La protección de los datos personales se ha convertido en un elemento esencial de la investigación clínica y biomédica. Cuando se trata de datos de salud, estamos ante información especialmente sensible que requiere garantías reforzadas y una gestión rigurosa durante todo su ciclo de vida.
En este contexto, Farmaindustria ha planteado la actualización de su Código de Conducta para la protección de datos personales en el ámbito de los ensayos clínicos, otras investigaciones clínicas y la farmacovigilancia, aprobado por la Agencia Española de Protección de Datos (AEPD) en 2022.
La propuesta responde a la evolución del entorno normativo y tecnológico europeo y a la aparición de nuevos escenarios relacionados con el Espacio Europeo de Datos de Salud y la inteligencia artificial.
Un marco que necesita evolucionar
El Código de Conducta de Farmaindustria fue aprobado por la AEPD en febrero de 2022 y se convirtió en el primer código de conducta sectorial aprobado en España tras la entrada en vigor del Reglamento General de Protección de Datos (RGPD).
Su objetivo es establecer criterios comunes para el tratamiento de datos personales en actividades especialmente complejas, como los ensayos clínicos, la investigación clínica y la farmacovigilancia.
Entre otros aspectos, aborda las bases jurídicas del tratamiento, la información que debe facilitarse a los interesados, las responsabilidades de las diferentes entidades, la contratación de encargados del tratamiento, la codificación de datos, las evaluaciones de impacto, las brechas de seguridad y las transferencias internacionales.
Sin embargo, la protección de datos no puede considerarse un marco estático. Los cambios tecnológicos y regulatorios obligan a revisar periódicamente los procedimientos para garantizar que continúan siendo adecuados.
El impacto de los nuevos escenarios
La utilización cada vez mayor de herramientas digitales y de inteligencia artificial está modificando la forma en la que se recopilan, almacenan y utilizan los datos sanitarios.
A ello se suma el desarrollo del Espacio Europeo de Datos de Salud, que plantea nuevas posibilidades para compartir y utilizar información sanitaria dentro de la Unión Europea, pero también nuevos retos en materia de privacidad, seguridad y gobernanza.
Farmaindustria ha señalado precisamente la necesidad de que la actualización del Código tenga en cuenta estos cambios, además de la evolución de las reglas y guías europeas relacionadas con la investigación y la farmacovigilancia.
Los datos de salud requieren una protección reforzada
Los datos utilizados en investigación clínica pueden incluir diagnósticos, tratamientos, evolución médica o información genética. Su tratamiento exige aplicar principios fundamentales del RGPD como la minimización de datos, la limitación de la finalidad, la confidencialidad, la seguridad y la responsabilidad proactiva.
Por ello, disponer únicamente de una política de privacidad o de un consentimiento informado no resulta suficiente.
Las organizaciones deben poder demostrar que cuentan con procedimientos adecuados para identificar los tratamientos que realizan, controlar los accesos, gestionar posibles incidentes y garantizar que la información se utiliza exclusivamente para las finalidades previstas.
¿Qué deberían revisar las organizaciones?
La actualización del Código de Conducta también puede servir como oportunidad para que las entidades que trabajan con datos de salud revisen sus propios sistemas de cumplimiento.
Entre los principales aspectos que deberían analizarse se encuentran:
- Identificación y registro de los tratamientos.
- Bases jurídicas aplicables.
- Información proporcionada a pacientes e investigadores.
- Responsabilidades de las diferentes entidades participantes.
- Gestión de proveedores y encargados del tratamiento.
- Medidas técnicas y organizativas de seguridad.
- Procedimientos ante posibles brechas de seguridad.
- Evaluaciones de impacto cuando sean necesarias.
- Plazos de conservación de la información.
- Procesos de anonimización y seudonimización.
- Transferencias internacionales de datos.
- Control de accesos y formación del personal.
La clave está en que la protección de datos forme parte del propio diseño de los procesos y no se convierta en una actuación que se realiza únicamente cuando aparece un problema.
Proteger los datos también es proteger el negocio
La protección de datos no debería entenderse únicamente como una obligación legal. Una adecuada gestión de la información permite reducir riesgos, mejorar la seguridad y reforzar la confianza de pacientes, colaboradores y profesionales.
Además, una organización que trabaja correctamente la privacidad y la seguridad está mejor preparada para afrontar cambios regulatorios y tecnológicos.
La futura actualización del Código de Conducta de Farmaindustria refleja precisamente esta necesidad de adaptación. La investigación clínica avanza, aparecen nuevas tecnologías y aumenta la capacidad para utilizar grandes cantidades de información sanitaria. Pero ese progreso debe ir acompañado de garantías suficientes para proteger los derechos de las personas.
Una cuestión de responsabilidad
La experiencia del Código de Conducta demuestra la importancia de establecer criterios comunes en sectores donde el tratamiento de datos personales presenta una especial complejidad.
Para las organizaciones, el mensaje es claro: la protección de datos debe revisarse y actualizarse de forma periódica, especialmente cuando se trabaja con información sanitaria o con tecnologías capaces de transformar la forma en que se gestionan los datos.
Proteger la información no significa frenar la innovación. Significa establecer las garantías necesarias para que esa innovación pueda desarrollarse con seguridad, confianza y respeto a los derechos de las personas.
