Por María Luisa González y Alicia Bermejo
El pasado 12 de marzo, la Agencia Española de Protección de Datos (en adelante, “AEPD”), a solicitud de la Agencia Española de Medicamentos y Productos Sanitarios (en adelante, “AEMPS”), emitió el Informe Jurídico 2019-0197 sobre la correcta elaboración de un “modelo de hoja de información y consentimiento informado” para la participación en ensayos clínicos con medicamentos (en adelante, el “Informe”).
La entidad consultante propone un modelo de hoja de información y consentimiento informado, en relación con el cual se analizan distintas cuestiones:
Teniendo en cuenta lo expuesto, podemos resumir las conclusiones de la AEPD en su Informe en los siguientes puntos:
1. Identificación del responsable del tratamiento
Es necesario acudir al Real Decreto 1090/2015, de 4 de diciembre, por el que se regulan los ensayos clínicos con medicamentos, los Comités de Ética de la Investigación con medicamentos y el Registro Español de Estudios Clínicos, que diferencia dos claras figuras: el Promotor, que determina los criterios de selección de los participantes, y el Centro, que, sobre los anteriores criterios, selecciona a los participantes. Ambos son responsables del tratamiento, por lo que la información proporcionada a los interesados deberá ser clara sobre qué tratamientos realizada cada uno de ellos.
2. Información relativa al Delegado de Protección de Datos (en adelante, “DPD”)
La AEMPS incluyó una breve nota informativa en la que consideraba “preferible para el participante dirigirle al equipo investigador como punto de contacto preferente para todas las cuestiones”, así como, en su caso, al DPD del Centro. De esta forma, la AEMPS no estimaba “oportuno incluir la mención al DPO del Promotor como punto de contacto para un paciente, puesto que éste únicamente accede a datos codificados de los pacientes.”
La AEPD, a pesar de considerar acertadas las explicaciones ofrecidas, concluyo que “lo cierto es que tanto el RGPD como la LOPDGDD, determinan claramente los supuestos en los que es necesaria su designación y por tanto, debería informarse de los datos de contacto”, tanto del DPD del Centro como el del Promotor.
3. Información sobre los plazos de conservación
Los plazos de conservación son otro de los aspectos clave en términos de información. En este sentido, la AEPD resalta que estos deben determinarse de manera clara y notoria, estableciendo así el para qué y por cuánto tiempo se almacenan los datos. No son, por tanto, válidas las indicaciones ambiguas como, por ejemplo, “solo se conservará por el centro para el cuidado de su salud” (tal y como incluía AEMPS).
4. Tratamientos ulteriores con fines diferentes a los indicados en el momento de la recogida
El artículo 13.3 del RGPD establece la obligación para el responsable del tratamiento de facilitar información a los interesados en los supuestos en los que exista un tratamiento ulterior para un fin que no sea para el que se recogieron los datos. En este sentido, el texto redactado por la AEMPS detalla dos supuestos de tratamiento ulterior de los datos: (i) el uso de datos seudonimizados y (ii) el uso de datos identificativos.
En relación con el primer tratamiento, la AEPD remite a la Disposición adicional 17.2 de la LOPDGDD, más concretamente, el apartado d). Se permite el uso de datos seudonimizados con determinadas garantías. Así, la AEPD considera correcta la cláusula que propone la AEMPS, pues entiende que informa en los términos indicados.
Respecto del segundo, la citada Disposición adicional hace referencia a la necesidad del consentimiento de los interesados, teniendo en cuenta lo indicado en el artículo 7 del RGPD para la recogida del mismo (a pesar de no proponer la AEMPS una recogida del consentimiento concreta).
5. Base de legitimación aplicable al tratamiento de datos personales derivado de la realización de ensayos clínicos
La AEPD parte de lo indicado en los artículos 6 y del RGPD, así como en el Dictamen 3/2019 sobre las preguntas y respuestas acerca de la relación entre el Reglamento sobre ensayos clínicos y el Reglamento General de Protección de Datos [1] del Comité Europeo de Protección de Datos (en adelante, “CEPD”).
Son dos los supuestos que deben diferenciarse. En primer lugar, para aquellos supuestos relacionados con la fiabilidad y seguridad de los medicamentos, la base jurídica a considerar es la establecida en el artículo 6.1. c) del RGPD, en relación con lo dispuesto en el artículo 9.1. i) del mismo texto legal.
En segundo lugar, para aquellos supuestos relacionados con actividades de investigación de manera exclusiva, y repitiendo las palabras del CEPD, “las actividades relacionadas con la investigación pueden incluirse en (i) el consentimiento explícito del interesado del artículo 6.1. a), junto con el artículo 9.2. a), o (ii) en una misión realizada en interés público del artículo 6.1. e), o (iii) en un interés legítimo del responsable del tratamiento del artículo 6.1. f), junto con el artículo 9.2. i) o j) del RGPD.
El texto completo del Informe comentado puede consultarse en el siguiente enlace [2].
[3]