La Oficina de Protección de Datos Personales (OPD) sobre la seguridad en el intercambio de datos médicos: "Lo ideal sería cambiar la normativa"

• El presidente de la Oficina de Protección de Datos Personales, Mirosław Wróblewski, ha pedido a la ministra de Sanidad, Jolanta Sobierańska-Grenda, y al ministro de Ciencia y Educación Superior, Marcin Kulasek, que introduzcan disposiciones en la legislación polaca que protejan mejor los datos personales cuando se divulguen historiales médicos con fines científicos.
• «La declaración de la UODO es fruto de la sinergia y de las reuniones celebradas en la sede de la Agencia de Investigación Médica. En ese momento, determinamos que la mejor solución para compartir datos médicos de forma segura era modificar la normativa», afirma el profesor Wojciech Fendler, presidente de la Agencia de Investigación Médica.
• Sin embargo, las comunidades médicas y científicas indican que también es necesario poder utilizar los datos de forma seudonimizada, es decir, encriptados, donde los datos del paciente no son visibles para el destinatario pero pueden ser recreados por una entidad autorizada.

El presidente de la Oficina de Protección de Datos Personales (UODO), Mirosław Wróblewski , ha solicitado a la ministra de Salud , Jolanta Sobierańska-Grenda , y al ministro de Ciencia y Educación Superior, Marcin Kulasek, que introduzcan disposiciones en la legislación polaca que mejoren la protección de los datos personales al compartir historiales médicos con fines de investigación. Esto se debe a los informes de las comunidades médica y científica, así como de la Agencia de Investigación Médica, que indican que la normativa vigente (la Ley de Derechos del Paciente y del Defensor del Paciente, y la Ley de Educación Superior y Ciencia) es poco clara y dificulta el uso de datos médicos en la investigación.

"La declaración de la UODO es fruto de la sinergia y de las reuniones celebradas en la sede de la Agencia de Investigación Médica. En ese momento, determinamos que la mejor solución para compartir datos médicos de forma segura era modificar la normativa. De ser necesario, compartiremos con gusto nuestras recomendaciones sobre la mejor manera de lograrlo con el Ministerio de Salud y el Ministerio de Ciencia y Educación Superior", comentó el profesor Wojciech Fendler, presidente de la Agencia de Investigación Médica.

Según el presidente de la Oficina de Protección de Datos Personales (UODO), es necesario modificar la legislación polaca para armonizarla con la normativa de la UE, incluido el Reglamento sobre el Espacio Europeo de Datos Sanitarios (EHDS), la Ley de Gestión de Datos y la Ley de Inteligencia Artificial. Actualmente, el tratamiento de datos en investigación se basa en el artículo 9(2)(j) del RGPD, junto con las disposiciones pertinentes de la legislación polaca. Sin embargo, la normativa nacional es incoherente y no satisface las necesidades reales de la ciencia y la atención sanitaria.

Según la normativa aplicable (artículo 26 de la Ley de Derechos del Paciente y del Consejo de Política Monetaria), no está permitido divulgar datos personales de historiales médicos de forma que permita la identificación de la persona a la que pertenecen. Por lo tanto, dichos historiales pueden divulgarse con fines científicos y de investigación, siempre que los datos personales que contengan sean anónimos. Los datos médicos contienen categorías especiales de datos personales (tal como se definen en el artículo 9 del RGPD) y, a menudo, también revelan mucha información adicional, además de la información sanitaria. Además, este tipo de datos puede contener información sobre terceros», subraya el presidente de la Oficina de Protección de Datos Personales en su postura.

Por lo tanto, la anonimización debe realizarse de forma permanente y segura.

¿Cómo proteger los datos transferidos con fines científicos?

Sin embargo, las comunidades médica y científica señalan que también es necesario poder utilizar los datos de forma seudonimizada, es decir, cifrada, donde los datos del paciente no sean visibles para el receptor, pero puedan ser recreados por una entidad autorizada. Como se destaca en la posición de la UODO, el Comité Europeo de Protección de Datos aclara que dichos datos siguen constituyendo datos personales, ya que pueden asignarse a una persona específica, a menos que se cumplan las condiciones para el anonimato completo.

Por lo tanto, la seudonimización debería considerarse un método aceptable de tratamiento de datos en la investigación científica, pero la normativa vigente no la permite; solo contempla la anonimización. En consecuencia, los resultados de investigación que podrían contribuir al tratamiento de un paciente específico no pueden vincularse a dicho paciente ni utilizarse en la práctica médica.

Sin embargo, el legislador no ha regulado adecuadamente la seudonimización, permitiéndose únicamente la anonimización al compartir historiales médicos con fines científicos (artículo 26 de la Ley de Derechos del Paciente y del Defensor del Paciente). La normativa vigente no contempla excepciones al intercambio de datos médicos con fines científicos, permitiendo únicamente el intercambio de datos no personales. Esto significa que los resultados de la investigación científica —que, por ejemplo, obtienen información que podría ser relevante para el tratamiento de un paciente específico— no pueden vincularse a una persona específica y, por lo tanto, no pueden utilizarse para incluir información en el plan de tratamiento de dicha persona —señala el presidente de la Oficina de Protección de Datos Personales—.

Mientras tanto, la normativa de la UE (RGPD, EHDS, así como la normativa sobre inteligencia artificial y gestión de datos) permite el uso de datos tanto anonimizados como, en ciertos casos justificados, seudonimizados. Por lo tanto, la legislación polaca debería adaptarse para indicar claramente la base jurídica y las garantías para la protección de dichos datos.

El Presidente de la Oficina de Protección de Datos Personales (UODO) enfatiza que la nueva normativa debe ser coherente no solo con la legislación de la UE, sino también con la Constitución de la República de Polonia, que protege el derecho a la privacidad y la confidencialidad de los datos. La implementación del Sistema Europeo de Información Sanitaria (SED) también requiere la revisión de otras leyes, como el Sistema de Información Sanitaria y la Ley de Servicios Sanitarios con Financiación Pública.

Según el presidente de la Oficina de Protección de Datos Personales (UODO), a la hora de diseñar nuevas soluciones es necesario evaluar el impacto en la protección de datos para comprobar su conformidad con el RGPD, minimizar los riesgos y garantizar la seguridad adecuada.

Material protegido por derechos de autor: las reglas de reimpresión se especifican en el reglamento .