21 CFR Parte 11: guía para investigadores españoles

Qué es 21 CFR Parte 11

21 CFR Parte 11 es la regulación de la FDA que establece los requisitos para que registros electrónicos y firmas electrónicas tengan la misma validez que los registros y firmas en papel, en ámbitos regulados por FDA (ensayos clínicos, manufactura farmacéutica, dispositivos médicos).

¿Me aplica si investigo en España?

Posible sí, posible no. Depende de:

• ¿Los datos se someterán a FDA? Si el estudio busca aprobación en EEUU, sí.
• ¿Hay un sponsor americano? Generalmente sí aunque el estudio se ejecute en la UE.
• ¿Se trata de un registro local sin intención regulatoria? Probablemente no — pero aplica Annex 11 (EU GMP) o ICH E6(R2) igualmente.

En la práctica, si diseñas el sistema para cumplir Parte 11, cumples automáticamente Annex 11. No son excluyentes.

Requisitos clave que deben cumplirse

• §11.10(a) Validación del sistema — el EDC debe estar validado (documentación de ciclo de desarrollo, tests, change control).
• §11.10(b) Capacidad de generar copias — los registros deben exportarse en formato legible.
• §11.10(c) Protección de registros — retención íntegra durante todo el período requerido.
• §11.10(d) Limitación de acceso — RBAC obligatorio.
• §11.10(e) Audit trail — computer-generated, timestamped, append-only.
• §11.200 Firmas electrónicas — vinculadas al firmante, con al menos dos componentes de identificación.

Qué hacer tú como investigador

1. Elige un EDC que documente explícitamente su postura frente a Parte 11 (Trialinx lo hace en /compliance/21-cfr-part-11).
2. Solicita el paquete de validación del sistema. Un sponsor bien informado lo pedirá durante el setup.
3. Documenta SOPs de uso del sistema: quién puede publicar formularios, quién firma, cómo se gestionan las queries.
4. Forma a tu equipo sobre responsabilidades de firma electrónica. Nunca compartir credenciales.
5. Archiva los registros tras cierre del estudio según la política del sponsor (típicamente 15+ años).

El error más común

Pensar que "comprar" un EDC cumple Parte 11 por sí solo. No es así: cumplir Parte 11 es responsabilidad compartida entre el proveedor (controles técnicos) y el usuario (procedimientos organizativos + validación de uso).

Conclusión

Parte 11 no es opcional si tus datos van a FDA. Pero no es incompatible con un EDC moderno. Trialinx se diseña desde el primer commit asumiendo que los registros son electrónicos, retención indefinida, y audit trail granular por defecto — exactamente lo que Parte 11 pide.