El Informe 0583/2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la conformidad con la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) de la creación de una base de datos común de altas y bajas de médicos para laboratorios farmacéuticos. La consulta plantea la creación de un fichero con datos personales de médicos y centros de salud, que sería utilizado por los laboratorios clientes para fines de prospección comercial.
El informe destaca que la conducta descrita implica tres acciones principales: la cesión de datos por parte de los laboratorios clientes a la consultante, la recogida y tratamiento de datos personales por la consultante, y la cesión de estos datos a otros laboratorios clientes. Según la LOPD, una cesión de datos es cualquier revelación de datos a una persona distinta del interesado, y el tratamiento de datos incluye operaciones como la recogida, grabación, conservación y cesión de datos.
El artículo 6 de la LOPD establece que el tratamiento de datos personales requiere el consentimiento inequívoco del afectado, salvo en casos específicos donde la ley disponga otra cosa. En este caso, la recogida de datos no parece encajar en ninguna de las excepciones al consentimiento, por lo que sería necesario obtener el consentimiento previo de los médicos afectados.
Además, el artículo 5.4 de la LOPD indica que, si los datos no han sido recabados del interesado, este debe ser informado de forma expresa y precisa dentro de los tres meses siguientes al registro de los datos. Dado que los datos no proceden de fuentes accesibles al público, la consultante debe informar a los médicos y obtener su consentimiento para el tratamiento de sus datos.
En cuanto a las cesiones de datos actualizados a otros laboratorios clientes, el artículo 11.1 de la LOPD establece que los datos solo pueden ser comunicados a un tercero con el previo consentimiento del interesado, salvo en casos específicos enumerados en el artículo 11.2. En este caso, no se menciona ninguna excepción aplicable, por lo que sería necesario obtener el consentimiento previo de los médicos para la cesión de sus datos.
En conclusión, la creación de la base de datos común de altas y bajas de médicos para laboratorios farmacéuticos solo será conforme a la LOPD si se obtiene el consentimiento previo de los médicos afectados tanto para la recogida y tratamiento de sus datos como para su cesión a otros laboratorios clientes. La consultante debe asegurarse de cumplir con estas exigencias legales para evitar incumplimientos de la normativa de protección de datos.