Blog

Informe de la AEPD sobre la incidencia del nuevo reglamento europeo de protección de datos en el ámbito de la investigación biomédica

El Gabinete Jurídico de la Agencia Española de Protección de datos ha emitido el informe 073667/2018 en el que analiza el impacto que va a tener la plena aplicación a partir del 25 de mayo de 2018 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

El informe utiliza como punto de partida, por un lado la relativa a la protección de datos, Ley 15/99 y Real Decreto 1726/2007, como la relativa a la investigación biomédica, Ley 14/2007, respecto a la necesidad del consentimiento informado para recabar datos personales relativos a la salud y los límites en la transmisión de los mismos y los supuestos tasados en los que se exime del mismo.

En resumen, determina el informe respecto al sistema actual que  como regla general, será necesario el consentimiento del sujeto, no obstante, podrá quedar  exceptuado en determinados supuestos, bien por no ser posible la identificación del sujeto por haber sido anonimizados sus datos conforme al artículo 3 i), previo dictamen favorable del Comité Ético de Investigación, bien cuando se trate de una investigación relacionada con la inicial, al considerarse el fin de dicha investigación compatible con el de aquélla en que se prestó el consentimiento.
Fuera de estos casos sería, en términos de la Ley, necesario el consentimiento expreso del afectado (artículo 58.1) para una investigación concreta (artículo 60.1).

Lo primero que destaca el informe, es que conforme a su artículo 99.2, el Reglamento General de Protección de Datos, producirá plenos efectos el día 25 de mayo de 2018, tratándose así de una norma directamente aplicable en España que desplazará las previsiones de la Ley Orgánica 15/1999 en cuanto no resulten coherentes con este nuevo marco legal.

Respecto a la investigación biomédica y en concreto en lo relativo al tratamiento de la confidencialidad de las muestras biológicas, determina que el artículo 9.1 del reglamento General de protección de datos parte del principio general de prohibición del tratamiento, al indicar que “Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física”.

Sin embargo, se exceptúa los supuestos en los que “el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados” y cuando “el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos”.

El Informe establece como primer conclusión partiendo de la literalidad de las normas que Reglamento general de Protección de Datos no implica una alteración del marco normativo actualmente vigente en España en relación con el tratamiento de datos en el marco de la investigación biomédica, considerando que dichos datos podrán seguir siendo tratados en los mismos y que establece las garantías de seudonimización (en la redacción del texto “datos codificados o reversiblemente disociados”) y minimización, delimitando igualmente las reglas de limitación de la finalidad en su artículo 60.2.

El problema lo encontramos en el alcance que deba prestarse al consentimiento prestado por el interesado para el uso de sus datos con fines de investigación o para que pueda tener lugar un uso secundario con tales fines de datos asistenciales.

A este respecto, la redacción que el Reglamento General da al consentimiento del interesado, como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”, es igual al establecido en la Ley 15/99.

La definición y alcance del consentimiento se complementa con lo establecido en el artículo 6.2, donde se establece que: “Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para cada una de ellas”.

Lo anterior implica para la Agencia Española de Protección de Datos que en los supuestos en que el tratamiento deba fundarse en el consentimiento, el interesado debería conocer de forma clara e inequívoca las finalidades para las que se procederá a dicho tratamiento.

Asimismo, el Informe considera que será preciso interpretar qué debe entenderse por consentimiento “específico e inequívoco” a los efectos relevantes para este informe; es decir, cuál es el sentido de dichos requisitos del consentimiento teniendo en cuenta lo dispuesto en la normativa vigente en materia de protección de datos así como su aplicabilidad al ámbito del tratamiento de datos con fines de investigación biomédica.

Destaca el nuevo Reglamento General de Protección de Datos porque amplía el concepto de investigación científica, incluyendo el desarrollo tecnológico y la demostración, la investigación fundamental, la investigación aplicada y la investigación financiada por el sector privado e incluye dentro de los fines de investigación científica los estudios realizados en interés público en el ámbito de la salud pública.

En este mismo sentido, se amplía el ámbito de la investigación, incluyendo la posible recogida de datos procedentes de registros.

Respecto al tratamiento de los datos con fines de investigación y teniendo en cuenta el carácter dinámico de este tipo de investigación, el nuevo Reglamento establece que “Con frecuencia no es posible determinar totalmente la finalidad del tratamiento de los datos personales con fines de investigación científica en el momento de su recogida. Por consiguiente, debe permitirse a los interesados dar su consentimiento para determinados ámbitos de investigación científica que respeten las normas éticas reconocidas para la investigación científica. Los interesados deben tener la oportunidad de dar su consentimiento solamente para determinadas áreas de investigación o partes de proyectos de investigación, en la medida en que lo permita la finalidad perseguida”.

El Informe considera que se requerirá los requisitos de especificidad y carácter inequívoco para la prestación del consentimiento no deben ser interpretados en el ámbito de la investigación científica de un modo restrictivo, limitado a una concreta investigación de la que se facilite toda la información disponible, sino que cabe considerar que concurren en los supuestos en los que el consentimiento se presta en relación con un determinado campo de investigación, pudiendo extenderse en el futuro ese consentimiento, sin que ello lo vicie en modo alguno, incluso a “finalidades” o áreas de investigación que ni siquiera hubieran podido determinarse en el momento en que se prestó sin que sea necesario recabar un nuevo consentimiento del sujeto fuente, teniendo en cuenta los beneficios para los individuos y la sociedad en su conjunto que pueden derivarse de tal investigación no prevista.

Finalmente, el Informe concluye que  el Reglamento General de Protección de Datos y el Proyecto de Ley Orgánica de Protección de Datos, no sólo mantienen inalterado el régimen contenido en la normativa reguladora de la investigación biomédica, sino que permiten realizar una interpretación más flexible del alcance que puede darse al consentimiento prestado, debiéndose tener en cuenta dicha interpretación no respectiva por parte de los Comités Éticos de Investigación en los supuestos en los que autorizasen el tratamiento de muestras codificadas, sin contar con el consentimiento cuando no fuera posible su obtención.