Protección de Datos sanitarios y médicos (LOPDGDD y RGPD)

La protección de datos sanitarios es una obligación legal, y fundamental, para todo centro sanitario, público o privado, ya que en su actividad diaria tratan con datos personales relativos a la salud, datos considerados sensibles, que requieren una especial protección. Además, los centros sanitarios, especialmente los hospitalarios, se han convertido en el objetivo de muchos ciberataques. Por todo ello, cumplir con la ley de protección de datos sanitarios es también la forma de adoptar las medidas de seguridad necesarias para garantizar la confidencialidad e integridad de los datos.

En esta guía repasamos las claves para aplicar el RGPD y la LOPD a los datos médicos y cumplir con todas sus obligaciones.

¿Qué tipos de datos se tratan en centros sanitarios?

Los centros sanitarios tratan datos personales que podemos clasificar en varios tipos:

• Datos identificativos, como el nombre y apellidos, DNI, dirección, teléfono, número de tarjeta sanitaria, etc.
• Toda la información relativa al estado de salud de los pacientes, como son pruebas diagnósticas, medicamentos tomados, antecedentes familiares, alergias, cirugías pasadas, etc.).
• Datos genéticos obtenidos del análisis de una muestra biológica y que proporcionan información única sobre la fisiología o la salud de una persona.

Cabe señalar que, según el RGPD, los datos personales de un paciente son «los datos personales relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud».

Tanto datos identificativos como datos relativos a la salud se incluyen en la denominada «historia clínica», en la que también figurarán datos de terceros, es decir, de los profesionales sanitarios o sociosanitarios que hayan podido intervenir en la atención o tratamiento del paciente.

Entre la información personal relativa al paciente que contiene la historia clínica, encontramos:

• Documentación referida a la hoja clínico-estadística
• Autorización de ingreso
• Informe de urgencia
• Exploración física
• Evolución
• Órdenes médicas
• Hoja de interconsulta
• Informes de exploración complementaria
• Consentimiento informado
• Informe de anestesia
• Informe de quirófano o de registro del parto
• Dosier de anatomía patológica
• Evolución y planificación de cuidados de enfermería
• Aplicación terapéutica de enfermería

Contacta con nosotros y solicita INFO sobre el cumplimiento de la ley de protección de datos en centros sanitarios.

 

Ley de protección de datos sanitarios (Resumen Actualizado)

La ley de protección de datos médicos o sanitarios consiste tanto en el RGPD (Reglamento General de Protección de Datos) y la LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales). Así mismo, hay que tener en cuenta también la Ley de Autonomía del Paciente, que establece requisitos propios respecto a la confidencialidad y protección de datos médicos.

El objetivo de estas normativas es asegurar que los datos personales sean tratados de manera lícita, leal y transparente, respetando los derechos y libertades fundamentales de las personas. En el caso de los datos de salud, debido a su carácter altamente sensible, las obligaciones son aún más estrictas y los pacientes gozan de derechos específicos sobre el tratamiento de su información médica.

Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada en la Ley.

 

Aspectos fundamentales de la ley de protección de datos sanitarios

Partiendo de la importancia del respeto y mantenimiento de la confidencialidad de los datos médicos de los pacientes (las leyes citadas establecen las excepciones y en qué instancias se puede dar información de pacientes a familiares), hay tres aspectos fundamentales que los centros sanitarios deben conocer y respetar a la hora de realizar los tratamientos de datos personales necesarios para el desempeño de la actividad sanitaria.

¿Quién es el responsable del tratamiento en centros sanitarios?

La ley de protección de datos sanitarios establece que el responsable del tratamiento de los datos personales que forman parte de la historia clínica es el médico o el centro sanitario (público o privado). En el caso del médico, será el responsable del tratamiento cuando ejerza como profesional individual (por ejemplo, cuando tiene una consulta privada).

Es decir, que el responsable del tratamiento es aquella persona jurídica o física que realiza la historia clínica y la custodia y, que, por tanto, tiene la obligación de implementar las medidas de seguridad necesarias para garantizar su confidencialidad y su disponibilidad.

Información al paciente

La ley de protección de datos sanitarios establece que el responsable del tratamiento cumplirá el deber de informar a los pacientes sobre el tratamiento de sus datos:

• Existencia del tratamiento de datos
• Finalidad del mismo
• Posibles destinatarios de la información
• Identidad y dirección del responsable del mantenimiento del mismo
• Posibilidad del ejercicio de sus derechos
• Plazo de conservación de los datos

Esta información puede entregarse como un documento aparte o como un anexo junto a otra documentación médica, y siempre que se vaya a efectuar un nuevo tratamiento de datos.

Consentimiento y legitimación para el tratamiento de datos

El consentimiento explícito del paciente es una de las bases legitimadoras para el tratamiento de sus datos personales, pero no la única en el ámbito de la salud. En concreto, la ley de protección de datos médicos establece que también se podrán tratar estos datos sin recabar el consentimiento cuando:

• El tratamiento sea necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base de una ley o de un contrato.
• El tratamiento sea necesario para proteger intereses vitales del interesado u otra persona, cuando el interesado no esté capacitado para dar su consentimiento.
• Sea necesario para la formulación, el ejercicio o la defensa de reclamaciones o los datos hayan sido reclamados por vía judicial.
• Es necesario por razones de interés público en el ámbito de la salud pública.
• Tenga fines de investigación científica, de archivo en interés público o estadísticos.

Ahora bien, que no sea necesario recabar el consentimiento del paciente para el tratamiento de sus datos en esos supuestos, no significa que no se deba informarle sobre ello. Siempre que se haga un tratamiento de datos personales, los interesados deben ser informados de ello. Esto especialmente importante en contextos donde se llevan a cabo tratamientos de datos para investigación médica y/o con fines científicos.

Cabe señalar que en lo que respecta al consentimiento, no debemos confundir el consentimiento informado del que habla la Ley de Autonomía del Paciente, relativo a la información sobre el tratamiento médico, con el consentimiento RGPD o consentimiento explícito para el tratamiento de datos personales.

Obligaciones LOPDGDD / RGPD de los centros de salud

La aplicación de la LOPDGDD y el RGPD en sanidad implica el cumplimiento de una serie de obligaciones para responsables y encargados del tratamiento, cuyo fin es garantizar la seguridad y la confidencialidad de los datos personales que manejan. Algunas de estas obligaciones son específicas al tratar datos de categorías especiales, como son los datos relativos a la salud.

Cumplir con estas obligaciones supone adoptar de forma proactiva toda una serie de medidas técnicas y organizativas cuyo objetivo final es mantener y preservar la confidencialidad, integridad y disponibilidad de los datos personales. A la vista del incremento de ataques de ransomware y robo de datos sufrido por los hospitales en los últimos años, aplicar dichas medidas y cumplir con los requisitos de la normativa es más importante que nunca para proteger la privacidad y derechos de los pacientes.

Registro de actividades de tratamiento

Los responsables y los encargados están obligados siempre en los casos de tratamientos de datos de salud, genéticos o biométricos, con independencia de emplear o no a más o menos de 250 personas, a mantener un registro de las actividades de tratamiento que realicen. Este registro debe de contener al menos los siguientes datos:

• Identificación y datos de contacto del responsable, corresponsable, representante y delegado de protección de datos
• Fines del tratamiento
• Descripción de categorías de interesados y datos
• Categorías de destinatarios existentes o previstos (inclusive en terceros países u organizaciones internacionales)
• Transferencias internacionales de datos y documentación de garantías para transferencias de datos internacionales exceptuadas sobre base de intereses legítimos imperiosos
• Descripción de las medidas de seguridad adoptadas

Análisis de riesgos y evaluación de impacto

Con carácter previo a cualquier tratamiento de datos personales, es necesario realizar un análisis de riesgos que permita determinar las amenazas que pueden derivarse de dicho tratamiento y el nivel de riesgo si estas se materializan para los derechos y libertades de los interesados.

Al tratarse de datos especialmente protegidos, también será necesario realizar la correspondiente evaluación de impacto.

Tanto del análisis de riesgos como de la evaluación de impacto se obtendrá un informe, que servirá para determinar qué medidas técnicas y organizativas es necesario implementar para garantizar la seguridad y privacidad de datos. Estas medidas tienen como fin minimizar la posibilidad de que las amenazas se materialicen y, en caso de que lo hagan, reducir el impacto negativo en los derechos y libertades de los interesados afectados.

Es fundamental que el análisis de riesgos y la evaluación de impacto en centros sanitarios sean exhaustivos, porque sufrir un ciberataque puede no solo poner en riesgo la confidencialidad de los datos, sino también su disponibilidad, lo que podría suponer un riesgo para la salud de los pacientes (en los casos recientes de ataques de ransomware a hospitales, hemos sido testigos de cómo se tenían que suspender y aplazar citas médicas e intervenciones quirúrgicas).

Cesión de datos a terceros

Es habitual que los datos se comuniquen entre entidades para el mejor tratamiento del paciente. En estos casos de cesión de datos a terceros, la ley de protección de datos del paciente establece que este deberá tener constancia de ello, ya que será él quien permita esta transmisión. El responsable del tratamiento deberá cumplir determinados requisitos:

• Definir en un contrato escrito la regulación del tratamiento de datos por cuenta de un tercero, este tercero será el encargado del tratamiento
• Establecer que ese tercero únicamente tratará los datos conforme a sus instrucciones dadas
• Comprobar que los datos no serán utilizados con fines distintos a los determinados en el contrato, ni serán comunicados a otras personas
• El encargado del tratamiento deberá cumplir con las mismas medidas de seguridad que las que cumpla el responsable del tratamiento
• La única excepción a este consentimiento se establece en el caso de que la comunicación de los datos tenga por objeto la prevención, el diagnóstico y la asistencia sanitaria de los afectados a los que se refieren.
• Mutuas y compañías de seguro. En el caso particular y excepcional de las mutuas y de las compañías de seguros, los datos médicos pueden comunicarse de acuerdo al principio de calidad y únicamente para llevar a cabo la elaboración de la factura del gasto sanitario.

Confidencialidad de los empleados

Los empleados del centro sanitario que tengan acceso a datos personales de los pacientes, incluidos los de salud, deben mantener la debida confidencialidad, y no solo nos referimos a cumplir con el deber de confidencialidad recogido en la Ley de Autonomía del Paciente que citamos más arriba, sino también en lo relativo a la ley de protección de datos sanitarios.

Se puede reforzar este deber incluyendo una cláusula sobre la confidencialidad en protección de datos en los contratos de los empleados.

Designación de un DPO

Los centros sanitarios obligados al mantenimiento de las historias clínicas de los pacientes deben designar un Delegado de Protección de Datos (DPO), ya que así lo recoge el artículo 34 de la LOPDGDD, siendo una de las actividades obligadas a tener esta figura.

El DPO puede designarse tanto de manera interna, es decir, puedo serlo un empleado del centro sanitario, siempre y cuando tenga conocimientos suficientes sobre la materia y la normativa de protección de datos. O contratarse un DPO externo, por ejemplo, a través de los servicios de una consultoría de protección de datos.

En cualquier caso, el DPO debe tener completa independencia y contar con los recursos necesarios para poder desempeñar todas sus funciones de acuerdo a la ley.

La única excepción al Delegado de Protección Datos obligatorio es para los profesionales sanitarios que ejerzan su actividad de manera privada y a título individual, si bien, podrán designarlo de manera voluntaria.

En cualquier caso, no podemos dejar de señalar que el DPO desempeña un papel clave en la supervisión y control del cumplimiento de la normativa, y actúa como punto de contacto entre el centro y la AEPD.

 

Notificar brechas de seguridad

En el caso de un incidente de seguridad que pueda exponer los datos de los interesados, será necesario notificar dicha brecha de seguridad tanto a la AEPD como a los propios interesados cuyos datos hayan podido verse afectados. Para esta notificación hay un plazo máximo de 72 horas, a contar desde el momento en que se tuvo constancia del incidente.

Junto a la notificación del incidente, también se informará de las medidas correctoras adoptadas para poner fin al mismo.

En lo que respecta a los datos relativos a la salud, este tipo de notificaciones es muy importante, porque si los datos robados o filtrados no estaban debidamente cifrados, su conocimiento por parte de terceros no autorizados puede poner en riesgo los derechos fundamentales de los interesados.

Por ejemplo, si se filtran datos sobre las enfermedades que padece una persona y esta quiere solicitar un seguro de vida o de salud o incluso un préstamo, se le podría denegar el acceso en base a esa información.

Por lo tanto, es fundamental que el centro sanitario tenga implementada una política clara de medidas de seguridad de la información y un protocolo de respuesta ante brechas de seguridad, para minimizar las probabilidades de una filtración de datos y para actuar lo más rápido posible ante ellas, respectivamente.

Plazos de conservación de los datos médicos

El plazo de conservación de datos sanitarios es de al menos cinco años contados desde el alta de cada proceso asistencial.

Por tanto, cuando un paciente reciba el alta o por cualquier motivo deje de asistir a la clínica, no se puede proceder a eliminar sus datos, aunque estos sí pueden ser bloqueados, es decir, no podrían ser tratados con ningún otro fin. Consulta más información sobre el plazo de conservación de datos personales.

Aparte de esto, hay que tener en cuenta que algunas leyes autonómicas establecen diferentes plazos de conservación para la historia clínica.

Y que el Código Civil establece un plazo de quince años para poder llevar a cabo una acción por responsabilidad civil, plazo que computa desde que el reclamante tiene conocimiento del daño. No obstante, a efectos prácticos, este plazo se incrementa en quince años más, ya que si el daño se conoce justo antes de que venzan los primeros quince, automáticamente se prorrogará por otros quince años más.

Página web del centro sanitario

Si el centro sanitario cuenta con una página web, esta deberá incluir los siguientes textos legales:

• Aviso legal
• Política de privacidad
• Política de cookies

Además de cumplir con otros requisitos de la normativa de protección de datos respecto a páginas web, como es la obtención del consentimiento expreso en formularios y uso de cookies.

Tus derechos en relación con tus datos de salud

El RGPD y la LOPDGDD reconocen una serie de derechos específicos para los pacientes en relación con el tratamiento de sus datos de salud, los denominados derechos ARSULIPO: acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición.

Estos derechos permiten a los pacientes controlar cómo se utiliza su información médica y garantizan que pueden acceder a sus datos y corregir cualquier error.

Ahora bien, cabe señalar que, por la naturaleza de las historias clínicas, la gestión de estos derechos puede variar, especial en lo que respecta al acceso, la rectificación y la supresión.

Régimen general de los datos de salud (artículo 9 RGPD)

El artículo 9 del RGPD establece que el tratamiento de datos de salud está generalmente prohibido, salvo en circunstancias específicas, como el consentimiento explícito de los interesados, el cumplimiento de una obligación legal o la protección de intereses vitales. Este régimen tiene como objetivo proteger la información sensible y limitar su tratamiento a situaciones en las que sea absolutamente necesario.

Cómo vimos más arriba, los centros sanitarios están legitimados para tratar datos relativos a la salud, ya que es necesario para poder desempeñar su actividad y ofrecer el servicio de atención sanitaria a los pacientes.

Esto, no obstante, habilita a cualquier médico o sanitario a tener acceso a la historia clínica de un paciente, puesto solo podrán conocerla aquellos sanitarios implicados directamente en su tratamiento o cuya consulta sea necesaria para ello.

Derecho de acceso a la historia clínica

Los pacientes de hospitales, centros de salud y centros sanitarios, tanto públicos como privados, tienen derecho a solicitar al responsable del tratamiento el acceso a su historia clínica. Este acceso debe otorgarse en un plazo de un mes y, si es posible, por los mismos medios por la que fue recabada.

Este derecho no solo permite a los pacientes conocer qué datos se están tratando, sino también verificar que la información es correcta y está siendo utilizada de manera adecuada.

Conservación de datos y limitaciones al derecho de supresión

El paciente tiene derecho a solicitar que el responsable del tratamiento rectifique aquellos datos personales inexactos o incompletos. Para ello, ha de aportar documentación que acredite dicho error. En cuanto a la rectificación de datos sanitarios, será el médico o profesional sanitario el que determine si se han de rectificar o no.

En cuanto al derecho de supresión, su ejercicio es más complejo y tiene limitaciones, sobre todo cuando estos datos se usan con fines de diagnóstico médico, medicina preventiva, evaluación de las capacidades del trabajador, prestación de asistencia sanitaria, etc. También cuando estos datos se emplean para la mejora de la calidad de los servicios de asistencia sanitaria o la prevención de amenazas graves para la salud pública.

Por ello, la supresión de los datos de la historia clínica tiene un carácter excepcional, y solo podrá ser efectuada si lo determina un profesional sanitario.

Sanciones por vulnerar la ley de protección de datos sanitarios

Vulnerar la protección de datos en centros sanitarios puede ser sancionado por la AEPD. La cuantía de las sanciones dependerá de la gravedad de la infracción cometida, estableciendo la LOPDGDD los siguientes niveles:

A continuación vemos algunos ejemplos reales de centros médicos y hospitales que ya han sido objeto de denuncia por protección de datos por parte de la AEPD.

• Sanción a un médico de Gijón: Fue a causa de arrojar a la vía pública envases de biopsias con datos personales, la multa que la AEPD le impuso fue de 60.101 euros, ya que cometió una infracción tipificada como muy grave por la LOPD.
• Apertura de expediente a un Hospital por infracción: La causa que motivó a la AEPD para abrir un expediente a un Hospital de Inca, fue la filtración de datos personales de pacientes.
• Sanción de 6.000 euros a un Centro Médico: Un Centro Médico de Cartagena fue sancionado por la AEPD con la cifra de 6.000 euros por hacer uso de los datos personales de un cliente de la empresa con la cual se había fusionado.
• La AEPD denuncia a Sanidad: Un Hospital de Cuenca fue apercibido por ceder datos personales e historiales médicos de los pacientes a una clínica privada sin cifrar la información, pese a tratarse de datos especialmente protegidos. La multa ascendió a un total de 40.001 euros.

 

Los datos médicos requieren especial protección. Atico34 puede ayudarte

Los datos médicos son especialmente sensibles y requieren un tratamiento adecuado para garantizar su seguridad y confidencialidad. En Atico34, somos expertos en protección de datos y podemos ayudarte a implementar las medidas necesarias para cumplir con la normativa vigente, prevenir riesgos y evitar sanciones.

Contamos con un equipo especializado en la protección de datos sanitarios, que puede ofrecerte asesoramiento integral y personalizado para asegurar el correcto tratamiento de los datos de salud en tu centro sanitario. te guiarán a lo largo de todo el proceso de implantación de medidas y garantizan que tu centro médico se adapte a la ley en muy poco tiempo.