Vinculación de datos de infectados por Coronavirus y la protección de Datos

La pandemia de Coronavirus ha puesto de manifiesto, entre otros muchos aspectos, la necesidad de conocimiento a través del tratamiento de datos personales con fines de investigación y, por tanto, la relevancia de la investigación científica.

Un componente elemental para esta necesidad de conocimiento del coronavirus es la vinculación o fusión de datos de diferentes fuentes/bancos de datos sobre el mismo «objeto» o sujeto. Esto se debe a que, gracias al llamado procedimiento de vinculación de registros, se pueden identificar puntos comunes y diferencias gracias a la fusión de diferentes conjuntos de datos, que de otro modo no serían reconocibles sin más.

En la investigación se distingue entre datos primarios y secundarios. Los datos primarios (también llamados datos brutos) son recogidos, por ejemplo, por las instituciones que realizan el estudio directamente de la persona interesada para su estudio. En este contexto, los datos secundarios son recogidos principalmente por otras instituciones con fines originalmente diferentes (por ejemplo, la facturación) y procesados posteriormente para fines de estudio en procedimientos de vinculación.

Sin embargo, las condiciones del marco legal para la vinculación de datos con fines de investigación son difíciles, a pesar del privilegio de investigación que otorga la ley de protección de datos. Esta complejidad se refleja también, por ejemplo, en el problema de la base de datos de la tasa de vacunación.

Vinculación de datos anónimos

La aplicabilidad de la ley de protección de datos presupone siempre la existencia de datos personales. Por lo tanto, hay que distinguir entre la vinculación de datos basada en características de identificación personal y la vinculación de datos que no utiliza características de identificación personal.

Esta última alternativa sería una forma de hacer que la vinculación de datos esté en gran medida exenta de riesgos y de minimizar la reidentificación de una persona física, eliminando el tratamiento de datos del ámbito de aplicación del RGPD. A continuación, los datos se analizan o relacionan de forma anónima. Sin embargo, en este contexto, muchas preguntas científicas sólo pueden responderse de forma inadecuada. Además, en esta forma de tratamiento sale a relucir el conocido problema del grado de anonimización.

La ley de protección de datos es un «mosaico» para la investigación

Cómo reglamento de la UE, el RGPD se aplica directamente a los datos personales en todos los Estados miembros. Sin embargo, las llamadas cláusulas de apertura del reglamento estipulan que los respectivos Estados miembros de la UE pueden promulgar normas nacionales (LOPDGDD), por ejemplo, para la investigación y estos tienen entonces prioridad en la aplicación.

Marco jurídico para la vinculación de datos personales

Para legitimar la vinculación de datos se puede utilizar el consentimiento del interesado en virtud de la ley de protección de datos o una autorización legal.

Consentimiento

Con el fin de normalizar el procedimiento -debido a la divergencia de las normativas de protección de datos y para garantizar la seguridad jurídica-, el sector de la investigación científica suele recurrir al Interés legítimo como base para legitimar el tratamiento de datos. En principio, la vinculación de datos siempre puede basarse en el consentimiento. El Interés legítimo ofrece una opción de procesamiento amplia para los datos recogidos, que también permite el procesamiento de datos para otros proyectos de investigación. Sin embargo, deben observarse requisitos más estrictos para el tratamiento de categorías especiales de datos personales, ya que el consentimiento debe formularse explícitamente para uno o varios fines específicos, entre otras cosas.

Sin embargo, a los investigadores les surgen varios problemas en el contexto del consentimiento, en particular la disposición de los participantes en el estudio a dar su consentimiento y la consiguiente distorsión de los resultados de la investigación debido a la falta de datos, así como la limitación del consentimiento por parte de las autoridades competentes, de modo que debe obtenerse varias veces de los participantes en el estudio. En la práctica, estos aspectos conducen, entre otras cosas, a que los proyectos y estudios de investigación sean imposibles en algunos casos, ya que no sólo la obtención del consentimiento, sino también el esfuerzo organizativo que conlleva es difícilmente manejable para los propios investigadores.

Base jurídica de la autorización

La base jurídica en la que puede basarse la vinculación de datos varía en función del tratamiento, la categoría de datos y los agentes implicados. En este marco, hay que distinguir entre la normativa general y la específica de cada zona.

Como autorización legal general, en virtud del cual el tratamiento de categorías especiales de datos está generalmente permitido para fines de investigación científica, incluso sin consentimiento, si el tratamiento es necesario para estos fines y los intereses del responsable del tratamiento superan significativamente los intereses del interesado en excluir el tratamiento. Es discutible cuándo hay que suponer un predominio «sustancial» de los intereses. En este contexto, las posiciones de los derechos fundamentales deben ser consideradas, ponderadas y equilibradas. En la práctica, esta ponderación no puede ser llevada a cabo con seguridad jurídica por ningún investigador por sí mismo: los responsables de la protección de datos también dependen de la posición y las decisiones de las autoridades de control.

Problema: cooperaciones de investigación/proyectos de colaboración

Los proyectos de investigación suelen organizarse como cooperaciones de investigación/proyectos de colaboración. Los principales actores en los procedimientos de vinculación son los propietarios de los datos, los procesadores de datos, los procesadores/responsables compartidos, las autoridades de supervisión y los responsables de la protección de datos.

En este contexto, debe aclararse la responsabilidad de los participantes en el proyecto en virtud de la ley de protección de datos. La particularidad de la vinculación de registros es que hay varios propietarios de datos que, o bien agrupan los datos en un punto central, o bien uno de los propietarios de datos lleva a cabo la vinculación de datos por sí mismo.

En consecuencia, el punto de partida de las consideraciones sobre la protección de datos no es un controlador de datos, sino varios, porque es precisamente la decisión sobre los fines y los medios, así como la recogida, el almacenamiento, el tratamiento y el uso de los datos, la que pueden tomar por igual varios participantes en proyectos de colaboración en la investigación.

El RGPD tiene en cuenta esta particularidad al normalizar la responsabilidad conjunta en el artículo 26 del RGPD. A continuación, debe especificarse la relación interna, que incluye un acuerdo sobre las funciones y la cooperación, así como la regulación de las obligaciones que incumben a un controlador en virtud del RGPD . Los poderes de decisión conjuntos conducen posteriormente a una responsabilidad legal compartida para el tratamiento de datos, lo que también causa dificultades en la práctica.

Además, los problemas derivados del mosaico jurídico son especialmente evidentes en el caso de las cooperaciones de investigación, ya que los participantes en los proyectos están asignados a diferentes ámbitos jurídicos. Por ello, en la cooperación en materia de investigación hay que distinguir entre los organismos públicos a los que se aplica el derecho nacional y las asociaciones, empresas y otras organizaciones a las que se aplica el derecho federal.

Problema: autoridades de supervisión

Todo este complejo normativo llega a su punto álgido debido a la necesaria consideración de los dictámenes, así como a los procedimientos de aprobación por parte de las autoridades de supervisión que vigilan el cumplimiento de las leyes de protección de datos.

Además de las autoridades nacionales, también existe el Consejo Europeo de Protección de Datos a nivel europeo, que tiene su propia personalidad jurídica en virtud del artículo 68 (1) del RGPD. Esto también da lugar a la ambigüedad a la hora de determinar la competencia de las autoridades de supervisión en los proyectos de colaboración. Además, se alimenta la inseguridad jurídica en la aplicación de los requisitos, ya que la aplicación de los actos permisivos prevé compensaciones que dependen de las posiciones -diferentes y a menudo muy divergentes- de las autoridades de supervisión.

Conclusión:

En el contexto de la investigación científica, es necesario respetar una amplia normativa de protección de datos para el uso de los datos personales, especialmente los datos sanitarios. Para los procedimientos de vinculación de registros, los requisitos legales varían en función del tipo y el origen de los datos, así como de los agentes implicados. Debido a este conjunto de diferentes requisitos legales de protección de datos o requisitos de transferencia de datos y vinculación de registros, el tratamiento de datos con fines de investigación es difícil de conciliar. Estos conflictos son claramente evidentes en los proyectos de cooperación/colaboración de investigación transnacional.

Aunque la legislación privilegia la investigación, la compleja normativa la perjudica y agrava los conflictos. Debido a todo el complejo normativo, en la actualidad una gran parte de los datos no puede utilizarse en su totalidad, lo que a veces da lugar a resultados inciertos o distorsionados. Por lo tanto, sería deseable una armonización, o más bien una normalización del marco jurídico, protegiendo al mismo tiempo los datos personales y los intereses de las personas afectadas.