2.1. Deber de información previa al consentimiento, deber de comunicación de los hallazgos y limitaciones del derecho a no saber en la LIB

La LIB establece que en la información previa a la realización de análisis genéticos es obligatoria la advertencia sobre la posibilidad de descubrimientos inesperados y su posible trascendencia para el sujeto, así como sobre la facultad de este de tomar una posición en relación con recibir su comunicación (arts. 47 y 48 LIB). Esto es, todo paciente o participante al que se le realice un análisis genético debe de ser previamente informado sobre la posibilidad de que eventualmente se le comuniquen hallazgos incidentales (o de la búsqueda deliberada de un hallazgo secundario).

A partir de dicha información previa, se establece el mandato normativo de consentir expresamente sobre el deseo de recibir o no comunicación sobre estos descubrimientos (a que no sean buscados en el caso de los hallazgos secundarios). El artículo 10 del CDHB reconoce el derecho de toda persona a conocer toda información obtenida respecto a su salud, pero también de respetar su voluntad de no ser informada. Siguiendo esta disposición, la LIB indica expresamente que se debe respetar el derecho de la persona a decidir que no se le comuniquen los resultados genéticos, incluidos los descubrimientos inesperados que se pudieran producir (art. 4(5) LIB). En consecuencia y a nuestro entender, si concurrieran tanto hallazgos incidentales como secundarios, por su diferente naturaleza, deberán informarse y consentirse por separado.

De esta manifestación de la autonomía del sujeto se derivan, a su vez, dos cuestiones claves relacionadas con el deber de informar/comunicar estos hallazgos. En primer lugar, la determinación de qué hallazgos deben comunicarse. Y, en segundo lugar, las limitaciones que plantea el ejercicio del derecho a no saber frente a los derechos a saber de terceros.

En relación con qué tipo de hallazgos deben comunicarse, la LIB establece en su artículo 26 que debe comunicarse aquella información relevante para la salud de los participantes, o bien en el marco de la asistencia en curso o, en su defecto, prestando un asesoramiento específico. El problema de esta disposición es que puede resultar excesivamente indeterminada a la hora de determinar qué es relevante para la salud de los participantes y, por ello, resulta más satisfactoria la obligación establecida en el artículo 32, apartado primero, del Real Decreto 1716/2011 de biobancos⁸, dado que añade un criterio de validación: d) Datos genéticos debidamente validados y relevantes para la salud que se hayan obtenido a partir del análisis de las muestras cedidas.

Lamentablemente, a la relevancia y validación del hallazgo, la normativa no añade de forma expresa el criterio de accionabilidad, también entendido como la capacidad de intervenir clínicamente. Esta capacidad se relaciona con que el análisis pueda reportar un beneficio para el manejo clínico del enfermo o sus familiares (diagnóstico, tratamiento o seguimiento), o bien evite la realización de otros procedimientos diagnósticos o terapéuticos inapropiados, o bien proporcione información clave para la toma de decisiones reproductivas del individuo o de sus familiares que puedan comprometer a su descendencia (^{Romeo Casabona et al., 2018}, p. 49).

En segundo lugar, el derecho a no ser informado sobre hallazgos incidentales no es absoluto, cuestión que no resulta relevante en relación con los hallazgos secundarios dado que el derecho a no saber implica en dicho caso un deber de no buscar dichos hallazgos de forma deliberada.

La normativa establece que el posible beneficio asistencial de terceros puede limitar ese derecho a no saber. Esta cuestión es también compleja en otros entornos normativos cercanos al nuestro, siendo difícil establecer criterios generales y requiere, por tanto, sopesar caso por caso qué obligaciones/derechos deben prevalecer (^{Phillips et al., 2022}, p. 770).

Por un lado, el artículo cuarto -dentro del apartado de disposiciones generales de la ley- establece que: «Cuando esta información, según criterio del médico responsable, sea necesaria para evitar un grave perjuicio para su salud o la de sus familiares biológicos, se informará a un familiar próximo o a un representante, previa consulta del comité asistencial si lo hubiera. En todo caso, la comunicación se limitará exclusivamente a los datos necesarios para estas finalidades» (art. 4(5) LIB). Esta disposición parece referirse al ámbito asistencial clínico, ya que se habla de "medico responsable" y no investigador, y también de "consulta del comité asistencial" y no al de ética de la investigación.

Por otro lado, más adelante, la LIB parece dejar esta potestad en manos de los investigadores o clínicos -dentro del apartado de disposiciones generales en lo relativo a análisis genéticos, muestras biológicas y biobancos-: «Cuando esta información sea necesaria para evitar un grave perjuicio para la salud de sus familiares biológicos, se podrá informar a los afectados o a su representante legalmente autorizado. En todo caso, la comunicación se limitará exclusivamente a los datos necesarios para estas finalidades» (art. 49 LIB).

¿Cómo ha de resolverse esta aparente contradicción normativa?

A nuestro juicio, si el análisis genético se produce en el ámbito asistencial, no parece haber duda de que debe acudirse al Comité de Ética Asistencial conforme al artículo 4(5) LIB. Ahora bien, si el análisis se produce en un contexto de investigación, la resolución dependerá del tipo de vínculo que se haya establecido con el entorno asistencial para la comunicación de los hallazgos. Como hemos señalado arriba, conforme con el artículo 26 LIB la información relevante para la salud de los participantes, debe ser puesta a su disposición o bien en el marco de la asistencia en curso o, en su defecto, prestando un asesoramiento específico. Por tanto, únicamente en defecto de ese marco de la asistencia en curso, y cuando se preste dicho asesoramiento específico, correspondería a los investigadores dicha decisión en aplicación del art. 49 LIB. Ahora bien, a nuestro juicio, incluso en defecto de la asistencia en curso que prevé la norma, esta responsabilidad debería compartirse por el personal clínico que haya participado en el reclutamiento del sujeto y, en ningún caso, que dicho "asesoramiento específico" pueda estar desvinculado de atender las necesidades asistenciales del paciente o se aporte por investigadores sin la debida formación clínica.

Por último, cabe preguntarse por la situación relativa a los menores de edad. No existiendo disposiciones concretas en relación con este tipo de hallazgos, la información, consentimiento y comunicación con menores debe ajustarse a las exigencias éticas y normativas particulares para su situación, pudiendo participar en dichos procesos de forma gradual en función de su madurez y teniendo en especial consideración la gravedad de la enfermedad y su momento de aparición y desarrollo. No obstante, en este trabajo no hay espacio para desarrollar estas particularidades. En cualquier caso, a pesar del consentimiento que se prestara por los representantes, es indispensable que el equipo clínico o investigador, en cada caso, tenga en cuenta la fecha en que el sujeto alcance la mayoría de edad a efectos de futuros contactos y, en particular, para comunicar un hallazgo relevante para su salud (^{Nicolás Jiménez, 2019}, p. 139).

2.2. El asesoramiento genético desarrollado por la Cartera de servicios comunes del SNS

El asesoramiento genético y su calidad es un aspecto fundamental en nuestra legislación sobre análisis genéticos, preciso de garantizar al menos cuando se realice con fines sanitarios -ámbito clínico- (art. 55 LIB), aunque se trata igualmente de un compromiso necesario cuando se realiza con fines de investigación (art. 47(6º) LIB). Entendemos que, en línea con lo establecido por el artículo 26 LIB, dicho compromiso puede materializarse en el marco de la asistencia en curso o, en su defecto, prestando un asesoramiento específico.

Los hallazgos incidentales están a primera vista fuera del análisis genético incluido por la Cartera de servicios comunes del SNS, regulado en el RD 1030/2006 y actualizado en última instancia por la Orden SND/606/2024, de 13 de junio que introdujo importantes modificaciones en el área de genética, aunque lo están de forma implícita como veremos a continuación.

Resulta indispensable -dado que la LIB remite al desarrollo reglamentario que se haga del asesoramiento genético- la definición y criterios que aporta para el concepto de "asesoramiento genético" que realiza para regular el proceso de información sobre análisis genéticos sí incluidos en dicha cartera de servicios y que, por tanto, debe entenderse igualmente aplicable en el manejo de los hallazgos incidentales al realizar estos análisis: «El asesoramiento genético es el procedimiento destinado a informar a una persona sobre las posibles consecuencias para ella o sus familiares de los resultados de un análisis genético o genómico y de sus beneficios, riesgos y limitaciones y, en su caso, para asesorar en relación con las posibles alternativas derivadas de dicho análisis. Este procedimiento tendrá lugar en las enfermedades o trastornos de base genética y potencialmente hereditarios tanto antes como después de una prueba genética o genómica e incluso en ausencia de las mismas».

En el mismo apartado 5.3.10.3 del Anexo III del RD 1030/2006, la cartera de servicios desarrolla que este procedimiento tiene por objetivo ayudar a la persona o familia a entender y adaptarse a las consecuencias médicas, psicológicas, familiares y sociales de una determinada enfermedad o trastorno genético. Y este procedimiento, bajo requerimientos de accesibilidad universal y diseño para todos, debe consistir en interpretar los antecedentes médicos personales o familiares, en informar sobre las consecuencias, posibilidad de prevención o tratamiento y accesibilidad de recursos, un apropiado asesoramiento que respete el principio de autonomía y que se manifieste en el consentimiento informado previo a la realización de cualquier análisis genético.

Además, debe ser efectuado por personal cualificado y llevarse a cabo en centros debidamente acreditados. Tal y como mencionábamos más arriba, la responsabilidad en el ámbito asistencial a la hora de dar información sobre estos hallazgos (y cualquier otro aspecto relativo a la realización de análisis genéticos) debería asumirse por profesionales debidamente cualificados para proveer de asesoramiento genético a los pacientes. A este respecto, debemos llamar la atención sobre los perjuicios que provoca que España no haya reconocido hasta el momento la especialidad de genética clínica que debiera garantizar el marco científico, académico, normativo y profesional en el cual llevar a cabo dicho cometido.

Y, por último, debemos destacar que la cartera de servicios comunes incluye la necesidad de proveer de seguimiento clínico la atención a los pacientes y familiares en el área de las enfermedades de base genética, cuando dice que esta atención incluye: "La derivación de los pacientes y familiares a los distintos profesionales especializados y grupos de apoyo necesarios para el adecuado manejo de cada situación".

3.1. Hallazgos como datos de carácter especial y derecho de acceso a los mismos en el RGPD

Entre los datos de carácter personal, el Reglamento General de Protección de Datos establece que los datos genéticos y de salud son datos de carácter especial (art. 9 RGPD), es decir, datos sensibles especialmente protegidos que, dada su naturaleza y el contexto de su tratamiento, pueden entrañar importantes riesgos para los derechos y las libertades fundamentales. La especial protección de estos datos requiere de una justificación más exhaustiva, dado que su tratamiento solo se legitima bajo determinados fines y garantías (art. 9(2) RGPD).

En este sentido, al igual que el resto de los resultados de un análisis genético, debemos considerar que los hallazgos incidentales o secundarios son datos de carácter personal de los pacientes que tienen reconocido este carácter especial.

Dado este reconocimiento de los hallazgos como datos personales de carácter especial, desde la perspectiva de derechos individuales de las personas interesadas, el RGPD reconoce necesariamente un derecho de acceso en virtud de su artículo 15 a dichos hallazgos (^{Vears et al., 2023}, p. 2), tanto en el ámbito asistencial como de investigación. A nivel conceptual, es importante distinguir entre el derecho a la información previa a otorgar el consentimiento sobre la búsqueda/comunicación de hallazgos secundarios e incidentales respectivamente, y el derecho de información -comunicación- de dichos hallazgos una vez son inferidos del análisis genético realizado. El derecho de acceso reconocido por el RGPD opera respecto de esa información -comunicación- de los hallazgos -una vez hallados-.

A pesar de que el RGPD reconoce en su artículo 23 la posibilidad de limitar vía legislativa el alcance de las obligaciones y de los derechos individuales, incluido el derecho de acceso, la LIB no establece limitación alguna en este sentido sino que, al contrario, establece en su artículo 49 que la información sobre los datos genéticos de carácter personal que se obtengan del análisis genético según los términos en que manifestó su voluntad, se entenderá sin perjuicio del derecho de acceso reconocido en la normativa de protección de datos.

3.2. Principio de responsabilidad: la normativa de protección de datos más allá de los derechos individuales

Una de las principales novedades introducidas por el RGPD fue el establecimiento del principio de responsabilidad proactiva en el corazón de su modelo de gobernanza. Ello supone que, en el análisis de la protección de datos, debemos atender a las obligaciones derivadas de este principio y no únicamente al ejercicio de los derechos individuales. En desarrollo del principio de responsabilidad (art. 5(2) RGPD), el artículo 24 RGPD exige que el responsable del tratamiento tenga en cuenta: «la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas» y que, en consecuencia, aplique medidas técnicas y organizativas apropiadas, a fin de garantizar y demostrar el cumplimiento normativo, debiendo documentar dichas medidas de forma adecuada.

A nuestro modo de ver, esa aplicación de medidas técnicas y organizativas apropiadas requiere de la consideración de medidas concretas para el tratamiento y comunicación de hallazgos secundarios e incidentales en la realización de análisis genéticos. En el manejo de hallazgos secundarios e incidentales, el responsable del tratamiento debe ser capaz, al menos, de describir y documentar el ciclo de vida previsto para el tratamiento de los datos (hallazgos) entre el equipo o los equipos de investigación implicados y/o el personal asistencial, junto con quien resulte responsable del asesoramiento genético y, en última instancia, con el paciente y en cumplimiento de los derechos de información y acceso del RGPD arriba mencionados.

Además, cuando el tratamiento de datos personales supone un alto riesgo para los derechos y libertades de las personas físicas (art. 35(1) RGPD), el responsable del tratamiento estará obligado a realizar una evaluación de impacto de protección de datos (EIPD, en adelante). La concurrencia de alto riesgo en estos análisis genéticos con técnicas de secuenciación avanzadas es muy probable. Por un lado, porque se tratan datos muy sensibles y en muchas ocasiones de sujetos vulnerables, por el propio uso innovador de estas tecnologías que puede además incluir un tratamiento de datos a gran escala y/o la combinación de conjuntos de datos de orígenes distintos (^{Grupo de Trabajo sobre Protección de Datos del Artículo 29, 2017}, pp. 10-12). Por otro lado, porque existen normas especiales que obligan a realizar EIPDs en este contexto -supuesto que veremos en el siguiente apartado-.

3.3. Reidentificación en el uso secundario de datos genéticos y de salud con fines de investigación científica en la LOPDGDD

La Ley Orgánica 3/2018 de Protección de Datos desarrolla a partir del RGPD una serie de criterios para el tratamiento de datos en investigación en salud que van a resultar muy útiles para el desarrollo científico a partir del uso de datos en los próximos años. En particular, y en lo que afecta a esta investigación por corresponderse con el tercer escenario planteado, para el uso derivado de análisis genéticos con fines de investigación científica.

Entre otros, considera lícito el uso de datos personales seudonimizados con fines de investigación en salud (DA 17ª(2) LOPD-GDD) y, en particular, biomédica cuando estos datos cumplan con un proceso de seudonimización concreto y cumplan, además, con otras garantías que resultan exigibles para este tipo de tratamiento conforme a los criterios que la propia norma desarrolla, a saber:

En cuanto a los hallazgos incidentales, esta ley prevé una excepción a la prohibición de reidentificación cuando se produzca un hallazgo de este tipo al trabajar con datos seudonimizados: «Podrá procederse a la reidentificación de los datos en su origen, cuando en el curso de dicha investigación se aprecie la existencia de un peligro real y concreto para la seguridad o salud de una persona o grupo de personas, o una amenaza grave para sus derechos o sea necesaria para garantizar una adecuada asistencia sanitaria» (DA 17ª(2)(d) LOPD-GDD). Ello vincula y obliga a distintos responsables del tratamiento a la hora de prever la eventual comunicación de estos hallazgos en el ciclo de datos que se establezca, teniendo además en cuenta la necesidad de mantener en este contexto la vinculación con el entorno clínico de origen para la eventual comunicación de resultados.

Además, en la regulación de la cesión de muestras con fines de investigación por los biobancos, el Real Decreto declara que es necesario que el acuerdo de cesión entre la persona responsable de la investigación y el biobanco o la persona responsable de la colección incluya, entre otros, una garantía de disponibilidad de la información genética validada y relevante para la salud que, en su caso, se obtenga del análisis de las muestras (art. 34(5) RD 1716/2011). Es decir, en el caso de las cesiones de muestras desde biobancos es obligatorio garantizar el retorno de hallazgos incidentales, no habiendo razones para entender que esta obligación no debe aplicarse igualmente cuando se ceden exclusivamente datos genéticos por parte del biobanco, o cuando un repositorio de datos genéticos actúa de forma análoga a un biobanco cediendo datos para la investigación.

3.4. Uso secundario de datos genéticos en el Espacio Europeo de Datos de Salud

Por último, en relación con el desarrollo normativo de usos secundarios de datos provenientes de análisis genéticos con fines de investigación, es necesario referirnos al Espacio Europeo de Datos de Salud (EEDS). A través de este Reglamento, que proporciona la base jurídica -en desarrollo del RGPD- y la infraestructura necesaria al efecto, se va a fomentar a nivel europeo el uso secundario de los datos de salud electrónicos -incluyendo datos genéticos- con fines de investigación. De forma simplificada, todo proveedor de servicios sanitarios, o instituciones que realicen investigaciones o desarrollen productos en el sector biosanitario -health data holders- deberán poner los datos de salud electrónicos que ostenten a disposición de este espacio -en el que intervienen las health data access bodies como autoridades intermediarias- para su uso secundario por parte de aquellos centros e investigadores -health data users- que soliciten debidamente el acceso a los mismos⁹.

En este contexto de uso secundario de datos, el Reglamento establece que los health data users deben informar de cualquier hallazgo significativo relacionado con la salud de la persona física cuyos datos se incluyen en la base de datos a la que han tenido acceso (art. 61(45) EEDS). Esta información se traslada en primer lugar a la health data access body que ha actuado como intermediaria que, a su vez, informará al health data holder al que pertenece la base de datos compartida en la que se encuentra la persona afectada por el hallazgo.

A la hora de que el health data holder informe a la persona física en cuestión, deben tenerse en cuenta las siguientes previsiones normativas que deberán determinarse a través de la legislación de cada uno de los Estados Miembro (art. 58(3) EEDS). Por un lado, debe establecerse el derecho individual a no ser informado de estos hallazgos que, a nuestro entender, deberá ejercerse en todo caso antes de la puesta a disposición de los datos en el EEDS -con independencia de que los datos genéticos se incorporen a través de un sistema opt-in y opt-out. Por otro lado, en aplicación del artículo 23 RGPD arriba mencionado, la legislación española podrá restringir el alcance de la obligación de informar a las personas físicas siempre que sea necesario para su protección basada en la seguridad del paciente y en los principios éticos que resulten de aplicación, retrasando la comunicación de su información hasta que un profesional sanitario pueda comunicar y explicar a las personas físicas la información que potencialmente pueda tener un impacto sobre ellas (Considerando 67 EEDS). En relación con los hallazgos genéticos en particular, entendemos que esta limitación viene ya establecida por la obligación de la LIB de proveer un asesoramiento genético debido en el contexto de la investigación científica.

Además, a efectos de poder determinar si un hallazgo incidental relacionado con la salud es o no significativo, resulta de gran interés el mandato específico establecido para una de las autoridades que creará este Reglamento -EHDS Board-. Este comité debe, mediante la consulta y la cooperación con, entre otros, representantes de los pacientes, profesionales sanitarios e investigadores, elaborar directrices para ayudar a los health data users a cumplir la obligación que les impone en relación con estos hallazgos, especialmente para determinar si sus resultados son clínicamente significativos (art. 94(2)(c) EEDS).