En junio de 2014 entró en vigor el Reglamento (UE) n °536/2014 del Parlamento Europeo y del Consejo, de 16 de abril de 2014, sobre los ensayos clínicos de medicamentos de uso humano (en adelante “CTR por sus siglas en inglés”). Sin embargo, no fue de plena aplicación hasta el 31 de enero de 2022 con la creación de la Plataforma del Sistema de Información de Ensayos Clínicos (en adelante “Plataforma CTIS”).
Esta plataforma tiene como objetivo optimizar y simplificar la comunicación entre los promotores y los Estados miembros. Asimismo, se encarga del mantenimiento de una base de datos de la Unión Europea para garantizar un grado adecuado de transparencia en lo que respecta a los ensayos clínicos.
En relación con el ámbito de aplicación el Artículo 1 del CTR determina la aplicación a "todos los ensayos clínicos realizados en la Unión", con la previsión expresa de que "no se aplica a los estudios no intervencionales".
Igualmente, el Artículo 80 del Reglamento describe la Plataforma CTIS "para la presentación en la Unión de datos e información sobre ensayos clínicos de conformidad con el presente Reglamento".
Así pues, todos los ensayos clínicos en curso en la UE deben trasladarse a la Plataforma CTIS antes del 31 de enero de 2025.
En cualquier caso, la publicación del Reglamento en 2014 ha facilitado que tanto autoridades de control y/o organismos en materia de protección de datos (véase el Dictamen 3/2019 del Comité Europeo de Protección de Datos (PDF, 998KB) - en adelante, "CEPD"), así como legisladores de los Estados Miembros, pudieran anticiparse a la implementación del Reglamento en términos de su interpretación y desarrollo.
Por lo que, si bien la aplicación del Reglamento desde la creación del CTIS no ha venido a representar un cambio sustancial en materia de protección de datos y privacidad, es importante tener en cuenta la legitimidad para tratar estos datos personales (datos especialmente protegidos como son los datos de salud) en el marco de ensayos clínicos en función del país donde se realicen.
En este artículo recogemos las bases legitimadoras que deben regir en el tratamiento de datos derivados de ensayos clínicos atendiendo a lo establecido por la normativa de distintos países europeos. En concreto de Alemania, España, Italia y Reino Unido.
El 25 de febrero de 2022 se publicó el Código de Conducta regulador (PDF, 3.7MB) del tratamiento de datos personales en el ámbito de los ensayos clínicos de Farmaindustria. Este texto establece las directrices para la aplicación de las leyes de protección de datos por parte de los promotores de ensayos clínicos y las Organizaciones de Investigación por Contrato que opten por su adhesión.
El Código de Conducta considera que el tratamiento de los datos de los participantes en la investigación clínica está basado en la existencia de una obligación legal (artículo 6.1 c) del RGPD) en conexión con lo dispuesto en el artículo 9.2 i) y j). Es decir, el tratamiento, por una parte, tiene por objeto el cumplimiento de las obligaciones legales impuestas para garantizar un elevado nivel de calidad y seguridad del medicamento y, por otra, se lleva a cabo con fines de investigación científica sobre la base de las normas del derecho español y de la Unión Europea que imponen la obligación legal de llevar a cabo las actuaciones de investigación con carácter previo a la comercialización de un medicamento, así como a la realización de estudios posteriores a su autorización.
Igualmente, la Agencia Española de Medicamentos y Proaductos Sanitarios (en adelante “AEMPS”) publicó, en abril de 2021, el Anexo VIIIA (PDF, 381KB) el cual cuenta con un Apéndice específico sobre la correcta elaboración de un apartado de protección de datos de carácter personal en la hoja de información al paciente.
En cuanto a la Autoridad de control española, la AEPD ha publicado recientemente un informe N/REF: 040931/2019 (PDF, 217KB) a solicitud de la AEMPS. En relación con la base legitimadora aplicable para el tratamiento de datos en ensayos clínicos, la AEPD se remite al Dictamen 3/2019 del CEPD realizando una distinción clara entre las dos finalidades perseguidas en la realización de ensayos clínicos. En concreto:
Por un lado, la fiabilidad y seguridad del medicamento cuyo tratamiento de categorías especiales de datos personales viene legitimado por el artículo 6.1 c del RGPD, esto es, cumplimiento de una obligación legal, en relación con lo dispuesto en el artículo 9,2 i). Es decir, que el tratamiento resulta necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados Miembros; y,
por otro lado, las actividades puramente de investigación cuyo tratamiento puede legitimarse en el consentimiento explícito del interesado, en una misión realizada en interés público o en un interés legítimo del responsable en relación con el artículo 9.2 i) o j) del RGPD. Esto es, que el tratamiento resulte necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1 con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1.
En cuanto al consentimiento como base legitimadora, establece el CEPD la posibilidad de que se produzcan situaciones de desequilibrio de poder entre el promotor/investigador y los participantes. El CTR aborda expresamente estos riesgos y exige que el investigador tenga en cuenta todas las circunstancias relevantes, en particular si el sujeto pertenece a un grupo económico o socialmente desfavorecido, o se encuentra en una situación de dependencia institucional o jerárquica que podría influir indebidamente en su decisión de participar en el ensayo clínico (considerando 31 CTR).
Por lo que debe tenerse en cuenta que, aunque se reúnan las condiciones para un consentimiento informado en virtud del REC, una situación clara de desequilibrio de poder entre el participante y el promotor/investigador supondría que el consentimiento no se «da libremente» en el sentido del RGPD.
Países como Reino Unido que explicaremos más adelante, República Checa o Portugal siguen la misma línea que España.
En Alemania, si bien la autoridad de control local no se ha pronunciado directamente sobre la legitimación en este tratamiento de datos, es necesario obtener el consentimiento de los interesados para el tratamiento de ensayos clínicos.
En este sentido, sin perjuicio de que la autoridad de control alemana no cuente con directrices específicas sobre estudios / ensayos clínicos, la "Medicinal Products Act (Arzneimittelgesetz – AMG)" sección 40b, establece una serie de requisitos previos especiales para ensayos clínicos, siendo uno de ellos el consentimiento explícito y por escrito del interesado a la recogida, tratamiento y utilización de datos personales, en particular de sus datos de salud.
Así mismo se pronuncia la sec. 2 de la German Medical Device Law Implementation Act - Medizinprodukterecht-Durchführungsgesetz - MPDG).
No obstante, aunque el consentimiento sea retirado posteriormente, se pueden seguir conservando los datos. Esto es, si el tratamiento es necesario para determinar los efectos del medicamento en investigación o, en el caso de un producto sanitario, alcanzar o al menos no comprometer gravemente los objetivos del ensayo clínico, garantizar que no se perjudiquen los intereses del interesado y cumplir con la obligación de proporcionar documentos de autorización comercial.
Según la Autoridad de control italiana en materia de protección de datos, el promotor y sus colaboradores no podrán utilizar lícitamente los datos de los pacientes del ensayo clínico salvo que obtengan previamente el consentimiento específico de los pacientes, respecto de las operaciones de tratamiento de datos que pretendan realizar. Así se pronuncia en las Directrices para el tratamiento de datos en el marco de ensayos clínicos del 24 de julio de 2008 y en la Opinión de conformidad con el art. 110 del Código y art. 36 del Reglamento del 30 de junio de 2022.
En abril de 2022, la Autoridad de Control de Protección de Datos de Reino Unido (en adelante "ICO") publicó un borrador de directrices sobre las disposiciones de investigación dentro del RGPD del Reino Unido y el DPA 2018 (PDF, 505KB), el cual establece que el consentimiento, en la mayoría de los casos, no es la base legitimadora más apropiada para tratar datos personales en el marco de ensayos clínicos.
Esto se debe a que para que el consentimiento sea válido bajo el UK RGPD, el interesado debe poder retirarlo en cualquier momento. Esto implica que, si el participante retira su consentimiento, el responsable del tratamiento deberá dejar de tratar sus datos personales, o anonimizarlos de inmediato. Por lo tanto, si no es posible llevar a cabo completamente una retirada del consentimiento o la anonimización efectiva, no se puede basar el tratamiento de los datos en esta base legitimadora.
Igualmente, la ICO considera que el consentimiento no es una base legitimadora apropiada para el tratamiento de datos personales cuando existe un desequilibrio de poder entre el responsable del tratamiento y el interesado cuyos datos personales se están tratando. En estos casos, declara la ICO que el consentimiento puede no ser otorgado libremente, y por lo tanto no puede ser válido.
Así pues, la ICO manifiesta que la base legitimadora más apropiada dependerá de las finalidades específicas. En este sentido, en el contexto del tratamiento de datos personales relacionado con la investigación, la base legitimadora más apropiada podría ser:
Interés público: el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
Interés legítimo: el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales.
Siempre teniendo en consideración que al tratarse de categorías especiales de datos, deberá concurrir alguna de las excepciones del artículo 9.2 RGPD, siendo el más viable, según la ICO, el precepto j): "el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos".
En conclusión, la base legitimadora aplicable al tratamiento de datos personales en el marco de ensayos clínicos dependerá de las especificidades de cada país, siendo en algunos de ellos válido el consentimiento:
País |
Consentimiento |
España |
No |
Alemania |
Sí |
Italia |
Sí |
Reino Unido |
No |
Portugal |
No |
República Checa |
No |
¿Realizas ensayos clínicos y no sabes qué implicaciones tienen en materia de protección de datos? ¿Quieres saber cómo informar adecuadamente a los interesados en el formulario de consentimiento informado? ¿Diferencias entre el consentimiento informado médico y el consentimiento en materia de protección de datos? ¿No sabes cuánto tiempo conservar los datos de salud derivados de estos ensayos?
Artículo elaborado por Samanta Murillo, senior manager de Regulación Digital de PwC Tax & Legal, y Fina Sastre Coll, associate de Regulación Digital de PwC Tax & Legal.
Contacta con nosotros
