Protección de datos en residencias de ancianos. Adaptación al RGPD en 2024

Los centros de día o residencias para la tercera edad son instituciones en las que se cuida a personas mayores, ya sea de forma temporal o permanente. Este tipo de centros ha de tener especial cuidado con la protección de datos, ya que debido al tipo de actividad que desarrolla y el perfil de sus usuarios, es probable que pueda tratar con datos relacionados con la salud. Por eso, en esta guía te contamos cómo cumplir la ley de protección de datos en residencias de ancianos.

¿Qué datos personales se tratan en las Residencias de Mayores?

Una de las principales características de las residencias de ancianos es que suelen tratar los datos personales en una doble vertiente.

Por un lado, realizan un tratamiento de datos identificativos de los ancianos, como pueden ser:

• Nombre
• Apellidos
• DNI
• Número de teléfono
• Datos de contacto de familiares
• Cuentas bancarias etc.

Por otro, para el correcto cuidado de los ancianos también han de tener acceso a datos relacionados con la salud, por ejemplo:

• Historiales clínicos
• Patologías
• Incapacitaciones (si las hubiera).

¿A qué riesgos de protección de datos se enfrentan las Residencias de Mayores?

Del punto anterior se puede extraer que las residencias de mayores tratan datos especialmente protegidos, como es el caso de los datos relacionados con la salud.

Estos datos sensibles cuentan con una protección especial en la normativa de protección de datos. Las residencias de ancianos cuentan con legitimidad para tratar estos datos, siempre que se haya otorgado consentimiento expreso, por una serie de razones, recogidas en el artículo 9 del RGPD:

• El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social.
• El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.

El artículo 9 matiza en su tercer apartado que “los datos personales (…) podrán tratarse a los fines citados en (…)
cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes“.

La pérdida, robo o acceso no autorizado a estos datos sería una infracción grave y pondría en riesgo los derechos y libertades del individuo, por lo que las residencias de ancianos han de aplicar las medidas técnicas y organizativas necesarias para garantizar la seguridad e integridad de los datos.

Además, debido al tratamiento de categorías de datos especialmente protegidos, será necesario llevar a cabo una evaluación de impacto, y también sería recomendable contar con un Delegado de Protección de Datos.

¿Qué normativa de protección de datos afecta a las residencias de ancianos?

La normativa que regula la protección de datos en una residencia de ancianos es la siguiente:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Carácter Personal y Garantía de Derechos digitales (LOPDGDD)
• Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.
• Se debe tener en cuenta también la legislación propia de este sector. La Constitución Española recoge como competencia exclusiva de cada Comunidad Autónoma la Asistencia Social, por tanto cada Comunidad Autónoma asume dicha competencia.

Obligaciones del RGPD y LOPDGDD en residencias de mayores

En este artículo te contamos las principales obligaciones sobre protección de datos en residencias de ancianos. No hay que olvidar que no sólo se debe tener especial cuidado respecto a la calidad de vida de los ancianos, sino también la diligencia debida por los datos de carácter personal recogidos.

Así, las obligaciones de las residencias de ancianos en materia de protección de datos son:

1. Realizar un registro de las actividades de tratamiento. Ya no es necesario inscribir los ficheros en la AEPD, pero por contra sí será obligatorio almacenar los ficheros en un registro propio.
2. Obtener consentimiento inequívoco y expreso para tratar los datos de sus residentes. Ya no sirve con el consentimiento tácito, sino que este tiene que ser explícito. En caso de que la persona esté incapacitada para prestar consentimiento se deberá solicitar a personas vinculadas a él por razones familiares o de hecho.
3. Firmar acuerdos de confidencialidad con los trabajadores, para garantizar que no se comunicarán a terceros datos identificativos o relacionados con la salud son autorización.
4. Elaborar un análisis de riesgos, en el que se determinen los aspectos en los que se debe poner mayor atención para garantizar la seguridad e integridad de los datos.
5. Elaborar una evaluación de impacto o EIPD, ya que las residencias de ancianos tratan categorías de datos especialmente protegidos.
6. Firmar contratos de encargo del tratamiento con aquellos terceros que, por prestar algún servicio externo a la residencia, tengan acceso a los datos de residentes o empleados.
7. Respetar los derechos de los usuarios y ofrecer las vías necesarias para ejercer sus derechos ARCO (ARSULIPO) de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición.
8. Notificar las brechas de seguridad a la AEPD en un plazo máximo de 72 horas.
9. Contar con un Delegado de Protección de Datos, sobre todo si la residencia de mayores realiza tratamientos automatizados o a gran escala.
10. Actuar bajo el principio de responsabilidad proactiva, que obliga a las residencias de ancianos a poner en marcha desde el primer momento todas las medidas técnicas y organizativas necesarias para garantizar la licitud e idoneidad del tratamiento.

El incumplimiento de estas obligaciones podría dar lugar a sanciones RGPD cuyo importe varía en función de la gravedad de la infracción. Ten en cuenta que la normativa de protección de datos actual prevé multas que pueden llegar hasta los 20 millones de euros o el 4% de la facturación del último ejercicio.

Protege correctamente los datos de residentes, trabajadores y evita cualquier tipo de sanción gracias a Atico34

Si quieres cumplir con el reglamento para residencias de ancianos, será necesario que cuentes con la ayuda de una consultoría de protección de datos.

En Grupo Atico34 llevamos más de 12 años brindando servicios de protección de datos a empresas de todos los tamaños y sectores. Durante este tiempo, hemos trabajado con decenas de centros encargados del cuidado de nuestros mayores.

El principal pilar de Atico34 es contar con profesionales especializados con una amplia experiencia en la materia. Nuestro equipo ofrece un asesoramiento continuo y se encarga de llevar a cabo cualquier trámite relacionado con la protección de datos.

Si quieres conocer las ventajas de ponerte en nuestras manos, contacta con nosotros. Nuestros expertos escucharán tu caso y te ofrecerán un presupuesto sin compromiso.

Preguntas que nos plantean desde gerencias de Residencias de la tercera edad

¿Qué derecho tienen los familiares sobre los datos de una residente fallecido?

El artículo 3 de la LOPDGDD señala lo siguiente sobre los datos personales de personas fallecidas:

“Las personas vinculadas al fallecido por razones familiares o de hecho así como sus herederos podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquella y, en su caso, su rectificación o supresión“.

Y añade:

“Como excepción, las personas a las que se refiere el párrafo anterior no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley“.

¿Se pueden subir fotografías de los ancianos o de los trabajadores de la residencia a internet?

Para publicar fotos de ancianos en residencias es necesario haber obtenido primero su consentimiento explícito, o en caso de que estén incapacitados para prestar dicho consentimiento, que haya sido otorgado por sus familiares o tutores legales.

Este consentimiento abarca,

• El tratamiento de la fotografía
• Finalidad de uso
• Donde aparecerá
• Si se cederá a terceros
• Derechos que asisten a la persona que da el consentimiento ( acceso, rectificación, oposición, cancelación, limitación y supresión).

Por tanto las residencias para poder actuar acorde a la Ley, deberán recabar los consentimientos pertinentes antes de fotografiar y publicar imágenes.

En el caso de aquellas personas que no estén en pleno uso de sus capacidades, deberán ser los representantes legales a su cargo quienes den la autorización.

¿Se pueden publicar fotografías de las habitaciones de los residentes para publicitar la Residencia?

El RGPD protege a las personas físicas en lo que respecta al tratamiento de datos personales.

Una fotografía de una habitación en la que solamente aparezca mobiliario no se puede encuadrar dentro de la protección de datos de carácter personal.

En este caso, el personal de la residencia podrá realizar las fotografías que considere oportunas y publicitarlas en redes sociales, revistas o cualquier soporte, pues se trata de habitáculos pertenecientes a sus instalaciones y, por tanto, no se necesita autorización de los residentes.

No obstante, podría existir una circunstancia excepcional.

Si la fotografía de la habitación contiene a su vez fotografías, cuadros… en definitiva objetos personales que puedan llevar a la identificación de la persona. En ese caso, se puede considerar como dato de carácter personal. Y la residencia deberá recabar el consentimiento de la persona afectada antes de realizar la fotografía y de exponerla en cualquier medio.

¿Qué ocurre en el caso de hacer fotografías de los trabajadores de la residencia?

En el caso de que las fotografías se las hagan al personal que trabaja en la residencia ocurre lo mismo que si se hacen a los clientes de la residencia, pues los trabajadores están protegidos por los mismos artículos. Es decir, necesitan su consentimiento expreso.

El hecho de formar parte de la platilla de una organización o una empresa no le da derecho a la misma a subir fotografías a redes sociales, revistas o cualquier medio publicitario sin el consentimiento expreso de este.

Lo más común es que una vez se formalice el contrato laboral con la residencia, le proporcionen al trabajador el documento pertinente para que dé su consentimiento, siempre que quiera darlo, ya que tiene que ser libre.

¿Se puede llevar a un anciano a una residencia sin su consentimiento?

Como norma general, no es posible. Para ingresar a un anciano en una residencia sin su consentimiento es necesario que exista una resolución judicial que lo autorice.

Por ejemplo, en caso de que la persona esté incapacitada, se ha de acudir a la vía judicial para que el juez dictamine el grado de incapacidad. En caso de ser una incapacidad parcial, el juez determinará el grado de autonomía de la persona. Si es una incapacidad total, la toma de decisiones recaerá sobre el familiar o tutor legal designado a este respecto.

Esto ha sido todo por nuestra parte sobre la protección de datos en residencias de ancianos. Si necesitas asesoramiento personalizado, ponte en con contacto con nosotros.