Las directrices del EDPB (Comité Europeo de Protección de Datos) son documentos de orientación que interpretan cómo debe aplicarse el RGPD en situaciones concretas. No tienen el carácter de legislación vinculante, pero en la práctica funcionan como referencia obligatoria porque las autoridades de protección de datos (como la AEPD en España) las aplican en sus resoluciones y procedimientos sancionadores. Para la investigación científica, las directrices del EDPB son especialmente relevantes porque el RGPD prevé excepciones y tratamientos especiales para este ámbito (artículo 9.2.j y considerando 159), cuya aplicación práctica no siempre está clara. Las nuevas directrices sometidas a consulta pública buscan armonizar cómo se aplican esas excepciones en toda la UE, lo que implica que las organizaciones que investiguen con datos personales (hospitales, universidades, empresas farmacéuticas, centros de I+D) necesitarán revisar sus prácticas a la luz de esas orientaciones.

No siempre. El RGPD prevé que los datos de salud (categoría especial de datos) puedan tratarse con fines de investigación científica sin necesidad de consentimiento expreso del interesado, siempre que se cumplan determinadas condiciones: que exista una base jurídica adecuada bajo el artículo 9.2.j del RGPD (investigación científica con salvaguardias apropiadas), que la normativa nacional o de la UE autorice expresamente ese tratamiento, y que se apliquen las salvaguardias técnicas y organizativas exigidas (seudonimización, controles de acceso, limitación de finalidad). En España, esto se complementa con la LOPDGDD y con las normas sectoriales aplicables (legislación sanitaria, normativa de biobancos, etc.). En la práctica, muchos proyectos de investigación sí obtienen consentimiento informado de los participantes como base jurídica principal, especialmente cuando es factible hacerlo. Las nuevas directrices del EDPB clarificarán cuándo es suficiente el interés público o la necesidad de investigación sin consentimiento expreso, y qué salvaguardias deben implementarse en cada caso.

Una CRO (Contract Research Organization u Organización de Investigación por Contrato) es una empresa especializada que presta servicios de investigación clínica por cuenta de patrocinadores farmacéuticos, biotecnológicos u otras organizaciones. En el contexto de la protección de datos, las CROs tienen obligaciones específicas derivadas de su rol en los ensayos clínicos. Dependiendo del grado de autonomía que tengan en las decisiones sobre tratamiento de datos, pueden ser consideradas responsables del tratamiento (si deciden sobre los fines y medios), corresponsables (si deciden conjuntamente con el patrocinador) o encargados del tratamiento (si actúan siguiendo las instrucciones del patrocinador). Esta calificación tiene consecuencias prácticas importantes: determina quién debe firmar qué tipo de contrato, quién responde ante los interesados y las autoridades de control, y cómo deben distribuirse las responsabilidades en caso de incidentes de seguridad o reclamaciones de participantes. Las nuevas directrices del EDPB abordarán específicamente cómo calificar el rol de los distintos actores en proyectos de investigación multicéntricos o multinacionales.

Las universidades que investigan con datos personales enfrentan varios riesgos específicos de protección de datos. En primer lugar, la fragmentación de la gobernanza: los proyectos de investigación suelen implicar a múltiples departamentos, investigadores externos, co-patrocinadores y proveedores tecnológicos, lo que dificulta garantizar que todos tratan los datos con las mismas salvaguardias. En segundo lugar, la reutilización de datos: los datos recogidos para un proyecto de investigación se reutilizan frecuentemente en proyectos posteriores sin verificar si la base jurídica original lo permite. En tercer lugar, las transferencias internacionales: muchos proyectos de investigación son multinacionales y las transferencias de datos a países fuera de la UE requieren garantías específicas. En cuarto lugar, la seguridad de los datos: las universidades suelen tener entornos de IT complejos con niveles de seguridad variables que pueden no ser adecuados para la protección de datos de salud u otros datos sensibles. La auditoría periódica de los proyectos de investigación por un despacho especializado en protección de datos puede identificar estos riesgos antes de que generen incidentes o sanciones.

Especializarse en protección de datos para investigación científica requiere una combinación de conocimiento jurídico profundo y comprensión del sector. El conocimiento jurídico debe abarcar el RGPD y la LOPDGDD, las directrices del EDPB y de la AEPD sobre investigación científica, la normativa sectorial aplicable (legislación sanitaria, normativa de biobancos, regulación de ensayos clínicos), y el derecho de la propiedad intelectual relacionado con los resultados de investigación. La comprensión del sector implica saber cómo funciona un ensayo clínico, qué son los comités de ética de investigación, cómo se estructuran los proyectos de investigación financiados con fondos europeos, y cuáles son los estándares técnicos de seudonimización y anonimización. Para posicionarse en este nicho, el despacho debe publicar contenido técnico específico sobre protección de datos en investigación, establecer alianzas con consultores especializados en IT para ensayos clínicos y con DPOs de hospitales y universidades, y ofrecer servicios paquetizados de revisión de proyectos de investigación que combinen el análisis jurídico con el técnico.