Sobre el acceso por parte del monitor de un ensayo clínico a los datos personales que constan en las historias clínicas de los pacientes

Se analiza en el presente artículo la base legitimadora en virtud de la cual puede el monitor de un ensayo clínico acceder a los datos personales de los pacientes que constan en las historias clínicas de los centros hospitalarios que participan en el mismo y la necesidad, en su caso, de que dicho monitor suscriba un acuerdo de encargo de tratamiento con los centros a tal fin.

¿Debe el monitor de un ensayo clínico suscribir un acuerdo de encargo de tratamiento con los centros en los que va a llevar a cabo las labores de monitorización?

La entrada en vigor, hace ya casi 4 años, del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (“RGPD”) ha sido fuente de constantes incertidumbres en el marco de la contratación de ensayos clínicos, con interpretaciones muy diversas por parte de los principales actores (promotores, centros hospitalarios, Comités Éticos, etc) respecto de algunos de los aspectos esenciales regulados por la norma, como las bases legitimadoras más adecuadas para amparar el tratamiento de los datos de los pacientes, el papel que juega cada uno de los intervinientes en el tratamiento de dichos datos, etc.

Uno de los puntos que ha venido generando distintas interpretaciones por parte de los centros hospitalarios españoles es la necesidad de que los monitores persona física u Organizaciones de Investigación por Contrato (más conocidas por sus siglas inglesas: “CRO”) que tengan encargada la monitorización de un ensayo clínico, suscriban con éstos un contrato de encargo de tratamiento al amparo de lo dispuesto en el art. 28.3. del RGPD para poder acceder a los datos personales identificables de los paciente que constan en las historias clínicas custodiadas por los centros con el fin de poder llevar a cabo las tareas de verificación y supervisión que les son propias.

Así, algunos centros han venido defendiendo, - (contra la opinión de las propias CROs y de muchos promotores)-,  la necesidad de que se suscribiera ese acuerdo de encargo de tratamiento, pues consideraban que, al acceder a datos personales identificables de los pacientes, el monitor/CRO se configuraba como encargado del tratamiento por cuenta del hospital, por ser éste el titular y responsable de esos datos. Si bien resulta claro que los monitores/CROs están contratados por los promotores y llevan a cabo sus tareas en cumplimiento de las labores encomendadas por éstos, los centros hospitalarios que exigían la firma de este tipo de acuerdo, lo hacían basados en la justificación de que, siendo los Promotores los responsables de los datos pseudonimzados del ensayo clínico y no teniendo acceso a los datos identificables de los pacientes, no podían ser considerados responsables del tratamiento de los datos a los que acceden los monitores para llevar a cabo las tareas de  monitorización por cuanto los mismos sí incluyen este tipo de datos identificativos que quedan fuera del alcance del promotor.

Por supuesto, la opción requerida por estos centros planteaba una situación poco deseable para los monitores y/o CROs que tenían encomendadas las tareas de monitorización del ensayo clínico, pues éstas habían asumido ya, frente al promotor del ensayo, la condición de encargadas del tratamiento, -(habiendo suscrito los correspondientes acuerdos conforme al art. 28.3 del RGPD)-, y se encontraban ahora obligadas a asumir, respecto de ese mismo tratamiento, un nuevo encargo, con el consecuente riesgo de incurrir en contradicciones y de no poder cumplir con las disposiciones e instrucciones impuestas por cada responsable.

Tampoco era ésta una situación deseada para los promotores de los ensayos, que veían como perdían parcialmente el control de unos tratamientos que, a su entender, caían bajo su responsabilidad.

La anterior postura, adoptada principalmente por centros catalanes, parecía, además, encontrar respaldo en un Dictamen emitido por la Agencia Catalana de Protección de Datos en respuesta a una consulta formulada por el Hospital Clinic de Barcelona en el año 2018 (Ref. CNS 59/2018).

A pesar de todo, se trataba de una postura minoritaria por cuanto la firma de este tipo de acuerdo era exigida únicamente por cuatro o cinco centros españoles, lo que representa un porcentaje muy pequeño de los centros hospitalarios públicos y privados de nuestro país.

Ante esta situación, la Agencia Española de Medicamentos de Uso Humano (AEMPS) incorporó, en la nueva versión de su Documento de Instrucciones para la realización de ensayos clínicos en España, publicado con fecha 20 de abril de 2021, una pregunta (pregunta nº63) sobre la necesidad de que el monitor suscribiera un contrato de encargo de tratamiento con cada uno de los centros donde interviniera. Dicha pregunta fue respondida por la agencia en sentido negativo, pero lo cierto es  que la respuesta estaba insuficientemente fundamentada desde el punto de vista de la normativa de protección de datos por lo que, no teniendo la AEMPS competencia en esta materia, algunos centros la consideraron insuficiente para cambiar su postura en cuanto a la exigencia de este tipo de acuerdo.

Finalmente, la Agencia Española de Protección de Datos (AEPD) ha venido a zanjar esta cuestión mediante el informe emitido por su gabinete jurídico con nº de referencia 0038/2021, que se centra en analizar la base jurídica para el acceso por parte del monitor a los datos personales obrantes en la historia clínica de los sujetos que participan en el ensayo.

En dicho informe, la Agencia parte de una premisa esencial, que ya había sido establecida por la misma en su informe 232/2013, - (anterior a la entrada en vigor del RGPD)-, emitido en referencia al proyecto de real decreto de regulación de los ensayos clínicos con medicamentos, los comités de ética de la investigación con medicamentos y el registro de estudios clínicos; esta es, que la condición de responsable del tratamiento no exige el acceso efectivo a los datos, sin la potestad de decisión sobre la finalidad, contenido y uso del tratamiento de los mismos.

Así, se determina por la AEPD en su informe del 2021 que, desde la perspectiva de protección de datos de carácter personal, el monitor ostenta la condición de “encargado del tratamiento” del promotor en cuanto que trata los datos por cuenta de este último, que es quién, conforme a la normativa de ensayos clínicos, tiene la obligación de realizar la monitorización del ensayo clínico, siendo el único responsable de la elección del monitor. En este sentido, dictamina la Agencia que el monitor deberá, en el ejercicio de su función, seguir únicamente las instrucciones del promotor, debiendo suscribirse entre ambos el correspondiente acuerdo de encargo de tratamiento al que hace referencia el art. 28.3. del RGPD. Y esta condición del monitor como encargado del tratamiento “no se ve desvirtuada por la circunstancia de que el promotor únicamente acceda a datos pseudonimizados y el monitor acceda a los datos identificativos de la historia clínica del paciente” pues dicho acceso se lleva a cabo “en cumplimiento de una obligación legal de monitorización del promotor sin perjuicio de que el Promotor no tenga dichos datos en virtud de medidas adoptadas para dar cumplimiento a otros principios del RGPD…”

En este sentido, se descarta por la Agencia la pertinencia de la firma de un acuerdo de encargo de tratamiento entre los monitores y los centros en los que vaya a llevarse a cabo la monitorización que permita el acceso a los datos de las historias clínicas de los pacientes, por cuanto dicho acceso se realiza por aquellos por cuenta del promotor, y no del centro, no existiendo una relación jurídica entre centro y monitor.

Y termina la AEPD avalando la respuesta dada por la AEMPS a la pregunta 63 de la versión de 30 de abril de 2021 de su Documento de Instrucciones al que hacíamos referencia anteriormente, confirmando que la misma es plenamente conforme con la normativa de protección de datos y debe ser tenida en consideración.

En definitiva, y por los  motivos expuestos, podemos concluir el presente artículo afirmando que no resulta necesaria, - ni pertinente-, la firma de un acuerdo de encargo de tratamiento entre las personas físicas y/o jurídicas encargadas de la monitorización de un ensayo clínico y los centros hospitalarios participantes en los que vayan a llevarse a cabo las tareas de monitorización, pues el acceso de los monitores a los datos de carácter personal de los pacientes que constan en las historias clínicas custodiadas por los centros se lleva a cabo por cuenta del promotor de dicho ensayo y al amparo del acuerdo de encargo de tratamiento suscrito con éste, siendo la base jurídica del tratamiento de datos realizado por el monitor la misma que la del propio promotor.

En Madrid, a 18 de enero de 2022