link, der kræver MitID, og som link på SMS, når kanalen tillader det.

Derefter kontrasignerer investigator eller den delegerede, der gav informationen, fra sin egen kø med personligt MitID.

På alle skærme kan deltageren vælge papir og se sitets telefonnummer. Flowet kører i browseren uden konto eller installation, har ingen fritekstfelter og følger WCAG 2.1 AA.

Ved samtykke på afstand attesterer investigator, hvordan informationssamtalen foregik, fx ved fremmøde eller på video. Linket gælder et bestemt antal dage og bindes til den enhed, det første gang åbnes på.

3. Identitet

Identiteten kommer fra MitID, så deltageren skal ikke oprette en konto hos Adhera Sign.

• Deltageren logger ind og signerer med MitID. Sikringsniveauet er mindst betydelig og registreres for hver signatur.
• Har sitet registreret deltagerens CPR-nummer, skal CPR-nummeret fra MitID matche, før der kan signeres på afstand.
• Ved fremmøde gemmes den identitet, MitID returnerer, og investigator attesterer, hvordan identiteten er bekræftet: med MitID, med billedlegitimation eller som kendt patient.
• Investigator og delegeret personale signerer med personligt MitID eller MitID Erhverv. Personalets konti knyttes til en MitID-identitet ved første login, så det kan dokumenteres, at den, der signerer, er den indloggede bruger.
• Den, der informerer, skal være oprettet på sitet med en registreret delegering, før vedkommende kan kontrasignere.

Signaturen er en PAdES-signatur over dokumentets hash, leveret gennem en MitID-broker med certifikat på EU's tillidsliste. Bevissiden viser for hver signatur, om den er avanceret eller kvalificeret efter eIDAS.

CPR-nummeret trykkes aldrig på seglet. Navn og CPR-nummer fra MitID gemmes kun i bevispakken, krypteret med en nøgle pr. studie. Alle andre steder hedder deltageren kun studiets pseudonym.

4. Hvad gemmes som bevis

Hvert samtykke ender i én bevispakke: en ZIP-fil, der dannes én gang og aldrig ændres. En inspektor skal kunne åbne den og få svar på alt om samtykket uden at logge ind.

Signerede dokumenterPDF

Med PAdES-LTA-signaturer og den tilføjede bevisside. Valideringsdata er indlejret, så signaturen kan valideres, også efter certifikatets udløb.

ManifestJSON

Session, studie, site, skabelonversion, dokumentversioner og hashes. For hver underskriver: rolle, kanal, identitet fra MitID, sikringsniveau, signaturtype, tidspunkter i UTC og lokal tid med tidszone, svar på bekræftelser samt enheds- og netværksdata.

HændelseslogCSV, JSON

Alle hændelser i sessionen fra oprettelse til afslutning, fx link åbnet, MitID-login, side vist, bekræftelse afgivet og signeret.

ResuméPDF

Et til to sider med det samme indhold som manifestet i prosa og tabel, til investigator site file.

Pakkens hashSHA-256

Beregnet over hele pakken og også skrevet i audit trail.

Afvisninger, udløb og papirudveje får også en bevispakke. Alle tidsstempler kommer fra serverens NTP-synkroniserede ur, og der findes ingen felter til tilbagedatering. Audit trail kan ikke slås fra, poster kan kun tilføjes, og loggen er hash-kædet pr. studie, så ændringer kan opdages.

5. Versioner og godkendelse

Den PDF, komitéen har godkendt, gemmes byte for byte, som den blev uploadet, og identificeres ved sin SHA-256-hash. Platformen ændrer aldrig indholdet. Bekræftelser og segl lægges på en bevisside efter dokumentets sidste side, og signaturen dækker både dokumentet og bevissiden.

• En version kan først aktiveres, når komitéens godkendelsesreference og -dato er registreret.
• Versionen frigives pr. site, og et site ser kun de versioner, det er frigivet til.
• Når en ny version aktiveres, spærres den gamle for nye samtykker. Samtykker, der allerede er afsluttet, røres ikke.
• Sessioner, der er i gang på den gamle version, afsluttes på den og markeres, så sitet kan tage stilling til gensamtykke.
• Uploads kontrolleres for kryptering, JavaScript og formularfelter, der kan ændre sig, når filen åbnes.

6. Papir og deltagere uden MitID

Deltageren kan altid vælge papir, uden at det får konsekvenser. Knappen »Jeg vil hellere have papir« står på alle skærme og afslutter det elektroniske flow.

• Platformen udskriver den samme version med sessions-ID og en QR-kode.
• Deltageren underskriver med pen, og personalet indscanner erklæringen i samme session.
• Investigator attesterer scanningen med sit MitID. Bevispakken indeholder scanningen, attestationen og versionens hash.

Samme udvej bruges for deltagere uden MitID, fx udenlandske deltagere. Tegnede eller indtastede underskrifter accepteres aldrig som samtykke. Andre nordiske eID'er er planlagt til en senere fase.

Papirudvejen er også sitets beredskab, hvis platformen ikke er tilgængelig under en samtale.

7. Tilbagetrækning

Deltageren kan til enhver tid og uden begrundelse trække sit samtykke tilbage (CTR art. 28, stk. 3). Data, der er indsamlet før tilbagetrækningen, bevares, hvor protokollen foreskriver det.

Tilbagetrækning i Adhera Sign er planlagt til næste fase og kommer til at fungere sådan:

• Deltageren starter tilbagetrækningen fra et permanent link på sin kopi, som kræver MitID, eller personalet starter den, når deltageren beder om det mundtligt.
• Deltageren eller repræsentanten vælger omfanget: ophør med deltagelse, med ny dataindsamling eller med brug af prøver.
• Investigator får besked med det samme, og tilbagetrækningen får sin egen bevispakke.

Indtil da håndteres tilbagetrækning efter sitets nuværende procedure.

8. Adgang for monitor og inspektor

Monitor, auditor og inspektor skal kunne se de signerede dokumenter og audit trail. Bevispakken er en ZIP-fil, der kan åbnes uden login, og den viser, hvem der så hvilken version, hvornår, med hvilket sikringsniveau og i hvilken rækkefølge. Hver bevispakke kan eksporteres og arkiveres i TMF og ISF.

I næste fase får monitor og inspektor egne roller med læseadgang til deres studie. Adgangen gives og trækkes tilbage af den forsøgsansvarlige, og en inspektors adgang udløber automatisk.

Hver visning og download i Adhera Sign registreres. Sponsor ser kun tal og versioner. Adheras support har ingen rutinemæssig adgang til bevispakkernes indhold, og nødadgang kræver en begrundelse og bliver logget.

Adhera ApS er databehandler for sponsor eller den institution, der er dataansvarlig. Data hostes i EU, og databehandleraftalen indgås, før det første studie går i drift.

9. Tekst til ansøgningen

Teksten beskriver proceduren, som den er i dag. I kan kopiere den ind i ansøgningens afsnit om informeret samtykke og tilpasse den til studiet, fx hvis I kun bruger én kanal.

10. Demoadgang

Komitémedlemmer, der vil se flowet, før de tager stilling, kan få adgang til et demomiljø. Der kan de gennemgå flowet som deltager og som investigator og åbne bevispakken fra et testsamtykke.