Retos legales que aplican a dispositivos inteligentes para la salud

Cada vez son más los dispositivos tecnológicos (smartwatches, wearables, colchones inteligentes, etc.) capaces de medir y monitorizar aspectos de nuestra salud o de nuestra rutina diaria tales como, la presión arterial, los niveles de glucosa o los hábitos de sueño. De hecho, la producción y venta de dispositivos wearables superó la barrera de los 400 millones de unidades durante 2020 y los envíos de smartwatches han crecido este año un 27% con respecto al año anterior.

Si bien el boom de esta realidad abarca cada vez más mercados como el estadounidense, el chino o el europeo, también es cierto que presenta numerosos retos e interrogantes a nivel jurídico desde una perspectiva comunitaria y nacional.

Desde un punto de vista de la normativa de protección de datos (RGPD y LOPDGDD), nos encontramos ante un tratamiento que requiere de cautela y certidumbre jurídica, habida cuenta de que los datos personales tratados por dichos utensilios técnicos son definidos por el art. 4.15 RGPD como: “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. Igualmente, los datos que miden y tratan estos dispositivos tecnológicos de última generación se consideran datos sensibles especialmente protegidos, enmarcados en la categoría especial de datos personales del art. 9 RGPD.

De esta forma, se observa la especial protección de estos datos personales, debido a los potenciales conflictos que pudiera conllevar su tratamiento p. ej., el hecho de que un wearable sea capaz de detectar cuando una persona está enferma puede generar riesgos legales en función de quién acceda a dicha información y cuáles sean las bases legales que legitimen el tratamiento.

Dependiendo de las funcionalidades de estos productos tecnológicos, deberán también atenerse a lo dispuesto en el Reglamento (UE) 2017/745, sobre los productos sanitarios, al poder enmarcarse en su art. 2.1, que recoge la definición de un “producto sanitario”: “todo instrumento, dispositivo, equipo, programa informático, implante, reactivo, material u otro artículo destinado por el fabricante a ser utilizado en personas, por separado o en combinación, con alguno de los siguientes fines médicos específicos: diagnóstico, prevención, seguimiento, predicción, pronóstico, tratamiento o alivio de una enfermedad o compensación de una lesión o de una discapacidad, etc”.

En tal caso, el hecho de que tengan la consideración de producto sanitario conlleva la necesidad de cumplir con una serie de obligaciones, tales como un sistema de gestión de riesgos o la implementación de medidas de control ajustadas al principio de seguridad.

Por otro lado, se habrá de tener en cuenta la novedad legislativa en materia de consumidores del Real Decreto-ley 7/2021, de 27 de abril, sobre la garantía de dichos gadgets, que a partir del próximo 1 de enero de 2022 pasará a ser de tres años de garantía en vez de dos, tal y como expusimos en nuestro blog.

Además, en caso de que estos productos pongan en servicio sistemas de Inteligencia Artificial (IA) en la Unión Europea, cabría destacar la futura aplicación de la Propuesta de Reglamento sobre la IA (desarrollada en una entrada anterior) una vez entre en vigor dicha normativa.

Dentro de la clasificación de los diferentes niveles de riesgo, los sistemas de IA de los smartphones o wearables que traten datos personales relativos a la salud podrían entenderse recogidos en el art. 6, es decir, serían considerados sistemas de IA de alto riesgo para los derechos y libertades de los individuos. El sistema de IA en cuestión puede estar destinado a ser utilizado como componente de seguridad de los productos (por ejemplo, aplicación de IA en smartwatch con una funcionalidad de asistencia sanitaria) o ser el propio componente de seguridad un producto (v.gr., un software de seguridad para un smartphone que calibra la presión arterial) en el sentido del anexo II y el Reglamento 2017/745 antes mencionado.

En este contexto, se deberá cumplir con ciertas obligaciones tales como: (i) sistemas adecuados de evaluación y mitigación de riesgos con actualizaciones sistemáticas periódicas; (ii) alta calidad de los conjuntos de datos utilizados por el sistema IA para minimizar riesgos y resultados discriminatorios; (iii) documentación técnica detallada que proporcione toda la información necesaria para evaluar si el sistema IA cumple los requisitos; (iv) registro automático de la actividad que garantice la trazabilidad del funcionamiento del sistema; (v) información sobre las instrucciones de uso del sistema IA clara, completa, accesible, adecuada y comprensible para el afectado (transparencia); (vi) medidas apropiadas de supervisión humana para minimizar el riesgo (ejecutadas por el proveedor o por el usuario); y (vii) un alto nivel de solidez, ciberseguridad y precisión durante todo el ciclo de vida de los sistemas IA.

Sin duda, las novedades en el mundo de la ciencia y la tecnología tienen un beneficioso impacto en la salud y en el día a día de las personas. No obstante, se ha considerar que la seguridad jurídica y la privacidad de los ciudadanos exista en todo el proceso de la implementación de estos dispositivos, haciendo que su despliegue en el mercado y la utilización por parte de los consumidores sea fiable, segura y legal.