Las autoridades europeas de privacidad adoptan una única base jurídica para el tratamiento de datos en ensayos clínicos
Publicado el 24 de abril de 2026
El EDPB y el EDPS respaldan la propuesta de Reglamento Europeo de Biotecnología, pero instan a establecer mayores garantías para los datos de salud y genéticos
Las autoridades de protección de datos de Europa han respaldado la propuesta de Reglamento Europeo de Biotecnología, pero han advertido de que el impulso a la simplificación normativa no debe ir en detrimento de los derechos de los participantes en ensayos clínicos. El Comité Europeo de Protección de Datos (European Data Protection Board, EDPB) y el Supervisor Europeo de Protección de Datos (European Data Protection Supervisor, EDPS) expusieron su posición en el Dictamen Conjunto 3/2026, adoptado el 10 de marzo.
Biotecnología en la UE
El panorama de la biotecnología en la Unión Europea ha iniciado una transformación estructural sin precedentes tras la publicación, el 16 de diciembre de 2025, de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establece un marco de medidas para reforzar los sectores de la biotecnología y la biofabricación de la Unión. La propuesta de Reglamento Europeo de Biotecnología surge como respuesta a la necesidad imperiosa de posicionar a Europa como un referente global en innovación científica en el año 2030 y de frenar la histórica migración de talento y capital hacia mercados más ágiles como el estadounidense y el asiático.
La fragmentación regulatoria, los elevados costes administrativos y las barreras en el escalado industrial han sido identificados como los principales obstáculos que la Comisión Europea pretende derribar con este nuevo marco normativo. El Reglamento Europeo de Biotecnología no solo se enfoca en el desarrollo de fármacos, sino que extiende su alcance a la biofabricación, la seguridad alimentaria, el procesamiento de órganos y la protección del medio ambiente.
Dictamen Conjunto
El despliegue de este Reglamento Europeo de Biotecnología conlleva implicaciones significativas en materia de protección de datos personales. Por ello, y tras la consulta formal de la Comisión Europea el 18 de diciembre de 2025, el EDPB y el EDPS adoptaron el 10 de marzo el Dictamen Conjunto 3/2026. Se trata de un dictamen no vinculante y de carácter técnico-jurídico, que recoge la posición oficial de las máximas autoridades de protección de datos en la Unión Europea respecto a la propuesta de Reglamento. Aunque ambos órganos respaldan los objetivos de competitividad y armonización del Reglamento, subrayan que la eficiencia administrativa no puede justificar una rebaja en los estándares de protección de los participantes en ensayos clínicos. Ambas autoridades destacan que los datos de salud y genéticos, categorizados como datos especialmente protegidos en virtud del artículo 9 del Reglamento General de Protección de Datos (RGPD), requieren un nivel de protección reforzado, especialmente en el contexto de los ensayos clínicos.
El dictamen se publica en un momento de convergencia digital, en el que otras normativas −como el Reglamento de IA (AI Act) y el Espacio Europeo de Datos Sanitarios (European Health Data Space)− están redefiniendo las reglas del juego. Las recomendaciones del EDPS buscan, por tanto, crear una coherencia sistémica para que las empresas de biotecnología no se enfrenten a requisitos contradictorios en función de si su producto se clasifica como medicamento, producto sanitario o sistema de IA.
Base jurídica única
Una de las propuestas más significativas del Reglamento Europeo de Biotecnología, y validada por el Dictamen Conjunto 3/2026, es la modificación del artículo 93 del Reglamento de Ensayos Clínicos para establecer una base jurídica armonizada en toda la UE para el tratamiento de datos de salud. Hasta ahora, la disparidad de criterios entre las autoridades nacionales de protección de datos obliga a los promotores de ensayos clínicos multicéntricos internacionales a gestionar diferentes bases legales −como el consentimiento en algunos países o el interés público en otros− lo que genera cierta inseguridad jurídica y retrasa la obtención de resultados científicos.
El EDPB y el EDPS apoyan la transición hacia la obligación legal como la base jurídica principal para el tratamiento de datos necesarios para la ejecución de un ensayo clínico. Este cambio refuerza la diferenciación entre el consentimiento informado exigido como presupuesto ético para participar en el ensayo clínico y el consentimiento como base jurídica para el tratamiento de datos personales.
Si se establece la obligación legal como base para el tratamiento con determinadas finalidades de seguridad y supervisión regulatoria, la retirada del consentimiento informado para participar en el ensayo no implica necesariamente que deba cesar el uso de los datos ya recopilados. No obstante, el EDPB y el EDPS insisten en que el Reglamento Europeo de Biotecnología establezca expresamente las condiciones aplicables y las salvaguardias adicionales, de modo que los resultados científicos ya obtenidos no se vean indebidamente afectados y los derechos de los participantes queden adecuadamente protegidos. Asimismo, recuerdan que, tratándose de datos relativos a la salud, la normativa de la UE debe apoyarse en las excepciones del artículo 9.2 del RGPD, en particular las de interés público en el ámbito de la salud pública y de investigación científica (art. 9.2.i) y j) RGPD).
Salvaguardias adicionales
En el Dictamen Conjunto 3/2026, el EDPB y el EDPS establecen una serie de recomendaciones destinadas a aportar mayor seguridad jurídica e introducir garantías adicionales para los interesados.
En cuanto a la definición de roles entre promotores e investigadores, la complejidad de los ensayos clínicos modernos, que a menudo involucran a múltiples promotores, CROs y centros hospitalarios en diversos países, ha dificultado históricamente la atribución clara de responsabilidades bajo el RGPD. El dictamen dedica una atención especial a la necesidad de clarificar si estos actores actúan como responsables independientes, encargados o corresponsables del tratamiento. Ambos organismos recomiendan que la legislación sectorial aclare los roles respectivos de promotores e investigadores como responsables únicos o corresponsables, señalando que, en la medida en que determinen conjuntamente los fines y los medios del tratamiento, deberán ser considerados corresponsables.
En lo relativo al plazo de conservación de los datos personales, el EDPB y el EDPS recomiendan que el plazo de retención obligatorio de 25 años se aplique de forma restrictiva únicamente al archivo maestro del ensayo clínico (Clinical Trial Master File), en lugar de a todos los datos personales tratados en el marco del ensayo.
Asimismo, se formulan recomendaciones en materia de uso secundario. La capacidad de reutilizar datos de salud para investigaciones futuras es el motor del descubrimiento científico moderno. El Reglamento propone permitir a los responsables del tratamiento llevar a cabo un tratamiento ulterior de los datos recopilados en un ensayo para otros estudios o investigaciones científicas. El EDPB y el EDPS consideran que esta disposición tiene por objeto proporcionar una base jurídica específica en el Derecho de la UE para dicho tratamiento ulterior, y recomiendan que la legislación lo establezca con mayor claridad, especificando expresamente que la base jurídica es el interés público con arreglo al artículo 6(1)(e) del RGPD. Asimismo, critican que el objetivo de fomentar la capacidad innovadora de la investigación médica europea resulta excesivamente amplio y susceptible de interpretaciones divergentes; por ello, reclaman una definición más precisa y restrictiva, junto con salvaguardias específicas −como la seudonimización, una mayor transparencia y obligaciones de confidencialidad−, dada la especial sensibilidad de los datos de salud y genéticos implicados.
IA y ensayos clínicos
La convergencia entre la biología y la computación es el núcleo del Reglamento Europeo de Biotecnología, que promueve un enfoque basado primordialmente en IA para la biotecnología y la biofabricación. El uso de modelos generativos para diseñar proteínas o algoritmos de aprendizaje profundo para predecir la respuesta a tratamientos es ya una realidad.
La normativa propone obligar a los promotores a evaluar los beneficios y riesgos para la seguridad del paciente y la robustez de los datos cuando utilicen sistemas de IA en un ensayo clínico. El Dictamen Conjunto 3/2026 advierte, sin embargo, que no queda claro si estas obligaciones operan en adición a las del Reglamento de IA. Las dos autoridades recomiendan aclararlo expresamente en el propio articulado, así como garantizar la cooperación entre la Agencia Europea de Medicamentos y el EDPB en el desarrollo de las directrices correspondientes.
Comentario de Osborne Clarke
El Reglamento Europeo de Biotecnología ofrece una oportunidad de simplificación en la regulación de los ensayos clínicos en la UE, al aspirar a una armonización que sustituiría la actual fragmentación normativa. Sin embargo, como pone de manifiesto el Dictamen Conjunto 3/2026, esta ambición simplificadora no puede materializarse a costa de rebajar los derechos fundamentales de los interesados.
Para las empresas del sector, la clave está en anticiparse a los desarrollos normativos que acompañarán a la legislación propuesta. La biotecnología europea está ante su gran oportunidad de liderar el mercado global. Integrar la privacidad como un factor de confianza, y no solo como un requisito legal, será el elemento diferenciador para aquellas empresas que aspiren a transformar la ciencia en salud sostenible.
