Ética, investigación, bases de datos

rgpd salud etica big dataEl Reglamento General de Protección de Datos (RGPD) y el Proyecto de Ley Orgánica de Protección de Datos, no solo mantienen inalterado el régimen contenido en la normativa reguladora de la investigación biomédica, sino que permiten realizar una interpretación más flexible del alcance que puede darse al consentimiento en el tratamiento de datos, tal como ha expresado la Agencia Española de Protección de Datos (AEPD).

A pesar de ello, el RGPD tiene un gran impacto en la investigación en salud realizada con bases de datos. El RGPD presta especial atención al “big data” aunque no lo nombra expresamente; sí nombra la investigación a partir de registros: Combinando información procedente de registros, los investigadores pueden obtener nuevos conocimientos ….. (Los registros).. proporcionan conocimientos sólidos y de alta calidad que pueden servir de base para la concepción y ejecución de políticas basada en el conocimiento, mejorar la calidad de vida de numerosas personas y mejorar la eficiencia de los servicios sociales. Para facilitar la investigación científica, los datos personales pueden tratarse con fines científicos, a reserva de condiciones y garantías adecuadas establecidas en el Derecho de la Unión o de los Estados miembros.

A continuación se apuntan algunas notas, derivadas del RGPD y no exhaustivas, acerca de la investigación en salud a partir de bases de datos; pueden ser de interés tanto para los responsables de los datos susceptibles de ser utilizados en investigación, como para los investigadores o los comités de ética de la investigación (CEI):

Alcance del RGPD

Como Reglamento, no necesita transposición, y por tanto es de aplicación común a todo el Espacio Europeo de Investigación. A efectos prácticos, si en un proyecto multinacional los reguladores nacionales tuviesen criterios distintos para autorizar o no el tratamiento de unos datos (ejemplo condiciones de acceso a datos clínicos), sería el Supervisor Europeo de Protección de Datos quien debería pronunciarse al respecto.

El tratamiento de datos personales con fines de investigación científica incluye los estudios realizados en interés público en el ámbito de la salud pública, y es interpretado de manera amplia, incluyendo a modo de ejemplo:

  • el desarrollo tecnológico y la demostración.
  • la investigación fundamental.
  • la investigación aplicada.
  • la investigación financiada por el sector privado.

Es preciso no olvidar la distinta intención en el tratamiento de datos con fines de investigación sanitaria (generar conocimiento) o de calidad o gestión (evaluación y organización de recursos). Igualmente en el ámbito del big data pueden surgir dudas al diferenciar el tratamiento de datos con fines a la investigación o comercial.

Los “datos relativos a la salud” son definidos como datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.

El Reglamento afecta a los datos personales y a los datos seudonimizados.

Son “datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.

Se denomina “seudonimización”: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.

Los paradigmas tradicionales en los que se sustentaba la privacidad, anonimización de datos y consentimiento informado, no son las principales garantías en las que se sustenta la privacidad en estos proyectos. Cobra mayor relevancia la transparencia de la información que la obsesión por el consentimiento informado, (tenemos ya la experiencia negativa, tras entrar en vigor el RGPD, del otorgamiento del consentimiento en el acceso a plataformas y dispositivos móviles).

Los principios de protección de datos no deben aplicarse a la información anónima (inclusive con fines estadísticos o de investigación), es decir, información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo. A pesar de ello, con métodos adecuados, la tecnología ha permitido reidentificar grandes bases de datos sanitarios anonimizados, y la AEPD ha reconocido que no es posible considerar que los procesos de anonimización garanticen al 100% la no reidentificación de las personas; incluso con buenas prácticas en la anonimización. En consecuencia, los CEI deberían valorar tanto los proyectos con datos personales o seudonimizdos, como con datos anonimizados.

Principios

Los investigadores han de tener en cuenta los siguientes principios:principios proteccion de datos

A estos principios hay que añadir la no discriminación de las personas, y la responsabilidad proactiva del responsable de la investigación.

El responsable de la investigación es igualmente responsable de que se contemplen los principios de protección de datos desde el diseño y por defecto, estableciendo las medidas técnicas y organizativas adecuadas.

Comités de ética de la investigación (CEI)

Los CEI tienen el reto de adaptar sus procedimientos para evaluar proyectos a partir de bases de datos, teniendo en cuenta el desarrollo digital en general y el RGPD en particular. Cada día se presentarán más situaciones en las que las respuestas estarán más en los planos deliberativos que en los legislativos.

Es preciso hacer un seguimiento de los proyectos de investigación en marcha, para garantizar que estos se ejecutan de acuerdo a su protocolo, priorizando aquellos con mayor impacto en la protección de datos y los que manejan muestras biológicas.

Sería conveniente disponer de guías específicas para la evaluación de este tipo de proyectos.

Mientras tanto, se pueden tener en cuenta algunas consideraciones que los investigadores han de tener en cuenta al elaborar protocolos de investigación para este tipo de proyectos.

Riesgos éticos en el tratamiento de datos

Entre estos se han descrito, la omisión deliberada de datos, la visualización engañosa, los sesgos, desconocimiento del origen de los datos, deficiencias en su calidad y la de sus metadatos, no trazabilidad, y anonimización insuficiente.

Protocolo

Aunque parezca obvio, hay que partir siempre de un protocolo de investigación (no sólo cuando se presenta a financiación externa) evaluado por un CEI, que permita valorar que tiene una sólida base científica y que salvaguarda los derechos de las personas involucradas.

En su evaluación, las primeras dificultades pueden surgir al diferenciar los proyectos de evaluación o gestión de los de investigación; puede ser igualmente difícil diferenciar los proyectos académicos de los comerciales (estos últimos tienen limitaciones en el tratamiento de ciertos datos).

La metodología de la investigación en “big data” tendente a la identificación de patrones a partir de grandes volúmenes de datos, presenta características especiales que habrá que tener en cuenta. Esta naturaleza libre de hipótesis de (algunos) estudios de big data, hace que sea más difícil aplicar mecanismos epistemológicos convencionales.

Equipo investigador

El investigador principal es el responsable del cumplimiento del RGPD, y además, estar en condiciones de demostrar que este se cumple. Entre sus obligaciones estaría la de comunicar las brechas de seguridad al Delegado de Protección de Datos de su institución.

Se sugiere la participación o asesoramiento de profesionales con competencias en big data y protección de datos, con un grado de implicación acorde al alcance del proyecto.

Es preciso la aceptación expresa de las normas de confidencialidad por todos los integrantes del equipo.

Hay que incluir la identificación y contacto de:

  • Delegado de Protección de Datos del centro donde se realizará la investigación.
  • Responsable y encargado del tratamiento de los datos.
  • Personas que tendrán acceso a los datos.

Licitud

Es preciso indicar la base normativa en la que se indique que es lícito usar esos datos para investigación. El proyecto ha de justificar el tratamiento de categorías especiales de datos personales. Igualmente, es preciso indicar el fundamento por el que se pueden usar esos datos para investigación sin el consentimiento informado de las personas interesadas.

Debe estar documentada la autorización del responsable de los datos para el uso de los mismos en ese proyecto de investigación, con especificación de los datos concretos a tratar.

Limitación

Compromiso de usar los datos exclusivamente con los fines de ese proyecto (o proyectos derivados compatibles, en cuyo caso ha de ser informado el responsable de los datos), quedando prohibido un tratamiento distinto al establecido en el protocolo.

En el caso de que se elaboren perfiles:

  • Indicar las bases legales por las que se pueden elaborar.
  • Mecanismos contemplados para evitar la discriminación de grupos o personas en cuanto a sexo, nivel cultural o económico etc.
  • No decisiones automáticas sobre personas sin supervisión humana.

Minimización

Debe justificarse que todos los datos tratados son necesarios para alcanzar los objetivos de investigación, no utilizando datos que no tengan que ver con los objetivos.

Igualmente, debe justificarse que para alcanzar los objetivos, sea necesario: usar datos personales en lugar de seudonimizados, o datos seudonimizados en lugar de anónimos (y las escalas intermedias entre estas categorías).

Exactitud

Se deberán incluir el análisis de calidad de los datos y las medidas a tomar para evitar sesgos.

Conservación

Compromiso de que la identificación de los interesados no será mantenida más allá del tiempo necesario para los fines del tratamiento de los datos personales.

Indicar el periodo de almacenamiento y las personas que tendrán acceso a los datos, en cada uno de sus estadíos (personales, seudonimizados, anónimos etc).

Discriminación

Indificar cómo se trata de evitar en el proyecto que haya discriminación de las personas o los grupos, en función del sexo, clase social, nivel de estudios etc

Seguridad

Especificar las medidas técnicas y organizativas que se tendrán en cuenta para garantizar la seguridad de los datos.

Evaluación de Impacto en la Protección de Datos Personales:

Aunque de una forma no tan exhaustiva como la contemplada en  la Guía práctica para las Evaluaciones de Impacto en la Protección de los datos sujetas al RGPD, debe evaluarse el impacto del proyecto en la protección de datos.

Medidas para evitar daños y salvaguarda de los derechos de los participantes.

Privacidad por defecto y por diseño: Detalles de las medidas técnicas y organizativas para evitar los daños y se salvaguardarán los derechos de los participantes de la investigación.

Indicar cómo pueden ejercer sus derechos (acceso, portabilidad, rechazo al tratamiento de datos…)

Infraestructura tecnológica

Indicar los equipos en los que se realizarán los tratamientos (serán dentro de instituciones sanitarias).

Indicar las normas de seguridad, accesos y su registro etc.

Datos

Especificar su procedencia y detalle de las variables incluidas. Especial consideración si proceden o se destinan fuera de la Unión Europea.

Especificar las medidas tomadas para velar por calidad, integridad y seguridad de los datos y permitir su segura transmisión, linkage y almacenamiento.

Detalles de las operaciones de procesamiento de datos.

Detalles de las técnicas de anonimización / pseudonimización. Los responsables de la anonimización y el análisis han de ser distintos.

Detalles de los métodos utilizados para elaborar perfiles y las medidas para evitar que los algoritmos discriminen o creen brechas de seguridad en la privacidad de las personas.

Detalles sobre los procedimientos para informar a los participantes de la investigación sobre el perfil, y sus posibles consecuencias y las medidas de protección.

Anuncios

Expectativas del “big data” y salud.

big data salud healthLa tecnología “big data” ha pasado (usando la terminología de Gartner) del pico de la expectativa, al valle de la desilusión, esperando alcanzar algún día la llanura de la productividad. Su pico de máxima expectativa como tecnología emergente fue en el año 2013, con previsiones de implantación entre 5 y 10 años; ese fue el año en el que los NIH iniciaron el programa The “big data” to Knowledge (BD2K), incluido ahora en el NIH Data Science Community. A partir del 2015, como suele ser habitual con las nuevas tecnologías, disminuyeron sus expectativas, con planteamientos más realistas. Esta situación gereral es igualmente aplicable al ámbito sanitario.

En la actualidad, la expectativa máxima en todos los sectores, incluido el sanitario está en la inteligencia artificial, que se supone será la tecnología más disruptiva en los próximos 10 años. Para su desarrollo se requieren entre otras cosas, avances notables en ““big data”” y en el desarrollo de algoritmos de aprendizaje automático.

El análisis “big data” presenta diferencias con el análisis estadístico habitual, sumarizadas en el trabajo Medical “big data”: promise and challenges, en el que se indica que a pesar de las expectativas, su aplicación actual es más prometedora que efectiva. La evidencia de sus beneficios es escasa, enfrentándonos a problemas relacionados con la calidad delos datos, las limitaciones metodológicas de los estudios observacionales, aspectos legales y de gobernanza, entre otros. Se abre un debate metodológico interesante, pues a modo de ejemplo, hay diferencias en los resultados de la artroscopia de cadera, según se use análisis “big data” (peores resultados) o ensayos clínicos.

En una revisión sistemática se ha mostrado como los principales desafíos se hallan en la estructura, seguridad, estandarización, almacenaje y transferencia de datos, así como su gestión y gobierno.   Las principales oportunidades están en la mejora de la calidad asistencial, mejora de la salud desde la perspectiva poblacional, detección temprana de enfermedades, mayor accesibilidad y calidad de datos, mejora en la toma de decisiones, y reducción de costes.

Otra revisión sistemática, indica que no hay consenso en cuanto a una definición operativa de “big data” en la investigación sanitaria, siendo su escenario de uso muy amplio (desde unidades hospitalarias o patologías específicas a servicios de salud en su conjunto o industria farmacéutica), Sus usos en el ámbito asistencial se centran en el apoyo a las decisiones clínicas, la optimización de los procesos asistenciales y la reducción de costes; el mayor desafío en su implantación está en la falta de evidencia de su efectividad, al ser insuficientes los estudios de evaluación, con evaluaciones de impacto más cualitativas que cuantitativas. En cuanto a herramientas, la metodología más usada es el procesamiento del lenguaje natural y la herramienta Hadoop.

En cuanto al uso de datos por la industria farmacéutica, se han señalado tensiones entre la privacidad, la reutilización de datos bajo el paraguas del “open data” y la necesidad de datos masivos del “big data”.

En una revisión sistemática sobre las fuentes y métodos usados en el análisis de enfermedades crónicas, se indica que el “big data” permite análisis predictivo para: identificación de pacientes con riesgo de reingreso, prevención de infecciones hospitalarias, prevención de  enfermedades crónicas y obtención de modelos predictivos de calidad. Los métodos predictivos más usados son el árbol de decisiones, Naïve Bayes y Red Neuronal Artificial (ANN) y la herramienta Hadoop.

El debate sobre las amenazas y oportunidades del “big data” en el sector sanitario sigue abierto; es un camino a recorrer, con grandes posibilidades de tener un impacto positivo, aunque para ello debe superar importantes obstáculos.

Actualización 13 de junio: Excelente revisión sistemática sobre al análisis de grandes volúmenes de datos:  A Systematic Review on Healthcare Analytics: Application and Theoretical Perspective of Data Mining.

In recent years, a number of peer-reviewed articles have addressed different dimensions of data mining application in healthcare. However, the lack of a comprehensive and systematic narrative motivated us to construct a literature review on this topic. We found that the existing literature mostly examines analytics in clinical and administrative decision-making. Use of human-generated data is predominant considering the wide adoption of Electronic Medical Record in clinical care. However, analytics based on website and social media data has been increasing in recent years. Lack of prescriptive analytics in practice and integration of domain expert knowledge in the decision-making process emphasizes the necessity of future research.

Y aqui otra, tambien estupenda, sobre deep learnibg  Opportunities and obstacles for deep learning in biology and medicine

Has deep learning transformed the study of human disease? Though the answer is highly dependent on the specific domain and problem being addressed, we conclude that deep learning has not yet realized its transformative potential or induced a strategic inflection point. Despite its dominance over competing machine learning approaches in many of the areas reviewed here and quantitative improvements in predictive performance, deep learning has not yet definitively ‘solved’ these problems.

 

Ética digital

Etica digitalLa legislación no puede resolver todos los problemas que surgen en relación con la protección de datos de carácter personal.

Para muchos de estos problemas, el marco adecuado de resolución, está en al ámbito de la ética. El Ethics Advisory Group  del European Data Protection Supervisor (EDPS) ha publicado el informe Towards a digital ethics, documento oportuno que surge en el contexto del creciente interés por la ética, la entrada en vigor del Reglamento General de Protección de Datos (RGPD) y la transición del paradigma analógico al digital, en la que es preciso identificar los valores de las personas que pueden verse amenazados.

El informe identifica algunas tendencias tecnológicas que obligan a un análisis de la relación entre la tecnología y los valores personales en lo que llama ética digital: big data, internet de las cosas, computación en la nube e inteligencia artificial (especialmente máquinas que aprenden). Hace especial mención sobre la gobernanza de los datos sanitarios, tanto asistenciales como de investigación, indicando que podría estar ocurriendo una transición de los marcadores biológicos a los marcadores digitales.

El documento reanaliza los valores fundamentales de la Unión Europea desde la perspectiva de la ética digital y cómo pueden verse afectados esos valores.

Identifica cambios socioculturales que acompañan a la era digital:

  • De la persona al sujeto digital.
  • De la vida analógica a la digital.
  • Del gobierno de las instituciones al gobierno de los datos.
  • De una sociedad de riesgo igualitario a una sociedad segmentada.
  • De la autonomía personal a la convergencia entre humanos y máquinas.
  • De la responsabilidad individual a la responsabilidad distribuida.
  • De la justicia penal a la justicia preventiva

Finaliza apuntando algunos aspectos clave:

  1. La dignidad de la persona debe permanece inviolable en la era digital.
  2. La persona y sus datos personales son inseparables el uno del otro.
  3. Las tecnologías digitales pueden poner en riesgo las bases del gobierno democrático.
  4. El procesamiento digital de datos puede suponer nuevas formas de discriminación.
  5. La mercantilización de los datos puede cambiar los valores de las personas respecto a los datos de carácter personal.

Apuntes para la estrategia #ética en #salud_pública

parabola del ciego etica y salud publicaLa Consejería de Salud de la Junta de Andalucía está elaborando una nueva Estrategia de Bioética. Esta Estrategia contempla, con muy buen criterio, un apartado diferenciado para los aspectos éticos en el ámbito de la Salud Pública. He tenido la oportunidad de hacer aportaciones al grupo de trabajo creado al respecto, que quedan resumidas en este artículo.

La Ética en la Salud Pública tiene un menor desarrollo que la ética de los ámbitos clínicos y de investigación. En relación a otro ámbito próximo, el de la evaluación de tecnologías sanitarias, tiene un menor desarrollo en cuanto a marcos conceptuales de referencia, y posiblemente un mayor desarrollo práctico.

La primera cuestión que se plantea es: ¿Los principios de la bioética son extrapolables al ámbito de la Salud Pública o esta tiene unos principios diferenciados?. Mi opinión al respecto es que los cuatro principios de la bioética no encajan bien en la Salud Pública, básicamente por dos razones: por una parte, tanto la clínica como la investigación (esta con excepciones) tienen por objeto personas concretas, mientras que la Salud Pública tiene un enfoque poblacional; por otra parte, las decisiones en Salud Pública son tomadas por organismos públicos con autoridad para ello, mientras que las referidas a personas concretas son tomadas por profesionales concretos (Mejor explicado aquí, gracias A. Rabadán).

Es por ello por lo que para hacer un planteamiento estratégico de la Ética de la Salud Pública, me parece interesante ver cómo se abordan los problemas éticos en organizaciones que pueden compartir problemas similares a los de Salud Pública; como en nuestro medio la Salud Pública se desarrolla en el ámbito de la Administración Pública, creo que ese puede ser nuestro modelo de referencia: la Ética en la Administración Pública, tratada en otra entrada del blog.

 Se han enumerado algunas situaciones paradigmáticas de la Ética en la Administración Pública y la política que nos pueden servir de reflexión:

– Las manos sucias democráticas. Referido a situaciones en las que los comportamientos no éticos no son debidos a codicia, deseo de poder o riquezas, o lealtad a familia o grupos organizados, sino que lo que se persigue es el bien común.

– La responsabilidad moral de las múltiples manos. En oposición a la idea del comportamiento no ético al tomar una decisión por una persona, el daño puede ser debido a la implicación de un elevado número de personas u organismos en la toma de decisiones por lo que el ciudadano puede ser incapaz de identificar realmente que es el responsable o responsables de un determinado hecho.

– Crimen y castigo de los cargos públicos. Todo un campo de debate sobre la toma de decisiones: responsabilidad moral, política y legal.

– Ética legislativa. Bien común o intereses particulares en el desarrollo legislativo.

– La vida privada de los cargos públicos. ¿Donde están los límites?

– El poder paternalista. Los límites en el establecimiento de obligaciones a los ciudadanos en contra de su voluntad por el bien común (el principio de autonomía, tan importante en la bioética, aquí tiene muchos matices).

– La ética de los experimentos sociales. Intervenciones sociales que en realidad son un experimento, al no poderse controlar todo su impacto.

Una aproximación al estado del conocimiento sobre Ética en la Administración Pública la podemos hacer revisando sobre qué se está investigando en este campo:

1. Gestión clásica de la ética:

  • Toma de decisiones éticas y desarrollo moral (18 artículos). Este apartado ha perdido interés respecto a los años anteriores, cuando se hacía más énfasis en las decisiones individuales.
  • Leyes de ética y organismos reguladores (17 artículos). Abordan temas de corrupción, reformas, leyes y códigos éticos, órganos reguladores y un tema emergente: los sistemas de integridad institucional.
  • Desempeño organizacional (19 artículos). Abordan temas como la relación entre la cultura ética y el rendimiento o liderazgo.

2.Nueva gestión de la ética (30 artículos):

  • Liderazgo
  • Ética orientada a la integridad.
  • Formación.
  • Valores públicos.

3.Entorno ético (61 artículos).

  • Confianza, Comunidad, Ciudadanía
  • Transparencia, Comunicación y Buen Gobierno

4.Etica política (28 artículos).

  • Ha experimentado un notable incremento respecto a años anteriores, con gran diversidad en cuanto a temas y metodologías.

5.Globalización (18 artículos).

  • En este ámbito destacan los estudios sobre distintos ámbitos socioculturales y efectos de la globalización.

En cuanto al desarrollo de estrategías, una referencia obligada es el marco de integridad institucional, desarrollado por la OCDE para implantar estrategias que refuercen el clima ético en las administraciones públicas. Como se ha indicado, la Salud Pública por naturaleza tiene un carácter público e institucional; los valores, principios y normas de conducta de sus profesionales toman una dimensión más amplia por su carácter de servicio público. Estos marcos de referencia para desarrollo de estrategias se basan en 6 pilares, que nos pueden ayudar a definir una estrategia específica para Salud Pública:

  1. Principios, valores y conductas

Establecimiento de principios, valores, códigos de conducta, premios, sanciones etc. Un aspecto clave en esta linea es la definición conjunta y asunción de los valores mediante procesos participativos.

  1. Cultura ética.

Actividades de sensibilización, difusión, formación, prevención, promoción de una cultura ética, etc.

  1. Identificación de problemas éticos

Mecanismos que faciliten la detección y comunicación de situaciones problemáticas o dudosas. Un aspecto concreto sería la declaración de intereses en la constitución de cualquier grupo de trabajo o proceso de toma de decisiones.

  1. Espacios de debate y espacios de deliberación

Foros, encuentros, comités de ética, etc. Aspectos concretos serían los foros de debate para estudio de casos paradigmáticos y la creación de un Comité de Ética en Salud Pública.

  1. Toma de decisiones

Si el proceso es justo, la decisión es justa, aunque sea incorrecta; por ello es preciso establecer modelos de toma de decisiones. Transparencia, acceso a la información, rendición de cuentas, participación etc deberían formar parte de estos modelos.

  1. Análisis ético

Desarrollo de métodos y procedimientos que ayuden al análisis ético de planes, programas, e intervenciones.  Servirían de apoyo a la realización del análisis del impacto ético en todas las actuaciones.

Esta estrategia tendrá su mayor legitimidad incorporando en su desarrollo a todas las partes interesadas, empezando por los propios profesionales de la Salud Pública.

 

 

 

 

Estadísticas longitudinales de base poblacional en salud

RGPD Salud Investigacion Proteccion de datosLa idea inicial para este artículo ha sido tomada de Francisco Viciana: “Estadísticas longitudinales de población. El desarrollo de un nuevo sistema de producción estadística”.

Las estadísticas sanitarias se han desarrollaron históricamente con los mismo planteamientos que el resto de la estadística pública: captura, explotación y difusión de datos producidos por una fuente concreta de información, asociada a un ámbito social o incluso organizativo concreto (ejemplo hospitalario, salud pública etc), referida a un periodo concreto de tiempo a modo de foto fija y con la característica de dato oficial, no modificable aunque se produjesen actualizaciones o mejoras en la calidad de los datos.

De esta forma se podía realizar un análisis exhaustivo de una fuente, pero no se podía enriquecer este análisis con otra fuente distinta con la que pudiera estar relacionada, salvo a nivel ecológico, con el grupo como unidad de análisis; este tipo de análisis como es bien conocido, está sometido a un alto riesgo de sesgo. El análisis tenía limitaciones para tratar datos de distintos sectores, clave por ejemplo para la acción intersectorial en salud, o dentro del sector salud, para el análisis que incluyese atención primaria y hospitales.

Con el paso al mundo digital, se reprodujo el esquema analógico, se crearon “silos de información” aislados, reproduciéndose el esquema tradicional de la producción estadística (corte transversal, explotación monográfica aislada, difusión en tablas y posteriormente en ficheros anonimizados, oficialidad, periodicidad y cierre, etc).

El gran cambio se produjo con las posibilidades de conexión de registros, realizándose la unión de distintas fuentes a nivel de la persona, no del grupo; el instrumento que ha permitido en el ámbito sanitario hacer estas conexiones ha sido la base de datos de usuarios, uno de los pilares de las estrategias de digitalización. Así pues se ha recorrido un camino de conexión de registros, cuyo antecedente más relevante lo encontramos en los países nórdicos que disponían de un número único de identificación personal de toda la población desde la década de 1940, y que les ha ayudado en la toma de decisiones y permitido grandes avances en la investigación en salud pública y servicios de salud.

Una vez conectados los registros, podemos relacionar los estados de una persona en distintas dimensiones, pudiéndose establecer las relaciones que existen entre esos estados; por ejemplo prevalencia de enfermedades crónicas, su relación con necesidades asistenciales de distinto tipo y consumo de recursos. Se trata de una foto fija, análisis transversal que supera los límites de los “silos de información” al  permitir el análisis simultaneo e intersectorial de distintas fuentes. Estas conexiones han supuesto un gran avance, y para su establecimiento se ha necesita realizar grandes esfuerzos, al no estar contempladas estas conexiones en el diseño de los sistemas de información.

Sabemos no obstante, que lo que ocurre en un punto de la biografía de una persona está condicionado por eventos ocurridos con anterioridad y que a su vez va a condicionar lo que ocurra en el futuro. Es por ello por lo que surgieron las estadísticas longitudinales a nivel poblacional, en las que sobre la trayectoria vital de una persona se pueden ir colocando eventos registrados en fuentes distintas; además de existir bastantes iniciativas a nivel internacional, hay experiencias en los órganos estadísticos, tanto en el INE (Estudio Demográfico Longitudinal), como el Instituto Vasco de Estadística (Registro de Población) e IECA (Base de Datos Longitudinal de Población de Andalucíade). Esto supone un paso importante respecto a las estadísticas transversales, dado que nos permite establecer las relaciones entre un evento actual y otro acaecido previamente en su trayectoria vital, así como predecir el tipo de eventos que pudieran ocurrir en el futuro, pasando de la estática de una foto fija, a la dinámica de una película.

Los países que fueron pioneros en la conexión de registros poblacionales lo han sido igualmente al transformarlos en registros longitudinales; estos estudios son de utilidad en la evaluación de impacto de intervenciones clínicas, salud pública, establecimiento de previsiones de gasto sanitario para grupos de pacientes concretos o ámbito social; en algunos países estos registros longitudinales son considerados como un elemento de la infraestructura de investigación.

El completar o pasar del análisis transversal al longitudinal presenta múltiples retos. El primero de ellos tiene que ver con la conexión de registros, paso previo en el que surgen dificultades al no estar contemplada esta fusión en el diseño de los sistemas de información que los generan, lo cual conlleva enormes problemas en la extracción, transformación y carga de datos; otros problemas a tener en cuenta son el gran volumen de datos a manejar y la calidad de los mismos, desconocida para algunas de las fuentes de datos. El siguiente reto tiene que ver con la transformación de registros fusionados orientados a una explotación transversal en registros longitudinales, lo cual nos llevará a replantear los sistemas de información operacionales de los que provienen; finalmente el propio análisis longitudinal de bases de datos poblacionales supone unos abordajes metodológicos con los que no estamos familiarizados.

Reglamento General de Protección de Datos (RGPD), Salud e Investigación.

RGPD Proteccion de datos Salud InvestigacionEl nuevo Reglamento General de Protección de Datos (RGPD) será de obligado cumplimiento en los 28 Estados miembros de la Unión Europea el 25 de mayo de 2018; los ficheros actualmente declarados a la APD, dispondrán de 2 años a partir de esa fecha para adaptarse. El tratamiento de datos debe ser equivalente en todos los estados miembros, que aunque introduzcan ciertas particularidades, no pueden hacer modificaciones substanciales sobre lo incluido en el Reglamento.

En España, se adapta el ordenamiento jurídico español al RGPD en el borrador del Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal. Aborda temas como: el consentimiento explícito, consentimiento de los menores a partir de 13 años, acceso a datos de personas fallecidas, licitud de tratamiento de datos en ciertos ámbitos económicos, transparencia para el interesado, derecho a portabilidad con ciertas limitaciones respecto a los datos inferidos, amplia los supuestos en los que debe de haber un Delegado de Protección de Datos,  especifica ciertas situaciones en las que es necesaria la Evaluación de Impacto  y establece el régimen sancionador. Indica igualmente que se podrá hacer tratamiento de datos en cumplimiento de una misión de interés público o ejercicio de poderes públicos, cuando derive de una competencia atribuida por la ley. No hace ninguna mención a salud o investigación; en consecuencia, los análisis sobre estos temas hechos en otros países son válidos para España, salvo que la legislación sectorial indique otra cosa.

 Aunque el RGPD introduce importantes novedades, algunos analistas consideran que su impacto no será tan oneroso como en principio se suponía; aun así, las organizaciones que procesan datos de salud tendrán que revisar en profundidad sus políticas, procedimientos y prácticas existentes para asegurar el cumplimiento.

Aspectos generales

Estos son los aspectos de ámbito general más destacados:

  1. Las organizaciones están obligadas a demostrar que cumplen con el nuevo Reglamento. Eso exigirá introducir cambios importantes en sus procedimientos de control.
  2. Establece la obligación de notificar las brechas de seguridad y cuando hay que informar a los interesados.
  3. Derecho a la portabilidad de los datos personales, generalmente gratuitamente.
  4. Obligación de llevar un registro del tratamiento de datos (desaparece la obligación de declarar el fichero a la APD).
  5. Todos los organismos públicos deben tener (en plantilla o contrato de servicios) un Delegado de Protección de Datos.
  6. La Evaluación de Impacto de Protección de Datos, obligatorio para procesamientos de alto riesgo, en los que se incluyen los datos de salud
  7. La protección de datos debe abordarse en todos los procesos de información, con seguridad inherente a los propios sistemas de información, protección por diseño.
  8. Establece medidas de transparencia y rendición de cuentas.
  9. Reglas más estrictas, en las que el consentimiento es la base para el procesamiento de datos.

En cuanto al alcance del RGPD, es una novedad que no incluye a las personas fallecidas, e incluye expresamente los datos sometidos a pseudonimización (tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable).

En cuanto a la estructura de los sistemas de protección de datos, nos encontramos con:

  • Supervisor Europeo de Protección de Datos
  • El Comité Europeo de Protección de Datos (Artículo 68).
  • Autoridad de control (nacional o subnacional) (Artículo 51).
  • Delegado de protección de datos (Artículo 37).
  • Encargado de tratamiento (Artículo 28)

El Delegado de protección de datos se convierte en la figura central del sistema de protección de datos, designado por los responsables y encargados del tratamiento, es una figura independiente con conocimientos especializados en Derecho y protección de datos, que rendirá cuentas al nivel jerárquico superior al del responsable o encargado. Es el referente para la dirección de la institución, usuarios, autoridades de control, responsable del tratamiento y encargado de tratamiento). Tiene que informar, asesorar, supervisar, además de cooperar con la autoridad de control. Específicamente  ha de asesorar en su ejecución de la evaluación de impacto y supervisar su cumplimiento.

El tratamiento de los datos de salud entre otros, debe estar sometido a una Evaluación de impacto relativa a la protección de datos (Artículo 35). Será realizado por el responsable del tratamiento, antes del tratamiento; una única evaluación podrá incluir una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. Esta evaluación debe contemplar al menos:

  1. Una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
  2. Una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
  3. Una evaluación de los riesgos para los derechos y libertades de los interesados, y
  4. Las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el RGPD, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.

Se refuerza la exigencia de consentimiento, mediante una declaración o una acción positiva no pudiendo deducirse del silencio o de la inacción, estableciendo la obligación de disponer de sistemas de registro del consentimiento. Además se introduce la exigencia del consentimiento para la oferta directa a niños de servicios de la sociedad de la información (internet), que será válido para mayores de 16 años, mientras que para menores de 16 años se necesitará el consentimiento del padre o tutor (Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años).

RGPD y  Salud.

El RGPD despeja cualquier duda acerca del tratamiento de datos sanitarios en funciones de auditoría, incluida en los usos legítimos de los datos. Contempla igualmente el tratamiento de estos datos para protección social (53).

Respecto a su uso secundario para investigación, queda igualmente claro la legitimidad de su uso, incluidos biobancos y big data, dado que permite un amplio consentimiento a “determinadas áreas de investigación cuando de conformidad con las normas éticas reconocidas” ( 33). Las normas éticas reconocidas implican que tenga que ser aprobado por un comité de ética de investigación, aprobación necesaria pero no vinculante para el delegado de protección de datos y encargado del tratamiento. El término investigación se considera de una forma amplia, incluyendo la investigación privada, desarrollo tecnológico, demostración, etc. El RGPD sí que es previsible tendrá impacto en la gestión de los datos personales en proyectos de investigación.

Los investigadores del Reino Unido consideran que el uso de los datos de salud a efectos de investigación no tiene limitaciones en el ámbito público al responder al interés general, pero las tendría en el uso de datos sanitarios a efectos de investigación a realizar por parte del sector privado. Igualmente, investigadores de proyectos o asociaciones profesionales europeas, consideran que no es necesario obtener el consentimiento expreso de cada una de las personas incluidas en una base de datos para utilizar estas bases de datos con fines de investigación.

Los datos de salud se incluyen entre las categorías especiales de datos personales (Artículo 9). En el considerando (35), se indica que en los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Específicamente hace mención a datos genéticos, todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro. Aunque no es un dato sanitario, el RGPD contempla también los datos biométricos.

En el (45) se indica que cuando se realice un tratamiento de datos en cumplimiento de una obligación legal aplicable al responsable del tratamiento, o si es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, el tratamiento debe tener una base legal. Una norma puede ser suficiente como base para varias operaciones de este tratamiento de datos. Se indican como de interés público los fines sanitarios como la salud pública, la protección social y la gestión de los servicios de sanidad, de Derecho privado, como una asociación profesional.

El tratamiento de datos personales también debe considerarse lícito (46) cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano.

El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial (50). Las operaciones de tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos deben considerarse operaciones de tratamiento lícitas compatibles. Con objeto de determinar si el fin del tratamiento ulterior es compatible con el fin de la recogida inicial de los datos personales, el responsable del tratamiento, debe tener en cuenta, entre otras cosas, cualquier relación entre estos fines y los fines del tratamiento ulterior previsto, el contexto en el que se recogieron los datos, en particular las expectativas razonables del interesado basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los interesados del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista. Con todo, debe prohibirse esa transmisión en interés legítimo del responsable o el tratamiento ulterior de datos personales si el tratamiento no es compatible con una obligación de secreto legal, profesional o vinculante por otro concepto.

Se autorizan excepciones (52) a la prohibición de tratar categorías especiales de datos personales sin consentimiento expreso cuando exista una base legal y siempre que se den las garantías apropiadas, a fin de proteger datos personales y otros derechos fundamentales, cuando sea en interés público, en particular el tratamiento de datos personales en el ámbito de la legislación laboral, la legislación sobre protección social, incluidas las pensiones y con fines de seguridad, supervisión y alerta sanitaria, la prevención o control de enfermedades transmisibles y otras amenazas graves para la salud. Tal excepción es posible para fines en el ámbito de la salud, incluidas la sanidad pública y la gestión de los servicios de asistencia sanitaria, especialmente con el fin de garantizar la calidad y la rentabilidad de los procedimientos utilizados para resolver las reclamaciones de prestaciones y de servicios en el régimen del seguro de enfermedad, o con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos. Debe autorizarse asimismo a título excepcional el tratamiento de dichos datos personales cuando sea necesario para la formulación, el ejercicio o la defensa de reclamaciones, ya sea por un procedimiento judicial o un procedimiento administrativo o extrajudicial.

Las categorías especiales de datos personales que merecen mayor protección únicamente deben tratarse con fines relacionados con la salud (53) cuando sea necesario para lograr dichos fines en beneficio de las personas físicas y de la sociedad en su conjunto, en particular en el contexto de la gestión de los servicios y sistemas sanitarios o de protección social, incluido el tratamiento de esos datos por las autoridades gestoras de la sanidad y las autoridades sanitarias nacionales centrales con fines de control de calidad, gestión de la información y supervisión general nacional y local del sistema sanitario o de protección social, y garantía de la continuidad de la asistencia sanitaria o la protección social y la asistencia sanitaria transfronteriza o fines de seguridad, supervisión y alerta sanitaria, o con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, basados en el Derecho de la Unión o del Estado miembro que ha de cumplir un objetivo de interés público, así como para estudios realizados en interés público en el ámbito de la salud pública. Por tanto, el presente Reglamento debe establecer condiciones armonizadas para el tratamiento de categorías especiales de datos personales relativos a la salud, en relación con necesidades específicas, en particular si el tratamiento de esos datos lo realizan, con fines relacionados con la salud, personas sujetas a la obligación legal de secreto profesional. El Derecho de la Unión o de los Estados miembros debe establecer medidas específicas y adecuadas para proteger los derechos fundamentales y los datos personales de las personas físicas. Los Estados miembros deben estar facultados para mantener o introducir otras condiciones, incluidas limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud. No obstante, esto no ha de suponer un obstáculo para la libre circulación de datos personales dentro de la Unión cuando tales condiciones se apliquen al tratamiento transfronterizo de esos datos.

El tratamiento de categorías especiales de datos personales, sin el consentimiento del interesado (54), puede ser necesario por razones de interés público en el ámbito de la salud pública. Ese tratamiento debe estar sujeto a medidas adecuadas y específicas a fin de proteger los derechos y libertades de las personas físicas. En ese contexto, «salud pública» debe interpretarse en la definición del Reglamento (CE) n.o 1338/2008 del Parlamento Europeo y del Consejo ( 1 ), es decir, todos los elementos relacionados con la salud, concretamente el estado de salud, con inclusión de la morbilidad y la discapacidad, los determinantes que influyen en dicho estado de salud, las necesidades de asistencia sanitaria, los recursos asignados a la asistencia sanitaria, la puesta a disposición de asistencia sanitaria y el acceso universal a ella, así como los gastos y la financiación de la asistencia sanitaria, y las causas de mortalidad. Este tratamiento de datos relativos a la salud por razones de interés público no debe dar lugar a que terceros, como empresarios, compañías de seguros o entidades bancarias, traten los datos personales con otros fines.

El interesado debe tener derecho a no ser objeto de una decisión, que puede incluir una medida, que evalúe aspectos personales relativos a él, y que se base únicamente en el tratamiento automatizado y produzca efectos jurídicos en él o le afecte significativamente de modo similar, como la denegación automática de una solicitud de crédito en línea o los servicios de contratación en red en los que no medie intervención humana alguna (71). Este tipo de tratamiento incluye la elaboración de perfiles consistente en cualquier forma de tratamiento de los datos personales que evalúe aspectos personales relativos a una persona física, en particular para analizar o predecir aspectos relacionados con el rendimiento en el trabajo, la situación económica, la salud, las preferencias o intereses personales, la fiabilidad o el comportamiento, la situación o los movimientos del interesado, en la medida en que produzca efectos jurídicos en él o le afecte significativamente de modo similar

Combinando información procedente de registros (157), los investigadores pueden obtener nuevos conocimientos de gran valor sobre condiciones médicas extendidas, como las enfermedades cardiovasculares, el cáncer y la depresión. Partiendo de registros, los resultados de las investigaciones pueden ser más sólidos, ya que se basan en una población mayor. Para facilitar la investigación científica, los datos personales pueden tratarse con fines científicos, a reserva de condiciones y garantías adecuadas establecidas en el Derecho de la Unión o de los Estados miembros.

El presente Reglamento también debe aplicarse al tratamiento datos personales que se realice con fines de investigación científica (159). El tratamiento de datos personales con fines de investigación científica debe interpretarse, a efectos del presente Reglamento, de manera amplia, que incluya, por ejemplo, el desarrollo tecnológico y la demostración, la investigación fundamental, la investigación aplicada y la investigación financiada por el sector privado. Además, debe tener en cuenta el objetivo de la Unión establecido en el artículo 179, apartado 1, del TFUE de realizar un espacio europeo de investigación. Entre los fines de investigación científica también se deben incluir los estudios realizados en interés público en el ámbito de la salud pública.

¿Hacia la irrelevancia de la evaluación de tecnologías sanitarias?

P_20170312_134552El INAHTA/HTAi Ethics Interest Group(EIG) invitó a dos filósofos reconocidos (Daniels y Richardson) a que reflexionasen sobre el papel de la evaluación de tecnologías sanitarias en las políticas de salud.

Según indica la Editorial que precede a sus artículos, ambos autores consideran que la evaluación de tecnologías sanitarias tiene un enfoque excesivamente mecanicista y que mejoraría si se enmarcase en un proceso deliberativo más amplio. La comparación entre dos alternativas terapéuticas no puede ser decidida sólo a partir de la deliberación, pues necesita datos objetivos para el análisis de los hechos, y a ser posible obtenidos de ensayos clínicos de calidad. Aunque los datos sean imprecisos o insuficientes, nos vemos igualmente obligados a tomar decisiones, proceso que se beneficiaría con la deliberación; pero la deliberación que plantean los dos filósofos no se refiere a estas situación, sino a otras más complejas (tales como no instaurar o retirar una tecnología) para cuya resolución difícilmente encontraremos respuesta en los ensayos clínicos, necesitando información de otras fuentes, como la proporcionada por las distintas partes interesadas.

La evaluación de tecnologías sanitarias es un proceso que recopila datos que se consideran plausibles, pertinentes y susceptibles de ser investigados. La plausibilidad está en función de nuestro punto de vista sobre el problema, la pertinencia está en función de nuestros valores y la investigación, de la pregunta de investigación y el método. Daniels y Richardson plantean cómo incorporar estos puntos de vista, basados en valores diferentes, en la evaluación de tecnologías sanitarias.

Richarson identifica dos tensiones importantes en la evaluación de la tecnologías sanitarias:

  • Entre tomar las decisiones en los años de vida ajustados por calidad de vida, o incorporar otros factores, digamos menos contundentes.
  • Entre limitar la información a hechos objetivos, o incorporar elementos subjetivos.

Plantea que la salud no es un fin en sí mismo, sino un conjunto de capacidades que contribuyen a otros fines, los cuales nos permiten desarrollar nuestras capacidades humanas básicas; la efectividad de las tecnologías no está dirigida por tanto a un único fin, la salud, y debe incorporar para su evaluación elementos acordes con esos otros fines. La identificación de los fines a los que sirve una tecnología (y sus interrelaciones) se convierte, desde este puno de vista, en una tarea fundamental. Por otra parte, centrarse en lo subjetivo chocaría con los principios básicos de la evaluación de tecnologías sanitarias, basados en dimensiones objetivas; por ello hay que buscar salidas inteligentes basadas en la coherencia, transparencia y justicia.

Daniels plantea que toda decisión beneficia a unos intereses respecto a otros, por lo que por definición, se crea controversia. Si la evaluación de tecnologías sanitarias se centra en seguridad, eficacia y coste efectividad evita controversias pero, al no contemplar otros elementos también importantes, su valor para tomar decisiones es limitado y en consecuencia puede correr el riesgo de caer en la marginalidad; estaría trasladando la incertidumbre a los que finalmente tienen que tomar las decisiones.

El dilema por tanto es:

  • ¿Ampliar las dimensiones de análisis de la evaluación de tecnologías sanitarias y someterse a controversia o mantener la situación actual, hasta caer en la marginalidad?.

La salida a esta situación la encuentra en un proceso deliberativo, con un procedimiento justo, que incluya al menos cuatro condiciones: publicidad (transparencia), relevancia (importancia), revisión (ante nuevos hechos), y asegurar su aplicación. Este autor aboga por el método “equilibrio reflexivo amplio”.

Dado el perfil de los dos expertos consultados, sus aportaciones lógicamente tienen que ver con el mundo de los valores en el proceso de toma de decisiones. Aunque el análisis ético forma parte de las definiciones de evaluación de tecnologías sanitarias, lo cierto es que su incorporación ha sido muy limitada; la tendencia a la producción de informes rápidos, asumida por las agencias de nuestro entorno, limita aún más el análisis de los valores para la toma de decisiones, por lo que nos podemos preguntar si sus productos perderán utilidad.

Se ha argumentado que una posible causa de la insuficiente incorporación del análisis ético en la evaluación podría estar condicionada en parte por limitaciones en estos métodos de análisis. Se ha puesto de manifiesto no obstante, que métodos diferentes de análisis ético dan resultados similares, y que el uso sistemático y trasparente del análisis ético es más importante que el método empleado.