Tractaments per a investigació científica sense consentiment

TRACTAMENT DE DADES PERSONALS AMB FINS D'INVESTIGACIÓ CIENTÍFICA SENSE NECESSITAT DE RECAPTAR EL CONSENTIMENT

El GDPR estableix que un tractament només serà lícit si es pot basar almenys amb una de les bases jurídiques de l'art. 6.1.; a més, si aquest tractament inclou dades de categoria especial (art. 9.1. GDPR), aquestes dades només es podran tractar si es donen una de les excepcions de l'art. 9.2 GDPR.

Per al cas del tractament de dades personals amb finalitats de recerca científica o investigació en salut emparades a l'art. 6.1.a) i 9.2.a) GDPR, és a dir basats en el consentiment explícit de l'interessat; si acudim al considerant 33 del GDPR, trobem que s'indica que en aquests tractaments, sovint no és possible determinar totalment la finalitat del mateix en el moment de la recollida de les dades, per la qual cosa si es pretén basar en el consentiment no implica que aquest hagi de ser prestat de manera particular per a cada investigació o projecte concret, ja que els interessats poden donar el seu consentiment per a determinats àmbits de la investigació o per a concrets projectes o parts d'aquests; de manera que podríem plantejar-nos si realment pot ser considerat aquest tipus de consentiment, quan és tan ampli, com un consentiment informat i transparent, i per tant vàlid. I si aquesta manca de transparència podria fer que l'interessat no tingui clar el destí de les seves dades i, per tant, la seva capacitat de control.

1. Legitimació del tractament:

Per evitar basar el tractament amb finalitats de recerca científica o investigació en salut en el consentiment explícit de l'interessat, podríem valorar fer-ho amb:

• Art. 6.1.e) GDPR, quan sigui necessari per complir una missió realitzada en interès públic o en l'exercici de poders públics conferits al responsable del tractament.

Les autoritats sanitàries i institucions públiques amb competències en vigilància de la salut pública podran dur a terme estudis científics sense el consentiment dels afectats en situacions d'excepcional rellevància i gravetat per a la salut pública (Apartat 2.b) DA 17a LOPDGDD).

• Art. 6.1.f) GDPR, quan sigui necessari per a la satisfacció d'interessos legítims perseguits pel responsable del tractament o per un tercer, sempre que sobre aquests interessos no prevalguin els interessos o els drets i les llibertats fonamentals de l'interessat que requereixin la protecció de dades personals, en particular quan l'interessat sigui un nen.
• Art. 5.1.b) GDPR, compatibilitat amb les finalitats inicials, és a dir l'excepció que conté aquest article al “principi de limitació de la finalitat”, quan indica que el tractament ulterior de les dades amb finalitats de recerca científica “no es considerarà incompatible amb les finalitats inicials”, sempre que s'adoptin garanties i salvaguardes adequades per a la protecció dels drets i llibertats dels interessats, de conformitat amb l'art. 89.1 GDPR.

El corrobora el considerant 50, quan indica que les operacions de tractament ulterior amb fins d'arxiu en interès públic, fins d'investigació científica i històrica o fins estadístiques s'han de considerar operacions de tractament lícites compatibles. La base jurídica establerta al Dret de la Unió o dels Estats membres per al tractament de dades personals també pot servir de base jurídica per al tractament ulterior.

A la LOPDGDD, aquesta possibilitat s'estableix, encara que en el cas de tractaments basats en el consentiment, a l'apartat 2.c) de la D.A. 17a, en què s'indica que es considerarà lícita i compatible la reutilització de dades personals amb finalitats de recerca en matèria de salut i biomèdica quan, havent obtingut el consentiment per a una finalitat concreta, s'utilitzin les dades per a finalitats o àrees de recerca relacionades amb l'àrea on s'integrés científicament l'estudi inicial.

Per tant, el responsable del tractament no necessitarà una base jurídica diferent de la inicial (fos o no el consentiment) que va legitimar l'obtenció i el tractament de les dades personals si les destinarà ulteriorment a la investigació científica.

2. Habilitació per tractar dades de categoria especial:

D'acord amb el que preveu la DA 17a apartat 2.d), els tractaments de dades amb fins d'investigació científica emparats a les bases jurídiques previstes a l'art. 6.1. e) i f) GDPR, seran lícits, sense necessitat de demanar el consentiment explícit de l'interessat, sempre que el tractament de dades de categoria especial sigui necessari:

• Per raons d'interès públic en l'àmbit de la salut pública, (…) per garantir elevats nivells de qualitat i de seguretat de l'assistència sanitària i dels medicaments o productes sanitaris (art. 9.2.i GDPR).
• Per a fins d'arxiu en interès públic, fins d'investigació científica o històrica o fins estadístiques i de conformitat amb l'art. 89 (art. 9.2.j GDPR). O,

Ara bé, el GDPR exigeix una sèrie de garanties per compensar la pèrdua de drets i el control dels individus respecte a l'ús de les seves dades personals amb finalitats de recerca científica. En aquest cas, són l'aplicació de les salvaguardes adequades de l'art. 89.1 i les disposicions a aquest efecte establertes pels Estats membres.

3. Mesures:

D'acord amb el que preveu la DA 17a apartat 2.d), els tractaments de dades amb fins d'investigació científica emparats a les bases jurídiques previstes a l'art. 6.1. e) i f) GDPR, i habilitats el tractament de dades de categoria especial amb els arts. 9.2.i o 9.2.j GDPR, seran lícits, sense necessitat de demanar el consentiment explícit de l'interessat, sempre que el tractament es dugui a terme amb dades personals pseudonimitzades:

• En els que es doni una separació tècnica i funcional entre l'equip investigador i els que realitzin la pseudonimització i conservin la informació que possibiliti la reidentificació.
  
• Que només siguin accessibles a l'equip de recerca quan:
  • Hi hagi un compromís exprés de confidencialitat i de no realitzar cap activitat de reidentificació.
  • S'adoptin mesures de seguretat específiques per evitar la reidentificació i l'accés de tercers no autoritzats.

Podrà procedir-se a la reidentificació de les dades a l'origen, quan amb motiu d'una investigació que utilitzi dades pseudonimitzades, s'apreciï l'existència d'un perill real i concret per a la seguretat o salut d'una persona o grup de persones, o una amenaça greu per als seus drets o sigui necessària per garantir una assistència sanitària adequada.

• El seu ús haurà de ser sotmès a l'informe previ del comitè d'ètica de la investigació previst a la normativa sectorial. Si no hi ha l'esmentat Comitè, l'entitat responsable de la investigació requerirà informe previ del DPO o, si no n'hi ha, d'un expert amb els coneixements previs a l'art. 37.5 GDPR.
• D'acord amb el que preveu l'art. 89 GDPR, s'hagi procedit a:
  • Realitzar una avaluació d'impacte (EIPD) que inclogui de manera específica els riscos de reidentificació vinculats a l'anonimització o pseudonimització de les dades.
  • Sotmetre la investigació científica a les normes de qualitat i, si escau, a les directrius internacionals sobre bona pràctica clínica.
  • Adoptar, si escau, mesures dirigides a garantir que els investigadors no accedeixen a dades d'identificació dels interessats.
  • Designar un representant legal establert a la Unió Europea, d'acord amb l'article 74 del Reglament (UE) 536/2014, si el promotor d'un assaig clínic no està establert a la Unió Europea. Aquest representant legal podrà coincidir amb el previst a l'art. 27.1 GDPR