La Agencia Española de Protección de Datos, conforme al artículo 40 del GDPR, ha aprobado un Código de Conducta regulador del tratamiento de datos personales en el ámbito de los ensayos clínicos y otras investigaciones clínicas y de la farmacovigilancia, que se convierte en el primer código de conducta sectorial aprobado en Europa desde la entrada en vigor del GDPR, si bien su ámbito de aplicación es nacional. Regula cómo deben aplicar la normativa de protección de datos los promotores de estudios clínicos con medicamentos y las organizaciones de investigación por contrato (CRO) que decidan adherirse al mismo.
Con la adhesión voluntaria al código de conducta, los responsables y encargados de tratamientos de datos personales se obligan a su cumplimiento, y entre otras cuestiones la adhesión al mismo supondrá: