Reutilización, uso secundario de datos en salud e interés general: cuestiones pendientes en nuestra legislación
Mª Belén Andreu Martínez
CEBES. Universidad de Murcia
Hoy en día es indiscutible que el uso de los datos de los que disponen los sistemas de salud y la aplicación de tecnologías como el big data y la inteligencia artificial (IA) constituyen una herramienta básica para la transformación digital de la sanidad. La utilización de herramientas digitales en el ámbito sanitario debe permitir, entre otros, una medicina más centrada en el paciente, un enfoque sobre la prevención y promoción de la salud más que en el tratamiento, la prestación de nuevos servicios y la transición hacia nuevos modelos asistenciales. Y para ello, la utilización de la propia información de que dispone el sistema de salud (combinado en su caso con otro tipo de datos, como los ambientales, demográficos, etc.) se presenta como un elemento esencial. Y es que, qué duda cabe de que el uso de soluciones analíticas avanzadas, incluida la IA, tendrá cada vez mayor importancia para la toma de decisiones en los ámbitos clínico y de gestión, a tiempo real.
La llamada “economía del dato” ha venido para quedarse también en el mundo de la salud. Y la Unión Europea está apostando decididamente por ello. En su Comunicación sobre una Estrategia de Europea de Datos de 19 de febrero de 2020, la Comisión europea vuelve a señalar el ámbito de la salud y de la atención médica como uno de los grandes beneficiarios de esta economía del dato. Y las líneas maestras sobre el uso de los datos para la transformación digital de la sanidad ya fueron marcadas en su Comunicación de 25 de abril de 2018.
No obstante, el uso de estos datos para otras finalidades de las que primariamente se obtuvieron (la prestación de asistencia sanitaria) asusta y mucho tratándose de una información altamente sensible. De hecho, el sector salud va con retraso respecto a la implantación de servicios digitales, y la reutilización de la información del sistema público sanitario es también una de las grandes asignaturas pendientes.
Además, nos encontramos con la paradoja de una cierta desconfianza del ciudadano hacia esos “otros usos” que pueda hacer la administración sanitaria con nuestros datos de salud (o la información extraída de ellos), cosa que no ocurre cuando esta información (sobre salud, estilo de vida o bienestar) la captan empresas privadas a través de aplicaciones o populares wearables. Por ello, va a ser fundamental generar esa confianza en el ciudadano, no solo mediante la transparencia, sino también con su participación y el papel (activo) que le otorguemos en la gestión de su información de salud, liderando este cambio desde lo público con las garantías adecuadas.
Uno de los ámbitos en los que más se ha insistido en la necesidad de disponibilidad de datos es el de la investigación en salud. Vamos a señalar, por ello, las posibilidades y algunos de los retos de la actual legislación de cara a la utilización de la información del sistema sanitario con estos fines.
Interés general, deber de solidaridad y consentimiento para el uso de datos en investigación en salud ¿Una difícil ecuación?
El Comité de Bioética de España (CBE) ha entrado de lleno en este tema en su informe de 28 de abril de 2020 sobre los requisitos ético-legales en la investigación con datos de salud y muestras biológicas en el marco de la pandemia de Covid-19. Aunque el objeto principal de este informe se centre en los estudios retrospectivos con datos y muestras biológicas obtenidos de la asistencia a pacientes con Covid-19, en realidad pone sobre la mesa elementos para el necesario debate acerca de la aplicación de los avances tecnológicos en la explotación de datos de salud para la lucha contra las enfermedades y la prevención y predicción y la búsqueda del equilibrio entre intereses individuales y colectivos.
En este sentido, se recuerda en el informe el excepcional interés del dato de salud no solo en relación con la concreta prestación asistencial, sino como fuente de conocimiento, especialmente en la era del análisis masivo de datos. El dato de salud en la era big data es considerado por el CBE, aunque en términos “metáforicos”, como patrimonio de la humanidad. Ello cambia el paradigma respecto al uso de los datos y a la ponderación de los intereses en conflicto. Para el CBE no es posible seguir sosteniendo que los datos pertenecen únicamente a la persona que los genera, siendo necesario encontrar el justo equilibrio entre el interés general y los derechos individuales.
En este sentido, entiende que, en proyectos con un evidente interés para la salud pública o de terceros, el requisito del consentimiento debe ceder en busca de ese equilibrio. También hace referencia al deber de solidaridad que todos tenemos como miembros de la comunidad, especialmente en sistemas de asistencia sanitaria universal y gratuita.
Fuente: https://flic.kr/p/23G9rU9
Aunque algunas de las afirmaciones del CBE puedan resultar sorprendentes e, incluso, provocadoras, en realidad vienen a recordarnos que ningún derecho es absoluto (tampoco el derecho fundamental a la protección de datos), así como la necesaria ponderación que debe darse entre bienes y derechos constitucionalmente relevantes. Dicha ponderación y el respeto al principio de proporcionalidad la resuelve el CBE acudiendo, entre otros, a la seudonimización de los datos, que es una de las principales herramientas que incorpora la nueva normativa sobre protección de datos personales para la investigación en salud.
Por tanto, aunque desde el punto de vista legislativo el informe del CBE poco añade, sí tiene el valor de, por un lado, recordar las posibilidades que ofrece nuestra legislación para investigación con datos en salud y, sobre todo, poner sobre la mesa el debate ético sobre el uso secundario de los datos y el interés general, que será relevante de cara a futuros usos no previstos actualmente en nuestra legislación.
Pero ¿Qué permite a día de hoy nuestra legislación en protección de datos?
Tanto el RGPD como la LOPDGDD abren un abanico de posibilidades más amplio para el tratamiento de datos en investigación en salud, que el previsto en la normativa previa. Así, por ejemplo:
- Es posible recabar el consentimiento (que se ha dado en llamar “amplio”) para el uso de datos con fines de investigación en salud, que no tiene por qué limitarse a un proyecto de investigación concreto, sino que puede solicitarse para áreas generales vinculadas a una especialidad médica o investigadora.
- En el ámbito de la salud pública, las autoridades sanitarias e instituciones públicas con competencia en vigilancia de la salud pública pueden llevar a cabo estudios científicos sin necesidad de contar con el consentimiento de los interesados, siempre que se de una situación de excepcional relevancia y gravedad para la salud pública. La situación provocada por la COVID-19 (que, además, es una enfermedad de declaración obligatoria urgente) entra desde luego de lleno en esta excepción de especial gravedad para la salud pública.
- Pueden “reutilizarse” datos personales recabados con el consentimiento del interesado para una concreta investigación, para otras investigaciones en áreas relacionadas con el estudio inicial.
- Además, con una serie de requisitos y garantías (previstas en la disp. adic. 17 LOPDGDD), es posible realizar investigaciones en salud con datos seudonimizados.
Estas mayores posibilidades son, desde luego, bienvenidas. Pero, como suele suceder, en su aplicación en la práctica es donde pueden aparecer dificultades, lagunas o problemas de interpretación. Vamos a apuntar algunas con las que nos estamos encontrando.
¿Quién y en qué condiciones puede utilizar datos para investigar en salud pública?
Se trata de una pregunta relevante, dada la situación provocada por la pandemia. Necesitamos saber más de la enfermedad para poder hacerle frente con más conocimiento. En este tema es en el que se centra fundamentalmente el ya mencionado informe del CBE, respecto a la necesidad de permitir el uso de datos secundarios en las investigaciones relacionadas con el COVID-19. Pero ¿En qué condiciones se permiten este tipo de investigaciones?
El uso de datos personales para la realización de estudios científicos en salud pública sin el consentimiento de los interesados, únicamente se permite a autoridades públicas (las autoridades sanitarias e instituciones en materia de vigilancia de la salud pública) y en las circunstancias excepcionales señaladas de especial gravedad para la salud pública. Fuera de estos casos, tendríamos que acudir al consentimiento de los sujetos o a la seudonimización de los datos (informe 121/2018 de la Agencia Española de Protección de Datos).
Ahora bien ¿Sería conveniente ampliar, dadas las circunstancias actuales de expansión de la pandemia, los sujetos que pueden realizar investigaciones con datos personales en este área? Ello requeriría el establecimiento de medidas específicas para la protección de los derechos de los interesados (aprobación caso por caso por el correspondiente Comité, realización de los estudios por profesionales sujetos al secreto profesional…), lo que, a día de hoy, implicaría una regulación específica que complemente lo dispuesto en la LOPDGDD y adaptada a la situación de pandemia.
Reutilización y compatibilidad para el uso de datos con fines de investigación: una cuestión no resuelta
La pregunta básica que se suele hacerse en esta materia es la siguiente: ¿Puedo utilizar los datos, por ejemplo de las historias clínicas, para hacer investigación en salud?
La LOPDGDD permite la reutilización de datos personales para investigación en salud siempre que se usen para investigaciones en áreas relacionadas con el estudio inicial (disp. adic. 17.2.c). Es decir, si he obtenido el consentimiento para tratar datos en una investigación concreta, puede reutilizarlos para otras investigaciones en áreas afines. Ello exige, por tanto, haber obtenido en origen un consentimiento para investigar con los datos.
En consecuencia, no puedo acudir (“reutilizar”) sin más a los datos que constan en las historias clínicas y que se han recabado con fines asistenciales para investigar en salud. Para ello se requerirá el consentimiento de los interesados, o la vía más amplia que deja abierta la LOPDGDD es la investigación en salud con datos seudonimizados y con las garantías adicionales que establece la propia disp. adic. 17.2.
Adicionalmente, algunos sistemas sanitarios, como el catalán (programa PADRIS) o el aragonés (plataforma BIGAN) han implementado programas de reutilización de la información sanitaria generada por el propio sistema para poner a disposición datos anonimizados que puedan ser utilizados en investigación y evaluación, planificación y gestión de los propios sistemas de salud.
Ahora bien, la previsión de reutilización de datos de salud para investigar de nuestra LOPDGDD ¿No supone una limitación en exceso de los usos secundarios compatibles con la finalidad inicial? El RGPD establece una “presunción de compatibilidad” con los fines iniciales del tratamiento ulterior con fines de investigación científica. Los términos en los que se expresa el RGPD son ciertamente muy amplios, puesto que se aplica a cualquier investigación científica, que podría utilizar datos personales recabados con otra finalidad inicial lícita (aunque con remisión a las condiciones y garantías que establece el artículo 89).
Pero, entre la amplitud de la reutilización de datos con fines de investigación (del RGPD) y la limitación únicamente a los datos ya recabados para un proyecto de investigación concreto (de la LOPDGDD), hay un amplio marco por explorar para dar entrada, con las debidas garantías, a otros posibles supuestos de fines de investigación “compatibles”. Por desgracia, por el momento no se ha querido entrar en tan espinoso tema. El Comité Europeo de Protección de Datos ha anunciado (en su Dictamen 3/2019, ap. 30) orientaciones específicas al respecto, que seguimos esperando; y la Comisión Europea (en su Estrategia europea de datos) identifica como una de las cuestión a tratar en el marco legislativo de gobernanza de los espacios europeos de datos el de facilitar las decisiones sobre qué datos pueden utilizarse, cómo han de usarse y quién puede hacerlo cuando la finalidad es la investigación científica.
¿Qué papel deben jugar los comités de ética de la investigación?
La LOPDGDD ha sometido a informe previo de un comité de ética de la investigación (por ejemplo, los CEI previstos en la Ley de Investigación Biomédica) los proyectos en los que se utilicen datos seudonimizados con fines de investigación en salud pública y, en particular, biomédica. Es evidente que los CEI cuentan con una enorme experiencia en la revisión de los aspectos metodológicos, éticos y legales de los proyectos de investigación en salud y, además, vienen ocupándose desde hace años de lo relativo al tratamiento de datos en proyectos de investigación de este tipo y de los estudios retrospectivos con datos en salud. Por lo que la previsión de nuestra Ley Orgánica parece lógica.
Ahora bien ¿Están realmente preparados los CEI para la evaluación de proyectos basados en el uso masivo de datos con sistemas analíticos avanzados como los que ya están empezando a plantearse en el ámbito de la sanidad? No olvidemos que el ámbito tradicional de trabajo de los CEI y su principal razón de ser ha sido el velar por el cumplimiento de unos estándares y por la protección de los sujetos en la investigación con intervención en seres humanos y su material biológico (siendo la protección de la confidencialidad de la información un elemento más a valorar).
Hacer frente a estos proyectos implica necesariamente un cambio en la composición, metodología e, incluso, mentalidad de trabajo de los propios CEI, pues estamos ante proyectos en los que los problemas que se suscitan (de seguridad de datos, de implicaciones en la privacidad y otros derechos fundamentales de los ciudadanos…), difieren de los que se plantean en los tradicionales proyectos de investigación biomédica. El propio CBE (en el mencionado informe de 28 de abril de 2020) señala las diferencias existentes entre la investigación sanitaria en seres humanos y las investigaciones con datos retrospectivos, en las que no están en juego los derechos a la vida e integridad física de los sujetos participantes, sino la protección de la intimidad.
Respecto a la composición, la LOPDGDD ya prevé la obligación de los CEI (en el ámbito de la salud, biomédico y del medicamento), de incorporar un delegado de protección de datos o un experto con conocimientos en el RGPD, para la evaluación de actividades de investigación que comporten el uso de datos, ya sean personales, seudonimizados o anonimizados. Pero, por un lado, a más de un año de la entrada de vigor de la LOPDGDD, está obligación no se está cumpliendo en la práctica. Y, por otro, es dudoso que la simple incorporación de un experto en protección de datos sea suficiente para abordar proyectos sobre usos de datos masivos o aplicación de IA en salud como los que se nos vienen, que requieren de conocimientos que superan a los de un experto en protección de datos.
De ahí que debamos plantearnos si es más conveniente asignar la evaluación y autorización de este tipo de proyectos a Comités multidisciplinares ad hoc, como los que, por cierto, ya se están sugiriendo para el ámbito de la inteligencia artificial, y a los que también podrían atribuirse proyectos que no son propiamente de investigación, como por ejemplo, los de utilización de big data para el apoyo al diagnóstico.
Prof. Titular de Derecho civil y coordinadora de investigación del CEBES (Centro de Estudios en Bioderecho, ética y salud) de la Universidad de Murcia.
IP del Proyecto BioDat: «Datos de salud: claves ético-jurídicas para la transformación digital en el ámbito sanitario» (20939/PI/18) y co-IP del proyecto BIG-BIODATACAN: «Diseño de buenas prácticas en materia de protección de datos clínicos y de medidas para el desarrollo de Big Data sanitarios» (INNVAL 19/04).
