RESOLUCIÓN de 10 de febrero de 2020, de la Secretaría General Técnica de la Consellería de Sanidad, por la que se da publicidad de la Instrucción 2/2020 relativa al protocolo para el tratamiento de datos de salud en estudios de investigación biomédica., - Diario Oficial de Galicia, de 19-02-2020

El 7 de febrero de 2020 se firmó la Instrucción 2/2020 relativa al protocolo para el tratamiento de datos de salud en estudios de investigación biomédica, instrucción conjunta del secretario general técnico de la Consellería de Sanidad y del gerente del Servicio Gallego de Salud.

Señala la exposición de motivos que el nuevo marco normativo que regula el tratamiento de los datos personales llevó a aprobar la Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, donde se establecen previsiones encaminadas a garantizar el adecuado desarrollo de la investigación biomédica, teniendo en consideración los beneficios que esta aporta a la sociedad al tiempo que garantiza el derecho fundamental a la protección de datos.

Estas modificaciones legislativas en el ámbito de la protección de datos hacen necesario la actualización del procedimiento para el tratamiento de datos de salud en estudios de investigación biomédica que se llevan a cabo en el ámbito de los centros del Sistema Público de Salud de Galicia y, asimismo, se considera necesaria su publicación en el Diario Oficial de Galicia, sin perjuicio de su difusión de acuerdo con lo previsto en la legislación en materia de transparencia y al amparo de lo dispuesto en el artículo 6 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público,

RESUELVO:

Ordenar la publicación de la Instrucción 2/2020 relativa al protocolo para el tratamiento de datos de salud en estudios de investigación biomédica, dictada el 7 de febrero de 2020, como anexo a esta resolución.

Santiago de Compostela, 10 de febrero de 2020

Alberto Fuentes Losada

Secretario general técnico de la Consellería de Sanidad

ANEXO

Instrucción 2/2020 relativa al protocolo para el tratamiento de datos de salud

en estudios de investigación biomédica

La entrada en vigor del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y la libre circulación de estos datos (RGPD), estableció un nuevo marco normativo que regula el tratamiento de los datos personales lo que llevó a aprobar la Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales (LOPDGDD). La disposición adicional decimoséptima de esta ley orgánica regula el tratamiento de datos de salud, en particular la investigación biomédica.

Tanto el RGPD como la Ley orgánica 3/2018, de 5 de diciembre, establecen previsiones encaminadas a garantizar el adecuado desarrollo de la investigación biomédica, teniendo en consideración los beneficios que esta aporta a la sociedad al tiempo que garantiza el derecho fundamental a la protección de datos.

Así, según el RGPD, las operaciones de tratamiento ulterior con fines de investigación científica e histórica o fines estadísticos deben considerarse operaciones de tratamiento lícitas compatibles, y el considerando 156 establece que el tratamiento ulterior de datos personales con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos se efectuará cuando el responsable del tratamiento evaluase la viabilidad de cumplir esos fines mediante un tratamiento de datos que no permita identificar a los interesados, o que ya no lo permita, siempre que existan las garantías adecuadas (como, por ejemplo, la seudonimización de datos).

La Ley 7/2019, de 23 de diciembre, de medidas fiscales y administrativas en el artículo 37, añade una disposición adicional única en la Ley 8/2008, de 10 de julio, de salud de Galicia, relativa a la puesta en marcha de un Sistema integrado de información de la investigación clínica del Sistema Público de Salud de Galicia que dé cobertura a todos los centros que lo componen, con la finalidad de aprovechar las sinergías en investigación clínica y facilitar y fomentar la incorporación de terapias innovadoras en fases tempranas de desarrollo.

De conformidad con esta disposición adicional única, la Consellería de Sanidad, como responsable del tratamiento de los datos dentro del Sistema Público de Salud de Galicia, incluirá en el registro de actividades de tratamiento efectuadas bajo su responsabilidad la información sobre los tratamientos de datos con fines de investigación en salud y, en particular, con fines de investigación biomédica, conforme a lo previsto en el artículo 30 del RGPD. Asimismo, cualquier estudio de investigación con datos de salud que se realice en el Sistema Público de Salud de Galicia requerirá la valoración previa por parte de la consellería competente en materia de sanidad, como responsable del tratamiento, sobre la existencia de base legítima para el tratamiento.

Por su parte, el Decreto 134/2019, de 10 de octubre, por el que se regulan las áreas sanitarias y los distritos sanitarios del Sistema Público de Salud de Galicia, establece entre las funciones de la Gerencia del Área Sanitaria, artículo 6.t), la de asumir las tareas de encargado de tratamiento, en los términos definidos en la legislación en materia de protección de las personas físicas en lo que respeta al tratamiento de datos personales. Estas tareas se aplicarán a todos aquellos tratamientos que contengan datos de tal carácter en los centros o servicios abarcados en su respectivo ámbito y se realizarán siguiendo las instrucciones corporativas emitidas por la persona titular de la Consellería de Sanidad, en su condición de responsable de estos tratamientos, sin perjuicio de las funciones atribuidas en este ámbito a la Subdirección General de Sistemas y Tecnologías de la Información.

Estas modificaciones legislativas en el ámbito de la protección de datos hacen necesario la actualización del procedimiento para el tratamiento de datos de salud en estudios de investigación biomédica que se llevan a cabo en el ámbito de los centros del Sistema Público de Salud de Galicia.

Por todo lo anteriormente expuesto, al amparo del artículo 6 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público, y del artículo 7.1.a) del Decreto 136/2019, de 10 de octubre, por el que se establece la estructura orgánica de la Consellería de Sanidad, se dictan las siguientes instrucciones:

Primera. Objeto

Estas instrucciones tienen por objeto establecer un protocolo común para el tratamiento de datos de salud en estudios de investigación biomédica que se llevan a cabo en el ámbito de órganos administrativos y entidades instrumentales de la Consellería de Sanidad y centros e instituciones sanitarias del Sistema Público de Salud de Galicia (en adelante, SPSG).

Segunda. Informe del comité de ética de la investigación

Todos los estudios de investigación biomédica que se lleven a cabo en el ámbito del SPSG deberán contar con el informe previo favorable del comité de ética de la investigación correspondiente (en adelante, CEI), tal como se establece en la normativa sectorial aplicable a los estudios de investigación con seres humanos y en el punto 2.c) de la disposición adicional decimoséptima de la Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales.

Tercera. Autorización de los estudios de investigación biomédica

Con independencia de que se disponga de consentimiento del paciente, necesitarán de autorización del SPG la realización de estudios de investigación biomédica que cumplan alguna de las siguientes condiciones:

a) Traten datos de pacientes del SPSG.

b) Empleen infraestructuras del SPSG.

c) Incluyan pacientes del SPSG.

La autorización del SPSG quedará establecida a través de un contrato entre el responsable del SPSG y el promotor del estudio de investigación. El procedimiento para firmar dicho contrato se detalla en las instrucciones cuarta y quinta (y, a modo de resumen, en el anexo).

El promotor del estudio, que puede coincidir o no con el investigador principal, será la persona física o jurídica responsable de iniciar, gestionar y organizar la financiación del mismo.

El investigador principal tendrá la consideración de encargado de tratamiento en el ámbito del estudio de investigación. El investigador principal es el investigador responsable dentro de un equipo de investigadores que realizan el estudio en un centro.

Cuando el promotor y el investigador principal del estudio coincidan y se trate de un profesional del Sistema Público de Salud de Galicia, se entenderá que el responsable de los datos es el Sistema Público de Salud de Galicia y el promotor/investigador principal es el encargado del tratamiento en el estudio.

En los estudios en los que el promotor es diferente al investigador principal (entre otros, estudios promovidos por la industria farmacéutica) o estudios en los que el investigador principal no es un profesional del SPSG (entre otros, cuando el investigador principal es un profesional de una universidad), se evaluará, por parte del responsable del tratamiento y de acuerdo con el esquema establecido en las instrucciones cuarta y quinta, de manera individualizada, el modelo de responsabilidad en lo que respecta al tratamiento de los datos de carácter personal quedando fijada esta responsabilidad en los contratos que se firmen entre las partes implicadas. El modelo de responsabilidad en el tratamiento de los datos en el caso de los estudios clínicos con medicamentos seguirá las recomendaciones que establezca la Agencia Española de Medicamentos y Productos Sanitarios.

Cuarta. Estudios de alto impacto en la privacidad

Se considera un estudio de alto impacto en la privacidad aquel que cumpla alguna de las siguientes condiciones:

a) Estudios con informe favorable de un CEI del SPSG en el que el comité establezca el carácter de alto impacto en la privacidad dejando constancia de esta condición en el informe del estudio.

b) Estudios que impliquen la utilización/prescripción a los pacientes de apps.

c) Estudios en los que se produzcan comunicaciones de datos de pacientes fuera del ámbito del SPSG.

d) Estudios que tengan como finalidad la creación de registros o la inclusión de pacientes en registros ya existentes que no pertenezcan a los registros propios del SPSG.

e) Estudios que pretendan incluir a más de 1.000 pacientes del SPSG o a más de 500 pacientes en una única área sanitaria del SPSG.

El área sanitaria podrá valorar condiciones distintas a las anteriormente citadas (entre otras, factores estratégicos) para considerar el estudio de alto impacto.

Para los estudios de alto impacto en la privacidad, los contratos deberán ser firmados por la Secretaría General Técnica de la Consellería de Sanidad, en tanto que responsable de tratamiento del SPSG.

Los estudios que no cumplan las características antes detalladas serán considerados estudios de bajo impacto para la privacidad y, en este caso, los contratos serán firmados por el titular de las gerencias de las áreas sanitarias del SPSG donde se van a llevar a cabo los estudios de investigación. En cada área sanitaria se establecerá una unidad, con funciones en la organización de la investigación de acuerdo con su estructura, y que será la responsable de la gestión de este procedimiento.

No serán considerados como estudios de «alto impacto en la privacidad» los estudios observacionales postautorización con medicinas de seguimiento prospectivo (EPA-SP), los ensayos clínicos con medicinas y las investigaciones con productos sanitarios, por cuanto están regulados en normativa sectorial específica en la que se establece el marco de realización de ellos y en la que ya queda detallado el requisito de firmar un contrato entre el promotor y el área sanitaria donde se va a realizar.

A estos efectos, la disposición adicional única de la Ley 8/2008, de 10 de julio (añadida por la anteriormente citada Ley 7/2019, de 23 de diciembre) señala que la Agencia Gallega para la Gestión del Conocimiento en Salud promoverá el trabajo en red que facilite la gestión de los distintos tipos de estudios de investigación y la colaboración y la coordinación entre los distintos centros, entidades y servicios sanitarios. Para ello, aprobará modelos de contratos para la realización de los ensayos clínicos y recomendaciones e instrucciones para la realización de dichos estudios de investigación en el Sistema Público de Salud de Galicia.

Quinta. Comisión técnica asesora del responsable del SPSG

Para el apoyo en el proceso de autorización de los estudios de alto impacto en la privacidad, la Secretaría General Técnica de la Consellería de Sanidad, en tanto que responsable de tratamiento del SPSG, podrá asesorarse en tanto no se defina su composición reglamentariamente por una comisión técnica nombrada al efecto, la cual evaluará aquellos estudios considerados de «alto impacto en la privacidad» que le fueran remitidos por las unidades responsables de las áreas sanitarias, y que será la misma que participará en el procedimiento para el tratamiento de datos complementarios a los registros de historias clínicas.

Esta comisión asesora técnica tendrá en cuenta el balance entre el potencial impacto en la privacidad, así como la pertinencia y la adecuación a los intereses estratégicos del SPSG.

Se procurará que la composición de la comisión sea la que se indica a continuación:

a) Dos personas en representación de la Dirección General de Asistencia Sanitaria del Servicio Gallego de Salud, en concreto, de las subdirecciones con competencias en materia de documentación clínica y de farmacia.

b) Una persona en representación de la Agencia Gallega para el Conocimiento en Salud (ACIS).

c) Una persona en representación de la Dirección General de Salud Pública de la Consellería de Sanidad.

d) Una persona en representación de la Subdirección General de Sistemas y Tecnologías de la Información de la Consellería de Sanidad.

e) Una persona en representación de los comités de ética de la investigación de Galicia.

f) El/la delegado/a de protección de datos del SPSG, que ejercerá las funciones de secretario/a de la comisión.

g) Una persona en representación rotatoria de las áreas sanitarias del SPSG.

h) La persona titular de la Secretaría General Técnica de la Consellería de Sanidad, en tanto que responsable del tratamiento de datos personales, ejercerá la presidencia de la comisión.

La comisión emitirá un informe justificativo de su decisión, relativo a la realización o no de los estudios de «alto impacto en la privacidad» así como el contrato de tratamiento propuesto para cada estudio y que deberán firmar las partes implicadas (persona titular de la Secretaría General Técnica y el promotor/investigador) del estudio.

Sexta. Condiciones de tratamiento de los datos

Los derechos de los afectados serán ejercidos ante el responsable del tratamiento en el SPSG a través de las vías establecidas.

Las obligaciones que asuman los promotores o investigadores principales como encargados del tratamiento estarán sujetas a las instrucciones del responsable del SPSG. También serán los encargados de velar por el cumplimiento de cualquier otra autorización que pueda ser pertinente (como por ejemplo, encargos de tratamiento a terceros para la realización de actividades dentro del estudio).

Para facilitar el trabajo de profesionales individuales y de grupos de investigación del SPSG, se pondrá a disposición de las áreas sanitarias modelos de contratos de tratamiento sencillos (contratos de cláusulas de tratamiento, medidas de seguridad, análisis de riesgos y evaluaciones de impacto) que cubran los estudios de investigación de bajo impacto en la privacidad y que se lleven a cabo por personal del SPSG y de los institutos de investigación sanitaria en los que participa el SPSG.

Los datos objeto de tratamiento deberán almacenarse en dispositivos que estén dentro del control del SPSG, con estrictas medidas para garantizar las 5 dimensiones: confidencialidad, integridad, disponibilidad, no repudio y trazabilidad. La salida de datos fuera del ámbito de control técnico del SPSG deberá ser excepcional, con justificación previa del encargado del tratamiento, y autorizada por el responsable o en quien este delegue en el caso de los estudios de bajo impacto en la privacidad.

Séptima. Seudonimización

Según la disposición adicional única de la Ley 8/2008, de 10 de julio, la Consellería de Sanidad creará un registro autonómico de gestión de los consentimientos recogidos en la disposición adicional decimoséptima de la Ley orgánica 3/2018, de 5 de diciembre. En este registro se recogerán de manera coherente y unificada dichos consentimientos, garantizando el máximo respeto a los derechos reconocidos en el tratamiento de datos relativos a las personas físicas en el marco de los proyectos de investigación en salud.

Este registro estará conectado con el Sistema integrado de información de la investigación clínica del SPSG y con la historia clínica electrónica.

En tanto en cuanto no se desarrolle este registro, la custodia, dentro de las instalaciones del SPSG, de los consentimientos firmados por los participantes en los estudios de investigación será responsabilidad del investigador principal.

En aquellos casos en los que no sea posible teniendo en cuenta las características del estudio la obtención del consentimiento expreso del/de la interesado/a o de su representante legal, y previo informe favorable del CEI, podrán emplearse datos seudonimizados siempre que se den las siguientes condiciones:

a) El procedimiento de seudonimización deberá cumplir lo establecido en el punto 2.d) de la disposición adicional decimoséptima de la Ley orgánica 3/2018, de 5 de diciembre. En particular, el uso de datos personales seudonimizados requerirá una separación técnica y funcional entre el equipo investigador y quien realice la seudonimización y conserve la información que posibilite la reidentificación.

b) Se priorizará los procedimientos de seudonimización automatizados siempre que estos sean posibles teniendo en cuenta la naturaleza de los datos a tratar en el estudio. Aun así la seudonimización podrá abarcar escenarios más complejos que la ejecución de procesos informáticos (como, por ejemplo, en los casos en los que los datos clínicos necesarios para el estudio están en papel o en el caso en el que los datos clínicos necesitan de la interpretación de un profesional sanitario para su extracción).

c) Deberá existir un compromiso expreso de confidencialidad por parte del investigador principal y de no realizar ninguna actividad de reidentificación.

d) Deberán adoptarse medidas de seguridad específicas para evitar la reidentificación y el acceso de terceros no autorizados.

Este proceso deberá ser propuesto por el investigador y deberá estar detallado dentro del contrato de tratamiento. La gestión de este contrato de tratamiento seguirá el indicado en las cláusulas cuarta y quinta de manera que para los estudios de alto impacto en la privacidad los contratos deberán ser firmados por la Secretaría General Técnica de la Consellería de Sanidad, y para los de bajo impacto los contratos serán firmados por el titular de las gerencias de las áreas sanitarias. En ambos casos, se tendrá en cuenta que el proceso de seudonimización cumple con las condiciones indicadas en los apartados anteriores.

Debe recordarse que los datos seudonimizados siguen teniendo la consideración de datos de carácter personal.

En los supuestos excepcionales recogidos en la citada disposición adicional decimoséptima en que proceda la reindentificación de los datos en su origen, el investigador solicitará informe motivado al comité de ética asistencial del área sanitaria donde esté adscrito el paciente.

Octava. Estudios de investigación declarados de interés sanitario asistencial o de interés para la salud pública

Entre las funciones del comité de ética de la investigación con medicamentos de Galicia, según las previstas en el artículo 4.3.h) del Decreto 63/2013, de 11 de abril, por el que se regulan los comités de ética de la investigación en Galicia (en la redacción dada por la modificación introducida mediante el Decreto 81/2015, de 28 de mayo), figura la de evaluar y realizar el seguimiento de aquellos estudios de investigación y/o innovación que sean considerados de interés sanitario asistencial o de interés para la salud pública por la persona titular de la consellería competente en materia de sanidad. La resolución por la que se realice tal consideración deberá ser motivada y remitida al comité de manera previa a la evaluación del estudio.

Novena. Utilización de datos de personas fallecidas

Los datos de personas fallecidas no tienen la consideración de datos de carácter personal y podrán ser utilizado en estudios de investigación siempre que se constate que no existe oposición expresa de la persona fallecida para el uso de sus datos con este fin a través de la consulta de las instrucciones previas, si las había tenido hecho.

Los estudios de investigación en los que se prevea incluir datos de personas fallecidas deberán igual seguir los procedimientos dictados en estas instrucciones.

Décima. Aplicación

La presente instrucción producirá efectos desde el día siguiente al de su firma hasta el momento que entre en vigor una disposición administrativa de carácter general que regule la materia.

ANEXO

Diagrama del procedimiento para el tratamiento de datos de salud en estudios

de investigación biomédica en el SPSG

Este documento contiene un PDF, para descargarlo pulse AQUI