El informe jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la consulta sobre la base legitimadora del monitor para acceder a las bases de datos de los centros (historia clínica) en el contexto de ensayos clínicos, desde la perspectiva de la normativa de protección de datos personales (artículos 6 y 9 del RGPD). La consulta destaca la trascendencia del asunto y solicita prioridad en su resolución.
La AEPD ha emitido numerosos informes y ha aprobado códigos tipo sobre protección de datos en ensayos clínicos y farmacovigilancia. Actualmente, se encuentra en tramitación un nuevo código de conducta promovido por Farmaindustria, adecuado al RGPD y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.
El informe subraya la importancia de aplicar la normativa de protección de datos en los ensayos clínicos, destacando que los datos tratados son especialmente protegidos y relacionados con la salud de los sujetos del ensayo. Por lo tanto, es aplicable la regla específica del artículo 7.3 de la Ley Orgánica 15/1999, que exige el consentimiento del interesado o una habilitación legal específica para el tratamiento y cesión de datos.
El promotor del ensayo es el responsable del tratamiento de los datos, determinando los fines y medios del mismo. El investigador, por su parte, es responsable del tratamiento de los datos de carácter personal de los sujetos del ensayo y accede siempre a los mismos sin codificar o disociar. El monitor, contratado por el promotor, actúa como encargado del tratamiento, accediendo a los datos por cuenta del responsable.
El informe detalla las obligaciones del responsable y del encargado del tratamiento, incluyendo la necesidad de garantizar la seguridad de los datos, la exactitud de la información y la prohibición del tratamiento de datos para usos incompatibles con los que justificaron su recogida.
La AEPD concluye que el monitor es un encargado del tratamiento del promotor, y la base jurídica aplicable a los tratamientos de datos personales que realice el monitor será la misma que la del promotor, es decir, el cumplimiento de una obligación legal aplicable al responsable del tratamiento (artículo 6.1.c del RGPD).
El acceso a los datos personales de la historia clínica por parte del monitor se hace por cuenta del promotor y no del centro responsable de dicha historia clínica. El centro debe autorizar el acceso del monitor a la historia clínica mediante un documento específico, sin necesidad de desvirtuar la figura del monitor como encargado del tratamiento del promotor.
En resumen, el informe jurídico de la AEPD establece que el promotor es el responsable del tratamiento de los datos en los ensayos clínicos, mientras que el monitor actúa como encargado del tratamiento, accediendo a los datos por cuenta del promotor y bajo las instrucciones de este. El centro sanitario, por su parte, es responsable del tratamiento de los datos de la historia clínica y debe autorizar el acceso del monitor mediante un documento específico.