Guía de apoyo para proporcionar al CEIm la información necesaria para evaluar los aspectos de protección de datos de los estudios observacionales con medicamentos
v.20211008
•	La información a presentar al CEIm está marcada en azul.
•	En letra en verde y en cursiva, explicaciones de cómo completar cada apartado
•	La información adicional relevante desde el punto de vista de protección de datos está explicada en notas a pie de página.
•	Recuerde que debe informar de los aspectos relevantes de protección de datos en la hoja de información y consentimiento del participante al proyecto de investigación.

DATOS DE CONTACTO E IDENTIFICACIÓN DEL PROYECTO
Apellidos y nombre del investigador principal	 	
Correo  electrónico/ Teléfono	 	
Institución a la que pertenece	 	
Grupo de investigación	 	
Título del proyecto	 	
Código CEIm proyecto	 	
Objetivo del proyecto	 	
 
¿El proyecto trata datos personales? 
Si	No	

En caso de respuesta negativa, debe explicar quién ha realizado el procedimiento de anonimización y de qué forma:

En caso de respuesta afirmativa, es necesario rellenar el resto del cuestionario:

1. DETALLE DEL TIPO Y FORMATO DE DATOS PERSONALES 
Tipos de variables:
¿Qué debemos explicar en este apartado? En este apartado se ha de explicar cuáles son los datos que se tratarán y con qué finalidad, haciendo una descripción de las tipologías de datos o variables que se utilizarán.
Nombre y apellidos	☐	Fecha de nacimiento	☐	Nº tarjeta sanitaria o Nº Historia Clínica	☐	
NIF / DNI	☐	Teléfono	☐	Datos relativos a la salud	☐	
Breve descripción de las variables de salud recogidas
	
Otros (describir)	

Formato de los datos
En este punto se deberá indicar el formato de los datos y cómo se han llevado a cabo determinados procedimientos con la finalidad de realizar la investigación y aplicar la normativa.
Los datos personales se seudonimizan en origen (antes de que acceda el investigador)	☐	Si los datos personales identificativos del participante están disociados de sus datos clínicos, por estar ya seudonimizados en el sentido de la D.A.17.2 de la LOPDGDD.	
El propio equipo investigador accede a los datos identificativos y realiza una disociación de los datos clínicos 	☐	Si la disociación de los datos identificativos de los datos clínicos es llevada a cabo por el propio equipo investigador, de acuerdo con los principios recogidos en el art. 5 del RGPD, y especialmente los de minimización de datos, integridad y confidencialidad.	
El equipo investigador accede a los datos identificativos sin realizar una disociación de los datos clínicos	☐	Si para llevar a cabo el proyecto se requiere que el equipo investigador trate los datos identificativos durante la ejecución del mismo, sin separarlos de los datos clínicos. Este supuesto solo sería aceptable por el CEIm si se motiva y ello es conforme con la normativa de protección de datos.	
Se utilizarán datos personales procedentes de otra investigación 	☐	Si se reutilizan datos para finalidades secundarias	
Se cruzarán datos del estudio con otras bases de datos	☐		

Tiempo de conservación de los datos o criterios de conservación
	
2.	SUPUESTOS QUE HABILITAN EL TRATAMIENTO DE LOS DATOS
¿Qué debemos explicar en este apartado? La normativa de protección de datos, establece que, para tratar datos personales, es necesario disponer de un motivo que habilite a tratarlas, lo que el RGPD llama base de legitimación
Se indicará asimismo el origen de los datos, si provienen directamente del propio titular de los datos o si se han obtenido de otra base de datos o de la historia clínica.

Consentimiento del interesado	☐	Estudios epidemiológicos de interés general en situaciones de emergencia autorizados por la Autoridad Sanitaria	☐	Reutilización de datos de otro estudio 	☐	
Uso de datos en razón de interés público	☐	Los datos provienen de una base de datos de pacientes que han dado un consentimiento para utilizar los datos para estudios de una línea de investigación	☐	Fines de investigación científica	☐	
En caso de reutilización de datos añadir la información adicional pertinente y aportar consentimiento previo

ORIGEN Y PROCEDENCIA DE LOS DATOS
El propio interesado o su representante legal 	☐	Registros públicos	☐	Fuentes de acceso público (open data)	☐	
Historia clínica	☐	Un ensayo clínico anterior	☐	Una investigación anterior	☐	
Otros (detallar)

3.	SUJETOS INTERVINIENTES EN EL TRATAMIENTO
Que debemos explicar en este apartado Además se debe identificar la entidad que decide en relación al tratamiento de los datos, es decir, quién es el responsable/responsables o corresponsables del tratamiento. (Recuerde que el centro sanitario es responsable de los datos que se obtengan de la historia clínica). En segundo lugar se describirá quién trata datos en el proyecto, que pueden ser diversos actores y llevar a cabo varios roles. 
También se describirán otros sujetos que accederán a los datos o que los recibirán, aunque no tengan la consideración de responsable del tratamiento. En este punto aparece la figura del encargado de tratamiento, con quien deberá suscribir el correspondiente contrato-

¿Quién trata los datos como Responsable del tratamiento?

¿Quién trata los datos como Encargado del tratamiento?

¿Otras comunicaciones de datos y por qué motivo? 

DESTINATARIOS DE LOS DATOS
Asociaciones y organizaciones sin ánimo de lucro	☐	Entidades sanitarias	☐	Otros órganos de la Administración Pública	☐	
Colegios profesionales	☐	Empresa privada: Industria	☐	Universidad Pública	☐	
Universidad Privada	☐	Prestadores de servicios sanitarios 	☐	Organismos de la Unión Europea	☐	
Otros se destinatarios (Indicar cuáles)	
 
Motivo de la / las comunicaciones
	
4.	TRANSFERENCIAS INTERNACIONALES DE DATOS
¿Qué debemos explicar en este apartado? Se determinará la existencia de transferencias internacionales de datos, así como su adecuación a la normativa de protección de datos. Esta información se deberá reflejar en la hoja de información del participante al proyecto de investigación.

Destinatario de la transferencia internacional

	
 
Identificación del tercer país u organización internacional

	

Motivo que habilita la transferencia internacional
Basadas en una decisión de adecuación (art. 45 RGPD)	☐	Transferencia mediante garantías adecuadas (art. 46 RGPD) 	☐	Excepciones para situaciones específicas (art. 49 RGPD)	
otros

5.	TRATAMIENTO DE LOS DATOS Y MEDIDAS TÉCNICAS Y ORGANIZATIVAS DE SEGURIDAD
¿Qué debemos explicar en este apartado?  El protocolo es necesario que indique como se tratarán los datos, es decir donde se almacenarán y los recursos informáticos que se utilizarán.
En relación a donde se almacenarán deberá indicar si se utilizan servidores propios o de un tercero, asimismo indicará si se usan herramientas de almacenamiento en la nube o plataformas de gestión de datos por terceros y las características de las mismas.
Habrá que hacer una breve descripción de las medidas de seguridad que garantizan que los datos sólo sean accesibles al equipo investigador, tal y como clave de acceso y contraseñas individuales.
Las herramientas de almacenamiento e intercambio de información que se utilicen siempre deben ser las institucionales o bien, verificar a través del Departamento de Sistemas de Información que se tratan de herramientas seguras.

1. ¿Los datos se tratan con dispositivos informáticos? 
Sí	No	

En caso afirmativo, indique;

2 ¿Dónde se guardará la información y quién podrá acceder a la misma? 

3. ¿Dónde se ubica el servidor?

4. ¿Se utilizan herramientas de almacenamiento en la nube? 
Sí	No	
En caso afirmativo, indicar dónde está guardará la información.

5. ¿Se utilizan bases de datos compartidas de forma telemática con otros centros o investigadores?
Sí	No	
En caso afirmativo indicar cuáles y qué medidas de seguridad se aplican a la conexión (p.ej acceso vía VPN)

6.	IDENTIFICACION DE TRATAMIENTOS QUE SUPONEN UN ALTO RIESGO PARA LOS DERECHOS Y LIBERTADES DE LOS TITULARES DE LOS DATOS.
¿Qué debemos explicar en este apartado?  Desde el punto de vista de la normativa de protección de datos, determinadas situaciones se considera que suponen un alto riesgo para los derechos y libertades de los titulares de los datos.
En todo proyecto de investigación se debe verificar si se necesita una evaluación de impacto, conforme al apartado 2.f.1º de la disposición adicional 17º de la LOPDGDD, que establece que cualquier proyecto de investigación realizado de acuerdo a lo establecido en el artículo 89 del RGDP requerirá la realización de una evaluación de impacto, siempre y cuando estemos en una de las situaciones, de alto riesgo para los derechos y libertades de los titulares de los datos, previstas en el artículo 35 del RGPD , o nos encontremos en uno de los supuestos previstos por las Autoridades de Protección de Datos.
En el marco de la investigación, será muy frecuente la necesidad de realizar una evaluación de impacto, ya que se tratan datos de salud, y frecuentemente los proyectos de investigación contienen otros elementos de riesgo como el uso de tecnologías innovadoras (técnicas de inteligencia artificial, wearables o apps, sistemas de realidad virtual, geolocalización o biometría), el tratamiento de colectivos especialmente vulnerables (menores, incapaces), perfilado de datos o el tratamiento masivo de datos, que hacen necesaria la realización de una evaluación de impacto. A fin de obtener más información acerca de la necesidad y la forma de realizar una evaluación de impacto debe consultar al delegado de protección de datos de su institución. 
Describir si se lleva a cabo alguno de los siguientes tipos de uso de los datos:
 
 	☐	Realización de perfilado de datos o toma de decisiones automatizadas respecto participantes individuales.  
☐ Uso de herramientas de inteligencia artificial. 
☐ Utilización de técnicas de explotación de datos con tecnologías Big Data. 
☐ Utilización de sistemas de biometría 
☐ Utilización de sistemas de geolocalización. 
☐	Datos relacionados con personas vulnerables (p.e.: menores, ancianos, personas con riesgo de exclusión social, empleados, …)
☐	Datos sensibles de personas identificables, como p.e.ideología, opiniones religiosas, creencias, vida sexual u orientación sexual, de violencia de género y malos tratos, genéticos que proporcionan una información única sobre la fisiología o la salud del identificado obtenidas del análisis de una muestra biológica, relativos a condenas y delitos penales

En caso de que se dé algún uso de los datos indicado aquí, es necesario adjuntar la correspondiente evaluación de impacto en la protección de datos, en un documento adjunto a este cuestionario.