1. La brújula del tema: persona, dato, muestra y proyecto

Este tema se domina mejor si abandonas la idea de que existe una autorización única llamada «permiso para investigar». Un proyecto sanitario puede actuar sobre una persona, tratar sus datos, utilizar una muestra biológica o combinar los tres objetos. Cada uno activa deberes distintos y, cuando concurren, los requisitos se acumulan. Un informe favorable del comité de ética no sustituye el consentimiento cuando este es exigible; un consentimiento no elimina la necesidad de una base jurídica para tratar datos; y una autorización de acceso a información corporativa no permite disponer de muestras almacenadas en un biobanco.

La primera operación intelectual del investigador principal es, por ello,

calificar el proyecto

. Debe describir qué hará realmente, no cómo desea llamarlo. Administrar una intervención o añadir una prueba por protocolo sitúa el estudio en un régimen diferente del análisis secundario de una base ya existente. Prescribir un medicamento por decisión clínica independiente y observar después los resultados puede ser un estudio observacional con medicamentos; decidir la estrategia terapéutica de antemano por el protocolo apunta a ensayo clínico. Utilizar un bloque tisular conservado para diagnóstico no equivale automáticamente a disponer de él para investigación: deben preservarse la prioridad asistencial, la trazabilidad, el consentimiento o su excepción legal y la evaluación ética.

La finalidad de estas exigencias no es burocrática. Un proyecto metodológicamente incapaz de responder a su pregunta expone personas y recursos sin beneficio cognoscitivo proporcionado; por eso la validez científica es también una exigencia ética. La protección empieza antes de reclutar o extraer datos y continúa al comunicar resultados, conservar documentación, transferir material, gestionar hallazgos y destruir o anonimizar lo que ya no sea necesario.

En el Sistema Sanitario Público de Andalucía —SSPA— aparecen, además, estructuras de apoyo que no deben confundirse con órganos autorizadores. Las fundaciones gestoras de investigación facilitan contratos, financiación, monitorización y soporte metodológico; la Plataforma de Medicina Computacional aporta capacidades de datos y análisis; el Biobanco del SSPA organiza la obtención, conservación y cesión de muestras; y la Plataforma de Ética de la Investigación Biomédica de Andalucía —PEIBA— funciona como vía telemática de presentación. La decisión ética corresponde a los comités competentes y la decisión corporativa sobre acceso a sistemas del SSPA sigue su procedimiento específico.

2. Arquitectura normativa y principios rectores

La regulación se organiza en capas. En el plano ético internacional, la Declaración de Helsinki de la Asociación Médica Mundial orienta la investigación médica con participantes humanos; su versión vigente es la adoptada en 2024. El Convenio de Oviedo protege los derechos humanos y la dignidad frente a las aplicaciones de la biología y la medicina. Son referencias interpretativas esenciales, pero no reemplazan las normas obligatorias, la evaluación del comité ni las autorizaciones administrativas.

En España, la

Ley 14/2007, de 3 de julio, de Investigación biomédica

, constituye el eje de la investigación invasiva, el uso de muestras biológicas, los biobancos y otras materias biomédicas. Sus artículos 1 y 2 delimitan ámbito y garantías; los artículos 3 a 8 fijan conceptos, consentimiento, confidencialidad, gratuidad y trazabilidad; los artículos 12 a 27 regulan los comités y la investigación que implica procedimientos invasivos; y los artículos 58 a 71 se ocupan de las muestras y biobancos. El

Real Decreto 1716/2011, de 18 de noviembre

, desarrolla los requisitos de autorización y funcionamiento de biobancos y el tratamiento de muestras humanas.

La investigación con datos de salud se somete al

Reglamento (UE) 2016/679

—RGPD— y a la

Ley Orgánica 3/2018, de 5 de diciembre

—LOPDGDD—, en especial a su disposición adicional decimoséptima. En el SSPA se añade la

Resolución Conjunta 1/2021

, que ordena el acceso y uso de la información de sus sistemas con fines de investigación e innovación. Esa resolución no crea una base jurídica universal: organiza una decisión institucional de acceso y exige que el proyecto ya disponga de la cobertura ética y jurídica pertinente.

Los estudios con medicamentos se encauzan por normas específicas. El ensayo clínico se rige por el Reglamento (UE) 536/2014 y el Real Decreto 1090/2015, de 4 de diciembre; el estudio observacional con medicamentos, por el Real Decreto 957/2020, de 3 de noviembre. La Ley 14/2007 excluye de su regulación clínica general los ensayos con medicamentos y productos sanitarios, sin perjuicio de que las muestras obtenidas puedan quedar sujetas a su normativa específica.

De esta arquitectura se derivan principios transversales: dignidad y primacía de la persona; autonomía y consentimiento; proporcionalidad entre riesgo y conocimiento; justicia en la selección; no discriminación; confidencialidad; calidad científica; independencia de la evaluación; trazabilidad; transparencia; rendición de cuentas y gratuidad de la donación. En datos, se añaden licitud, lealtad, limitación de finalidad, minimización, exactitud, limitación del plazo, integridad, confidencialidad y responsabilidad proactiva.

3. Cómo se construye un proyecto evaluable

Antes de iniciar cualquier actividad de investigación debe existir un protocolo cerrado en sus elementos esenciales. La pregunta debe ser relevante y formulada con precisión; los objetivos, coherentes con el diseño; las variables, definidas; el tamaño muestral, justificado; el análisis, preespecificado; y la población, seleccionada con criterios transparentes. Deben describirse las intervenciones, fuentes de información, muestras, transferencias, calendario, presupuesto, conflictos de interés y plan de difusión. La incertidumbre científica es legítima; la ambigüedad operativa no.

El promotor asume la iniciativa y la organización del estudio cuando esta figura existe; el investigador principal dirige su ejecución en el centro y responde de que el equipo sea idóneo y actúe conforme al protocolo. La institución sanitaria debe autorizar el uso de sus instalaciones, información y recursos; la entidad gestora puede negociar contratos, presupuesto, seguros y propiedad intelectual. El delegado de protección de datos —DPD— asesora sobre cumplimiento y evaluación de impacto, pero no se convierte en responsable científico ni sustituye el juicio del CEI.

3.1. Documentos que hacen operativo el proyecto

El expediente debe prever el ciclo de vida completo. Antes del inicio: viabilidad, evaluación ética, autorizaciones, contrato, seguro si es exigible, formación y registro. Durante el estudio: consentimiento documentado, control de desviaciones, seguridad, calidad, confidencialidad, gestión de incidentes y seguimiento. Al cierre: reconciliación, análisis, informe, comunicación de resultados, archivo, devolución o destrucción de datos y muestras, y cumplimiento de compromisos de publicación.

Una modificación sustancial no puede introducirse primero y explicarse después. Si cambia el balance riesgo-beneficio, los procedimientos, la población, la información al participante, el uso de datos o muestras, debe tramitarse ante el órgano competente antes de aplicarse, salvo medida urgente imprescindible para proteger a una persona. Las desviaciones y acontecimientos relevantes deben documentarse. En investigación, lo que no queda registrado pierde valor probatorio y dificulta la protección de los participantes.

3.2. Estructuras de apoyo

Las unidades de metodología y estadística ayudan a transformar una pregunta clínica en un diseño válido; las unidades de ensayos gestionan promotores, monitorización y buenas prácticas; las fundaciones gestoras de investigación tramitan contratos, personal, compras y ayudas; las unidades de innovación apoyan valorización y transferencia; los DPD y equipos de seguridad asesoran en protección de datos; el Biobanco garantiza circuitos normalizados de muestras; y las plataformas computacionales ofrecen infraestructura y análisis. Pedir soporte temprano evita que una limitación jurídica o técnica aparezca cuando el protocolo ya no puede corregirse.

Apoyo no significa delegación de responsabilidad. El investigador debe conocer la procedencia de la información, respetar el alcance autorizado, comprobar quién accede, comunicar cambios y cerrar el proyecto. Tampoco puede prometer al participante una anonimización absoluta si necesita mantener un código reversible para seguimiento. La calidad ética depende de que la documentación describa el circuito verdadero.

4. Investigación en personas según la Ley 14/2007

La Ley 14/2007 protege la dignidad e identidad del ser humano y garantiza que toda investigación respete su integridad y derechos. El artículo 4 establece como regla el consentimiento expreso, específico y escrito después de recibir información adecuada. La decisión debe ser libre, comprensible y revocable; la negativa o retirada no puede producir perjuicio asistencial. Cuando participa una persona que no puede consentir, actúa su representante conforme a la ley, pero deben atenderse la voluntad y preferencias de la propia persona en la medida de su capacidad.

Consentir no es firmar un formulario. Es un proceso de comunicación que abarca finalidad, naturaleza, duración, procedimientos, riesgos, molestias, beneficios previsibles, alternativas, medidas de privacidad, destino de muestras, posible comunicación de resultados, financiación, contactos y derecho a retirarse. La información se adapta al nivel de comprensión y se concede tiempo suficiente. Si surgen datos relevantes que puedan alterar la voluntad de continuar, debe informarse de nuevo y, cuando corresponda, recabarse un nuevo consentimiento.

La persona tiene derecho a conocer la información de salud obtenida y también a no conocerla. El protocolo debe prever cómo gestionar hallazgos potencialmente relevantes, incluida la validación analítica y clínica antes de comunicarlos. El derecho a no saber puede ceder excepcionalmente cuando sea imprescindible para evitar un perjuicio grave a familiares biológicos, siempre bajo las condiciones legales y éticas aplicables. No es correcto trasladar resultados exploratorios como si fueran diagnósticos asistenciales.

4.1. Investigación que implica un procedimiento invasivo

Los artículos 13 a 27 de la Ley 14/2007 añaden garantías cuando la investigación supone una intervención física o psíquica con riesgo. Debe existir una alternativa científicamente comparable que no exponga a personas a ese riesgo; los riesgos deben ser proporcionados a los beneficios potenciales y al conocimiento esperado; la investigación sin beneficio directo solo puede entrañar riesgo y carga mínimos en los supuestos legalmente permitidos. El proyecto necesita evaluación favorable previa del CEI y la autorización que corresponda a la comunidad autónoma.

El artículo 15 exige que la información abarque propósito, plan, riesgos, beneficios, alternativas, medidas ante daños y derechos. El artículo 17 impone control y seguimiento: el investigador comunica información relevante y puede ser necesario suspender el estudio si cambia el balance. El artículo 18 exige aseguramiento de los daños asociados al procedimiento invasivo y establece responsabilidades, con las excepciones y presunciones previstas en la propia norma. No debes extrapolar este seguro a cualquier análisis retrospectivo: su exigencia depende del riesgo y del régimen aplicable.

El CEI no se limita a revisar formularios. Conforme al artículo 12, evalúa cualificación del investigador y equipo, factibilidad, metodología, pertinencia, balance riesgo-beneficio, información y consentimiento, compensaciones, seguro, confidencialidad y trazabilidad. Realiza seguimiento y conoce los conflictos de interés. La independencia exige que quien tenga un interés directo no intervenga en la evaluación.

5. Calificar correctamente el tipo de estudio

La etiqueta del protocolo no decide la norma: la decide el diseño real. Para calificar, pregunta si el participante recibe una intervención por exigencia del estudio; si la asignación terapéutica se fija de antemano; si se añade una prueba o seguimiento ajeno a la práctica habitual; si el objeto es un medicamento, producto sanitario, dato o muestra; y si la información ya existe o se obtendrá prospectivamente. La calificación condiciona el comité competente, la autoridad, el portal y los documentos.

El Real Decreto 957/2020 define el estudio observacional con medicamentos por la independencia entre prescripción y decisión de incluir, la práctica clínica habitual y la ausencia de procedimientos adicionales. Puede ser prospectivo o retrospectivo. Que sea prospectivo no lo convierte en ensayo; que el medicamento esté autorizado no impide que sea ensayo si el protocolo determina la estrategia. En Andalucía ya no debe repetirse la regla histórica de una autorización autonómica general por el antiguo CAEMBES para todo estudio observacional prospectivo: el Decreto-ley 3/2024 suprimió ese órgano y adaptó el sistema al Real Decreto 957/2020.

El ensayo clínico con medicamentos se tramita por CTIS conforme al Reglamento (UE) 536/2014, aplicable desde el 31 de enero de 2022, con intervención de la AEMPS y del CEIm. La evaluación se distribuye en partes científica/técnica y ética/nacional según el procedimiento europeo. Las exigencias sobre consentimiento, seguridad, notificación, medicamentos en investigación, monitorización y archivo son propias de ese régimen.

Un proyecto puede cambiar de ruta al añadir un solo elemento. Revisar imágenes ya obtenidas es tratamiento secundario de datos; solicitar una nueva prueba de imagen exclusivamente para el protocolo introduce una intervención. Analizar tejido cedido por un biobanco activa el régimen de muestras; enlazarlo con historia clínica añade tratamiento de datos. Por eso las enmiendas deben recalificarse y no solo anotarse.

6. Investigación con datos de salud

Los datos de salud son una categoría especial de datos personales. Su tratamiento exige superar dos escalones: una base general de licitud del artículo 6 del RGPD y una excepción a la prohibición del artículo 9. El consentimiento explícito puede ser una vía, pero no es la única ni siempre la adecuada en el sector público. Pueden operar, según el caso, el cumplimiento de una obligación legal, una misión de interés público y la investigación científica amparada por el Derecho de la Unión o de los Estados miembros. La elección debe documentarse por el responsable del tratamiento y no puede improvisarla individualmente el investigador.

Esta precisión evita un error frecuente: el consentimiento informado para participar en una investigación y la base jurídica para tratar datos son planos conectados, pero no idénticos. El primero protege la autonomía frente a procedimientos, usos y participación; el segundo determina por qué una organización puede tratar la información bajo el RGPD. Un proyecto puede necesitar consentimiento de participación y apoyarse, para el tratamiento institucional, en una misión de interés público; también puede existir una excepción legal a recabar nuevo consentimiento para reutilizar datos y seguir siendo obligatorios la transparencia, el dictamen ético, la minimización y la seguridad.

6.1. Anonimización y seudonimización

Un dato

anonimizado

no permite identificar a una persona por medios razonablemente utilizables; la transformación debe ser irreversible en términos prácticos, considerando costes, tiempo, tecnología y posibilidades de enlace. Si la reidentificación sigue siendo posible mediante información adicional, el dato no es anónimo. La anonimización reduce utilidad y puede perderse cuando se combinan conjuntos muy granulares. No basta con borrar nombre y DNI: fechas exactas, códigos raros, diagnósticos infrecuentes o localizaciones pueden singularizar.

La

seudonimización

, definida en el artículo 4.5 del RGPD, sustituye identificadores por un código y mantiene separada la información adicional. Es una salvaguarda potente, pero los datos siguen siendo personales. El equipo investigador debe trabajar, siempre que sea posible, sin acceso a la tabla de correspondencias. La unidad de origen conserva la capacidad de reidentificar solo para los supuestos autorizados, como proteger a una persona ante un peligro concreto y grave o prestar asistencia necesaria.

6.2. Disposición adicional decimoséptima de la LOPDGDD

La disposición adicional decimoséptima de la Ley Orgánica 3/2018 concreta el tratamiento de datos de salud. Su apartado 1 reconoce como normas habilitantes, dentro de los supuestos del artículo 9.2 del RGPD, la legislación sanitaria y de investigación, incluida la Ley 14/2007. Su apartado 2 establece reglas específicas para investigación en salud y biomédica.

• Consentimiento por áreas: puede abarcar áreas generales vinculadas a una especialidad médica o investigadora, no una autorización indeterminada para cualquier finalidad.
• Salud pública excepcional: autoridades e instituciones públicas pueden investigar sin consentimiento en situaciones de excepcional relevancia y gravedad para la salud pública.
• Reutilización compatible: es posible reutilizar datos para finalidades o áreas relacionadas con la investigación inicial, con información pública en la web, notificación electrónica cuando proceda y dictamen favorable previo del CEI.
• Datos seudonimizados: se exige separación técnica y funcional entre equipo investigador y quienes puedan reidentificar, compromiso de confidencialidad y no reidentificación, y medidas de seguridad específicas.
• Reidentificación limitada: la unidad de origen solo puede revertir el código en supuestos legalmente justificados, no por curiosidad científica ni para ampliar la cohorte.
• Evaluación ética: el uso de datos seudonimizados requiere informe previo del CEI; si no existe, la ley prevé intervención del DPD o de experto con conocimientos equivalentes.
• Protección de datos en el CEI: el comité debe integrar un DPD o experto en RGPD, que no puede participar cuando exista conflicto de interés.
• Evaluación de impacto: se realiza cuando concurre el artículo 35 del RGPD o lo exige la autoridad; debe valorar expresamente riesgos de reidentificación y las medidas adoptadas.

El artículo 89 del RGPD pide garantías adecuadas para investigación: minimización, medidas técnicas y organizativas y, siempre que sea posible, seudonimización. Los artículos 13 y 14 regulan la transparencia; el 25, la protección desde el diseño y por defecto; el 30, el registro de actividades; el 32, la seguridad; y el 35, la evaluación de impacto. El responsable debe demostrar cumplimiento, no limitarse a afirmar que «los datos son para ciencia».

6.3. Ciclo de vida y gobernanza

El plan de datos debe inventariar variables y justificar cada una; definir origen, calidad, responsables, perfiles de acceso, entorno de análisis, transferencias, conservación y destino; establecer cómo se informará a las personas y cómo se atenderán derechos; y prever incidentes. La minimización se aplica también al número de personas, nivel de detalle y duración. Pedir una base completa «por si acaso» contradice el principio y debilita el proyecto.

Las transferencias a otra institución requieren determinar si existe comunicación entre responsables o tratamiento por cuenta ajena. Si un proveedor procesa datos siguiendo instrucciones del responsable, debe existir contrato del artículo 28 del RGPD. Las transferencias internacionales exigen las garantías del capítulo V. Publicar un conjunto abierto o compartirlo con colaboradores no previstos no es una continuación automática del proyecto: necesita cobertura, evaluación de riesgo y autorización.

La seguridad debe corresponder al riesgo: control de identidad, mínimo privilegio, cifrado, separación de claves, registros de acceso, entornos sin descarga cuando sea necesario, revisión periódica, copias seguras, gestión de vulnerabilidades e incidentes. La difusión de resultados debe impedir la reidentificación, evitando celdas pequeñas, combinaciones singulares e imágenes con metadatos. El cierre incluye retirar permisos, declarar destrucción cuando se haya exigido y conservar únicamente la documentación necesaria para acreditar cumplimiento.

7. Acceso a información del SSPA: Resolución Conjunta 1/2021

La Resolución Conjunta 1/2021, de las entonces Direcciones Generales competentes del Servicio Andaluz de Salud y de la Consejería de Salud, aprobó las instrucciones para ordenar el acceso y uso de información del SSPA con fines de investigación e innovación. Fue firmada el 4 de diciembre de 2021 y continúa publicada como referencia oficial. Su objeto es que la extracción de información corporativa sea proporcionada, segura, viable y alineada con el interés público.

Su ámbito comprende la información contenida en módulos de Diraya, la Base Poblacional de Salud y otros registros y sistemas oficiales del SSPA. Excluye expresamente las réplicas locales de Diraya destinadas a gestión, que no constituyen una puerta alternativa para investigación. El hecho de que un profesional tenga acceso asistencial a una historia no le habilita a reutilizarla masivamente para un proyecto.

Puede solicitar el acceso el investigador principal o responsable de un proyecto clínico o sanitario evaluado por CEI, perteneciente a unidades del SSPA, a centros de la Consejería o a entidades instrumentales dependientes que gestionen investigación. Cuando el solicitante sea externo, debe existir el correspondiente convenio o instrumento de colaboración. Esta delimitación permite identificar un responsable real y exigir compromisos a una institución.

7.1. Documentación de la solicitud

La solicitud se presenta preferentemente por registro electrónico al órgano que tenga atribuida la competencia. La denominación orgánica reproducida en la resolución corresponde a la estructura administrativa de 2021 y puede variar; lo estable es la función, no el nombre histórico de la dirección general. Debe usarse el formulario y canal vigentes, evitando dirigir el expediente a una unidad clínica como si fuera la propietaria individual de la base.

7.2. Evaluación y resolución

La Comisión de Evaluación reúne perfiles de protección de datos, asesoría jurídica, gestión de información, prestaciones/farmacia, asistencia, calidad e investigación, además de representación de la organización ética andaluza y de la gestión de investigación. Emite un informe de idoneidad. No reevalúa solo la ciencia: comprueba proporcionalidad de la petición, alineación estratégica, beneficio potencial, factibilidad de fuentes y variables, recursos de extracción y garantías de seguridad.

La comisión puede valorar favorablemente que el proyecto se realice en instalaciones del SAS, que su gestión corresponda a una entidad dependiente y que utilice un modelo federado o agregado. Puede condicionar el análisis a un entorno controlado del SSPA. Si la consulta requiere construir procesos costosos o perjudica la operación asistencial, la viabilidad y financiación deben resolverse antes de autorizar.

El órgano directivo competente dicta resolución electrónica. Esta delimita datos, finalidad, condiciones de acceso, ubicación del tratamiento y consecuencias del incumplimiento; cuando corresponda, fija condiciones económicas. La autorización es finalista: no convierte al investigador en dueño de la base y no legitima nuevos usos.

Como regla, la información permanece en los sistemas corporativos. Su salida necesita autorización expresa. El equipo no puede cederla a terceros, intentar reidentificar ni incorporarla a otro proyecto. Al finalizar debe destruir los datos en los términos autorizados y remitir declaración de destrucción. Las publicaciones solo pueden contener resultados agregados no reidentificables, deben reconocer el origen y la autorización, y han de comunicarse para incorporar copia al expediente.

8. Área BIGDATA y Plataforma de Medicina Computacional

El temario denomina a este recurso «Plataforma BIGDATA de la Fundación Progreso y Salud». La presentación institucional vigente lo sitúa como

Área de Big Data integrada en la Plataforma de Medicina Computacional de Andalucía

, dependiente de la Fundación Progreso y Salud. Esta actualización terminológica importa: en un examen puede aparecer el nombre histórico del epígrafe, mientras que en la práctica debe reconocerse la organización actual.

La plataforma ofrece capacidades para explotar grandes volúmenes de información biomédica —clínica, genómica, de imagen y procedente de otras fuentes— mediante infraestructura computacional, ingeniería de datos, bioinformática, ciencia de datos e inteligencia artificial. Sus líneas institucionales comprenden aplicaciones biomédicas, sistemas inteligentes y ciencia de datos, bioinformática traslacional y big data. La finalidad es apoyar diagnóstico, pronóstico, tratamiento, medicina de precisión, sostenibilidad y equidad.

No es un repositorio al que el investigador pueda pedir «todos los datos». Es una estructura de apoyo que trabaja dentro de una gobernanza: proyecto definido, fuentes autorizadas, calidad, interoperabilidad, entorno seguro, trazabilidad y perfiles de acceso. Puede favorecer modelos federados en los que el algoritmo viaja a los datos y solo retornan resultados controlados, reduciendo copias y exposición. También puede implementar espacios de análisis donde descargar información está bloqueado y las salidas se revisan.

Los proyectos de inteligencia artificial añaden riesgos que deben anticiparse: sesgos de selección, datos incompletos, etiquetas inconsistentes, fuga de información entre entrenamiento y validación, opacidad, deriva temporal y desigual rendimiento entre grupos. La evaluación no termina con una métrica global. Deben documentarse procedencia y calidad, separar conjuntos, evaluar subgrupos, controlar accesos, registrar versiones y delimitar si el resultado es investigación exploratoria o pretende uso asistencial. Si se pretende convertir un modelo en producto sanitario, se activa además la regulación correspondiente.

La gobernanza debe aplicar protección de datos desde el diseño. El equipo recibe solo las variables y filas necesarias; se separan identidades y datos analíticos; se registran consultas y exportaciones; se limita la conservación; y se revisa el riesgo de inferencia en los resultados. La tecnología no «anonimiza» por sí misma: un modelo puede memorizar o revelar patrones de individuos si se entrena sin salvaguardas.

El Reglamento (UE) 2025/327, relativo al Espacio Europeo de Datos de Salud, abre un marco europeo de uso secundario con aplicación progresiva. En 2026 no elimina los procedimientos nacionales y andaluces aquí estudiados. Para el examen, debe entenderse como evolución del ecosistema de acceso seguro y reutilización, no como atajo para omitir la Resolución 1/2021, el RGPD o el control ético.

9. Investigación con muestras biológicas

Una muestra biológica humana es cualquier material procedente del cuerpo que contiene o puede contener información sobre la dotación genética característica. Sangre, tejido, células, ADN, fluidos y material histológico pueden entrar en el concepto. La muestra tiene una doble naturaleza: es un recurso material finito y una fuente de información personal y familiar. Por ello la ley protege tanto su custodia física como los datos derivados.

La Ley 14/2007 y el Real Decreto 1716/2011 distinguen tres regímenes. En un

biobanco

, las muestras se conservan de forma organizada para investigación y pueden destinarse a proyectos dentro del consentimiento, previa evaluación de cada cesión. En una

colección conservada fuera de un biobanco

, el material queda vinculado a una línea o finalidad concreta expresada en el consentimiento. En un

proyecto concreto

, la muestra solo puede utilizarse para ese proyecto y no debe conservarse indefinidamente ni cederse como si formara una colección.

9.1. Consentimiento, información y excepciones

El artículo 58 de la Ley 14/2007 establece el consentimiento previo para obtener y utilizar muestras con fines de investigación. La información debe abarcar finalidad, beneficios, inconvenientes, identidad del responsable, lugar de análisis, destino final, acceso a información obtenida, posibilidad de resultados, mecanismos de confidencialidad y derecho de revocación. El consentimiento para obtener una muestra y el consentimiento para usarla pueden documentarse conjuntamente si la información es clara.

La ley permite que el consentimiento abarque una investigación concreta o líneas relacionadas con la inicialmente propuesta, pero no borra el control posterior. Cada proyecto necesita dictamen CEI. Para usar una muestra identificada o codificada sin consentimiento, la imposibilidad o esfuerzo no razonable de obtenerlo no basta por sí solo: debe existir interés general, investigación de menor efectividad con datos anónimos, ausencia de oposición expresa, garantías de confidencialidad y dictamen favorable del CEI, entre otros requisitos del artículo 58.2.

El Real Decreto 1716/2011 desarrolla supuestos de uso excepcional de muestras sin consentimiento expreso en su artículo 24. La excepción se interpreta de forma restrictiva y se documenta. No es correcto alegar que una cohorte es «muy grande» sin acreditar el esfuerzo desproporcionado ni explorar alternativas. La evaluación del CEI debe ponderar antigüedad, riesgo, sensibilidad, posibilidad de contacto, valor científico y medidas de seudonimización.

El consentimiento puede revocarse en cualquier momento. La revocación impide nuevos usos de la muestra en los términos legales y conduce a su destrucción o anonimización según lo elegido y permitido; no invalida resultados ya obtenidos ni obliga a retirar datos agregados de análisis concluidos. Debe existir un circuito para localizar material y propagar la revocación a cesionarios, lo que explica la importancia de la trazabilidad.

9.2. Gratuidad, prioridad asistencial y trazabilidad

La donación y cesión de muestras son gratuitas y no pueden generar incentivo económico. Ello no significa coste logístico cero: el biobanco puede repercutir costes de obtención, preparación, conservación o envío, sin comerciar con el tejido. La muestra sigue estando vinculada a derechos del donante y al alcance del consentimiento.

La finalidad diagnóstica o terapéutica prevalece sobre la investigadora. Un bloque de parafina, por ejemplo, solo puede cederse si el servicio responsable y el biobanco garantizan que queda material suficiente para necesidades asistenciales presentes y previsibles. La idea repetida en preguntas de Anatomía Patológica de que el biobanco incorpora excedentes diagnósticos es válida para ese circuito, pero no define todas las fuentes: también puede haber donación prospectiva específica, cohortes poblacionales y otros materiales obtenidos conforme a la ley.

La trazabilidad es la capacidad de reconstruir la historia completa desde la donación hasta cada procesamiento, alícuota, ubicación, cesión, resultado, devolución o destrucción. Debe poder relacionarse el consentimiento vigente con los usos, sin exponer la identidad al equipo analítico. En Anatomía Patológica, acceso libre 2025, pregunta 142, la respuesta oficial describió precisamente ese seguimiento completo.

Los resultados genéticos merecen protección reforzada por su carácter familiar y predictivo. El protocolo debe decidir qué resultados son válidos, clínicamente significativos y accionables, cómo se confirmarán y quién los comunicará. El deber de confidencialidad persiste después de finalizar la investigación. Las publicaciones no deben incluir imágenes o secuencias que hagan identificable al donante salvo cobertura expresa.

10. Área de investigación del Biobanco del SSPA

El Biobanco del Sistema Sanitario Público de Andalucía —BB-SSPA— fue configurado por el Decreto 1/2013, de 8 de enero, como un biobanco en red dependiente de la Consejería competente en salud. Integra estructuras y nodos de centros sanitarios públicos bajo una organización única, descentralizada y coordinada. Esta fórmula combina proximidad para obtener y custodiar material con procedimientos comunes de calidad, ética, legalidad y acceso.

El Consejo Rector define estrategia y supervisa el funcionamiento; la dirección científica asegura el programa y la política de calidad; el comité científico externo evalúa la calidad y viabilidad de las solicitudes; y la evaluación ética externa corresponde actualmente al CCEIBA en los términos de la normativa andaluza. Los nodos locales realizan funciones de obtención, procesamiento, almacenamiento y documentación. El nodo coordinador armoniza procedimientos y actúa como ventanilla común.

Debe distinguirse titularidad institucional de coordinación operativa. El Decreto 1/2013 sitúa el biobanco bajo la Consejería; la Fundación Progreso y Salud desarrolla su coordinación y apoyo operativo. Anatomía Patológica, acceso libre 2025, pregunta 138, preguntó por la entidad coordinadora y consideró correcta la Fundación Progreso y Salud. No hay contradicción: dependencia, gobierno y gestión operativa son planos diferentes.

El área de investigación ofrece provisión de muestras y datos asociados, asesoramiento en viabilidad, preparación y procesamiento, almacenamiento, control de calidad y apoyo logístico. El catálogo puede abarcar tejido, sangre, derivados, ADN/ARN, células y otros recursos, sujetos a disponibilidad, prioridad asistencial y consentimiento. La solicitud identifica investigador, institución, protocolo, cantidad y características, plan analítico y dictámenes.

El biobanco no garantiza la existencia inmediata de cada muestra. Puede organizar captación prospectiva, reservar material mínimo o proponer una alternativa técnica. Su valor reside tanto en el espécimen como en la calidad preanalítica, los datos asociados y la trazabilidad. Una colección no normalizada puede introducir sesgos de tiempo de isquemia, fijación, almacenamiento o selección que invaliden el estudio.

La cesión se formaliza mediante un acuerdo de transferencia de material —MTA—. Este fija finalidad, cantidad, custodios, prohibición de reidentificar o transferir a terceros, propiedad de resultados, publicaciones, devolución/destrucción, costes y obligaciones ante incidentes. El receptor no puede convertir la cesión en una colección propia ni prolongar el uso más allá del proyecto.

11. Circuito para solicitar y utilizar muestras

En Andalucía, PEIBA actúa como ventanilla telemática para presentar proyectos que investigan en personas, sus datos o sus muestras. El investigador accede con certificado digital, selecciona el procedimiento y comité competentes, identifica centro y equipo, incorpora la documentación y responde a aclaraciones. La plataforma organiza el expediente; no emite por sí misma el dictamen.

Para un proyecto con muestras deben aportarse, al menos, protocolo, currículum del investigador principal, compromiso del equipo, hoja de información y consentimiento cuando corresponda, y documentación de la solicitud al Biobanco. Si la muestra se enlazará con información clínica, el protocolo y el plan de datos deben describir ese enlace y las responsabilidades. Las versiones han de coincidir: no es aceptable que el CEI evalúe un consentimiento distinto del utilizado por el biobanco.

11.1. Ruta paso a paso

1. Definir la necesidad. Especificar tipo, cantidad mínima, calidad, datos asociados, periodo, criterios de inclusión y técnica prevista.
2. Consultar viabilidad. El BB-SSPA comprueba disponibilidad, prioridad asistencial, posibilidad de captación prospectiva, procesamiento, plazo y costes.
3. Preparar el protocolo. Justificar científicamente el material y describir consentimiento, codificación, análisis, resultados, almacenamiento temporal y destino final.
4. Obtener evaluación ética del proyecto. El CEI competente revisa metodología, uso de muestras y datos, información y balance.
5. Solicitar la cesión. El biobanco recibe dictamen, protocolo, formulario, variables, institución receptora y compromisos.
6. Completar evaluaciones externas. Se recaban la valoración científica y la ética de la cesión; un informe desfavorable impide transferir.
7. Firmar el MTA. Se fijan finalidad, cantidad, transporte, uso, seguridad, publicaciones, costes, devolución o destrucción.
8. Transferir y registrar. La cadena de custodia documenta salida, recepción, alícuotas y responsables.
9. Ejecutar solo el uso aprobado. Cualquier cambio de técnica, institución, finalidad o cesionario se consulta previamente.
10. Cerrar. Se comunican resultados, publicaciones, incidencias y destino de remanentes; se actualiza la trazabilidad.

Cuando el proyecto aún no tiene dictamen y la cesión procede del BB-SSPA, la guía institucional permite coordinar en PEIBA la evaluación del proyecto y la evaluación externa de la cesión por CCEIBA. Son decisiones conceptualmente separadas aunque puedan tramitarse juntas: una determina si el proyecto es aceptable; otra, si ese material concreto puede salir del biobanco. El comité científico analiza mérito, adecuación y cantidad.

El investigador receptor actúa como custodio, no como propietario. No puede ceder material a un colaborador no incluido, enviarlo al extranjero, generar una colección permanente ni buscar la identidad del donante sin autorización. Si una técnica exige un laboratorio externo, el circuito debe constar desde el principio, con transporte, contrato, protección de datos y destino de remanentes.

La viabilidad científica incluye variables preanalíticas. El biobanco debe conocer técnica, cantidad, pureza, fijador, isquemia, temperatura, ciclos de congelación y necesidad de controles. Solicitar «tejido tumoral» sin especificaciones no permite garantizar utilidad ni administrar un recurso escaso. La cantidad mínima legal y éticamente adecuada se relaciona con un cálculo experimental, no con una reserva por comodidad.

Si se retira el consentimiento durante una cesión, el nodo coordinador activa la trazabilidad y comunica la decisión a los receptores. Se detienen nuevos usos y se destruye o anonimiza material conforme a la elección y la ley, sin falsificar resultados ya producidos. La pregunta 143 de Anatomía Patológica 2025 reforzó el derecho a retirar el consentimiento en cualquier momento.

12. Comités de ética de la investigación en Andalucía

El Decreto 8/2020, de 30 de enero, regula los órganos de ética asistencial y de investigación biomédica en Andalucía. Fue modificado de forma relevante por el artículo 96 del Decreto-ley 3/2024, de 6 de febrero. La reforma adaptó funciones al marco de estudios observacionales con medicamentos, suprimió CAEMBES y reforzó competencias sobre datos, seudonimización y biobanco. Por eso debes desconfiar de esquemas anteriores a 2024 que presenten CAEMBES como órgano vigente.

12.1. CEI, CEIm y CEA

Todo centro público o privado de Andalucía que realice investigación biomédica en personas, sus datos o muestras debe estar adscrito a un CEI acreditado. El sistema permite especialización y, tras la reforma, que universidades públicas constituyan su propio CEI o se adscriban. El plan autonómico publicado en junio de 2026 contabiliza doce CEI acreditados en Andalucía; el número es un dato organizativo actualizable, mientras que la obligación de adscripción es la regla estable.

Los CEI son independientes y multidisciplinares. Su composición mínima reúne profesionales médicos, farmacológicos, farmacéuticos, de enfermería y miembros ajenos a profesiones sanitarias, incluido perfil jurídico; incorpora la perspectiva de ética asistencial y la competencia en protección de datos. Debe participar un DPD o experto en RGPD para las funciones relacionadas, con abstención cuando exista conflicto. La pluralidad evita reducir la evaluación a una revisión clínica.

12.2. Funciones y resultado de la evaluación

El comité comprueba la cualificación del equipo, pertinencia, diseño, balance riesgo-beneficio, selección de participantes, vulnerabilidad, información, consentimiento, compensaciones, seguro, confidencialidad, uso de datos y muestras, financiación y conflictos. Puede pedir aclaraciones o cambios. Después realiza seguimiento, recibe modificaciones, incidentes y cierre. Un dictamen favorable está vinculado a una versión y condiciones concretas.

La reforma de 2024 precisó que los dictámenes de evaluación de los CEI son preceptivos y vinculantes para la autoridad que resuelve, fijó un plazo máximo de tres meses y previó sentido positivo del silencio en el ámbito administrativo regulado, sin que ello habilite a iniciar un proyecto cuando falten otras autorizaciones, contratos o garantías. No conviertas el silencio en una dispensa universal.

El CCEIBA coordina criterios, evita respuestas discordantes y asume funciones autonómicas específicas. Entre ellas se encuentran informes relativos al uso de datos seudonimizados o su reutilización cuando corresponda y la evaluación ética externa de cesiones del BB-SSPA. La reforma también actualizó competencias sobre células pluripotentes reprogramadas. Ya no debe atribuírsele la antigua autorización general de estudios observacionales prospectivos con medicamentos.

13. Ruta integrada y supuestos prácticos

La forma más segura de resolver casos es seguir una ruta invariable. Primero identifica la acción: observar, intervenir, extraer, enlazar, almacenar o ceder. Después califica el régimen. A continuación separa los controles ético, jurídico, institucional, contractual y técnico. Finalmente comprueba el ciclo de vida. Este método evita respuestas absolutas como «con CEI basta» o «si está anonimizado es libre».

13.1. Supuesto A: cohorte retrospectiva multicéntrica

Un equipo quiere predecir reingreso mediante historias de cinco hospitales. No contactará con pacientes y analizará datos seudonimizados. La ausencia de contacto no elimina el RGPD: siguen siendo datos personales. El protocolo debe justificar variables, base jurídica, excepción del artículo 9, reutilización conforme a la DA 17.ª, separación de claves, entorno analítico y conservación. Necesita dictamen CEI y, por proceder de sistemas corporativos, el procedimiento de la Resolución 1/2021. La Plataforma de Medicina Computacional puede aportar un entorno federado, pero no sustituye esas decisiones.

13.2. Supuesto B: excedentes diagnósticos

Se pretenden analizar bloques residuales conservados en Anatomía Patológica. Primero se garantiza la prioridad diagnóstica; luego se determina si están en BB-SSPA, colección o archivo asistencial y cuál fue el consentimiento. Si no es razonable obtenerlo, el CEI debe valorar la excepción legal, no presumirla. La cesión requiere cantidad mínima, evaluaciones, MTA y trazabilidad. Enlazar mutaciones con evolución clínica añade el circuito de datos.

13.3. Supuesto C: medicamento en práctica habitual

Los médicos prescriben un medicamento autorizado por decisión clínica y el proyecto recoge resultados sin pruebas adicionales. Se califica como estudio observacional con medicamentos bajo RD 957/2020 y requiere CEIm. Si el protocolo asigna fármaco, pauta o visitas extra, deja de cumplir la definición observacional y debe reconsiderarse como ensayo. El nombre «mundo real» no decide.

13.4. Supuesto D: algoritmo con imágenes

Un algoritmo se entrena con imágenes históricas. Deben retirarse metadatos identificativos, controlar rasgos que permitan singularización, documentar licitud y evaluar sesgos. La división entrenamiento-validación se hace a nivel de paciente para evitar fuga. Si las imágenes salen del SSPA, se necesita autorización expresa; es preferible un entorno controlado. Una imagen seudonimizada sigue siendo dato personal.

13.5. Supuesto E: revocación

Una persona retira el consentimiento después de que parte de su muestra se haya analizado. Se localizan alícuotas y cesiones, se detienen usos futuros y se aplica destrucción o anonimización conforme al consentimiento y la ley. Los resultados ya incorporados a análisis válidos no se borran necesariamente. La respuesta debe ser trazable y quedar documentada; «imposible porque ya donó» es incorrecto.

14. Claves de examen y preguntas oficiales relacionadas

14.1. Veinte afirmaciones de alto rendimiento

1. Persona, dato y muestra activan garantías distintas y acumulables.
2. La validez metodológica es un requisito ético.
3. El consentimiento es proceso informado y revocable, no mera firma.
4. El dictamen CEI no reemplaza una autorización administrativa o institucional.
5. Seudonimizar no convierte los datos en anónimos.
6. El principio del RGPD es minimización, no maximización.
7. La DA 17.ª permite investigación con datos seudonimizados bajo salvaguardas.
8. Investigador y custodio de la clave deben estar separados técnica y funcionalmente.
9. La reutilización relacionada exige transparencia y dictamen CEI previo.
10. La Resolución 1/2021 se aplica a sistemas corporativos, no a réplicas locales de gestión.
11. La autorización de acceso es finalista y prohíbe cesiones o reutilizaciones no aprobadas.
12. BIGDATA apoya análisis y gobierno; no autoriza el acceso.
13. Biobanco, colección y proyecto concreto son tres regímenes diferentes.
14. La excepción al consentimiento para muestras es restrictiva y requiere CEI.
15. La prioridad asistencial prevalece sobre la cesión investigadora.
16. La donación es gratuita, aunque pueden repercutirse costes técnicos.
17. La cantidad cedida debe ser la mínima necesaria.
18. CEI evalúa investigación; CEA asesora en ética asistencial; CEIm evalúa medicamentos.
19. CAEMBES fue suprimido en 2024.
20. PEIBA es plataforma de tramitación, no comité.

14.2. Huellas del examen oficial aportado

15. Vigencia normativa y referencias

El Reglamento (UE) 2025/327 sobre el Espacio Europeo de Datos de Salud está en vigor y prevé aplicación progresiva. No desplaza en 2026 los procedimientos nacionales y autonómicos estudiados. Los directorios, formularios, composición nominativa y número de comités son datos organizativos que deben verificarse en la convocatoria concreta.

15.1. Normativa y fuentes oficiales esenciales

• Ley 14/2007, de 3 de julio, de Investigación biomédica : artículos 1–8, 12–27 y 58–71.
• Real Decreto 1716/2011, de 18 de noviembre : artículos 2, 15, 22–30 y 34.
• Reglamento (UE) 2016/679, de 27 de abril : artículos 4, 5, 6, 9, 13, 14, 25, 28, 30, 32, 35 y 89.
• Ley Orgánica 3/2018, de 5 de diciembre : disposición adicional decimoséptima.
• Resolución Conjunta 1/2021 y página oficial del SAS .
• Real Decreto 957/2020, de 3 de noviembre , sobre estudios observacionales con medicamentos.
• Real Decreto 1090/2015, de 4 de diciembre , sobre ensayos clínicos y CEIm.
• Reglamento (UE) 536/2014, de 16 de abril , sobre ensayos clínicos.
• Decreto 8/2020, de 30 de enero , sobre órganos de ética en Andalucía.
• Decreto-ley 3/2024, de 6 de febrero, artículo 96 , modificación de órganos de ética.
• Decreto 1/2013, de 8 de enero , regulación del BB-SSPA.
• Nodo coordinador del BB-SSPA y solicitud de provisión .
• Plataforma de Medicina Computacional de Andalucía , Fundación Progreso y Salud.
• Plan de inspección de CEI de Andalucía, junio de 2026 .
• Declaración de Helsinki, versión 2024 .
• Reglamento (UE) 2025/327 , Espacio Europeo de Datos de Salud.

15.2. Palabras clave

Ley 14/2007 · investigación biomédica · procedimiento invasivo · consentimiento informado · CEI · CEIm · CEA · CCEIBA · PEIBA · RGPD · LOPDGDD · disposición adicional 17.ª · minimización · seudonimización · anonimización · evaluación de impacto · Resolución Conjunta 1/2021 · Diraya · Base Poblacional de Salud · BIGDATA · Medicina Computacional · Fundación Progreso y Salud · muestra biológica · biobanco · colección · proyecto concreto · BB-SSPA · consentimiento · revocación · trazabilidad · gratuidad · prioridad asistencial · MTA.

16. Conclusiones y Estrategia de Estudio