Normativa Europea de protección de datos
La Unión Europea denomina "categoría especial de datos" a aquellos que revelan origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad y por tanto prohíbe su tratamiento en el artículo 8 de la directiva 95/46.

No obstante, esto no se aplicará si el usuario da consentimiento explícito a dicho tratamiento por lo que es un requisito imprescindible que el encuestado indique expresamente su aceptación a que sus datos se utilicen con fines estadísticos.

Esomar, la asociacion internacional de investigadores de mercado, ha estado debatiendo internamente y con los legisladores la normativa europea ya que afectaba negativamente al sector, al no diferenciar entre tratamiento estadístico para estudios de mercado y recogida de datos para actividades comerciales. Por este motivo, actualmente la directiva permite el uso de datos personales para "propósitos científicos y estadísticos y en ese epígrafe se enmarca también la información procesada para estudios de mercado siempre y cuando se cumplan los códigos de conducta dictados por las distintas asociaciones del sector.

En la normativa europea no se hace mención específica a la recogida de datos por internet, no obstante se sobreentiende que es aplicable a cualquier formato.

Normativa Española de protección de datos"nivel alto"
La Agencia Española de Protección de Datos (AGPD), en su reglamento de medidas de seguridad RD 994 hace referencia a tres niveles de seguridad en función del contenido de los ficheros donde se almacenan los datos:

Nivel Básico: ficheros con datos de carácter personal (datos personales, de consumo, etc.)

Nivel Medio: el nivel básico más otros datos de tipo administrativo, penal o financiero.

Nivel Alto: datos de nivel básico o medio y además cualquier dato de ideología, religión, creencias, origen racial, salud o vida sexual.

En caso del nivel alto, que sería el aplicable a encuestas relacionadas con temas de salud, los requisitos añadidos a los niveles básico y medio serían:

El cifrado de los datos en los soportes donde se almacenen.

Crear una copia de seguridad en un lugar diferente a donde se encuentren los equipos.

Registrar los accesos al fichero y la persona responsable.

Conservar el fichero durante 2 años.

Tener un informe mensual por parte del responsable de seguridad.

Cifrar la transmisión de los datos (encriptación de la encuesta).

En la recogida de datos por internet, es importante tener esta normativa en cuenta ya que este nivel alto tiene unas implicaciones tecnológicas muy relevantes que pueden comprometer un estudio en caso de no aplicarse.

Recomendaciones Esomar-EPHMRA (European Pharmaceutical Market Research Association) para investigación farma por internet
Las asociaciones ESOMAR Y EPHMRA han redactado un código específico de recomendaciones que tiene como objetivo cubrir aspectos relativos al uso de internet en la recogida de información para estudios farmacéuticos.

A continuación mostramos los criterios más relevantes aplicados tanto para la investigación subcontratada a agencias como la que se realiza "in-company":

Aunque las estadísticas y la información derivada de los estudios puede ser de tipo comercial, los objetivos de la investigación no deben ser, en ningún caso, promocionales ni promover las ventas o influenciar la opinión de los que contestan.

La investigación se ha de realizar de tal forma que no provoque desconfianza en la industria farmacéutica, no obstante siempre se ha de comunicar claramente que el estudio es de temas relacionados con la salud.

Un doctor puede actuar como intermediario en un estudio para obtener la información de un paciente. Aunque el código no lo indica explícitamente, es muy importante que si el estudio es llevado a cabo a través de internet el médico disponga del consentimiento explícito del paciente (bien por escrito, bien de forma verbal), ya que los datos han de almacenarse de forma anónima y éste ha de ser consciente de ello. Los pacientes entrevistados de esta forma pueden elegir si quieren o no cooperar en la encuesta y, en caso afirmativo, si quieren dar su identificación personal (nombre, datos personales etc) al investigador. En este último caso, la aceptación del paciente ha de ser por escrito.

En caso de que la información la recojan los delegados de ventas, se ha de informar al paciente muy claramente la empresa que realiza el estudio, en ningún caso se han de identificar los delegados de ventas como empleados del instituto de investigación.

Recomendaciones para realizar encuestas online en el sector farmacéutico:
No recoger información con falsos propósitos.

Es necesario disponer del consentimiento del entrevistado a priori para recibir emails y permitir la baja del mismo de la base de datos (opt-out).

Facilitar el acceso a la encuesta y limitar la duración del cuestionario para que no suponga un sesgo en la calidad de las respuestas.

Animar a que el encuestado responda la encuesta online sin interrumpir y comunicar la duración media a priori con el fin de evitar sesgos.

Poner medios tecnológicos para evitar que una persona pueda contestar varias veces a la misma encuesta.

Garantizar la seguridad en el almacenamiento de los datos.

Programar los cuestionarios lo más simple y rápido de contestar posible.

No obligar a contestar todas las preguntas, sobre todo aquéllas en las que no se disponga información para hacerlo.

Transparencia con el encuestado a la hora de comunicarle los medios para garantizar la seguridad de sus datos.

Con el fin de que el encuestado dé una opinión honesta y de calidad, es importante proporcionar toda la información posible sobre la agencia / empresa que realiza el estudio.

Es recomendable dar la opción al encuestado de dar su opinión acerca del estudio una vez terminado para que la agencia pueda detectar posibles factores que puedan impactar en la calidad de los resultados.

Utilizar todos los medios posibles para asegurar la confidencialidad y anonimato del encuestado, garantizando que en todas circunstancias su identidad y respuestas se tratarán de forma confidencial y sólo se utilizarán con fines estadísticos.

Informar al entrevistado de las medidas de seguridad que se utilizarán para evitar la pérdida, alteración, o uso indebido de la información, y las garantías de que únicamente el personal autorizado tendrá acceso a los datos.

Poner los medios para que el encuestado pueda ponerse en contacto con los investigadores o personal de asistencia técnica en cualquier momento. Puede servir de ayuda una dirección de email, unas preguntas frecuentes, un teléfono de contacto, etc.

Se debería dar la opción al encuestado de poder borrar los datos introducidos en el cuestionario en caso de que decida no participar en el mismo.

Recomendaciones técnicas a exigir a un proveedor de encuestas online para estudios farma
Una vez evaluada la normativa vigente y las recomendaciones de las respectivas asociaciones del sector (ESOMAR y EphMRA), es importante elaborar un listado de requisitos que se han de tener en cuenta a la hora de contratar estudios de investigación con proveedores de paneles o software de encuestas online.

El proveedor de panel ha de disponer, previamente al envío de la encuesta, del consentimiento explícito del encuestado para recibir estudios por email.

El proveedor de servicios ha de informar al encuestado de todos los criterios de seguridad en la transmisión y almacenamiento de la información que se llevan a cabo para garantizar la privacidad al introducir respuestas online.

En encuestas de alta sensibilidad (nivel alto según la AGPD) el encuestado ha de dar su consentimiento explícito para que sus datos sean analizados de forma agregada y con fines estadísticos.

En caso de que la entrevista la realice el médico, éste ha de dejar claro al paciente que su colaboración es completamente voluntaria, y ha de rellenar la encuesta del paciente de forma completamente anónima. En caso de que por cuestiones relativas al estudio sea necesario recoger el nombre del paciente, éste ha de dar su consentimiento por escrito.

El encuestado ha de poder saber en todo momento qué métodos se utilizan para garantizar el anonimato y no identificar respuestas con datos personales en la base de datos.

Los datos almacenados han de tener copia de seguridad en un lugar diferente al del que se encuentren los equipos con el fin de que se pueda acceder o rectificar los mismos.

La transmisión de los datos ha de ser cifrada y los servidores han de encontrarse en un lugar con acceso restringido.

Antes de enviar información a un país diferente a donde se está realizando el estudio, es necesario comprobar con las autoridades competentes si se permite esta transferencia de información.

El investigador ha de comunicar al encuestado la empresa encargada de realizar el estudio (agencia o cliente) y la dirección en la que éste puede ponerse en contacto con el responsable en caso necesario.

A pesar de que la tecnología identifique al encuestado como medida para evitar la duplicidad de respuesta y se haya obtenido permiso explícito del entrevistado para ello, el investigador debe garantizar siempre que la información únicamente se utilizará para fines estadísticos y se analizará de forma agregada.

A pie de página, mostramos un ejemplo de texto de bienvenida a una encuesta online con la comunicación que Esomar recomienda:

Conclusiones
Como hemos visto, las encuestas por internet realizadas a pacientes o médicos son calificadas por la Agencia Española de Protección de Datos como nivel alto de seguridad. Por este motivo es necesario tener en cuenta en estos estudios que a diferencia de las encuestas de gran consumo, se han de poner más medidas para garantizar el anonimato, la privacidad y la seguridad en el acceso y almacenamiento de los datos.

Así mismo es necesario comunicar al encuestado los motivos del estudio, la duración y la empresa que lo realiza, y obtener su consentimiento en caso de que se vinculen sus respuestas con sus datos personales. En cualquier caso, nunca se podrán utilizar esos datos con otro fin que no sea el estadístico.

Fuentes consultadas
Estándares ESOMAR (en castellano)
http://194.38.169.84/uploads/pdf/professional-standards/ICCESOMAR_Code_Spanish_.pdf

EphMRA Pharmaceutical Marketing Research Code of Conduct
http://www.ephmra.org/main.asp?page=487

EphMRA-PBIRG Internet Research Guidelines
http://www.ephmra.org/main.asp?page=488

Reglamento de medidas de seguridad de los ficheros que contengan datos de carácter personal (RD 994/1999)
https://www.agpd.es/upload/Informa%20AEPD/cuadro_reglamento1.pdf

ESOMAR CODE: Pharmaceutical Marketing Research
http://www.esomar.org/uploads/pdf/ESOMAR_Codes&Guidelines_Pharmaceutical.pdf

ESOMAR CODES: Conducting market and opinion research using internet
http://www.esomar.org/uploads/pdf/ESOMAR_Codes&Guideline-Conducting_research_using_Internet.pdf

Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos
http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046:ES:HTML

European Data Protection Legislation and how it affects market research: a plain guide
http://www.esomar.org/uploads/pdf/data_protection.pdf