La protecci\u00f3n de los datos personales en el \u00e1mbito de la investigaci\u00f3n cl\u00ednica ha cobrado una gran relevancia en los \u00faltimos a\u00f1os. La creciente digitalizaci\u00f3n de los estudios, el uso de soluciones tecnol\u00f3gicas y la intervenci\u00f3n de m\u00faltiples actores han incrementado tanto la complejidad como el riesgo asociado al tratamiento de datos de salud. En este \u00e1mbito, la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (AEPD) ha emitido dos resoluciones sancionadoras contra una sociedad cient\u00edfica y un grupo de investigadores, respectivamente, por una brecha de seguridad sufrida por un proveedor de servicios de tecnolog\u00eda que prestaba servicios a dichas entidades. De estas resoluciones pueden extraerse algunos aprendizajes pr\u00e1cticos para minimizar el riesgo de sanci\u00f3n en estos casos.<\/p>\n\n\n\n
Deficiencias detectadas por la AEPD<\/strong><\/p>\n\n\n\n Las entidades sancionadas actuaban, en ambos casos, como promotores de un estudio (un registro de pacientes y un estudio observacional). Para gestionar la plataforma en la que se almacenaban los datos de salud, contaban con un proveedor de servicios que actuaba como encargado del tratamiento. La brecha de seguridad consisti\u00f3 en un acceso no autorizado que afect\u00f3 a los sistemas inform\u00e1ticos del proveedor. La investigaci\u00f3n realizada por la AEPD concluy\u00f3 que el encargado no contaba con las medidas t\u00e9cnicas y organizativas adecuadas, como el cifrado de los datos, para garantizar la seguridad de los datos.<\/p>\n\n\n\n Adem\u00e1s, en uno de los casos, la AEPD consider\u00f3 que exist\u00eda una deficiente delimitaci\u00f3n contractual de los roles de responsable y encargado entre el promotor y los centros participantes, lo que contribuy\u00f3 a una gesti\u00f3n inadecuada del incidente. Asimismo, la AEPD consider\u00f3 deficiente la respuesta ante la brecha, ya que la comunicaci\u00f3n a los afectados se realiz\u00f3 \u00fanicamente a trav\u00e9s de la web y a los hospitales y no mediante notificaci\u00f3n directa a los participantes.<\/p>\n\n\n\n Responsabilidad proactiva del promotor<\/strong><\/p>\n\n\n\n En las investigaciones cl\u00ednicas resulta fundamental aplicar el principio de \u201cprivacidad desde el dise\u00f1o\u201d. Esto implica asumir un enfoque orientado a la gesti\u00f3n del riesgo y de responsabilidad proactiva, que incluya la selecci\u00f3n de proveedores de servicios que aseguren la protecci\u00f3n de la privacidad de los participantes a lo largo de todo el estudio y tras su finalizaci\u00f3n.<\/p>\n\n\n\n En el caso de los estudios cl\u00ednicos, esta responsabilidad proactiva corresponde al promotor, que es considerado \u201cresponsable del tratamiento\u201d de los datos. En virtud del Reglamento General de Protecci\u00f3n de Datos (RGPD) el responsable es quien determina los fines y medios del tratamiento de datos. No obstante, tambi\u00e9n pueden llegar a ostentar tal condici\u00f3n quienes, aun no siendo promotores, financien el estudio, como sucede en el caso de los llamados \u201cInvestigator Initiated Studies\u201d, donde a cambio de la financiaci\u00f3n pueden llegar a tener acceso a datos personales en el contexto del estudio.<\/p>\n\n\n\n Elecci\u00f3n del encargado y medidas de control<\/strong><\/p>\n\n\n\n La AEPD recuerda que el art\u00edculo 28 del RGPD establece que el responsable del tratamiento debe elegir \u00fanicamente un encargado que ofrezca garant\u00edas suficientes para aplicar medidas t\u00e9cnicas y organizativas apropiadas al tratamiento que llevar\u00e1 a cabo. La adhesi\u00f3n del encargado a un c\u00f3digo de conducta o a un mecanismo de certificaci\u00f3n en materia de protecci\u00f3n de datos, como sellos y marcas de protecci\u00f3n de datos, son elementos que pueden ayudar a demostrar la existencia de estas garant\u00edas suficientes.<\/p>\n\n\n\n Dicho art\u00edculo tambi\u00e9n obliga al responsable del tratamiento a establecer contratos adecuados que regulen su relaci\u00f3n con el encargado, as\u00ed como a ejercer un control efectivo sobre las medidas t\u00e9cnicas y organizativas aplicadas por dicho encargado y, en su caso, por los subencargados que \u00e9ste \u00faltimo pueda a su vez contratar. En consecuencia, seg\u00fan la AEPD, el responsable no puede desentenderse de las actuaciones de sus encargados, sino que debe velar por su buena elecci\u00f3n y vigilancia.<\/p>\n\n\n\n De las resoluciones analizadas pueden extraerse otros aprendizajes.<\/p>\n\n\n\n En primer lugar, que cuando un responsable del tratamiento contrata un encargado no es suficiente con firmar cl\u00e1usulas tipo o confiar en la reputaci\u00f3n del proveedor. El deber de diligencia exigible al responsable del tratamiento le obliga a verificar que las medidas adoptadas son adecuadas al riesgo en cada caso, y que se mantienen actualizadas, mediante auditor\u00edas y documentaci\u00f3n de cumplimiento, verificaciones o checklists peri\u00f3dicos, informes de riesgos, etc.<\/p>\n\n\n\n En segundo lugar, tambi\u00e9n es importante tener en vigor procedimientos internos para la gesti\u00f3n de las brechas de seguridad, debidamente comunicados y actualizados. Estos procedimientos deben incluir informaci\u00f3n sobre los canales para comunicar las incidencias y las obligaciones de notificaci\u00f3n tanto a AEPD como a los afectados, as\u00ed como sobre tareas, roles y personas responsables de realizarlas.<\/p>\n","protected":false},"excerpt":{"rendered":" La protecci\u00f3n de los datos personales en el \u00e1mbito de la investigaci\u00f3n cl\u00ednica ha cobrado una gran relevancia en los \u00faltimos a\u00f1os. La creciente digitalizaci\u00f3n de los estudios, el uso de soluciones tecnol\u00f3gicas y la intervenci\u00f3n de m\u00faltiples actores han incrementado tanto la complejidad como el riesgo asociado al tratamiento de datos de salud. En… <\/p>\n