Trasferire i file GxP critici tra aziende potrebbe rappresentare un problema. Ultimamente riceviamo sempre più richieste riguardo a come inviare documenti in formato elettronico (ad es. CoA - Certificate of Analysis, contratti, ecc) in modo sicuro e in conformità ai requisiti regolatori.
I DIVERSI SCENARI DI SCAMBIO
Il file oggetto di trasmissione è un documento che contiene dati GxP critici, generato da un sistema computerizzato. A seconda del fatto che il sistema utilizzato disponga o meno della firma elettronica convalidata, si delineano tre diversi scenari.
FIRMA ELETTRONICA CONVALIDATA
Se il sistema utilizzato dispone di firma elettronica convalidata, il documento firmato può essere inviato in formato PDF attraverso sistemi sicuri quali:
- VPN
- https
- siti di scambio (come ShareFile) con protocollo ftps. In questo caso, vale la pena qualificare il tool, verificando il livello di sicurezza delle cartelle: chi può accedere e con quali privilegi; segregazione dei dati appartenenti a clienti differenti; versioning, se utilizzato.
La PEC non rientra nei sistemi sicuri in quanto non certifica gli allegati.
GENERAZIONE DEL PDF DEL DOCUMENTO
Se il sistema utilizzato, invece, non è dotato di funzionalità di firma, occorre stampare il documento in PDF, apporre tramite un processo qualificato una firma digitale (definizione FDA 21 CFR part 11.3) o qualificata (definizione eIDAS) e poi inviarlo. In questo caso è possibile inviarlo anche via mail.
Nota: le firme digitali e qualificate possono essere apposte anche su documenti in formato diverso dal PDF.
STAMPA CARTACEA E TRUE COPY
Un altro metodo, sempre in assenza di firma elettronica, consiste nell’effettuare una stampa cartacea del documento, apporre la firma manoscritta e generare una true copy.
Le true copy, o copie conformi, sono copie esatte e complete di un dato o un record originale, di cui conservano contenuto e significato, incluso formato statico o dinamico.
La loro esattezza e completezza deve essere verificata – ad opera di una seconda persona o di un meccanismo tecnico convalidato – e certificata – ad esempio con la firma della fotocopia.
Per certificare la true copy bisogna ricorrere nuovamente alla firma digitale o qualificata attraverso un processo qualificato. Il documento può essere quindi inviato anche via mail.
Per apporre la firma digitale è necessaria l’autenticazione del firmatario da parte di un Ente Certificatore riconosciuto, introdotto dal Regolamento Europeo n.910/2014 e comunemente detto eIDAS, attraverso l’assegnazione di un certificato che attribuisce una validità legale alla firma digitale.
L’operazione di firma digitale avviene mediante uno specifico software fornito dall’Ente Certificatore. Il sistema crea un’ "impronta" univoca identificativa del documento. Quando il firmatario inserisce la propria chiave privata, l’impronta informatica viene protetta.
Per approfondire questo argomento vi invitiamo a leggere il nostro articolo sulle firme elettroniche qualificate, richiedendolo qui.
IL NOSTRO AIUTO
Adeodata può supportarvi nella convalida dei sistemi utilizzati per la generazione dei report, nella qualifica dei siti di scambio, nella definizione dello scenario di scambio più idoneo alle vostre esigenze e nella scelta e qualifica dei dispositivi/tool di firma. Per qualsiasi esigenza non esitate a contattarci.
Cover designed by @Freepik
Articolo a cura di
Laura Monti, GxP Compliance Expert di Adeodata
