O 7 de fevereiro de 2020 assinou-se a Instrução 2/2020 relativa ao protocolo para o tratamento de dados de saúde em estudos de investigação biomédica, instrução conjunta do secretário geral técnico da Conselharia de Sanidade e do gerente do Serviço Galego de Saúde.
Assinala a exposição de motivos que o novo marco normativo que regula o tratamento dos dados pessoais levou a aprovar a Lei orgânica 3/2018, de 5 de dezembro, de protecção de dados pessoais e garantia dos direitos digitais, onde se estabelecem previsões encaminhadas a garantir o adequado desenvolvimento da investigação biomédica, tendo em consideração os benefícios que esta achega à sociedade ao tempo que garante o direito fundamental à protecção de dados.
Estas modificações legislativas no âmbito da protecção de dados fã preciso a actualização do procedimento para o tratamento de dados de saúde em estudos de investigação biomédica que se levam a cabo no âmbito dos centros do Sistema Público de Saúde da Galiza e, além disso, considera-se necessária a sua publicação no Diário Oficial da Galiza, sem prejuízo da sua difusão de acordo com o previsto na legislação em matéria de transparência e ao amparo do disposto no artigo 6 da Lei 40/2015, de 1 de outubro, de regime jurídico do sector público,
RESOLVO:
Ordenar a publicação da Instrução 2/2020 relativa ao protocolo para o tratamento de dados de saúde em estudos de investigação biomédica, ditada o 7 de fevereiro de 2020, como anexo a esta resolução.
Santiago de Compostela, 10 de fevereiro de 2020
Alberto Fuentes Losada
Secretário geral técnico da Conselharia de Sanidade
ANEXO
Instrução 2/2020 relativa ao protocolo para o tratamento de dados de saúde
em estudos de investigação biomédica
A entrada em vigor do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à protecção das pessoas físicas no que respeita ao tratamento do seus dados pessoais e a livre circulação destes dados (RGPD), estabeleceu um novo marco normativo que regula o tratamento dos dados pessoais o que levou a aprovar a Lei orgânica 3/2018, de 5 de dezembro, de protecção de dados pessoais e garantia dos direitos digitais (LOPDGDD). A disposição adicional décimo sétima desta lei orgânica regula o tratamento de dados de saúde, em particular a investigação biomédica.
Tanto o RGPD como a Lei orgânica 3/2018, de 5 de dezembro, estabelecem previsões encaminhadas a garantir o adequado desenvolvimento da investigação biomédica, tendo em consideração os benefícios que esta achega à sociedade ao tempo que garante o direito fundamental à protecção de dados.
Assim, segundo o RGPD, as operações de tratamento ulterior com fins de investigação científica e histórica ou fins estatísticos devem considerar-se operações de tratamento lícitas compatíveis, e o considerando 156 estabelece que o tratamento ulterior de dados pessoais com fins de arquivamento em interesse público, fins de investigação científica ou histórica ou fins estatísticos efectuar-se-á quando o responsável pelo tratamento avaliasse a viabilidade de cumprir esses fins mediante um tratamento de dados que não permita identificar os interessados, ou que já não o permita, sempre que existam as garantias adequadas (como, por exemplo, a seudonimización de dados).
A Lei 7/2019, de 23 de dezembro, de medidas fiscais e administrativas, no artigo 37, acrescenta uma disposição adicional única na Lei 8/2008, de 10 de julho, de saúde da Galiza, relativa à posta em marcha de um Sistema integrado de informação da investigação clínica do Sistema Público de Saúde da Galiza que dê cobertura a todos os centros que o compõem, com a finalidade de aproveitar as sinergias em investigação clínica e facilitar e fomentar a incorporação de terapias inovadoras em fases temporãs de desenvolvimento.
De conformidade com esta disposição adicional única, a Conselharia de Sanidade, como responsável pelo tratamento dos dados dentro do Sistema Público de Saúde da Galiza, incluirá no registro de actividades de tratamento efectuadas baixo a sua responsabilidade a informação sobre os tratamentos de dados com fins de investigação em saúde e, em particular, com fins de investigação biomédica, conforme o previsto no artigo 30 do RGPD. Além disso, qualquer estudo de investigação com dados de saúde que se realize no Sistema Público de Saúde da Galiza requererá a valoração prévia por parte da conselharia competente em matéria de sanidade, como responsável pelo tratamento, sobre a existência de base legítima para o tratamento.
Por sua parte, o Decreto 134/2019, de 10 de outubro, pelo que se regulam as áreas sanitárias e os distritos sanitários do Sistema Público de Saúde da Galiza, estabelece entre as funções da Gerência da Área Sanitária, artigo 6.t), a de assumir as tarefas de encarregado de tratamento, nos termos definidos na legislação em matéria de protecção das pessoas físicas no que respeita ao tratamento de dados pessoais. Estas tarefas aplicar-se-ão a todos aqueles tratamentos que contenham dados de tal carácter nos centros ou serviços abrangidos no seu respectivo âmbito e realizar-se-ão seguindo as instruções corporativas emitidas pela pessoa titular da Conselharia de Sanidade, na sua condição de responsável destes tratamentos, sem prejuízo das funções atribuídas neste âmbito à Subdirecção Geral de Sistemas e Tecnologias da Informação.
Estas modificações legislativas no âmbito da protecção de dados fã preciso a actualização do procedimento para o tratamento de dados de saúde em estudos de investigação biomédica que se levam a cabo no âmbito dos centros do Sistema Público de Saúde da Galiza.
Por todo o anteriormente exposto, ao amparo do artigo 6 da Lei 40/2015, de 1 de outubro, de regime jurídico do sector público, e do artigo 7.1.a) do Decreto 136/2019, de 10 de outubro, pelo que se estabelece a estrutura orgânica da Conselharia de Sanidade, ditam-se as seguintes instruções:
Primeira. Objecto
Estas instruções têm por objecto estabelecer um protocolo comum para o tratamento de dados de saúde em estudos de investigação biomédica que se levam a cabo no âmbito de órgãos administrativos e entidades instrumentais da Conselharia de Sanidade e centros e instituições sanitárias do Sistema Público de Saúde da Galiza (em diante, SPSG).
Segunda. Relatório do comité de ética da investigação
Todos os estudos de investigação biomédica que se levem a cabo no âmbito do SPSG deverão contar com o relatório prévio favorável do comité de ética da investigação correspondente (em diante, CEI), tal como se estabelece na normativa sectorial aplicável aos estudos de investigação com seres humanos e no número 2.c) da disposição adicional décimo sétima da Lei orgânica 3/2018, de 5 de dezembro, de protecção de dados pessoais e garantia dos direitos digitais.
Terceira. Autorização dos estudos de investigação biomédica
Com independência de que se disponha de consentimento do paciente, precisarão de autorização do SPG a realização de estudos de investigação biomédica que cumpram alguma das seguintes condições:
a) Tratem dados de pacientes do SPSG.
b) Empreguem infra-estruturas do SPSG.
c) Incluam pacientes do SPSG.
A autorização do SPSG ficará estabelecida através de um contrato entre o responsável pelo SPSG e o promotor do estudo de investigação. O procedimento para assinar o supracitado contrato detalha nas instruções quarta e quinta (e, a modo de resumo, no anexo).
O promotor do estudo, que pode coincidir ou não com o investigador principal, será a pessoa física ou jurídica responsável por iniciar, gerir e organizar o seu financiamento.
O investigador principal terá a consideração de encarregado de tratamento no âmbito do estudo de investigação. O investigador principal é o investigador responsável dentro de uma equipa de investigadores que realizam o estudo num centro.
Quando o promotor e o investigador principal do estudo coincidam e se trate de um profissional do Sistema Público de Saúde da Galiza, perceber-se-á que o responsável pelos dados é o Sistema Público de Saúde da Galiza e o promotor/investigador principal é o encarregado do tratamento no estudo.
Nos estudos em que o promotor é diferente ao investigador principal (entre outros, estudos promovidos pela indústria farmacêutica) ou estudos em que o investigador principal não é um profissional do SPSG (entre outros, quando o investigador principal é um profissional de uma universidade), avaliar-se-á, por parte do responsável pelo tratamento e de acordo com o esquema estabelecido nas instruções quarta e quinta, de maneira individualizada, o modelo de responsabilidade no que respeita ao tratamento dos dados de carácter pessoal ficando fixada esta responsabilidade nos contratos que se assinem entre as partes implicadas. O modelo de responsabilidade no tratamento dos dados no caso dos estudos clínicos com medicamentos seguirá as recomendações que estabeleça a Agência Espanhola de Medicamentos e Produtos Sanitários.
Quarta. Estudos de alto impacto na privacidade
Considera-se um estudo de alto impacto na privacidade aquele que cumpra alguma das seguintes condições:
a) Estudos com relatório favorável de um CEI do SPSG em que o comité estabeleça o carácter de alto impacto na privacidade deixando constância desta condição no relatório do estudo.
b) Estudos que impliquem a utilização/prescrição aos pacientes de apps.
c) Estudos em que se produzam comunicações de dados de pacientes fora do âmbito do SPSG.
d) Estudos que tenham como finalidade a criação de registros ou a inclusão de pacientes em registros já existentes que não pertençam aos registros próprios do SPSG.
e) Estudos que pretendam incluir mais de 1.000 pacientes do SPSG ou mais de 500 pacientes numa única área sanitária do SPSG.
A área sanitária poderá valorar condições diferentes às anteriormente citadas (entre outras, factores estratégicos) para considerar o estudo de alto impacto.
Para os estudos de alto impacto na privacidade, os contratos deverão ser assinados pela Secretaria-Geral Técnica da Conselharia de Sanidade, em tanto que responsável por tratamento do SPSG.
O estudos que não cumpram as características antes detalhadas serão considerados estudos de baixo impacto para a privacidade e, neste caso, os contratos serão assinados pelo titular das gerências das áreas sanitárias do SPSG onde se vão levar a cabo os estudos de investigação. Em cada área sanitária estabelecer-se-á uma unidade, com funções na organização da investigação de acordo com a sua estrutura, e que será a responsável pela gestão deste procedimento.
Não serão considerados como estudos de «alto impacto na privacidade» os estudos observacionais postautorización com medicamentos de seguimento prospectivo (EPA-SP), os ensaios clínicos com medicamentos e as investigações com produtos sanitários, porquanto estão regulados em normativa sectorial específica em que se estabelece o marco de realização deles e em que já fica detalhado o requisito de assinar um contrato entre o promotor e a área sanitária onde se vai realizar.
Para estes efeitos, a disposição adicional única da Lei 8/2008, de 10 de julho (acrescentada pela anteriormente citada Lei 7/2019, de 23 de dezembro) assinala que a Agência Galega para a Gestão do Conhecimento em Saúde promoverá o trabalho em rede que facilite a gestão dos diferentes tipos de estudos de investigação e a colaboração e a coordinação entre os diferentes centros, entidades e serviços sanitários. Para isso, aprovará modelos de contratos para a realização dos ensaios clínicos e recomendações e instruções para a realização dos supracitados estudos de investigação no Sistema Público de Saúde da Galiza.
Quinta. Comissão técnica assessora do responsável pelo SPSG
Para o apoio no processo de autorização dos estudos de alto impacto na privacidade, a Secretaria-Geral Técnica da Conselharia de Sanidade, em tanto que responsável por tratamento do SPSG, poderá asesorarse em tanto não se defina a sua composição regulamentariamente por uma comissão técnica nomeada para o efeito, a qual avaliará aqueles estudos considerados de «alto impacto na privacidade» que lhe foram remetidos pelas unidades responsáveis das áreas sanitárias, e que será a mesma que participará no procedimento para o tratamento de dados complementares aos registros de histórias clínicas.
Esta comissão assessora técnica terá em conta o balanço entre o potencial impacto na privacidade, assim como a pertinência e a adequação aos interesses estratégicos do SPSG.
Procurar-se-á que a composição da comissão seja a que se indica a seguir:
a) Duas pessoas em representação da Direcção-Geral de Assistência Sanitária do Serviço Galego de Saúde, em concreto, das subdirecções com competências em matéria de documentação clínica e de farmácia.
b) Uma pessoa em representação da Agência Galega para o Conhecimento em Saúde (ACIS).
c) Uma pessoa em representação da Direcção-Geral de Saúde Pública da Conselharia de Sanidade.
d) Uma pessoa em representação da Subdirecção Geral de Sistemas e Tecnologias da Informação da Conselharia de Sanidade.
e) Uma pessoa em representação dos comités de ética da investigação da Galiza.
f) O/a delegado/a de protecção de dados do SPSG, que exercerá as funções de secretário/a da comissão.
g) Uma pessoa em representação rotatoria das áreas sanitárias do SPSG.
h) A pessoa titular da Secretaria-Geral Técnica da Conselharia de Sanidade, em tanto que responsável pelo tratamento de dados pessoais, exercerá a presidência da comissão.
A comissão emitirá um relatório justificativo da sua decisão, relativo à realização ou não dos estudos de «alto impacto na privacidade» assim como o contrato de tratamento proposto para cada estudo e que deverão assinar as partes implicadas (pessoa titular da Secretaria-Geral Técnica e o promotor/investigador) do estudo.
Sexta. Condições de tratamento dos dados
Os direitos dos afectados serão exercidos ante o responsável pelo tratamento no SPSG através das vias estabelecidas.
As obrigações que assumam os promotores ou investigadores principais como encarregados do tratamento estarão sujeitas às instruções do responsável pelo SPSG. Também serão os encarregados de velar pelo cumprimento de qualquer outra autorização que possa ser pertinente (por exemplo, encargos de tratamento a terceiros para a realização de actividades dentro do estudo).
Para facilitar o trabalho de profissionais individuais e de grupos de investigação do SPSG, porá à disposição das áreas sanitárias modelos de contratos de tratamento singelos (contratos de cláusulas de tratamento, medidas de segurança, análises de riscos e avaliações de impacto) que cubram os estudos de investigação de baixo impacto na privacidade e que se levem a cabo por pessoal do SPSG e dos institutos de investigação sanitária em que participa o SPSG.
Os dados objecto de tratamento deverão armazenar-se em dispositivos que estejam dentro do controlo do SPSG, com estritas medidas para garantir as 5 dimensões: confidencialidade, integridade, disponibilidade, não repúdio e rastrexabilidade. A saída de dados fora do âmbito de controlo técnico do SPSG deverá ser excepcional, com justificação prévia do encarregado do tratamento, e autorizada pelo responsável ou em quem este delegue no caso dos estudos de baixo impacto na privacidade.
Sétima. Seudonimización
Segundo a disposição adicional única da Lei 8/2008, de 10 de julho, a Conselharia de Sanidade criará um registro autonómico de gestão dos consentimentos recolhidos na disposição adicional décimo sétima da Lei orgânica 3/2018, de 5 de dezembro. Neste registo recolher-se-ão de modo coherente e unificado os ditos consentimentos, garantindo o máximo a respeito dos direitos reconhecidos no tratamento de dados relativos às pessoas físicas no marco dos projectos de investigação em saúde.
Este registro estará conectado com o Sistema integrado de informação da investigação clínica do SPSG e com a história clínica electrónica.
Em tanto em canto não se desenvolva este registro, a custodia, dentro das instalações do SPSG, dos consentimentos assinados pelos participantes nos estudos de investigação será responsabilidade do investigador principal.
Naqueles casos em que não seja possível tendo em conta as características do estudo a obtenção do consentimento expresso de o/da interessado/a ou do seu representante legal, e depois de relatório favorável do CEI, poderão empregar-se dados seudonimizados sempre que se dêem as seguintes condições:
a) O procedimento de seudonimización deverá cumprir o estabelecido no número 2.d) da disposição adicional décimo sétima da Lei orgânica 3/2018, de 5 de dezembro. Em particular, o uso de dados pessoais seudonimizados requererá uma separação técnica e funcional entre a equipa investigadora e quem realize a seudonimización e conserve a informação que possibilite a reidentificación.
b) Priorizarase os procedimentos de seudonimización automatizado sempre que estes sejam possíveis tendo em conta a natureza dos dados que se tratem no estudo. Ainda assim a seudonimización poderá abranger palcos mais complexos que a execução de processos informáticos (por exemplo nos casos em que os dados clínicos precisos para o estudo estão em papel ou no caso em que os dados clínicos precisam da interpretação de um profissional sanitário para a sua extracção).
c) Deverá existir um compromisso expresso de confidencialidade por parte do investigador principal e de não realizar nenhuma actividade de reidentificación.
d) Deverão adoptar-se medidas de segurança específicas para evitar a reidentificación e o acesso de terceiros não autorizados.
Este processo deverá ser proposto pelo investigador e deverá estar detalhado dentro do contrato de tratamento. A gestão deste contrato de tratamento seguirá o indicado nas cláusulas quarta e quinta de maneira que para os estudos de alto impacto na privacidade os contratos deverão ser assinados pela Secretaria-Geral Técnica da Conselharia de Sanidade, e para os de baixo impacto os contratos serão assinados pelo titular das gerências das áreas sanitárias. Em ambos os casos, térase em conta que o processo de seudonimización cumpre com as condições indicadas nas letras anteriores.
É preciso lembrar que os dados seudonimizados seguem tendo a consideração de dados de carácter pessoal.
Nos supostos excepcionais recolhidos na citada disposição adicional decimo sétima em que proceda a reindentificación dos dados na sua origem, o investigador solicitará relatório motivado ao comité de ética assistencial da área sanitária onde esteja adscrito o paciente.
Oitava. Estudos de investigação declarados de interesse sanitário assistencial ou de interesse para a saúde pública
Entre as funções do comité de ética da investigação com medicamentos da Galiza, segundo as previstas no artigo 4.3.h) do Decreto 63/2013, de 11 de abril, pelo que se regulam os comités de ética da investigação na Galiza (na redacção dada pela modificação introduzida mediante o Decreto 81/2015, de 28 de maio), figura a de avaliar e realizar o seguimento daqueles estudos de investigação e/ou inovação que sejam considerados de interesse sanitário assistencial ou de interesse para a saúde pública pela pessoa titular da conselharia competente em matéria de sanidade. A resolução pela que se realize tal consideração deverá ser motivada e remetida ao comité de maneira prévia à avaliação do estudo.
Noveno. Utilização de dados de pessoas falecidas
Os dados de pessoas falecidas não têm a consideração de dados de carácter pessoal e poderão ser utilizado em estudos de investigação sempre que se constate que não existe oposição expressa da pessoa falecida para o uso do seus dados com este fim através da consulta das instruções prévias, se as tivera feito.
Os estudos de investigação em que se preveja incluir dados de pessoas falecidas deverão igualmente seguir os procedimentos ditados nestas instruções.
Décima. Aplicação
A presente instrução produzirá efeitos desde o dia seguinte ao da sua assinatura até o momento que entrer uma disposição administrativa de carácter geral que regule a matéria.
ANEXO
Diagrama do procedimento para o tratamento de dados de saúde em estudos
de investigação biomédica no SPSG
