La Protección de Datos Sanitarios se erige como un derecho esencial de las personas, demandando una atención particular por parte de centros médicos, clínicas, gabinetes y similares, dada la naturaleza delicada de la información involucrada. Los datos relacionados con la salud son clasificados por la normativa como de una categoría altamente sensible. La instauración de medidas y procedimientos destinados a salvaguardar los derechos de los pacientes podría implicar la necesidad de considerar medidas adicionales. A través de esta guía, te brindaremos apoyo en la comprensión de cómo planificar la implementación de estas medidas en tu establecimiento médico.
Ley de Protección de Datos Sanitarios
Los centros medicos y sanitarios están afectados a la hora del tratamiento de datos personales por cuatro normativas principales.
- Reglamento General de Protección de Datos o RGPD.
- Ley de Protección de Datos y Garantía de Derechos Digitales o LOPD-GDD.
- Ley de Autonomía del Paciente o LAP.
- Normativa Autonómica
¿Qué tipos de datos son tratados en un Centro Sanitario?
En un Centro Médico se realizan tratamientos de datos relativos a la salud. De igual modo, se procesan datos identificativos como son: nuestros, nombres, apellidos, nº de DNI y tarjeta sanitaria, direcciones postales y electrónicas, así como números de teléfono de contacto.
De esta manera, en la atención médica se van tratar datos de naturaleza:
- Biométricos,
- Genéticos,
- Historia del paciente, ya sea física y/o psicológica,
- Libros de receta,
- Informes médicos.
- Imágenes, radiografías y ecografías,
Además de los datos inherentes a la gestión de los pacientes, también es crucial prestar atención a la información pertinente de profesionales de la salud externos involucrados en la atención médica, así como a los empleados que puedan estar bajo nuestra supervisión.
Aspectos básicos en el Tratamiento de Datos de Salud
Como en cualquier actividad afectada por la LOPD vamos a tener tres participantes principales que afectan al correcta ejecución de la normativa.
- Información al paciente
- Empleados/as
- Empresas o profesionales externos que acceden a la información para la prestación de un servicio.
- En muchos de los casos, el Delegado de Protección de Datos, también conocido como DPO.
1. DERECHO DE INFORMACIÓN DEL PACIENTE
En los casos en los que se procesen datos de salud, a diferencia de otros tipos de tratamientos, la obtención de un consentimiento explícito se vuelve un requisito esencial. Este consentimiento nos obliga a mantener una copia del mismo, con el propósito de poder demostrar que hemos obtenido la autorización del individuo en cuestión. Este registro puede adoptar la forma de un documento impreso o digital, dependiendo de la preferencia y las modalidades establecidas.
La información que debe incluir la petición del consentimiento al tratamiento es:
- Identificación del responsable del tratamiento;
- Datos de contacto del delegado de protección de datos;
- Finalidad del tratamiento;
- Base legítima principal del tratamiento. Normalmente, será el consentimiento;
- Derechos de Protección de Datos del paciente;
- Destinatarios o las categorías de destinatarios de los datos;
- Dónde o cómo poder ampliar la información básica de Protección de Datos.
Es importante no confundir este consentimiento, necesario para el tratamiento de datos con el consentimiento informado médico.
2. EMPLEADOS/AS
Los empleados que estén bajo la responsabilidad del encargado del tratamiento y tengan acceso a los datos del paciente, deben haber recibido información al respecto y estar obligados a mantener la confidencialidad. Esta responsabilidad no se limita únicamente a la duración de su vínculo laboral, sino que persiste incluso después de que este haya concluido.
Para lograr esto, resulta imperativo elaborar un documento de confidencialidad integral. Este documento debe incorporar un manual que detalle las prácticas óptimas en relación a los sistemas, medios y plataformas utilizados en la gestión de la información de los pacientes.
3. EMPRESAS EXTERNAS
Las empresas externas que acceden a los datos para la prestación de un servicio han de firmar un contrato que establezca la relación y responsabilidad de ambas partes. Es esencial tener presente que en este ámbito también operan otros profesionales facultativos que, de manera ineludible, requerirán acceso a los datos para proporcionar servicios esenciales al paciente.
Estos profesionales pueden ser:
- Anestesistas;
- Otros centros sanitarios;
- Centros de análisis y radiología;
- Facultativos de areas complementarias, etc.
4. DELEGADO DEL PROTECCIÓN DE DATOS
El artículo 34.l de la Ley Orgánica de Protección de Datos (LOPD) establece que los centros de salud que tienen la obligación legal de mantener registros clínicos de sus pacientes deben designar a un Delegado de Protección de Datos (DPO). Este Delegado puede ser un miembro interno de la organización o contratado externamente. Sin embargo, es esencial que cuente con los conocimientos y la experiencia adecuados para llevar a cabo sus responsabilidades de manera efectiva.
Cabe destacar que esta obligación no aplica a aquellos profesionales que ejercen su actividad de manera individual, quedando excluidos de este requisito.
Análisis de riesgos
Antes de llevar a cabo cualquier tipo de tratamiento de datos personales, resulta fundamental realizar un análisis exhaustivo de los riesgos asociados. Este análisis tiene como objetivo identificar las posibles amenazas que podrían surgir a partir de dicho tratamiento, así como evaluar el nivel de riesgo que representarían para los derechos y libertades de las personas involucradas.
Dado que estamos tratando con datos especialmente sensibles, también será necesario llevar a cabo una evaluación de impacto correspondiente. Esta evaluación tiene como finalidad analizar en detalle las implicaciones del tratamiento de estos datos, especialmente en lo que respecta a la privacidad y la seguridad.
Tanto el análisis de riesgos como la evaluación de impacto darán como resultado un informe detallado. Este informe desempeñará un papel esencial en la determinación de las medidas técnicas y organizativas que deben implementarse. El objetivo principal de estas medidas es asegurar la seguridad y la privacidad de los datos. Su función es reducir al máximo la probabilidad de que las amenazas se materialicen y, en caso de que lleguen a hacerlo, mitigar el impacto negativo en los derechos y libertades de las personas cuyos datos son tratados.
Determinar el plazo de conservación de los datos médicos
El período de retención de datos médicos abarca al menos cinco años a partir del alta de cada proceso asistencial. En consecuencia, una vez que un paciente recibe el alta médica o cesa su asistencia clínica por cualquier razón, sus datos no pueden ser eliminados, pero sí es posible bloquearlos para impedir su uso con otros fines.
Además de esto, es esencial considerar que algunas leyes autonómicas pueden establecer plazos de conservación distintos para los expedientes médicos.
Por otro lado, el Código Civil establece un lapso de quince años para ejercer acciones de responsabilidad civil, el cual comienza a contar desde que el afectado tiene conocimiento del daño. Sin embargo, en términos prácticos, este período se extiende automáticamente en otros quince años si el daño se hace evidente justo antes de que expiren los primeros quince años.
Registro de actividades de tratamiento
Tanto los responsables como los encargados, en los casos de tratamiento de datos relacionados con la salud, genéticos o biométricos, tienen la obligación, sin importar si cuentan con menos o más de 250 empleados, de mantener un registro detallado de las actividades de tratamiento que llevan a cabo. Este registro debe incluir al menos los siguientes elementos:
– Identificación y datos de contacto del responsable, co-responsable (si aplica), representante legal y delegado de protección de datos.
– Propósitos específicos del tratamiento de datos.
– Detallada descripción de las categorías de personas interesadas y de los datos que se procesan.
– Indicación de las categorías de destinatarios actuales o previstos, incluso si se trata de terceros países u organizaciones internacionales.
– Documentación de las transferencias internacionales de datos y, en caso de que se den, las garantías que respalden las transferencias internacionales de datos eximidas sobre la base de intereses legítimos fundamentales.
– Explicación de las medidas de seguridad implementadas para proteger los datos.
Este registro es esencial para demostrar la conformidad con las regulaciones de protección de datos y para proporcionar una visión completa y transparente de las actividades de tratamiento realizadas con datos sensibles y delicados.
Otros procedimientos a tener en cuenta
Además de las medidas y procesos previamente detallados, es esencial considerar otros procedimientos que deben ser implementados en nuestro centro médico. Estos son los siguientes:
- Ejecución de Auditoría de Protección de Datos anual. El principio de responsabilidad proactiva (art. 5, RGPD) determina que es el responsable del tratamiento tendrá que aplicar las medidas oportunas para cumplir la normativa, deben preocuparse por garantizar y ser capaces de demostrar que, en efecto, las aplican y cumplen. Para ello, la auditoria es una herramienta vital para verificar que las medidas implantadas son adecuadas y siguen correctamente puestas en practicas.
Además, con el paso del tiempo, la autoridad de control publica nuevas directrices que deberán ser implantadas. Dada la naturaleza humana, las medidas de seguridad y los procedimientos tienden a relajarse con el tiempo, lo que podría resultar en una eventual vulnerabilidad en la seguridad de los datos. - Establecer un procedimiento riguroso para garantizar la adecuada atención a los derechos ejercidos por los pacientes. Estos derechos abarcan el acceso, rectificación, cancelación, limitación del tratamiento, portabilidad de los datos y el derecho a ser informado sobre la posibilidad de presentar una queja ante la Agencia Española de Protección de Datos (AEPD). El plazo para responder a estos ejercicios de derechos según la Ley Orgánica de Protección de Datos (LOPD) es de 30 días a partir de la recepción de la solicitud.
- Definir un proceso específico para notificar cualquier brecha de seguridad a la AEPD. Este procedimiento debe incluir detalles sobre las medidas correctivas aplicadas para evitar la repetición de situaciones de riesgo en relación a los datos de los pacientes. La notificación debe llevarse a cabo en un plazo máximo de 72 horas y se realiza a través de medios telemáticos.
La implementación de estos procedimientos adicionales fortalecerá aún más la seguridad y el cumplimiento normativo en el manejo de los datos de los pacientes en nuestro centro médico.
¿Necesitas un presupuesto?
Podemos ayudarte
También puedes llamarnos al 954 53 64 34