La AEPD aclara los requisitos de información y transparencia en el consentimiento informado en ensayos clínicos.

La AEPD destaca la importancia de identificar claramente a las partes involucradas en el tratamiento de los datos en un ensayo clínico que ostenten la condición de responsables del tratamiento, y en concreto, el Promotor y el Centro, quiénes actúan como responsables del tratamiento independientes. 

No obstante, esta información debe completarse con el detalle de (a) qué tratamientos llevará a cabo cada Responsable del tratamiento, (b) qué datos trata cada responsable y para qué finalidad.

En relación con el uso de los datos seudonimizados por parte del Promotor, la AEPD exige que se informe de modo separado y con claridad aquellos supuestos en los que va a ser posible la reidentificación del participante.

Además, en tanto que la posibilidad de identificación supondría un tratamiento de datos personales en sí mismo, se debe indicar la finalidad y la base de legitimación para dicho tratamiento en el caso de que sea distinta de las ya informadas.

A pesar de que es posible que el Promotor de la investigación únicamente trate datos seudonimizados, la AEPD señala la necesidad de facilitar los datos de contacto del DPD designado por cada responsable del tratamiento de los datos de los participantes, esto es, tanto del Centro como el Promotor.

En relación con los plazos de conservación de los datos, la AEPD subraya la importancia de determinar claramente para qué y por cuánto tiempo se van a almacenar los datos personales de los pacientes, una vez trascurrido el plazo mínimo de 25 años desde la finalización de la investigación clínica. La falta de claridad en este aspecto, por ejemplo, cuando el Centro siga conservando los datos para el cuidado de la salud del paciente, mediante el uso de expresiones ambiguas o imprecisas constituye un incumplimiento de las obligaciones de información previstas en la normativa de protección de datos.

La información a proporcionar a los participantes en la investigación clínica debe detallar los posibles tratamientos ulteriores de los datos resultantes del ensayo una vez concluido.

En este sentido, la AEPD, siguiendo la misma línea que ha mantenido hasta la fecha, declara la licitud de los tratamientos de datos ulteriores con fines de realización de nuevas investigaciones en los supuestos permitidos por la normativa aplicable y, en particular, conforme a lo previsto en la disposición adicional 17ª de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales.

Entre la información que exige el artículo 13 RGPD, se encuentra la relativa a las bases legitimadoras del tratamiento utilizadas para llevar a cabo ensayos clínicos.

Sin embargo, la AEPD en su Informe, no aborda de forma específica las bases jurídicas que aplican a los tratamientos de datos con fines de investigación clínica, sino que únicamente establece la necesidad de que el texto informativo propuesto por la AEMPS incluya un apartado con el detalle de las bases jurídicas aplicables. 

De este modo, sin pronunciarse sobre la adecuación de las bases jurídicas en los tratamientos de ensayos clínicos, se limita a reproducir el razonamiento establecido por el Comité Europeo de Protección de Datos (“CEPD”) en su “Dictamen 3/2019 sobre las preguntas y respuestas acerca de la relación entre el Reglamento sobre ensayos clínicos y el Reglamento General de Protección de Datos”, por ejemplo las bases legitimadoras de las actividades de tratamiento relacionadas con fines de fiabilidad y seguridad o en relación con las actividades de investigación. 

Ante la falta de posicionamiento por parte de la AEPD en el Informe analizado, las empresas farmacéuticas adheridas al Código de Conducta deben seguir aplicando las bases de legitimación previstas en dicho código, como instrumento de autorregulación que les resulta de obligado cumplimiento.