Pilar Nicolás Jiménez^[1] (UPV/EHU), Mikel Recuero Linares (UPV/EHU)

Esta parte de las Directrices fue revisada por Rossana Ducato

Esta parte de las Directrices ha sido revisada y validada por Marko Sijan, Asesor Superior Especialista, (HR DPA)

Introducción

Como ha destacado el Supervisor Europeo de Protección de Datos (SEPD), “la Comisión Europea ha definido como objetivos de las políticas de investigación e innovación de la UE “abrir el proceso de innovación a personas con experiencia en ámbitos distintos del académico y el científico”, “difundir los conocimientos tan pronto como estén disponibles utilizando la tecnología digital y colaborativa” y “promover la cooperación internacional en la comunidad investigadora”.^[2] Estos objetivos no entran en conflicto con la protección de datos. De hecho, las normas de protección de datos no deben ser un obstáculo para la libertad de la ciencia de acuerdo con el artículo 13 de la Carta de los Derechos Fundamentales de la UE. Por el contrario, estos derechos y libertades deben evaluarse y equilibrarse cuidadosamente, dando lugar a un resultado que respete la esencia de ambos^[3].

De hecho, la intención de nuestra actual legislación sobre protección de datos es armonizar el tratamiento de datos con los fines de la investigación científica.^[4]Esta intención está claramente vinculada al artículo 179, apartado 1, del Tratado de Funcionamiento de la Unión Europea (TFUE) para lograr un Espacio Europeo de Investigación. En consonancia con ello, el Reglamento General de Protección de Datos (RGPD) ha introducido un nuevo marco destinado a permitir el tratamiento de datos con fines de archivo en interés público, fines de investigación histórica y científica o fines estadísticos que va más allá de lo previsto en la Directiva 95/46/CE.^[5] El núcleo de esta nueva normativa es el artículo 89 del RGPD, que va acompañado de otras muchas referencias a lo largo de todo el texto que lo completan. Éstas se encuentran tanto en la parte del RGPD que incluye los criterios decisivos para su interpretación (considerandos), como en algunas disposiciones^[6] específicas. Sobre la base de esos considerandos, cabe destacar algunas ideas preliminares.

En primer lugar, el considerando 157 afirma que,al acoplar la información de los registros, que incluyen diferentes tipos de datos correspondientes a una gran cantidad de individuos, los investigadores pueden obtener “nuevos conocimientos de gran valor en relación con afecciones médicas muy extendidas, como las enfermedades cardiovasculares, el cáncer y la depresión”. Como consecuencia, “los resultados de la investigación pueden mejorar, ya que se basan en una población más amplia”. Estas herramientas pueden contribuir a mejorar las políticas de investigación y, en consecuencia, la calidad de vida de la población. Estos beneficios hacen que el tratamiento de datos con estos fines por parte de los investigadores sea razonable, siempre que se garanticen los derechos de los sujetos. Se establece así una concepción de la investigación como un proceso que persigue un beneficio social, a corto, medio o largo plazo, considerado de forma muy amplia (mejora de la calidad de vida) pero, al mismo tiempo, limitando dicha actividad a esta finalidad concreta. Además, el considerando 159 precisa que “para responder a las especificidades del tratamiento de datos personales con fines de investigación científica, deben aplicarse condiciones específicas, en particular en lo que se refiere a la publicación o a la divulgación de otro tipo de datos personales en el marco de la investigación científica”.

La segunda cuestión que debe abordarse es el carácter específico del consentimiento como requisito para su validez, que presenta algunas particularidades cuando la finalidad del tratamiento es la investigación científica. En efecto, el artículo 4 del RGPD establece que el consentimiento “es toda manifestación de voluntad del interesado, libre, específica, informada e inequívoca, por la que éste, mediante una declaración o una clara acción afirmativa, consienta el tratamiento de datos personales que le conciernen”. Sin embargo, el considerando 33 afirma que “a menudo no es posible identificar plenamente la finalidad del tratamiento de datos personales con fines de investigación científica en el momento de la recogida de datos”.

Sin embargo, es habitual que durante un proyecto surjan planteamientos no previstos inicialmente o que, al finalizarlo, las conclusiones abran las puertas a otros proyectos relacionados. Además, los investigadores y equipos suelen estar especializados en un área o línea de investigación desarrollada a partir de proyectos concretos, y los datos pueden seguir siendo útiles o necesarios durante largos periodos de tiempo^[7]. Como respuesta, han surgido modelos institucionales -como los biobancos- que funcionan como intermediarios entre los sujetos y los investigadores. El objetivo de la recogida de estos datos es almacenarlos para cuando puedan ser necesarios, sin saber, en principio, qué proyecto de investigación, o proyectos, los tratarán. Ante esta realidad, el considerando 33 establece que “debe permitirse a los sujetos de los datos dar su consentimiento a determinadas áreas de la investigación científica”, aunque “los sujetos de los datos deben tener la oportunidad de dar su consentimiento sólo a determinadas áreas de la investigación o partes de los proyectos de investigación en la medida en que lo permita la finalidad prevista”. Por lo tanto, se permiten diferentes opciones y consentimientos, siempre que sean, como recuerda el considerando, “conformes a las normas éticas reconocidas para la investigación científica”.

Un tercer punto que merece atención es el que figura en el considerando 50, que se refiere a la llamada compatibilidad de fines^[8], es decir, al “tratamiento de datos personales para fines distintos de aquellos para los que se recogieron inicialmente”. Se trata de un término que se utiliza en los casos en que los datos personales, destinados a ser utilizados con fines de investigación, se recogieron o trataron inicialmente con una finalidad distinta, pero pueden ser tratados legítimamente para otros fines nuevos (compatibles). Además, el tratamiento posterior con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos se consideran ex lege operaciones de tratamiento lícitas compatibles. Esto significa que no se requiere el consentimiento del interesado ni ninguna otra base jurídica para estos fines adicionales, en las condiciones que se describirán más adelante. Esta opción es de suma importancia para la investigación científica porque puede facilitar el acceso a una enorme cantidad de datos sin necesidad de volver a contactar con los interesados.

Por último, es necesario mencionar el considerando 53, que recoge la finalidad del RGPD relativa al establecimiento de condiciones armonizadas para el tratamiento de categorías especiales de datos personales con fines sanitarios (en particular, en el contexto de la gestión de los servicios y sistemas de asistencia sanitaria o social). Además, establece que “el Derecho de la Unión o de los Estados miembros debe prever medidas específicas y adecuadas para proteger los derechos fundamentales y los datos personales de las personas físicas”, al tiempo que declara que “los Estados miembros deben estar autorizados a mantener o introducir otras condiciones, incluidas limitaciones, en relación con el tratamiento de datos genéticos, datos biométricos o datos relativos a la salud”. Sin embargo, las medidas introducidas “no deberían obstaculizar la libre circulación de datos personales dentro de la Unión cuando esas condiciones se apliquen al tratamiento transfronterizo de dichos datos”.

1. Esta sección incorpora algunas referencias extraídas del capítulo de un libro del autor, publicado originalmente en español: Comentarios al Reglamento General de Protección de Datos y a la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (Antonio Troncoso Reigada, Dir.), Thomson Reuters Aranzadi, 2020. ↑
2. SEPD, Dictamen preliminar sobre la protección de datos y la investigación científica, 2020, p. 10. En: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_en.pdf Consultado: 15 de enero de 2020. ↑
3. Comité Europeo de Protección de Datos (CEPD), Directrices 03/2020 sobre el tratamiento de datos relativos a la salud con fines de investigación científica en el contexto del brote de COVID-19. Adoptadas el 21 de abril de 2020, p. 5. En: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202003_healthdatascientificresearchcovid19_en.pdf Consultado el 23 de abril de 2020. ↑
4. Considerando 159 RGPD. ↑
5. Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281 de 23.11.1995, p. 31). ↑
6. Véanse, entre otros: La letra b) del apartado 1 del artículo 5 para fines compatibles; la letra e) del apartado 1 del artículo 5 para la limitación del almacenamiento; la letra j) del apartado 2 del artículo 9 como excepción para el tratamiento de categorías especiales de datos; la letra b) del apartado 5 del artículo 14 para la transparencia y la información; la letra d) del apartado 3 del artículo 17 para el derecho de supresión; o el apartado 6 del artículo 21 para el derecho de oposición. ↑
7. A este respecto, véase también el artículo 5, apartado 1, letra e), del RGPD, que permite que los datos personales se conserven durante períodos más largos en la medida en que se traten únicamente “con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1”. ↑
8. A este respecto, véase también el artículo 5.1.b) del RGPD. ↑