Les dades de salut demanen una cura especial
El RGPD considera les dades de salut una categoria especial de dades personals: només es poden tractar en els casos que preveu la norma, com la recerca científica amb les garanties adequades o el consentiment explícit del participant. Quina base legal s'aplica ho decideix l'equip investigador amb el seu comitè d'ètica i el seu delegat de protecció de dades (DPD).
Per a qui construeix l'app, això es tradueix en decisions de disseny:
- Recollir només el que demana el protocol. Si l'estudi no necessita el nom, l'app no el demana. Cada camp de més és un risc i una cosa més a justificar davant del comitè.
- Seudonimitzar des del principi. El participant entra amb un codi que li dona l'equip, i la relació entre codis i persones la guarda el centre, no l'app. Les exportacions per a l'anàlisi surten amb el codi, sense dades identificatives.
- Protegir les dades allà on siguin: xifrades en trànsit i en repòs, amb còpies de seguretat i un registre de qui hi accedeix.
- Decidir què passa en acabar l'estudi: quant de temps es conserven les dades, com es lliuren a l'equip i quan s'esborren.
On viuen les dades
El que millor ens funciona és separar els entorns:
- Desenvolupament i preproducció, als nostres servidors de Barcelona. Hi construïm i provem cada versió amb l'equip del projecte, sense dependre dels sistemes del centre.
- Producció, a la infraestructura del centre. Instal·lem l'app i el seu servidor als sistemes del mateix hospital o institut, normalment al seu Kubernetes. Les dades dels participants no surten del centre i queden cobertes per les mesures de seguretat que el centre ja aplica a les dades de salut. Si és un hospital públic, això inclou l'Esquema Nacional de Seguretat (ENS), que convé preguntar o mirar al plec.
Si el centre no té on allotjar l'app, la producció pot anar en servidors contractats per al projecte, sempre dins de la UE. Això afegeix un proveïdor més al contracte d'encàrrec i a la documentació del comitè.
Qui és qui: responsable i encarregat del tractament
L'hospital o l'institut de recerca és el responsable del tractament: decideix per a què i com es tracten les dades. Qui desenvolupa i manté l'app, si pot accedir a aquestes dades, actua com a encarregat del tractament, i tots dos signen un contracte d'encàrrec que fixa què hi pot fer i quines mesures de seguretat aplica.
Convé tenir-lo signat abans que entri la primera dada real, i que el DPD del centre l'hagi revisat. Amb un centre privat se sol signar juntament amb el contracte del projecte; amb un hospital públic, sovint arriba formalitzat amb l'adjudicació de la licitació.
L'avaluació d'impacte
Quan es tracten dades de salut, el més habitual és que el centre hagi de fer una avaluació d'impacte en protecció de dades (AIPD) abans de començar. La fa el centre, amb el seu DPD, però necessita informació tècnica que només té qui construeix l'app: quines dades es recullen, on es guarden, qui hi accedeix i com es protegeixen. Convé que aquesta informació sigui per escrit des de la proposta.
El comitè d'ètica
Cap estudi amb persones arrenca sense l'informe favorable d'un comitè d'ètica de la investigació. El comitè no avalua només el protocol: també vol saber com es recullen les dades i què veu el participant. Normalment demana:
- La descripció de l'app i de les dades que recull.
- El text del full d’informació i del consentiment, tal com el veurà el participant.
- Com es protegeixen i se seudonimitzen les dades, i qui hi té accés.
- Captures o un prototip de les pantalles clau.
El calendari del comitè sol marcar el del projecte: si l'app ha d'estar a punt el dia que s'aprova l'estudi, cal preparar aquesta documentació en paral·lel al desenvolupament, no al final. Nosaltres en preparem la part tècnica perquè l'equip investigador la presenti.
El consentiment, dins de l'app
Si el consentiment es dona a l'app, s'ha de poder llegir amb calma i entendre: un resum i el text complet, un pas clar per acceptar i la possibilitat de retirar-lo després. L'app ha de guardar quina versió del text va acceptar cada participant i quan, perquè el text pot canviar al llarg de l'estudi.
És l'app un producte sanitari?
Una app que recull qüestionaris per a un estudi normalment no ho és. Però si calcula dosis, ajuda a diagnosticar o recomana un tractament, pot ser un producte sanitari i estar subjecta a la normativa europea que els regula, cosa que canvia del tot el projecte. Convé aclarir-ho al principi, amb l'equip i, si cal, amb un expert en regulació, perquè afecta l'abast, el calendari i el pressupost.
La publicació a les stores
Apple i Google revisen amb més atenció les apps de salut:
- Demanen una política de privacitat pública que expliqui quines dades es recullen i per a què, i una manera d'esborrar el compte i les dades.
- En les apps de recerca amb persones, poden demanar que s'acrediti el consentiment dels participants i l'aprovació del comitè d'ètica.
- Google Play demana a més una declaració específica per a les apps de salut.
Que l'estudi sigui tancat no impedeix publicar l'app en obert. Cohorte ARCA es pot descarregar lliurement, però només hi entra qui rep per SMS el codi que li envia el seu metge en incloure'l a l'estudi. Així la instal·lació és la de qualsevol app i l'accés el controla l'equip.
Que la gent respongui
El millor disseny legal no serveix de res si els participants deixen de contestar. El que més ajuda, per la nostra experiència:
- Qüestionaris curts i d’una pregunta per pantalla, o en format conversa, com a ARCA.
- Recordatoris en el moment just, configurables per l'equip.
- Funcionar sense connexió: el participant respon quan vol i l'app envia les respostes quan torna la cobertura.
- Pensar en qui respon: infants amb les seves famílies, gent gran, pacients en un moment delicat. Lletra llegible, llenguatge clar i l'idioma de cada participant.