Política de privacidad

¡Bienvenido/a a H2O!

El presente documento tiene como finalidad informarle, de forma clara y comprensible, sobre cómo se tratarán sus datos personales en el marco del proyecto H2O (el “Proyecto”), llevado a cabo por el Observatorio Nacional H2O y VHIR – Fundació Hospital Universitari Vall d’Hebron Institut de Recerca, junto con diversos centros sanitarios.

El Proyecto es una iniciativa estratégica público-privada de ámbito europeo orientada a mejorar el uso secundario de los datos clínicos para fines de investigación en salud. El Proyecto se enmarca dentro de una red paneuropea de colaboración establecida bajo el programa Horizon 2020 de la Unión Europea, que reúne a pacientes, profesionales sanitarios, autoridades reguladoras y responsables de políticas públicas con un objetivo común: colocar al paciente en el centro del sistema sanitario. En este sentido, el enfoque del Proyecto garantiza que el control de los datos personales de salud esté en manos de los pacientes, quienes deciden si desean compartir sus datos, qué datos se tratan y durante cuánto tiempo.

A lo largo de esta política encontrará toda la información sobre:

· Quiénes tratan sus datos y en calidad de qué;
· Qué tipo de datos se recopilan y con qué finalidad;
· Qué base legal autoriza su tratamiento;
· Quién puede acceder a sus datos;
· Qué derechos tiene usted en relación con sus datos y cómo puede ejercerlos de forma sencilla.

El tratamiento de sus datos se lleva a cabo con todas las garantías de seguridad, confidencialidad y respeto a sus derechos, conforme al Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD), y demás normativa nacional y europea aplicable en materia de protección de datos y de investigación en salud.

Por último, su participación en el Proyecto no tiene ningún efecto ni influencia sobre su relación existente con su proveedor de atención sanitaria (como su equipo médico, hospital, centro de salud o consultas especializadas). Tampoco afecta a ningún consentimiento informado que haya otorgado previamente y de forma independiente en el marco de su atención clínica.

 

 

1. ¿Quiénes son los responsables del tratamiento de sus datos?

Este Proyecto cuenta con la participación de varios centros sanitarios y educativos de distintos países europeos. El tratamiento de sus datos personales en el marco del Proyecto es responsabilidad de:

1) El centro sanitario del cuál procede, como Responsable de Tratamiento Independiente respecto de los datos de su historia clínica;

2) Como Corresponsables del Tratamiento:

· El VHIR - Vall d’Hebron Institut de Recerca; y
· El Observatorio Nacional,

VHIR y Observatorio (en adelante, los “Corresponsables”) reciben los datos personales del centro sanitario y actúan como corresponsables del tratamiento conforme al artículo 26 del RGPD, ya que dichas entidades deciden conjuntamente cómo se recogen, almacenan, analizan y protegen sus datos personales en el marco del Proyecto.

No obstante lo anterior, solo su centro de salud tiene acceso a la información que le identifica directamente, como su nombre, DNI o su número de historia clínica. Los Corresponsables indicados únicamente accede a datos seudonimizados. Esto significa que la información que permite reconocerle de forma directa (como su nombre, DNI o número de historia clínica), se ha sustituido por códigos o identificadores y solo su centro sanitario conserva la correspondencia entre esos códigos y su identidad, por lo que ninguno de los Corresponsables puede saber quién es usted a partir de los datos que recibe.

Delegado de Protección de Datos (DPO) – Punto de Contacto

Cada una de las entidades que se indican en esta Política de Privacidad en el marco del Proyecto ha designado su propio Delegado de Protección de Datos (DPO), de conformidad con lo establecido en el artículo 37 del Reglamento General de Protección de Datos (RGPD).

Recomendamos que, para el ejercicio de sus derechos o cualquier consulta específica sobre el tratamiento de sus datos personales, contacte directamente con la persona Delegada de Protección de Datos (DPO) de su Centro Sanitario indicado en la hoja de consentimiento informado que se le proporcionó en el momento de inscribirse al presente Proyecto.

Igualmente, en el marco de la relación de los Corresponsables del Proyecto, se ha establecido que el DPO del Observatorio actuará como punto de contacto del Proyecto.

Usted puede contactar con la persona Delegada de Protección de Datos del Proyecto para:

· Obtener más información general sobre cómo se tratan los datos personales;
· Solicitar asesoramiento sobre el ejercicio de sus derechos;
· Presentar cualquier reclamación o inquietud relativa al tratamiento de los datos.

Correo electrónico del DPO proyecto H2O: teresa@honestic-legal.com

Dirección postal:
DPO Observatorio H2O
Paseo Vall d’Hebron 119-129, Edificio Central, 08035 Barcelona

No obstante, si la persona DPO del Proyecto recibe cualquier tipo de solicitud o consulta particular de un participante (incluyendo un ejercicio de derechos), esta será dirigida a la persona Delegada de Protección de Datos del Centro Sanitario que le corresponda para su debida tramitación y respuesta, ya que la persona Delegada de Protección de Datos del Proyecto no dispone de datos que puedan identificarle y así poder atender a sus derechos.

 

2. ¿Qué categorías de datos se recogen y utilizan sobre usted?

En el marco del Proyecto, se podrán recoger y tratar las siguientes categorías de datos personales:

a) Datos clínicos recogidos por su centro sanitario:

· Datos de salud incluidos en su historia clínica, tales como:

o Diagnósticos médicos, tratamientos recibidos, procedimientos quirúrgicos;
o Resultados de pruebas médicas, fechas de ingreso o alta, evolución clínica;
o Información sobre medicación, alergias o antecedentes relevantes.

Estos datos serán recogidos únicamente por el centro sanitario que le presta asistencia (la que le ha invitado a participar en el estudio), y serán seudonimizados antes de ser transferidos al VHIR y al Observatorio Nacional. Estas otras entidades no tendrán acceso a su identidad ni a información que permita identificarle directamente.

b) Datos autodeclarados aportados por usted voluntariamente como parte de la red de pacientes del Proyecto:

· Información sobre su salud actual y percepción general de bienestar;
· Gravedad y síntomas de la enfermedad que padece y que se está controlando;
· Aspectos relacionados con su calidad de vida, tales como:

o Nivel de actividad física, dolor, apetito, sueño, ritmo intestinal, ansiedad, etc.;
o Su nivel de autonomía y capacidad para realizar actividades cotidianas;
o Datos sobre la evolución tras tratamientos, medicamentos o intervenciones sanitarias;
o Datos procedentes de relojes inteligentes, wearables u otros dispositivos personales;
o Preferencias personales relacionadas con su salud, si usted decide compartirlas.

Estos datos son voluntarios, y siempre serán tratados de forma seudonimizada, según el caso. Usted decide qué información desea aportar y puede dejar de hacerlo en cualquier momento.

 

3. ¿Cuáles son las finalidades del tratamiento de sus datos personales?

Sus datos personales se tratarán exclusivamente para fines de investigación científica en salud, en el contexto del Proyecto y nunca con fines comerciales ni para tomar decisiones clínicas individuales.

En concreto, las finalidades del tratamiento son las siguientes:

1) Por parte de su centro sanitario (entidad que le invita a participar):

· Seleccionar pacientes candidatos a participar en el estudio conforme a los criterios del Proyecto.
· Recoger y preparar sus datos clínicos (historial médico, resultados, procedimientos, etc.) para su incorporación al Proyecto.
· Aplicar procesos de seudonimización que garanticen que el resto de entidades no puedan identificarle directamente.

2) Por parte de los Corresponsables (VHIR y el Observatorio Nacional):

· Evaluar si los datos clínicos seudonimizados pueden integrarse correctamente en una infraestructura técnica común.
· Analizar la calidad, coherencia y utilidad de los datos, a fin de diseñar modelos que permitan su uso en la toma de decisiones sanitarias futuras.
· Facilitar que los pacientes puedan consultar sus datos Obtener resultados agregados y comparativos que permitan mejorar la planificación, evaluación y gestión de los sistemas sanitarios.
· Facilitar información anonimizada y estadística a agencias reguladoras y entidades sanitarias que trabajen en la evaluación de nuevos tratamientos, planificación asistencial o investigación biomédica (Ver apartado 3.4).

4) Por parte de entidades externas autorizadas, cuando haya concedido el consentimiento para ello:

Con su consentimiento, los datos seudonimizados podrán ser utilizados por organizaciones de investigación médica y sanitaria autorizadas (como universidades, organismos de salud pública, autoridades sanitarias, fabricantes de productos sanitarios o farmacéuticas) para las siguientes finalidades:

· Desarrollar tratamientos más eficaces y personalizados para pacientes;
· Realizar actividades de innovación, ensayo y evaluación, incluida la formación de algoritmos y el desarrollo de tecnologías de salud digital o inteligencia artificial;
· Elaborar estadísticas sanitarias oficiales, a nivel nacional o europeo;
· Apoyar a autoridades sanitarias y reguladoras en sus funciones públicas (autorización, evaluación y supervisión de medicamentos, productos sanitarios y sistemas asistenciales);
· Mejorar la calidad y seguridad de la asistencia sanitaria en todos sus niveles;
· Contribuir a la formación y docencia en el ámbito sanitario;
· Prestar asistencia sanitaria personalizada, basada en análisis agregados de datos de otros pacientes.

En todos los casos:

· Se aplicará un proceso de aprobación previo y riguroso, que incluye, entre otros, el visto bueno de un comité de ética independiente.
· Solo podrán acceder a los datos organizaciones que se comprometan a usarlos de forma ética, científica y responsable.
· Está prohibido cualquier uso con fines meramente lucrativos, contrarios a la ética, o que puedan perjudicar a las personas.
· Se le contactará cuando se requiera la aprobación de un comité de ética independiente para acceder a sus datos autoinformados y a sus datos clínicos, y se le proporcionará una opción de exclusión para cada una de estas solicitudes. La exclusión voluntaria de una solicitud de investigación se limitará a dicha solicitud individual.
· Todas las solicitudes de acceso a los datos serán públicas y accesibles para fines de transparencia científica. No obstante, no se divulgará en ningún caso si sus datos personales han sido incluidos en una solicitud concreta o han sido utilizados finalmente en una investigación determinada.

Puede consultar más información sobre el proceso de aprobación de solicitudes externas y los propósitos de investigación aceptados (así como los expresamente excluidos) en la web del Observatorio H2O en este enlace www.health-outcomes-observatory.es/sobre-nosotros[BVC1.1]

 

4. ¿Cuál es la base jurídica del tratamiento de sus datos personales?

El tratamiento de sus datos personales en el marco del Proyecto se basa en su consentimiento libre, informado, específico y explícito, conforme a lo previsto en:

· Artículo 6.1.a) del Reglamento General de Protección de Datos (RGPD):
“el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos”;

· Artículo 9.2.a) del RGPD, que permite el tratamiento de datos de salud cuando: “el interesado dio su consentimiento explícito para el tratamiento de esos datos personales con uno o varios de los fines especificados”.

En particular, su consentimiento permite:

· Que su centro sanitario recoja, trate y seudonimice sus datos personales con fines de investigación;
· Que sus datos seudonimizados sean incorporados a una infraestructura técnica común, evaluados y analizados por otras entidades participantes en el Proyecto;
· Que usted pueda aportar voluntariamente datos autodeclarados como parte de la red de pacientes;
· Que, si así lo autoriza expresamente, sus datos seudonimizados puedan ser utilizados en investigaciones científicas por parte de terceros previamente autorizados por el Observatorio Nacional o el Paneuropeo, con garantías éticas y jurídicas.

Usted tiene derecho a retirar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. La retirada no afectará a los consentimientos informados previos e independientes que usted haya suscrito anteriormente en el marco del Proyecto o de su atención médica habitual.

 

5. ¿Durante cuánto tiempo se tratarán y conservarán sus datos?

Los datos personales tratados en el marco del Proyecto serán conservados únicamente durante el tiempo necesario para cumplir con las finalidades científicas descritas y de conformidad con la normativa vigente en materia de investigación en salud.

En concreto:

· Sus datos pseudonimizados se conservarán durante el tiempo que dure el Proyecto y sus distintas fases, incluyendo eventuales análisis complementarios, validaciones técnicas o auditorías éticas.
· Finalizado el estudio, los datos podrán conservarse por un plazo adicional de hasta 25 años, de acuerdo con los criterios establecidos por la Agencia Española de Medicamentos y Productos Sanitarios (AEMPS), la Ley 14/2007, de Investigación Biomédica, y demás normativa aplicable. Este periodo permite garantizar la trazabilidad científica, la verificación de resultados y la transparencia del Proyecto.
· Una vez transcurridos los plazos establecidos, los datos serán anonimizados de forma irreversible (de manera que ya no sea posible asociarlos a ninguna persona), o bien eliminados de forma segura.

En todo caso, sus datos solo se conservarán mientras sea necesario y útil para los fines del Proyecto y siempre bajo estrictas medidas de seguridad. No se mantendrán indefinidamente ni con finalidades incompatibles con las aquí descritas.

 

5. ¿A quién se comunicarán sus datos personales?

Sus datos personales no serán objeto de cesión a terceros sin su consentimiento expreso, salvo en los supuestos legalmente previstos o cuando sea estrictamente necesario para el cumplimiento de los fines de investigación científica del Proyecto, tal como se detalla a continuación.

a) Corresponsables del Proyecto:

Una vez decide participar en el Proyecto, su centro sanitario compartirá sus datos una vez se hayan seudonimizado con las entidades corresponsables del tratamiento que participan en el Proyecto indicados en la Sección 1.

b) Proveedores de servicios (encargados del tratamiento):

También tendrán acceso a sus datos personales pseudonimizados los encargados del tratamiento que presten servicios de soporte tecnológico, almacenamiento o análisis de datos, siempre bajo contrato conforme al artículo 28 del RGPD, y actuando bajo las instrucciones de la entidad responsable de la actividad subcontratada.

c) Acceso por parte de terceros autorizados para fines científicos:

Con su consentimiento explícito, los datos seudonimizados podrán ser compartidos con organismos de investigación científica, como universidades, centros de salud pública, agencias reguladoras o instituciones del sector sanitario y otras entidades (públicas o privadas) que hayan superado el proceso de aprobación ética y metodológica establecido por el Proyecto.

En ningún caso se cederán datos que permitan identificarle directamente. Todos los datos se tratarán previamente mediante procesos de seudonimización, y solo su centro sanitario conserva la relación entre los códigos y su identidad.

c) Cesiones a autoridades públicas:

Sus datos podrán ser comunicados, en su caso, a autoridades sanitarias o judiciales, nacionales o europeas, únicamente cuando así lo exija una obligación legal o reglamentaria, y siempre con las debidas garantías legales.

 

6. ¿Se transferirán sus datos a otros países?

En principio, no están previstas transferencias internacionales de sus datos personales fuera del Espacio Económico Europeo (EEE).

No obstante, si en el futuro alguna fase del proyecto requiere transferir datos pseudonimizados a entidades ubicadas en países que no ofrecen un nivel de protección equivalente al del RGPD, se adoptarán previamente todas las garantías legales necesarias, incluyendo:

· La existencia de una decisión de adecuación por parte de la Comisión Europea, o
· La firma de cláusulas contractuales tipo aprobadas por la Comisión, o
· La solicitud de su consentimiento explícito, en caso de no poder aplicarse otras garantías adecuadas.

 

7. ¿Cuáles son sus derechos en materia de protección de datos?

Usted puede ejercer, en cualquier momento, los derechos que la normativa de protección de datos le reconoce en relación con el tratamiento de sus datos personales. A continuación, se detallan:

i. Derecho de acceso

Tiene derecho a saber si se están tratando o no datos personales que le conciernen. En caso afirmativo, puede solicitar una copia de sus datos y obtener información sobre su origen, destinatarios, fines del tratamiento, categorías de datos tratados, plazo de conservación, existencia de decisiones automatizadas (incluida la elaboración de perfiles), así como sobre los derechos que le asisten.

ii. Derecho de rectificación

Puede solicitar la rectificación de sus datos si considera que son inexactos o incompletos.

iii. Derecho de supresión

Puede pedir que eliminemos sus datos cuando ya no sean necesarios para los fines para los que fueron recogidos, o si considera que ya no estamos legitimados para tratarlos.

iv. Derecho a la portabilidad

Cuando el tratamiento se base en su consentimiento o en la ejecución de un contrato, y se realice por medios automatizados, puede solicitar recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica. También puede pedir, cuando sea técnicamente posible, que los transfiramos directamente a otra entidad.

v. Derecho a la limitación del tratamiento

Puede solicitar que se limite el tratamiento de sus datos en los siguientes casos:

· Si ha solicitado su rectificación, mientras verificamos su exactitud;
· Si considera que ya no necesitamos tratar sus datos, pero desea que los conservemos para ejercer o defender reclamaciones;
· Si ha ejercido su derecho de oposición y estamos valorando si nuestros intereses legítimos prevalecen;
· Si considera que no estamos autorizados para tratarlos, pero prefiere que limitemos su uso en lugar de suprimirlos.

vi. Derecho de oposición

Puede oponerse en cualquier momento al tratamiento de sus datos basado en el interés legítimo de las entidades responsables, incluida la elaboración de perfiles. En ese caso, se dejarán de tratar, salvo que existan motivos legítimos imperiosos.

vii. Derecho a retirar su consentimiento

Puede retirar su consentimiento en cualquier momento respecto a aquellos tratamientos basados en él. La retirada no afectará a la licitud del tratamiento realizado antes de dicha retirada. Tenga en cuenta que, aunque dejemos de tratar sus datos tras la retirada, el conocimiento o los análisis ya obtenidos a partir de los tratamientos anteriores no se verán afectados.

viii. Derecho a presentar una reclamación ante la autoridad de control

Si considera que se ha vulnerado su derecho a la protección de datos, puede presentar una reclamación ante la autoridad de protección de datos competente.

En este sentido, podrá dirigirse indistintamente a:

Agencia Española de Protección de Datos (AEPD)
Calle de Jorge Juan, 6, 28001 Madrid.
www.aepd.es.

Autoridad Catalana de Protección de Datos (APDCAT)
Calle de Llull, 3-5, 08005 Barcelona
www.apdcat.gencat.cat

¿Cómo puede ejercer sus derechos?

Puede ejercer sus derechos en cualquier momento y de forma gratuita.

La vía más efectiva y recomendada para ejercer cualquiera de estos derechos es contactar directamente con la persona Delegada de Protección de Datos (DPO) de su Centro Sanitario, cuyos datos de contacto figuran en la Hoja de Consentimiento Informado que se le proporcionó.

No obstante, usted también puede dirigir su consulta a la persona Delegada de Protección de Datos único designado para la gestión del Proyecto dirigiéndose a los siguientes canales:

· Correo electrónico de la persona Delegada de Protección de Datos del Proyecto: teresa@honestic-legal.com

· Dirección postal:
DPO Observatorio H2O
Paseo Vall d’Hebron 119-129, Edificio Central, 08035 Barcelona

En este caso, le informamos que su solicitud será inmediatamente remitida al DPO del Centro Sanitario que le corresponda. Esta remisión es necesaria, dado que el DPO del Proyecto y las entidades Corresponsables no tienen acceso a sus datos de identificación, sino únicamente a datos seudonimizados.

Para poder atender correctamente su solicitud, es posible que se le pida acreditar su identidad (por ejemplo, mediante copia de su DNI o documento equivalente).

No obstante, también puede ejercer sus derechos frente a cualquiera de las entidades Corresponsables del Proyecto, y será atendido conforme a los términos establecidos por la normativa aplicable.

 

8. Aspectos esenciales del acuerdo de corresponsabilidad

De conformidad con el artículo 26 del RGPD, los Corresponsables han firmado un acuerdo de corresponsabilidad en el que se regula la distribución de funciones y responsabilidades entre los Corresponsables en las fases de recogida, seudonimización, análisis y conservación de los datos. Se ha designado un punto de contacto único y se ha establecido su funcionamiento con el resto de entidades participantes. En este sentido, puede solicitar información adicional sobre los aspectos esenciales del acuerdo al DPO del Proyecto.

 

9. ¿Qué medidas de seguridad se aplican a sus datos personales?

En el Proyecto se aplican medidas técnicas y organizativas apropiadas para garantizar la seguridad, confidencialidad, integridad y disponibilidad de sus datos personales, de conformidad con lo previsto en el artículo 32 del RGPD.

Estas medidas tienen como objetivo proteger sus datos frente a accesos no autorizados, pérdida, alteración o destrucción accidental o ilícita, y se actualizan de forma continua para adaptarse a los riesgos detectados.

En particular, se han adoptado las siguientes garantías:

· Seudonimización de los datos clínicos antes de su transferencia fuera del centro sanitario que le presta asistencia, de modo que el resto de las entidades no pueda identificarle directamente.
· Sistemas de control de acceso y trazabilidad, que restringen y registran quién accede a los datos.
· Cifrado de las comunicaciones y almacenamiento seguro de los datos.
· Contratos con proveedores tecnológicos (encargados del tratamiento) que incluyen obligaciones específicas en materia de seguridad, conforme al artículo 28 del RGPD.
· Auditorías técnicas y revisiones periódicas, tanto internas como externas, para verificar el cumplimiento de las medidas de protección.
· Planes de respuesta ante incidentes y violaciones de seguridad, que incluyen protocolos de notificación a las autoridades y a los interesados, en los casos exigidos por la normativa.

 

10. Actualizaciones de la presente política de privacidad

Esta política de privacidad podrá ser modificada o actualizada para adaptarse a:

· Cambios en la legislación aplicable en materia de protección de datos;
· Modificaciones organizativas o técnicas en el desarrollo del Proyecto;
· La incorporación de nuevas fases o actividades no previstas inicialmente.

Las actualizaciones se publicarán a través de los canales habituales del Proyecto. En caso de que se introduzcan cambios sustanciales, se le informará con carácter previo de forma clara y accesible.

La versión más actualizada de esta política estará siempre disponible para su consulta.

 

Esta Política de Privacidad ha sido publicada en fecha 30 enero 2026.