O 7 de febreiro de 2020 asinouse a Instrución 2/2020 relativa ao protocolo para o tratamento de datos de saúde en estudos de investigación biomédica, instrución conxunta do secretario xeral técnico da Consellería de Sanidade e do xerente do Servizo Galego de Saúde.
Sinala a exposición de motivos que o novo marco normativo que regula o tratamento dos datos persoais levou a aprobar a Lei orgánica 3/2018, do 5 de decembro, de protección de datos persoais e garantía dos dereitos dixitais, onde se establecen previsións encamiñadas a garantir o adecuado desenvolvemento da investigación biomédica, tendo en consideración os beneficios que esta achega á sociedade ao tempo que garante o dereito fundamental á protección de datos.
Estas modificacións lexislativas no ámbito da protección de datos fan preciso a actualización do procedemento para o tratamento de datos de saúde en estudos de investigación biomédica que se levan a cabo no ámbito dos centros do Sistema Público de Saúde de Galicia e, así mesmo, considérase necesaria a súa publicación no Diario Oficial de Galicia, sen prexuízo da súa difusión de acordo co previsto na lexislación en materia de transparencia e ao abeiro do disposto no artigo 6 da Lei 40/2015, do 1 de outubro, de réxime xurídico do sector público,
RESOLVO:
Ordenar a publicación da Instrución 2/2020 relativa ao protocolo para o tratamento de datos de saúde en estudos de investigación biomédica, ditada o 7 de febreiro de 2020, como anexo a esta resolución.
Santiago de Compostela, 10 de febreiro de 2020
Alberto Fuentes Losada
Secretario xeral técnico da Consellería de Sanidade
ANEXO
Instrución 2/2020 relativa ao protocolo para o tratamento de datos de saúde
en estudos de investigación biomédica
A entrada en vigor do Regulamento (UE) 2016/679 do Parlamento Europeo e do Consello, do 27 de abril de 2016, relativo á protección das persoas físicas no que respecta ao tratamento do seus datos persoais e a libre circulación destes datos (RGPD), estableceu un novo marco normativo que regula o tratamento dos datos persoais o que levou a aprobar a Lei orgánica 3/2018, do 5 de decembro, de protección de datos persoais e garantía dos dereitos dixitais (LOPDGDD). A disposición adicional décimo sétima desta lei orgánica regula o tratamento de datos de saúde, en particular a investigación biomédica.
Tanto o RGPD como a Lei orgánica 3/2018, do 5 de decembro, establecen previsións encamiñadas a garantir o adecuado desenvolvemento da investigación biomédica, tendo en consideración os beneficios que esta achega á sociedade ao tempo que garante o dereito fundamental á protección de datos.
Así, segundo o RGPD, as operacións de tratamento ulterior con fins de investigación científica e histórica ou fins estatísticos deben considerarse operacións de tratamento lícitas compatibles, e o considerando 156 establece que o tratamento ulterior de datos persoais con fins de arquivamento en interese público, fins de investigación científica ou histórica ou fins estatísticos efectuarase cando o responsable do tratamento avaliase a viabilidade de cumprir eses fins mediante un tratamento de datos que non permita identificar os interesados, ou que xa non o permita, sempre que existan as garantías adecuadas (como, por exemplo, a seudonimización de datos).
A Lei 7/2019, do 23 de decembro, de medidas fiscais e administrativas, no artigo 37, engade unha disposición adicional única na Lei 8/2008, do 10 de xullo, de saúde de Galicia, relativa á posta en marcha dun Sistema integrado de información da investigación clínica do Sistema Público de Saúde de Galicia que dea cobertura a todos os centros que o compoñen, coa finalidade de aproveitar as sinerxías en investigación clínica e facilitar e fomentar a incorporación de terapias innovadoras en fases temperás de desenvolvemento.
De conformidade con esta disposición adicional única, a Consellería de Sanidade, como responsable do tratamento dos datos dentro do Sistema Público de Saúde de Galicia, incluirá no rexistro de actividades de tratamento efectuadas baixo a súa responsabilidade a información sobre os tratamentos de datos con fins de investigación en saúde e, en particular, con fins de investigación biomédica, conforme o previsto no artigo 30 do RGPD. Así mesmo, calquera estudo de investigación con datos de saúde que se realice no Sistema Público de Saúde de Galicia requirirá a valoración previa por parte da consellería competente en materia de sanidade, como responsable do tratamento, sobre a existencia de base lexítima para o tratamento.
Pola súa banda, o Decreto 134/2019, do 10 de outubro, polo que se regulan as áreas sanitarias e os distritos sanitarios do Sistema Público de Saúde de Galicia, establece entre as funcións da Xerencia da Área Sanitaria, artigo 6.t), a de asumir as tarefas de encargado de tratamento, nos termos definidos na lexislación en materia de protección das persoas físicas no que respecta ao tratamento de datos persoais. Estas tarefas aplicaranse a todos aqueles tratamentos que conteñan datos de tal carácter nos centros ou servizos abranguidos no seu respectivo ámbito e realizaranse seguindo as instrucións corporativas emitidas pola persoa titular da Consellería de Sanidade, na súa condición de responsable destes tratamentos, sen prexuízo das funcións atribuídas neste ámbito á Subdirección Xeral de Sistemas e Tecnoloxías da Información.
Estas modificacións lexislativas no ámbito da protección de datos fan preciso a actualización do procedemento para o tratamento de datos de saúde en estudos de investigación biomédica que se levan a cabo no ámbito dos centros do Sistema Público de Saúde de Galicia.
Por todo o anteriormente exposto, ao abeiro do artigo 6 da Lei 40/2015, do 1 de outubro, de réxime xurídico do sector público, e do artigo 7.1.a) do Decreto 136/2019, do 10 de outubro, polo que se establece a estrutura orgánica da Consellería de Sanidade, dítanse as seguintes instrucións:
Primeira. Obxecto
Estas instrucións teñen por obxecto establecer un protocolo común para o tratamento de datos de saúde en estudos de investigación biomédica que se levan a cabo no ámbito de órganos administrativos e entidades instrumentais da Consellería de Sanidade e centros e institucións sanitarias do Sistema Público de Saúde de Galicia (en diante, SPSG).
Segunda. Informe do comité de ética da investigación
Todos os estudos de investigación biomédica que se leven a cabo no ámbito do SPSG deberán contar co informe previo favorable do comité de ética da investigación correspondente (en diante, CEI), tal como se establece na normativa sectorial aplicable aos estudos de investigación con seres humanos e no número 2.c) da disposición adicional décimo sétima da Lei orgánica 3/2018, do 5 de decembro, de protección de datos persoais e garantía dos dereitos dixitais.
Terceira. Autorización dos estudos de investigación biomédica
Con independencia de que se dispoña de consentimento do paciente, precisarán de autorización do SPG a realización de estudos de investigación biomédica que cumpran algunha das seguintes condicións:
a) Traten datos de pacientes do SPSG.
b) Empreguen infraestruturas do SPSG.
c) Inclúan pacientes do SPSG.
A autorización do SPSG quedará establecida a través dun contrato entre o responsable do SPSG e o promotor do estudo de investigación. O procedemento para asinar o devandito contrato detállase nas instrucións cuarta e quinta (e, a modo de resumo, no anexo).
O promotor do estudo, que pode coincidir ou non co investigador principal, será a persoa física ou xurídica responsable de iniciar, xestionar e organizar o seu financiamento.
O investigador principal terá a consideración de encargado de tratamento no ámbito do estudo de investigación. O investigador principal é o investigador responsable dentro dun equipo de investigadores que realizan o estudo nun centro.
Cando o promotor e o investigador principal do estudo coincidan e se trate dun profesional do Sistema Público de Saúde de Galicia, entenderase que o responsable dos datos é o Sistema Público de Saúde de Galicia e o promotor/investigador principal é o encargado do tratamento no estudo.
Nos estudos en que o promotor é diferente ao investigador principal (entre outros, estudos promovidos pola industria farmacéutica) ou estudos en que o investigador principal non é un profesional do SPSG (entre outros, cando o investigador principal é un profesional dunha universidade), avaliarase, por parte do responsable do tratamento e de acordo co esquema establecido nas instrucións cuarta e quinta, de maneira individualizada, o modelo de responsabilidade no que respecta ao tratamento dos datos de carácter persoal quedando fixada esta responsabilidade nos contratos que se asinen entre as partes implicadas. O modelo de responsabilidade no tratamento dos datos no caso dos estudos clínicos con medicamentos seguirá as recomendacións que estableza a Axencia Española de Medicamentos e Produtos Sanitarios.
Cuarta. Estudos de alto impacto na privacidade
Considérase un estudo de alto impacto na privacidade aquel que cumpra algunha das seguintes condicións:
a) Estudos con informe favorable dun CEI do SPSG en que o comité estableza o carácter de alto impacto na privacidade deixando constancia desta condición no informe do estudo.
b) Estudos que impliquen a utilización/prescrición aos pacientes de apps.
c) Estudos en que se produzan comunicacións de datos de pacientes fóra do ámbito do SPSG.
d) Estudos que teñan como finalidade a creación de rexistros ou a inclusión de pacientes en rexistros xa existentes que non pertenzan aos rexistros propios do SPSG.
e) Estudos que pretendan incluír máis de 1.000 pacientes do SPSG ou máis de 500 pacientes nunha única área sanitaria do SPSG.
A área sanitaria poderá valorar condicións distintas ás anteriormente citadas (entre outras, factores estratéxicos) para considerar o estudo de alto impacto.
Para os estudos de alto impacto na privacidade, os contratos deberán ser asinados pola Secretaría Xeral Técnica da Consellería de Sanidade, en tanto que responsable de tratamento do SPSG.
O estudos que non cumpran as características antes detalladas serán considerados estudos de baixo impacto para a privacidade e, neste caso, os contratos serán asinados polo titular das xerencias das áreas sanitarias do SPSG onde se van levar a cabo os estudos de investigación. En cada área sanitaria establecerase unha unidade, con funcións na organización da investigación de acordo coa súa estrutura, e que será a responsable da xestión deste procedemento.
Non serán considerados como estudos de «alto impacto na privacidade» os estudos observacionais postautorización con medicamentos de seguimento prospectivo (EPA-SP), os ensaios clínicos con medicamentos e as investigacións con produtos sanitarios, por canto están regulados en normativa sectorial específica en que se establece o marco de realización deles e en que xa queda detallado o requisito de asinar un contrato entre o promotor e a área sanitaria onde se vai realizar.
Para estes efectos, a disposición adicional única da Lei 8/2008, do 10 de xullo (engadida pola anteriormente citada Lei 7/2019, do 23 de decembro) sinala que a Axencia Galega para a Xestión do Coñecemento en Saúde promoverá o traballo en rede que facilite a xestión dos distintos tipos de estudos de investigación e a colaboración e a coordinación entre os distintos centros, entidades e servizos sanitarios. Para iso, aprobará modelos de contratos para a realización dos ensaios clínicos e recomendacións e instrucións para a realización dos devanditos estudos de investigación no Sistema Público de Saúde de Galicia.
Quinta. Comisión técnica asesora do responsable do SPSG
Para o apoio no proceso de autorización dos estudos de alto impacto na privacidade, a Secretaría Xeral Técnica da Consellería de Sanidade, en tanto que responsable de tratamento do SPSG, poderá asesorarse en tanto non se defina a súa composición regulamentariamente por unha comisión técnica nomeada para o efecto, a cal avaliará aqueles estudos considerados de «alto impacto na privacidade» que lle foran remitidos polas unidades responsables das áreas sanitarias, e que será a mesma que participará no procedemento para o tratamento de datos complementarios aos rexistros de historias clínicas.
Esta comisión asesora técnica terá en conta o balance entre o potencial impacto na privacidade, así como a pertinencia e a adecuación aos intereses estratéxicos do SPSG.
Procurarase que a composición da comisión sexa a que se indica a seguir:
a) Dúas persoas en representación da Dirección Xeral de Asistencia Sanitaria do Servizo Galego de Saúde, en concreto, das subdireccións con competencias en materia de documentación clínica e de farmacia.
b) Unha persoa en representación da Axencia Galega para o Coñecemento en Saúde (ACIS).
c) Unha persoa en representación da Dirección Xeral de Saúde Pública da Consellería de Sanidade.
d) Unha persoa en representación da Subdirección Xeral de Sistemas e Tecnoloxías da Información da Consellería de Sanidade.
e) Unha persoa en representación dos comités de ética da investigación de Galicia.
f) O/a delegado/a de protección de datos do SPSG, que exercerá as funcións de secretario/a da comisión.
g) Unha persoa en representación rotatoria das áreas sanitarias do SPSG.
h) A persoa titular da Secretaría Xeral Técnica da Consellería de Sanidade, en tanto que responsable do tratamento de datos persoais, exercerá a presidencia da comisión.
A comisión emitirá un informe xustificativo da súa decisión, relativo á realización ou non dos estudos de «alto impacto na privacidade» así como o contrato de tratamento proposto para cada estudo e que deberán asinar as partes implicadas (persoa titular da Secretaría Xeral Técnica e o promotor/investigador) do estudo.
Sexta. Condicións de tratamento dos datos
Os dereitos dos afectados serán exercidos ante o responsable do tratamento no SPSG a través das vías establecidas.
As obrigas que asuman os promotores ou investigadores principais como encargados do tratamento estarán suxeitas ás instrucións do responsable do SPSG. Tamén serán os encargados de velar polo cumprimento de calquera outra autorización que poida ser pertinente (por exemplo, encargos de tratamento a terceiros para a realización de actividades dentro do estudo).
Para facilitar o traballo de profesionais individuais e de grupos de investigación do SPSG, porase á disposición das áreas sanitarias modelos de contratos de tratamento sinxelos (contratos de cláusulas de tratamento, medidas de seguridade, análises de riscos e avaliacións de impacto) que cubran os estudos de investigación de baixo impacto na privacidade e que se leven a cabo por persoal do SPSG e dos institutos de investigación sanitaria en que participa o SPSG.
Os datos obxecto de tratamento deberán almacenarse en dispositivos que estean dentro do control do SPSG, con estritas medidas para garantir as 5 dimensións: confidencialidade, integridade, dispoñibilidade, non repudio e rastrexabilidade. A saída de datos fóra do ámbito de control técnico do SPSG deberá ser excepcional, con xustificación previa do encargado do tratamento, e autorizada polo responsable ou en quen este delegue no caso dos estudos de baixo impacto na privacidade.
Sétima. Seudonimización
Segundo a disposición adicional única da Lei 8/2008, do 10 de xullo, a Consellería de Sanidade creará un rexistro autonómico de xestión dos consentimentos recollidos na disposición adicional décimo sétima da Lei orgánica 3/2018, do 5 de decembro. Neste rexistro recolleranse de xeito coherente e unificado os ditos consentimentos, garantindo o máximo respecto aos dereitos recoñecidos no tratamento de datos relativos ás persoas físicas no marco dos proxectos de investigación en saúde.
Este rexistro estará conectado co Sistema integrado de información da investigación clínica do SPSG e coa historia clínica electrónica.
En tanto en canto non se desenvolva este rexistro, a custodia, dentro das instalacións do SPSG, dos consentimentos asinados polos participantes nos estudos de investigación será responsabilidade do investigador principal.
Naqueles casos en que non sexa posible tendo en conta as características do estudo a obtención do consentimento expreso do/da interesado/a ou do seu representante legal, e logo de informe favorable do CEI, poderán empregarse datos seudonimizados sempre que se dean as seguintes condicións:
a) O procedemento de seudonimización deberá cumprir o establecido no número 2.d) da disposición adicional décimo sétima da Lei orgánica 3/2018, do 5 de decembro. En particular, o uso de datos persoais seudonimizados requirirá unha separación técnica e funcional entre o equipo investigador e quen realice a seudonimización e conserve a información que posibilite a reidentificación.
b) Priorizarase os procedementos de seudonimización automatizados sempre que estes sexan posibles tendo en conta a natureza dos datos que se traten no estudo. Aínda así a seudonimización poderá abranguer escenarios máis complexos que a execución de procesos informáticos (por exemplo nos casos en que os datos clínicos precisos para o estudo están en papel ou no caso en que os datos clínicos precisan da interpretación dun profesional sanitario para a súa extracción).
c) Deberá existir un compromiso expreso de confidencialidade por parte do investigador principal e de non realizar ningunha actividade de reidentificación.
d) Deberán adoptarse medidas de seguridade específicas para evitar a reidentificación e o acceso de terceiros non autorizados.
Este proceso deberá ser proposto polo investigador e deberá estar detallado dentro do contrato de tratamento. A xestión deste contrato de tratamento seguirá o indicado nas cláusulas cuarta e quinta de maneira que para os estudos de alto impacto na privacidade os contratos deberán ser asinados pola Secretaría Xeral Técnica da Consellería de Sanidade, e para os de baixo impacto os contratos serán asinados polo titular das xerencias das áreas sanitarias. En ambos os casos, térase en conta que o proceso de seudonimización cumpre coas condicións indicadas nas letras anteriores.
Cómpre lembrar que os datos seudonimizados seguen tendo a consideración de datos de carácter persoal.
Nos supostos excepcionais recollidos na citada disposición adicional decimo sétima en que proceda a reindentificación dos datos na súa orixe, o investigador solicitará informe motivado ao comité de ética asistencial da área sanitaria onde estea adscrito o paciente.
Oitava. Estudos de investigación declarados de interese sanitario asistencial ou de interese para a saúde pública
Entre as funcións do comité de ética da investigación con medicamentos de Galicia, segundo as previstas no artigo 4.3.h) do Decreto 63/2013, do 11 de abril, polo que se regulan os comités de ética da investigación en Galicia (na redacción dada pola modificación introducida mediante o Decreto 81/2015, do 28 de maio), figura a de avaliar e realizar o seguimento daqueles estudos de investigación e/ou innovación que sexan considerados de interese sanitario asistencial ou de interese para a saúde pública pola persoa titular da consellería competente en materia de sanidade. A resolución pola que se realice tal consideración deberá ser motivada e remitida ao comité de maneira previa á avaliación do estudo.
Novena. Utilización de datos de persoas falecidas
Os datos de persoas falecidas non teñen a consideración de datos de carácter persoal e poderán ser utilizado en estudos de investigación sempre que se constate que non existe oposición expresa da persoa falecida para o uso do seus datos con este fin a través da consulta das instrucións previas, se as tivera feito.
Os estudos de investigación en que se prevexa incluír datos de persoas falecidas deberán igualmente seguir os procedementos ditados nestas instrucións.
Décima. Aplicación
A presente instrución producirá efectos desde o día seguinte ao da súa sinatura ata o momento que entre en vigor unha disposición administrativa de carácter xeral que regule a materia.
ANEXO
Diagrama do procedemento para o tratamento de datos de saúde en estudos
de investigación biomédica no SPSG
