La Agencia Española de Protección de Datos aprobó el “Código de conducta regulador del tratamiento de datos personales en el ámbito de los ensayos clínicos y otras investigaciones clínicas y de la farmacovigilancia”. Este constituye el primer código de conducta sectorial aprobado desde la entrada en vigencia del Reglamento Europeo General de Protección de Datos.

El código regula cómo deben aplicar la normativa de protección de datos los patrocinadores (“sponsors”) de estudios clínicos con medicamentos y las organizaciones de investigación por contrato (CRO) que decidan adherirse a este. A pesar de que el ámbito de aplicación es limitado a España, su alcance puede ser extraterritorial considerando el alcance global que pueden tener estos estudios.

En lo que refiere al tratamiento de datos en el marco de las investigaciones clínicas, los aspectos más relevantes introducidos por el Código son:

• Regula únicamente el tratamiento por parte de los patrocinadores (sponsor) de datos codificados, dado que la práctica del sector según el Código- pone de manifiesto que aquéllos sólo procesan datos personales sin codificar.
• Establece como base jurídica del tratamiento el cumplimiento de obligaciones legales, sin que resulte necesario el consentimiento, sin perjuicio del consentimiento informado que habrá de prestar para su participación en un ensayo clínico.
• Establece la necesidad de suministrar de manera separada la información en materia de protección de datos, de aquella contenida en el documento de información al paciente que debe proporcionarse a este conforme a la normativa regulatoria.
• Clarifica los roles de los distintos intervinientes en el tratamiento, especificando que el patrocinador de la investigación y el centro sanitario o investigador principal tendrán la condición de responsables de sus respectivos tratamientos, correspondiendo a cada uno de ellos las obligaciones derivadas de su actividad, sin que quepa apreciar la existencia de responsabilidad solidaria entre ellos por los incumplimientos que cometiera la otra parte.
• Regula los supuestos de uso secundario de los datos obtenidos en el marco de una investigación para futuras investigaciones, sin exigir, como regla general, el consentimiento de los participantes en la investigación.
• Recoge la figura del tercero de confianza, al que será posible acudir para llevar a cabo el procedimiento de codificación de los datos personales de los participantes en la investigación, de forma que el sponsor no pueda ni por sí solo ni con la mera asistencia del investigador reidentificar a los mismos.
• Regula las obligaciones de responsabilidad activa que deberán cumplirse en relación con el tratamiento de datos en el marco de la investigación. En particular, se resuelven cuestiones relacionadas con la notificación de brechas de seguridad en las que hubieran podido incurrir terceros cuyos servicios fueran contratados por el patrocinador (sponsor).
• Brinda aclaraciones sobre transferencias internacionales de datos personales, e indica que, en cuanto resulte completamente imposible al destinatario de una transferencia de datos ubicado en un tercer país u organización internacional reidentificar a los participantes en la investigación, al haberse producido una previa anonimización de los datos por el patrocinador (sponsor) que le remite los datos, no será aplicable la normativa reguladora de esta materia.
• Incorpora distintos modelos de cláusulas que regirán las relaciones jurídicas entre los distintos intervinientes.

Por Diego Fernández y Manuela Adrogué