El pasado 12 de marzo, la Agencia Española de Protección de Datos (AEPD) publicó el Informe nº040931/2019 de su Gabinete Jurídico, en el que da respuesta a diversas consultas planteadas por la Agencia Española de Medicamentos y Productos Sanitarios (AEMPS) en relación con la cláusula informativa de protección de datos publicada en la “Guía para la correcta elaboración de un modelo de hoja de información al paciente y consentimiento informado” (Guía).
El informe de la AEPD contiene una serie de recomendaciones y propuestas de mejora, en línea con las obligaciones y principios recogidos en el “Código de Conducta regulador del tratamiento de datos personales en el ámbito de los ensayos clínicos y de otras investigaciones clínicas y de farmacovigilancia” (Código de Conducta) de Farmaindustria aprobado en febrero de 2022, que ya han sido incorporadas por la AEMPS en su nueva versión de la Guía, publicada en fecha de 27 de marzo de 2024.
No obstante, el análisis del Informe resulta relevante para conocer el posicionamiento de la AEPD en relación con la información en materia de protección de datos que debe facilitarse al paciente antes de obtener su consentimiento informado para cumplir con los requisitos de transparencia e información.
Los ensayos clínicos son una herramienta esencial para evaluar la seguridad y eficacia de los medicamentos. Para poder realizar un ensayo clínico los investigadores tienen la obligación legal y ética de obtener y documentar el consentimiento informado de cada uno de los participantes de la investigación.
Este proceso garantiza que los pacientes expresen libremente su voluntad de participar en el ensayo después de recibir la información completa sobre el mismo de conformidad con la normativa aplicable.
Adicionalmente a la hoja de información al paciente y consentimiento informado (“HIP/CI”), el Investigador está obligado a proporcionar a los participantes la información relativa al tratamiento de sus datos personales en el marco de la investigación.
Requisitos de transparencia e información en materia de protección de datos en los consentimientos informados de ensayos clínicos
Después de ver el contexto en el que se circunscribe la publicación del nuevo Informe, a continuación, se detallan las principales conclusiones de la AEPD en su respuesta a la consulta planteada por la AEMPS, tras revisar la cláusula informativa en materia de protección de datos incluida en el Apéndice 1 de su Guía:
1. Requisitos de transparencia
En relación con los requisitos de transparencia a la hora de ofrecer la información sobre protección de datos al interesado, la AEPD establece la necesidad de facilitarla de manera separada e independiente, incluso en un documento separado, respecto de aquella información referida al ensayo clínico.
2. Requisitos de información
Por otro lado, la AEPD advierte que la cláusula informativa propuesta por la AEMPS no incluye el contenido mínimo exigible de acuerdo al artículo 13 del RGPD, destacando la importancia de incorporar los siguientes apartados en la información de protección de datos que se ofrezca a los participantes:
- Identificación del responsable(s) del tratamiento de datos personales:
La AEPD destaca la importancia de identificar claramente a las partes involucradas en el tratamiento de los datos en un ensayo clínico que ostenten la condición de responsables del tratamiento, y en concreto, el Promotor y el Centro, quiénes actúan como responsables del tratamiento independientes.
No obstante, esta información debe completarse con el detalle de qué tratamientos llevará a cabo cada Responsable del tratamiento, qué datos trata cada responsable y para qué finalidad.
- Sobre los datos seudonimizados del paciente:
En relación con el uso de los datos seudonimizados por parte del Promotor, la AEPD exige que se informe de modo separado y con claridad aquellos supuestos en los que va a ser posible la reidentificación del participante.
Además, en tanto que la posibilidad de identificación supondría un tratamiento de datos personales en sí mismo, se debe indicar la finalidad y la base de legitimación para dicho tratamiento en el caso de que sea distinta de las ya informadas.
- Sobre los datos de contacto del Delegado de Protección de Datos (DPD):
A pesar de que es posible que el Promotor de la investigación únicamente trate datos seudonimizados, la AEPD señala la necesidad de facilitar los datos de contacto del DPD designado por cada responsable del tratamiento de los datos de los participantes, esto es, tanto del Centro como el Promotor.
- Sobre los plazos de conservación de los datos:
En relación con los plazos de conservación de los datos, la AEPD subraya la importancia de determinar claramente para qué y por cuánto tiempo se van a almacenar los datos personales de los pacientes, una vez trascurrido el plazo mínimo de 25 años desde la finalización de la investigación clínica. La falta de claridad en este aspecto, por ejemplo, cuando el Centro siga conservando los datos para el cuidado de la salud del paciente, mediante el uso de expresiones ambiguas o imprecisas constituye un incumplimiento de las obligaciones de información previstas en la normativa de protección de datos.
- Sobre los tratamientos ulteriores de datos para fines de investigación:
La información a proporcionar a los participantes en la investigación clínica debe detallar los posibles tratamientos ulteriores de los datos resultantes del ensayo una vez concluido.
En este sentido, la AEPD, siguiendo la misma línea que ha mantenido hasta la fecha, declara la licitud de los tratamientos de datos ulteriores con fines de realización de nuevas investigaciones en los supuestos permitidos por la normativa aplicable y, en particular, conforme a lo previsto en la disposición adicional 17ª de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales.
- Sobre las bases de legitimación aplicables para la realización de ensayos clínicos:
Entre la información que exige el artículo 13 RGPD, se encuentra la relativa a las bases legitimadoras del tratamiento utilizadas para llevar a cabo ensayos clínicos.
Sin embargo, la AEPD en su Informe, no aborda de forma específica las bases jurídicas que aplican a los tratamientos de datos con fines de investigación clínica, sino que únicamente establece la necesidad de que el texto informativo propuesto por la AEMPS incluya un apartado con el detalle de las bases jurídicas aplicables.
De este modo, sin pronunciarse sobre la adecuación de las bases jurídicas en los tratamientos de ensayos clínicos, se limita a reproducir el razonamiento establecido por el Comité Europeo de Protección de Datos (“CEPD”) en su “Dictamen 3/2019 sobre las preguntas y respuestas acerca de la relación entre el Reglamento sobre ensayos clínicos y el Reglamento General de Protección de Datos”, por ejemplo las bases legitimadoras de las actividades de tratamiento relacionadas con fines de fiabilidad y seguridad o en relación con las actividades de investigación.
Ante la falta de posicionamiento por parte de la AEPD en el Informe analizado, las empresas farmacéuticas adheridas al Código de Conducta, deben seguir aplicando las bases de legitimación previstas en dicho código, como instrumento de autorregulación que les resulta de obligado cumplimiento.
Conclusiones
A través de la publicación de su Informe, la AEPD ha emitido distintas recomendaciones y propuestas de mejora que garantizan el cumplimiento de los principios de transparencia e información en relación con los tratamientos de datos personales realizados en el marco de los ensayos clínicos, las cuales ya han sido incorporadas por la AEMPS en la cláusula informativa de protección de datos del Apéndice 1 de la última versión de su Guía publicada en fecha de 27 de marzo de 2024.
Para las empresas del sector farmacéutico que se dediquen a la realización de ensayos clínicos, dicho Informe resulta de utilidad a la hora de redactar o adaptar sus modelos de cláusulas informativas en materia de protección de datos para la recogida del consentimiento informado de forma que éstas incluyan todas las recomendaciones de la AEPD.
Sin perjuicio de lo anterior, a nivel europeo existe una iniciativa de diciembre de 2022 promovida por la Federación Europea de la Industria Farmacéutica, para la elaboración de un Código de Conducta de ámbito europeo en esta materia, que puede implicar que se planteen nuevas consultas ante la AEPD en relación con el deber de informar y principio de transparencia.
En cualquier caso, desde PwC Tax & Legal, estaremos atentos a los avances que esta iniciativa pueda tener, y, en particular, para el caso de que el código europeo defina requisitos de transparencia e información distintos a los exigidos por la Agencia, así como bases de legitimación diferentes de las recogidas en el Código de Conducta de Farmaindustria.
Si quieres más información, no dudes en contactar con nosotros.