Tratamiento del dato de salud en el RGPD y en el Proyecto de LOPD PARTE II

Transcripción

1 Mesa redonda Tratamiento del dato de salud en el RGPD y en el Proyecto de LOPD PARTE II Miguel Geijo Agustín Puente Socios Broseta Abogados mgeijo@broseta.com / apuente@broseta.com

2 Previsiones del Proyecto de LOPD en materia de salud Tratamiento de categorías especiales de datos (art.9) No inclusión del dato de salud en los supuestos excluidos del mero consentimiento Principio de reserva de Ley para la habilitación del RGPD Exigencia de consentimiento para el tratamiento con fines estadísticos (art. 25) Existencia de potenciales riesgos a los efectos del análisis (art.28) Exigencia de DPO (art.34) Inclusión de los centros sanitarios obligados a la llevanza de la HC Excepción: profesionales de la salud que ejerzan su actividad a título individual Vigencia de habilitaciones existentes (DA 17ª.1) Especialidades del tratamiento en la investigación en salud (DA 17ª.2), incluyendo Remisión por la Ley General de Sanidad nuevo art.105 bis- (DF 5ª) Remisión en cuanto al acceso a las HC en la LAP nuevo párrafo en art (DF 9ª)

3 Punto de partida Dudas de las sociedades científicas: Artículo 6 PLOPD ( cada una vs. todas ). Disposición final 9ª. Comparecencias en la Comisión de Justicia: Casi todos los grupos se hicieron eco de esta preocupación. Intervención de expertos en investigación sanitaria. Posición AEPD en las comparecencias: Vigencia art. 9.2 j) RGPD. Vigencia de la normativa sanitaria y de investigación actual. EL RGPD permite interpretación amplia del consentimiento y las finalidades de investigación.

4 Informe de la AEPD (2/3/18) Objeto: incidencia del RGPD en la investigación en salud y, en particular, la biomédica. Estudio de la evolución normativa en la materia. Punto de partida: marco con la LOPD: Art. 7.3: consentimiento o habilitación legal. Art. 5 LIB Garantía de la confidencialidad y la protección de datos. Consentimiento expreso y escrito en la cesión de datos a terceros. - Especialidades art. 60 LIB. Consentimiento para la publicación de resultados si no cabe la disociación. Relevancia de los conceptos de codificación y anonimización.

5 Informe de la AEPD (2/3/18) Punto de partida: marco con la LOPD: Art. 58 LIB (consentimiento en uso de muestras): Toma de muestras: consentimiento escrito e informado acerca de las consecuencias del tratamiento y los riesgos para la salud. Uso de las muestras: consentimiento en caso de uso para una finalidad distinta, incluso en caso de anonimización. Excepcionalmente en casos de imposibilidad o esfuerzo desproporcionado será posible el tratamiento sin consentimiento, previo dictamen del Comité de Ética de Investigación. Requisitos: Investigación de interés general. Llevada a cabo por la misma institución. Necesidad de tratar los datos del sujeto fuente. No exista oposición u objeción del sujeto fuente. Garantías de confidencialidad de los datos.

6 Informe de la AEPD (2/3/18) Impacto del RGPD: Delimitación: tratamiento de categorías especiales de datos: datos de salud y datos genéticos. Artículo 9: regla general de prohibición y excepciones: 9.2 a): Consentimiento del interesado. 9.2 j): Fines de investigación científica sobre la base del derecho de la UE o el derecho interno. Remisión al art. 89: o Medidas técnicas y organizativas que garanticen la minimización. o Seudonimización en el tratamiento. o Anonimización en la publicidad de los resultados. o Restricción de los derechos de acceso, rectificación, supresión y oposición siempre que: - Sea probable que obstaculicen o imposibiliten el logro de los fines. - Sea necesario para alcanzar esos fines científicos.

7 Informe de la AEPD (2/3/18) Impacto del RGPD. Alcance del consentimiento para usos secundarios y reutilización de los datos: Punto de partida: alcance limitado a supuestos en que no quepa otra base legal (art. 9.2 j). Considerando 159: interpretación amplia del consentimiento para fines de investigación científica: que incluya, por ejemplo, el desarrollo tecnológico y la demostración, la investigación fundamental, la investigación aplicada y la investigación financiada por el sector privado. Objetivo de un espacio europeo de investigación (art TFUE). Inclusión de los estudios realizados en interés público en el ámbito de la salud pública. Atención a los resultados beneficiosos sobre el afectado en la aplicación de las normas del RGPD.

8 Informe de la AEPD (2/3/18) Impacto del RGPD. Alcance del consentimiento para usos secundarios y reutilización de los datos: Considerando 157: ampliación del ámbito de la investigación: Utilidad del uso de información disponible en distintos registros: herramienta para la mejora de la calidad de vida y la eficiencia de los servicios sociales. Para facilitar la investigación científica, los datos personales pueden tratarse con fines científicos, a reserva de condiciones y garantías adecuadas establecidas en el Derecho de la Unión o de los Estados miembros. Considerando 52: habilitación general: Necesidad de excepciones al consentimiento con garantías adicionales. Referencia al ámbito sanitario y a la investigación científica.

9 Informe de la AEPD (2/3/18) Impacto del RGPD. Alcance del consentimiento para usos secundarios y reutilización de los datos: Considerando 53: necesidad del tratamiento: Las categorías especiales de datos personales que merecen mayor protección únicamente deben tratarse con fines relacionados con la salud cuando sea necesario para lograr dichos fines en beneficio de las personas físicas y de la sociedad en su conjunto. Considerando 33: investigación: Con frecuencia no es posible determinar totalmente la finalidad del tratamiento de los datos personales con fines de investigación científica en el momento de su recogida. Por consiguiente, debe permitirse a los interesados dar su consentimiento para determinados ámbitos de investigación científica que respeten las normas éticas reconocidas para la investigación científica. Los interesados deben tener la oportunidad de dar su consentimiento solamente para determinadas áreas de investigación o partes de proyectos de investigación, en la medida en que lo permita la finalidad perseguida.

10 Informe de la AEPD (2/3/18) Conclusiones: El tratamiento de datos en la investigación en salud Interpretación no restrictiva de los términos específico e inequívoco aplicados al consentimiento: o Extensión a campos de investigación. o Aplicación a finalidades o áreas de investigación que ni siquiera hubieran podido determinarse en el momento en que se prestó sin que sea necesario recabar un nuevo consentimiento del sujeto fuente, teniendo en cuenta los beneficios para los individuos y la sociedad en su conjunto que pueden derivarse de tal investigación no prevista. Ejemplo: de la investigación en un determinado tipo de cáncer a la investigación oncológica o incluso para ámbitos más extensos. Posible aplicación de reglas de correlación o causalidad. Interpretación del consentimiento en RGPD más amplia que la establecida en la LIB. Necesaria interpretación del artículo 28.2 y el considerando 29 del Reglamento de Ensayos clínicos de forma armonizada con este nuevo marco legal.

11 Enmiendas al Proyecto de Ley Orgánica Referencia a la investigación en salud por casi todos los Grupos Parlamentarios. Alcance de las enmiendas: Art. 6: consentimiento compatible en relación con fines de difícil determinación o especificación (3 UP, 34 PNV). Art. 8: consideración de la investigación en salud como Misión de interés público (74 Cs). Reiteración habilitaciones legales ya existentes (3 UP y 75 Cs). Art. 28: referencia expresa ala investigación científica en la norma referida al archivo de interés público (40 PNV). Inclusión de la DA 9ª del Anteproyecto (26 UP, 94 Cs y 329 PSOE). Lista de habilitaciones legales consideradas vigentes (362 PP). Regulación en un Capítulo específico del tratamiento de datos para la investigación científica y biomédica (261 y 268 a 275 PSOE).

12 Dictamen de la Comisión (10/10/2018) Regulación detallada del tratamiento de datos de salud y genéticos en el ámbito sanitario (DA 17ª): Rango de Ley Orgánica (DF 1ª). Vigencia de las habilitaciones legales existentes al tiempo de su entrada en vigor. Regulación detallada del tratamiento de datos de salud en el ámbito de la investigación en salud y biomédica: Tanto en relación con el alcance del consentimiento, la reutilización, la vigencia de los derechos o las garantías a adoptar. Supone la plasmación en la Ley de la autorización que establecía la DA 9ª del Anteproyecto.

13 Vigencia de habilitaciones legales (DA 17ª.1) Fundamento en artículo 9.2 del RGPD: Interés público esencial (letra g). Medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social (letra h). razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios (letra i). Tratamiento con fines de investigación científica (letra j).

14 Vigencia de habilitaciones legales (DA 17ª.1) Referencias expresas: Ley general de Sanidad. Ley de Prevención de Riesgos Laborales. Ley de autonomía del paciente. Ley de cohesión y calidad del Sistema Nacional de Salud. Ley de ordenación de las profesiones sanitarias. Ley de Investigación biomédica. Ley General de Salud Pública. Ley de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras. Texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios. Texto refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social.

15 Regulación de la investigación en salud Alcance del consentimiento (apº 2 a): El concepto con fines de investigación en salud y, en patricular, la biomédica podrá abarcar categorías relacionadas con áreas generales vinculadas a una especialidad médica o investigadora. Salud pública (apº 2 b): No será preciso el consentimiento para que las autoridades sanitarias e instituciones públicas con competencias en vigilancia de la salud pública puedan llevar a cabo estudios científicos en situaciones de excepcional relevancia y gravedad para la salud pública.

16 Regulación de la investigación en salud Reutilización con previo consentimiento (apº 2 c): Licitud cuando habiéndose obtenido el consentimiento para una finalidad concreta, se utilicen los datos para finalidades o áreas de investigación relacionadas con el área en la que se integrase científicamente el estudio inicial. Publicación de la información exigida por el artículo 13 RGPD en la web del investigador y del promotor y notificación por medios electrónicos a los afectados. Informe favorable del CEI.

17 Regulación de la investigación en salud Reutilización con datos seudonimizados (apº 2 d): Licitud si se cumplen ciertos requisitos: o Barreras técnicas y funcionales entre quienes realizan la seudonimización y quienes llevan a cabo la investigación. o Requisitos previos al acceso a los datos por los investigadores: Compromiso de confidencialidad y no reidentificación. Medidas de seguridad adicionales. Posibilidad de reidentificación si se aprecia que existe un peligro real y concreto para la seguridad o salud de una persona o grupo de personas, o una amenaza grave para sus derechos o sea necesaria para garantizar una adecuada asistencia sanitaria.

18 Regulación de la investigación en salud Excepciones a los derechos (apº 2 e): Alcance: acceso, rectificación, supresión y oposición. Supuestos: Ejercicio ante investigadores que utilicen datos anonimizados o seudonimizados. Ejercicio referido a los resultados de la investigación. Supuestos del artículo 23 RGPD: interés público esencial relacionado con la seguridad del Estado, la defensa, la seguridad pública u otros objetivos importantes de interés público general previstos en una norma con rango de Ley.

19 Regulación de la investigación en salud Medidas adicionales de responsabilidad activa (apº 2 f y g) : Evaluación de impacto en la protección de datos, con especial referencia a los riesgos de reidentificación. Aplicación de normas de calidad y directrices de buena práctica clínica. Garantías de restricción del acceso por los investigadores a los datos de identificación de los sujetos fuente. Designación de un representante legal en los términos del Reglamento de Ensayos Clínicos, que puede coincidir con el del RGPD. En caso de datos seudonimizados Informe previo del CEI o en su defectos del DPO o de un experto con similar cualificación. Inclusión de un DPO o experto en los CEI (Apº 2 h). El dictamen recoge el plazo de un año para su inclusión, que no aparecía recogido en el Informe de la Ponencia de 26/9/18