El Dictamen 3/2019 del Comité Europeo de Protección de Datos (CEPD), que responde a la consulta de la Comisión Europea sobre la interrelación entre el Reglamento de Ensayos Clínicos (REC) y el Reglamento General de Protección de Datos (RGPD) aborda aspectos como la base jurídica de datos personales y el posible tratamiento de datos de categorías especiales de datos personales. El CEPD opta por distinguir las operaciones relativas a tratamientos que califica como “uso principal” y las que se refieren a los tratamientos relativos a un “uso secundario”.
Mientras que el RGPD pretende asegurar la protección de los afectados de los tratamientos de sus datos personales y las normas armonizadas sobre la libre circulación, el REC tiene como objetivo garantizar un mayor nivel de armonización de las normas para la realización de ensayos clínicos en toda la UE. En este sentido, introduce un procedimiento de autorización basado en un solo envío a través de un portal único de la UE, un procedimiento de evaluación que conduce a una decisión única, normas sobre la protección de los sujetos y el consentimiento informado y requisitos de transparencia. Se estima que este procedimiento ya se aplicará a todos los ensayos clínicos realizados en la UE en el 2020.
El REC hace referencia a la necesidad de cumplir con la normativa de protección de datos y, a su vez, el RGPD subraya que el tratamiento de datos personales con fines científicos debe observar la normativa relevante, como la de los ensayos clínicos (considerando 156) y, asimismo, destaca que, al objeto de otorgar el consentimiento para la participación en actividades de investigación científica en ensayos clínicos deben aplicarse las disposiciones relevantes del REC. De esta interrelación surgen numerosas dudas, especialmente en lo que se refiere al consentimiento. El Dictamen aborda cuestiones relativas a la base jurídica de datos personales y el posible tratamiento de datos de categorías especiales. Para ello, el CEPD distingue entre las operaciones relativas a tratamientos de “uso principal” y tratamientos relativos a un “uso secundario” a los ensayos. Veámoslo:
1.Base Jurídica para el tratamiento de los datos personales en el transcurso de un ensayo clínico (uso principal)
Los tratamientos de uso principal pueden consistir, a su vez, en tratamientos con finalidades distintas y, por lo tanto, con bases jurídicas diferentes. Concretamente, el CEPD distingue dos categorías principales: i. las operaciones de tratamiento relacionadas con generar datos fiables y sólidos con fines de proteger la salud y ii. las operaciones de tratamiento relacionadas exclusivamente con actividades de investigación.
1. Operaciones de tratamiento relacionadas con fines de fiabilidad y seguridad.
Cuando este tipo de operaciones hayan sido previstas por el REC y por la normativa nacional aplicable, la base jurídica para el tratamiento será la necesidad de cumplir con una obligación legal del responsable del tratamiento, de acuerdo con el artículo 6.1.c RGPD. Asimismo, el tratamiento de categorías especiales de datos personales podría verse amparado por el artículo 9.2.i del RGPD, es decir, sobre la necesidad de tratar dichas categorías de datos por razones de interés público en el ámbito de la salud pública, con el fin de garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios.
2. Operaciones de tratamiento relacionadas exclusivamente con actividades de investigación.
En estos casos, como alternativa al consentimiento explícito, que en ocasiones no se considera la más apropiada, la base jurídica podría consistir en el cumplimiento de una misión realizada en interés público en virtud del artículo 6.1.e RGPD, o en la satisfacción de un interés legítimo perseguido por el responsable del tratamiento (artículo 6.1.f RGPD) en relación con la necesidad por razones de interés público en el ámbito de la salud pública (art. 9.2.i RGPD) o en la necesidad para fines de investigación científica (art. 9.2.j RGPD).
Las operaciones de tratamiento relacionadas exclusivamente con actividades de investigación cuya finalidad de tratamiento haya sido determinada en el derecho de la UE o nacional aplicable puede tener como base jurídica el cumplimiento de una misión en interés público conferida al responsable (art. 6.1.e RGPD), sin requerirse que cada tratamiento se rija por una norma específica. No obstante, si dicho tratamiento comprende datos personales de categorías especiales, deberá especificarse en qué supuesto, de los enumerados en el artículo 9 del RGPD, se basa.
Otro aspecto importante del Dictamen es el matiz realizado por el CEPD en relación a la distinción entre el consentimiento que regula el RGPD, relativo al tratamiento de los datos, y el consentimiento informado regulado por el REC, relativo a la participación en el ensayo clínico. En este sentido, el Comité señala que el consentimiento informado en relación con la voluntad del paciente a participar en el ensayo no implica el consentimiento para el tratamiento de datos personales. Asimismo, el CEPD recomienda que en cada caso se proceda a estudiar la capacidad del afectado de otorgar un consentimiento válido.
El CEPD también hace referencia al derecho a del interesado a retirar su consentimiento en cualquier momento y que, como consecuencia de ello, deberán cesar los tratamientos que estén basados en el consentimiento del interesado, a menos que el tratamiento se pueda fundamentar en otra base jurídica.
2. Usos secundarios de los datos de ensayos clínicos con fines científicos al margen del ensayo clínico.
El artículo 28.2 del REC prevé el uso de tratamientos de datos con fines exclusivamente científicos al margen del protocolo del ensayo clínico y establece las condiciones que se aplican a la necesidad del consentimiento informado para dicho uso.
El artículo 28.2 del REC prevé que el promotor podrá pedir al sujeto de ensayo, o, en su caso, a su representante legalmente designado, en el momento en que este, o su representante legalmente designado, dé su consentimiento informado para participar en el ensayo clínico, que otorgue su consentimiento para que sus datos se utilicen con fines exclusivamente científicos al margen del protocolo del ensayo clínico. El sujeto de ensayo, o su representante legalmente designado, podrá retirar en cualquier momento ese consentimiento. No obstante, el consentimiento al que se hace referencia en el artículo 28.2 del REC no es el mismo consentimiento del RGPD como base jurídica para el tratamiento de los datos personales, independientemente de si consiste en la base jurídica utilizada para el tratamiento principal.
Por lo tanto, si el promotor o el investigador quiere utilizar los datos de ensayos clínicos con fines científicos al margen del ensayo clínico, requerirá una base jurídica adicional a la base jurídica del uso principal. Dicha base jurídica elegida no tiene por qué ser distinta a la base jurídica del uso principal.
Sin embargo, según el CEPD este enfoque excluye el principio de presunción de compatibilidad del artículo 5.1.b del RGPD, según el cual los tratamientos ulteriores con fines de investigación científica deben considerarse tratamientos compatibles con los fines iniciales. El considerando 50 del RGPD enumera una serie de condiciones que ayudan a determinar dicha compatibilidad. No obstante, el CEPD no entra a analizar dichas condiciones debido a la complejidad de las mismas, comprometiéndose a hacerlo en el futuro y estableciendo que, de momento, no puede excluirse el principio de compatibilidad en atención a las condiciones del artículo 89 para los usos secundarios de los datos de ensayos clínicos con fines científicos al margen del ensayo clínico. Por supuesto, ello no excluye al responsable de tratamiento a cumplir con sus obligaciones del RGPD, tal y como se establece en el artículo 28.2 del RGPD.