E l pasado 6 de diciembre se publicó por fin en el BOE la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPD-GDD). Esta nueva ley viene a complementar determinadas cuestiones que el Reglamento General de Protección de Datos (RGPD), aprobado por el Parlamento Europeo, dejaba a la decisión de los Estados Miembros. En concreto, y en lo que aquí nos interesa, el RGPD permite introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, biométricos o relativos a la salud. Aunque al inicio de la tramitación parlamentaria de la LOPD-GDD se pretendía que tales condiciones y limitaciones fuesen establecidas posteriormente, al final se ha optado por incorporarlas ya en esta ley que pronto verá la luz. Varias son las novedades que la LOPD-GDD incorpora en lo relativo a los tratamientos de datos de salud, si bien sólo me referiré a algunas más relevantes cuando estos se pretenden usar con fines de investigación.

Por una parte, la LOPD-GDD establece que no será necesario que una persona preste su consentimiento para cada investigación concreta, sino que será suficiente aquel consentimiento prestado en relación con áreas generales vinculadas a una especialidad médica o investigadora. Se refrenda así la interpretación mantenida por la Agencia Española de Protección de Datos en su Informe 73667/2018, del que ya nos hicimos eco en una columna de mayo pasado. En consonancia con esta posición, la LOPD-GDD considera lícita la reutilización de datos personales con fines de investigación cuando, habiéndose obtenido el consentimiento para una finalidad concreta, dichos datos se usen también para finalidades o áreas de investigación relacionadas con el área en la que se integrase científicamente el estudio inicial. Si bien en estos casos la LOPD-GDD exige que se cumplimenten una serie de requisitos, el hecho de que no se exijan nuevos consentimientos será un acicate para la investigación médica.

La LOPD-GDD permite el uso de datos personales seudonimizados ( los que ya no pueden atribuirse a un interesado sin utilizar determinada información adicional de éste) siempre y cuando: (i) haya una separación técnica y funcional entre los investigadores y quienes conserven la información que permita su reidentificación, y (ii) los datos seudonimizados sólo sean accesibles a dichos investigadores cuando se hayan comprometido a mantenerlos confidenciales y se adopten medidas de seguridad para evitar la reidentificación.

En todo caso, el uso de datos personales – seudonimizados o no- para fines de investigación deberá ser previamente evaluado por un comité de ética de la investigación, que deberá contar con un experto en protección de datos. Todo ello nos confirma una realidad que creo ya nadie puede negar, como es la estrecha vinculación entre protección de datos e investigación clínica, de forma que no pueden entenderse la una sin la otra.