Además, tener coronavirus es una enfermedad de «declaración obligatoria urgente» a las autoridades sanitarias.

Desde la declaración del estado de alarma en nuestro país, han sido múltiples las cuestiones que se han planteado en relación con el tratamiento de datos de positivos por COVID-19, quedando todavía pendientes algunas cuestiones que deberían ser resueltas, para evitar futuras situaciones de incertidumbre.

Trazabilidad de contactos por coronavirus

El Real Decreto-ley 21/2020 prevé que:

“establecimientos, medios de transporte o cualquier otro lugar, centro o entidad pública o privada” están obligados a proporcionar la “información de la que dispongan o que les sea solicitada relativa a la identificación y datos de contacto de las personas potencialmente afectadas”.

Es importante tener en cuenta que se trata de una obligación exigible cuando “las autoridades sanitarias identifiquen la necesidad de realizar trazabilidad de contactos”, lo que implica que los datos mínimos necesarios sean comunicados a las autoridades sanitarias, para la finalidad indicada.

Sobre el tratamiento de datos personales por establecimientos, podrían darse las siguientes situaciones:

• Cumplimiento de las obligaciones de la empresa para garantizar la seguridad y salud de los trabajadores, o en virtud de una ley que establezca esta obligación de obtención y/o comunicación de datos a las autoridades sanitarias.
• Hacer un seguimiento adecuado de la evolución de los contagios, y de la obligación de tomar datos y cederlos a las autoridades sanitarias.

Por lo que se refiere a justificar la legitimidad de la medida, consistente en la identificación de clientes “deberían ser las autoridades sanitarias quienes valoren motivadamente en qué lugares sería obligatorio identificarse”.

Para mayor información sobre la base del tratamiento, te aconsejo que leas este artículo:

Recogida de datos personales por establecimiento

En la recogida de datos personales de clientes que acuden a establecimientos, y con la finalidad de poder notificar posibles contactos con positivos en coronavirus, la AEPD ha dicho que:

• Respecto a la naturaleza de los datos personales tratados para crear el registro de clientes: debe exponerse claramente la base de legitimación del tratamiento, y la licitud del tratamiento, atendiendo a los principios esenciales que legitiman el tratamiento de los datos personales.
• Los datos personales que se obtienen de los clientes para crear el registro no son datos relativos a la salud, ya que de lo que se trata es de tener datos de contacto para, si fuera necesario, poder notificarles que han podido estar expuestos a un caso positivo.
• Los datos que se recogen “no son catalogados en el RGPD como «categorías especiales de datos»”. Es decir, no son datos relativos a si se está o no contagiado, sino que se recogen para poder comunicar posibles contactos, con personas que sí han dado positivo en coronavirus
• La licitud del tratamiento parte de la necesidad de crear el registro de clientes, ciñéndose en este caso a los locales de ocio, dado que son en los que se centraban las iniciativas públicas.
• Es necesario cumplir con la legitimidad del tratamiento.

Las apps de “rastreo”

Las denominadas apps de “rastreo de contactos”, que consisten en notificar sobre la posible exposición a positivos por COVID-19, son un claro ejemplo de cómo la tecnología puede ayudar en situaciones como esta.

Cabe prestar atención al dictamen de la Information Commissioner´s Office (ICO) sobre la iniciativa conjunta de Apple y Google que consiste en crear apps de rastreo de contactos, y que intercambian información entre dispositivos, a través de Bluetooth de baja energía.

Actualmente se trata de dar soporte al desarrollo de apps que protegen la identidad de los usuarios.

En cualquier caso, tanto el presente como el futuro, debe ser el de una innovación y cooperación responsables en materia de protección de datos, guiadas por la protección de datos desde el diseño y por defecto, y que se desarrollen en un marco flexible, es decir, capaz de dar respuesta a los retos y necesidades que se plantean.

Curriculum vitae y coronavirus

AVISO a EMPRESAS:

«Cuidado con los C.V. donde el candidato informe de que ha pasado el coronavirus o tiene test de anticuerpos, porque habría que cambiar el protocolo de seguridad de la protección».

AVISO A SOLICITANTES DE EMPLEO:

«No incluyáis ese dato porque os podéis descalificar de entrada».

Conclusiones

La pandemia por coronavirus ha demostrado que:

• “el derecho a la protección de los datos personales no es un derecho absoluto” (considerando 4 del RGPD).
• que el tratamiento de los datos personales puede ser necesario por motivos importantes de interés público “para fines humanitarios, incluido el control de epidemias y su propagación” (considerando 46 del RGPD)
• y que la clave está en “mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad” (considerando 4).

Es decir, ni el derecho fundamental a la protección es un derecho absoluto o ilimitado, ni toda medida que pueda adoptarse para contener la pandemia está justificada, si infringe derechos fundamentales, y en particular, el derecho a la protección de datos personales.

La entrada CORONAVIRUS Y PROTECCION DE DATOS se publicó primero en Gestiona Abogados.

Algunas tiendas pretenden tomar la temperatura de sus clientes en la puerta y denegar el acceso a los que superen los 37 grados. Pero…

¿pueden hacerlo? 

¿Qué pasa con la privacidad?

Sobre todo cuando los datos médicos gozan de una protección especial en nuestro ordenamiento jurídico.

En el otro lado de la balanza, la ley permite limitar ese derecho por razones de salud pública y las empresas deben tomar las medidas de protección necesarias ante una amenaza como el Covid-19.

La respuesta está en alcanzar un equilibrio.

La reciente aprobación del “Plan para la Transición hacia una Nueva Normalidad” -también denominado “plan de desescalada”- por el Consejo de Ministros, junto con la publicación de Directrices de Buenas Prácticas para prevenir el riesgo de exposición laboral al coronavirus por actividades/sectores por parte del INSS ha acelerado la implementación de medidas para asegurar una reanudación de la actividad en un contexto de máxima seguridad, evitando nuevos contagios y, en definitiva, la propagación del COVID-19.

Entre estas medidas, cabe destacar por su relevancia y afectación a la privacidad la toma de temperatura corporal de las personas para que puedan acceder a centros de trabajo, comercios, centros educativos u otro tipo de establecimientos o equipamientos.

CRITERIOS BASICOS

En el comunicado, accesible aquí, se establecen unos criterios básicos que habrán de regir las decisiones tomadas al respecto en todo caso, partiendo de la premisa de que la temperatura es un dato de carácter personal especialmente protegido:

La toma de temperatura a empleados

Podría estar justificada por la obligación de cumplimiento de la Ley de Prevención de Riesgos Laborales.

De todas formas, esta actuación deberá estar sometida a determinados requisitos, como la necesaria participación de personal sanitario, medidas de seguridad, limitación del tratamiento, etc.

La toma de temperatura a clientes o visitantes en comercios

NO podrá estar basada, en ningún caso, en el consentimiento del interesado.

Esto podría producir situaciones de discriminación o vulneradoras de la intimidad de las personas, por lo que no es posible llevarlo a cabo.

Únicamente podría realizarse este tipo de pruebas si se publica una norma de carácter obligatorio por parte de las autoridades de salud que establezca la forma, los requisitos y las medidas de seguridad que se deberán aplicar.

En algún caso, que será necesario analizar de forma individualizada, podría justificarse la toma de temperatura a clientes o visitantes en el cumplimiento de la legislación de prevención de riesgos laborales.

Esto no ocurrirá en todos los casos, sino solo cuando el contacto entre cliente y empleados sea más estrecho y en atención a las demás circunstancias existentes.

Además, será necesario valorar si existen otras medidas menos invasivas de la intimidad.

LO QUE DICE LA AEPD

La Agencia Española de Protección de Datos (“AEPD”) hizo público un comunicado en el que establece determinadas pautas:

Es un dato sensible

La toma de temperatura es un tratamiento de datos sensibles porque afecta a datos relativos a la salud.

No sólo porque el valor de la temperatura corporal es un dato de salud en sí mismo sino también porque, a partir de él, se asume que una persona padece o no una concreta enfermedad, como es en estos casos, la infección por coronavirus.

Determinación previa por Sanidad

La toma de temperatura requeriría la determinación previa por parte de las autoridades sanitarias, de su necesidad y adecuación al objetivo de contribuir eficazmente a prevenir la diseminación de la enfermedad en los ámbitos en los que se apliquen, regulando los límites y garantías específicos para el tratamiento de los datos personales de los afectados.

No es un dato determinante

Al respecto, se destaca que la toma de temperatura puede que no sea la medida más adecuada, en tanto que hay un porcentaje de personas contagiadas asintomáticas que no presenta fiebre y que, además, puede haber personas que presenten elevadas temperaturas por causas ajenas al coronavirus.

Especialmente relevante es la afirmación de que, la temperatura a partir de la cual se consideraría que una persona puede estar contagiada por la COVID-19 debería establecerse atendiendo a la evidencia científica, y no ser una decisión que asuma cada entidad que implante estas prácticas, ya que ello supondría una aplicación heterogénea que disminuiría en cualquier caso su eficacia y podría dar lugar a discriminaciones injustificadas.

Principio de legalidad

La AEPD aclara que la base jurídica no podrá ser, con carácter general, el consentimiento de los interesados, pues éste no sería libre.

En el entorno laboral, la base jurídica sería la obligación que tienen los empleadores de garantizar la seguridad y salud de las personas trabajadoras a su servicio en los aspectos relacionados con el trabajo.

Es relevante que, para la AEPD esta base jurídica “podría ser tenida en cuenta con un alcance amplio, atendiendo a que, aunque un centro o local estén destinados a unas finalidades específicas que impliquen que en ellos se concentren un elevado número de clientes o usuarios ajenos a la empresa que los gestiona, siempre estarán presentes en ellos personas trabajadoras sobre las que el empleador mantiene sus obligaciones”. 

En todo caso, es necesario una adecuada ponderación entre el impacto sobre los derechos de los clientes o usuarios de estas medidas y el impacto en el nivel de protección de las personas empleadas.

Limitación de la finalidad y exactitud de los datos

En este contexto, cobran especial relevancia los principios:

• – de limitación de la finalidad (la temperatura solo pueden obtenerse con la finalidad específica de detectar posibles personas contagiadas y evitar su acceso a un determinado lugar y su contacto dentro de él con otras personas).
• -exactitud (los equipos de medición que se empleen deben ser los adecuados para poder registrar con fiabilidad los intervalos de temperatura que se consideren relevantes).

Derechos y garantías

Como ha venido recordando la AEPD en sus criterios recientes, en el marco del COVID-19 los afectados siguen manteniendo sus derechos de acuerdo con el Reglamento General de Protección de Datos (“RGPD”) y siguen siendo de aplicación las demás garantías que el RGPD establece.

CAMARAS TERMOGRAFICAS

Por último, la AEPD se refiere a las cámaras termográficas, señalando la relevancia de los principios de limitación de finalidad y minimización de datos, en la medida en que el uso de nuevas tecnologías para la toma de temperatura plantea el riesgo de utilizar los datos obtenidos para finalidades adicionales no vinculadas a la toma de temperatura.

CONCLUSIONES

Limitarse a tomar la temperatura a la entrada de un local de forma automática, sin recoger y tratar esos datos de ninguna forma, sería una práctica a priori legítima, ya que no es invasiva y responde a la necesidad de la empresa de evitar que entren personas que puedan estar contagiadas.

En todo caso, los expertos consideran que sería recomendable que se establezcan pautas o guías desde las autoridades que aclaren cómo deben ser estas medidas de control.

Los controles como el de la temperatura corporal a los clientes deberán eliminarse una vez que no exista amenaza de contagio, ya sea porque no existen casos en el país o porque se descubre y distribuye una vacuna entre la población.

La entrada ¿Te pueden tomar la temperatura? se publicó primero en Gestiona Abogados.

La Agencia Española de Protección de Datos (AEPD) publicó el jueves pasado un informe en el que analiza el tratamiento de datos personales en relación con la situación provocada por la propagación del COVID-19.

A este respecto destaca que el Reglamento General de Protección de Datos (RGPD) contiene las reglas necesarias para permitir, legítimamente, tratamientos de datos personales en situaciones en las que existe una emergencia sanitaria de alcance general.

Datos de salud

Los datos de salud están catalogados en el Reglamento como categorías especiales de datos, prohibiéndose su tratamiento salvo que pueda ampararse en alguna de las excepciones recogidas en la normativa.

El informe precisa las excepciones recogidas en el art. 9.2. RGPD:

1.El cumplimiento de obligaciones en el ámbito del Derecho laboral y de la seguridad y protección social (art. 9.2.b).

El informe recuerda la obligación de empleadores y de su personal en materia de prevención de riesgos laborales, y que corresponde a cada trabajador velar por su propia seguridad y salud en el trabajo y por la de aquellas personas a las que pueda afectar su actividad profesional a causa de sus actos y omisiones en el trabajo.

Ello supone que el personal deberá informar a su empleador en caso de sospecha de contacto con el virus, a fin de salvaguardar, además de su propia salud, la de los demás trabajadores del centro de trabajo para que se puedan adoptar las medidas oportunas.

2. El interés público en el ámbito de la salud pública (art. 9.2.i), que en este caso se configura como interés público esencial (art. 9.2.g).

3. Cuando sea necesario para la realización de un diagnóstico médico (art. 9.2.h).

4. Cuando el tratamiento es necesario para proteger intereses vitales del interesado o de otras personas, cuando el interesado no esté capacitado para prestar su consentimiento. (art. 9.2.c).

En consecuencia, según se recoge en el informe, la protección de datos no debería utilizarse para obstaculizar o limitar la efectividad de las medidas que adopten las autoridades, especialmente las sanitarias, en la lucha contra la pandemia.

Base del tratamiento

A este respecto el RGPD marca el considerando 46 como base jurídica para el tratamiento lícito de datos personales en casos excepcionales, como:

• el control de epidemias y su propagación
• la misión realizada en interés público (art. 6.1.e)
• o los intereses vitales del interesado u otras personas físicas (art. 6.1.d).

Junto con ellas podría existir otras bases como, por ejemplo, el cumplimiento de una obligación legal para el empleador en la prevención de riesgos laborales de su personal.

Estas bases jurídicas permiten el tratamiento de datos sin consentimiento de los afectados.

El derecho a la vida como valor supremo

La protección de datos personales sigue siendo un derecho fundamental, pero no podemos olvidar que en estas circunstancias de epidemia, también entran en juego otros derechos fundamentales como el de la vida y a la integridad física y moral.

El hecho de que exista una habilitación para tratar esos datos sin consentimiento y el levantamiento de una prohibición específica, no supone una especie de barra libre de tratamiento de datos de salud.

El Informe de la AEPD recuerda que cualquier uso de estos datos debe ser realizado conforme a los fines del RGPD, especialmente transparencia y minimización, así como que se les ha de aplicar las medidas de seguridad y responsabilidad proactiva oportunas y sin que pueda ser usados con otros fines que los de la lucha contra la enfermedad y la protección de la salud pública.

Guía para actuar frente a crisis sanitaria

Los empleadores tenían dudas sobre si podían tratar datos de salud de contagiados por Covid-19 a los efectos de proveer las medidas de protección oportunas del resto del personal, clientes y proveedores que recientemente hubieran estado en contacto directo con el empleado que ha resultado positivo.

El informe de la AEPD ayuda a los responsables del tratamiento a saber cómo actuar en este momento de crisis sanitaria como consecuencia de la pandemia ante la que nos encontramos.

Es un informe jurídico que ayuda a recordar que este derecho sigue siendo aplicable en situaciones como esta, de manera que el responsable del tratamiento tiene que adoptar y aplicar las medidas necesarias para evitar infracciones que podrían ser sancionadas con multas administrativas.

• El trabajador está obligado a notificar a su empleador la circunstancia del positivo,  no solo para garantizar su seguridad y salud, sino también la de sus compañeros.
• Es de vital importancia que los empleadores emitan comunicados a sus trabajadores en los que se les recuerde que la comunicación de los positivos por coronavirus viene derivado del cumplimiento de una obligación legal.
• Es importante tener en cuenta que los datos tratados habrán de ser exclusivamente los limitados a los necesarios para la finalidad pretendida, sin que se pueda extender dicho tratamiento a otros datos personales no estrictamente necesarios para dicha finalidad.

RESPUESTAS DE LA AEPD A LAS PREGUNTAS MAS FRECUENTES

 ¿La empresa puede obligar al trabajador a acudir al servicio de prevención o al médico?

Puede y debe. Y estos deben informar a las autoridades sanitarias que gestionan esa información para decidir las medidas de prevención adecuadas.

Los profesionales sanitarios evaluarán la situación y generarán la documentación preceptiva (el justificante de baja) para trabajador y empleador, con los consejos y medidas oportunas, que en ningún caso deben incluir dato alguno sobre la concreta enfermedad o dolencia padecida por el trabajador.

Las empresas de prevención disponen de planes de actuación y medidas adecuados, que se están ya aplicando con normalidad.

 ¿La empresa puede revelar la identidad del trabajador infectado, si la conoce?

En ningún caso, ni internamente dentro de la empresa, ni al resto de trabajadores. De hacerlo, incurriría en una infracción grave en materia de protección de datos, por no hablar de otro tipo de responsabilidades.

 ¿Qué se nos puede exigir a todos, trabajadores y empleadores?

Que actúen responsablemente cada uno en su parcela.

El trabajador y el empresario deben ser capaces de obtener y gestionar la información necesaria para decidir, si la situación lo amerita, medidas contundentes como dejar a la gente en casa. Y siempre hay formas de hacerlo sin desvelar más datos de los estrictamente necesarios.

Todos tenemos la responsabilidad de:

Cumplir las medidas de higiene y limitación de movimientos que se recomienden o impongan en su caso: cualquiera puede ser transmisor del virus sin manifestar síntomas.

Por eso hay que apelar a la responsabilidad de todos los implicados:

La del trabajador, acudiendo rápido al centro sanitario para que le evalúen y aconsejen como es debido,

La del profesional sanitario, que sin duda evaluará la situación y generará la documentación preceptiva para trabajador y empleador, con los consejos oportunos, que en ningún caso deberían incluir dato alguno sobre la concreta enfermedad o dolencia padecida por el trabajador.

La del empresario, que debe tomar, ante esta o cualquier otra amenaza o riesgo para la salud de sus empleados, las medidas adecuadas, en estricto cumplimiento de la normativa que incluye la prevención de riesgos. Y el estricto cumplimiento de la normativa obliga a tomar las medidas preventivas que sean necesarias, para proteger al colectivo en la empresa y en la población, pero sin comprometer la privacidad y demás derechos del trabajador .

La entrada Coronavirus y protección de datos se publicó primero en Gestiona Abogados.

El principal riesgo de protección de datos en las Residencias de Mayores deriva del tratamiento de categorías especiales de datos personales como son los datos de salud (enfermedades, patologías, etc.), respecto de los cuales se debe tener especial diligencia y un mayor nivel de protección.

Otra de las especialidades con la que nos encontramos en las residencias de ancianos es que muchos de ellos no tienen plena capacidad de obrar o tienen su capacidad modificada judicialmente.

En estos casos, sería el representante legal del residente el encargado de obrar en nombre de este y a quien deberán dirigirse las debidas informaciones.

OBLIGACIONES A CUMPLIR EN LAS RESIDENCIAS DE MAYORES

Seguidamente te contamos que debes implementar en la Residencia para cumplir con la protección de datos:

1. Registro de actividades de tratamiento

Lo primero que debes tenerse en cuenta es qué tipo de datos manejas y qué cantidad.

Debes responder a preguntas como:

• Tipo de datos que recopilas
• Finalidad del tratamiento
• Política de almacenamiento de esos datos
• Si cedes esos datos o los transfieres fuera de nuestro país
• Medios de tratamiento

Es decir, que las residencias de mayores deben llevar a cabo un registro de actividades del tratamiento en el que debe constar los fines del tratamiento de los datos, qué categorías de interesados se verán afectados, qué categorías de datos personales van a tratarse (en este caso deberían incluirse también los tratamientos de datos sensibles relativos a la salud), y posibles destinatarios, entre otros aspectos.

2. Análisis de riesgos

El tratamiento de datos personales relativos a nuestros mayores por parte de las residencias entraña un alto riesgo para sus derechos y libertades de personas que pueden ser consideradas en situación de vulnerabilidad. 

Es por ello que la residencia debe realizar un análisis de riesgos para identificar los tipos de riesgos y amenazas a los que están expuestos los datos personales, y establecer controles y medidas de seguridad adecuadas que minimicen esos riesgos y garanticen la confidencialidad.

Una vez realizado este análisis, debes implementar medidas de seguridad avanzadas, nunca obsoletas, que sean capaces de impedir o bloquear los ataques informáticos actuales.

3. Evaluación de impacto

Además, al ser el riesgo especialmente alto por tratar datos sensibles, deberás realizar una evaluación de impacto para minimizar las posibilidades de afectar a los derechos o libertades de los interesados.

Las residencias geriátricas realizan un tratamiento de categorías especiales de datos ya que manejan datos de salud de sus residentes. Por tanto, estás obligado a realizar esa Evaluación de impacto.

4. Contratos con terceros

Las residencias de la tercera edad se relacionan también con terceros que disponen de algunos de los datos de los usuarios.

Es por ello que debes identificar adecuadamente a las empresas externas que te prestan servicios con tratamiento de datos personales por cuenta del responsable (que en este caso, es la residencia), como por ejemplo las farmacias, las gestorías, la empresa de mantenimiento informático, las empresas de videovigilancia, entre otras.

Con ellas deberá firmar los correspondientes contratos de encargado del tratamiento donde deberá recogerse, entre otros aspectos, el objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos personales, categorías de interesados, obligaciones y derechos.

De igual forma, deberán instar a estas empresas externas a que acrediten un adecuado nivel de cumplimiento de la normativa de protección de datos.

Respecto a las farmacias, en los casos en que las residencias gestionen la medicación de sus residentes, implica necesariamente un traspaso de información sensible de la Residencia a la Farmacia, con motivo de la entrega de recetas o informes médicos indispensables para la dispensación.

Las residencias deberán informar sobre estas comunicaciones de datos y contar con el consentimiento de los pacientes o de sus representantes legales para estas cesiones, o acreditar que cuentan con poder suficiente para la gestión de los medicamentos de residentes y de la facturación de los mismos.

5. Consentimiento de residentes

La residencia deberá recabar el consentimiento expreso de sus residentes (o de sus representantes legales), siendo estos previamente informados de manera adecuada sobre el tratamiento de sus datos, así como de los derechos que les asisten en materia de protección de datos de carácter personal y las vías por las cuales pueden ejercerlos.

Se recomienda aprovechar el momento de ingreso del residente en la institución para que este o el representante legal, en su caso, otorgue poder suficiente para, entre otros aspectos, la gestión de su medicación, y para autorizar el tratamiento de sus datos personales necesarios para la adecuada prestación de los servicios.

Cuando el residente no cuente con plena capacidad de obrar, las debidas informaciones deberán dirigirse a su representante legal, que será quien autorice y consienta el tratamiento de los datos personales en nombre y representación de aquel.

Este consentimiento puede solicitarse de dos formas:

• Si el cliente/residente introduce sus datos personales en la página web, debe existir una casilla desmarcada por defecto que le permita aceptar esa política de privacidad.
• En caso de que el paciente facilite sus datos personalmente en el centro, debe firmar un documento en el que se le informe sobre:
  • responsable del tratamiento,
  • finalidad para la que se van a usar los datos,
  • si se van a ceder a terceros y
  • el medio por el que puede ejercer sus derechos ARCO.

6. Derechos de los usuarios

Estos son los derechos que pueden ejercer los interesados:

• acceso a los propios datos personales;
• rectificación si los datos son inexactos;
• supresión (derecho al olvido) si se tratan de forma ilegal o ya no son necesarios para la finalidad con que se recogieron;
• limitación del tratamiento;
• portabilidad de los datos;
• oposición a un uso posterior con fines de prospección comercial (marketing directo), investigación científica o histórica, o fines estadísticos; y
• a no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles).

En la residencia de ancianos debes proveer mecanismos para que los interesados puedan ejercer sus derechos.

Estos medios deben indicarse en el documento de consentimiento a firmar por los residentes y en la política de privacidad de la página web.

7. Contratos con empleados

Los empleados de la residencia que traten datos personales para el desempeño de sus funciones deben ser debidamente formados e informados sobre sus obligaciones y derechos en materia de protección de datos.

La residencia deberá firmar con ellos compromisos de confidencialidad y cumplimiento del deber de secreto.

También deben cumplir las medidas de seguridad establecidas por la empresa para garantizar la protección de los datos personales.

En un centro geriátrico, los empleados tienen acceso a un correo electrónico para comunicarse entre ellos internamente, y también para comunicarse con familiares de los residentes y proveedores.

Esto les convierte en objetivos de los atacantes, porque la ingeniería social y técnicas como el phishing son los métodos de ataque más utilizados debido al éxito que tiene para los ciberdelincuentes.

8. Notificar brechas de seguridad

Una de las obligaciones que establece el nuevo Reglamento es la notificación de los incidentes de seguridad que se produzcan en la empresa.

¿A quién?

Tanto a los afectados como a la AEPD.

En el caso de que se dé una situación de ciberataque o infracción en la residencia de ancianos, lo ideal es que estés prevenido con un plan de respuesta ante incidentes.

Existe un límite de 72 horas para notificar a las autoridades y dotar a estas de información, por lo que el plan debe someterse a prueba para garantizar que cumpla con el plazo.

Cabe destacar que, aunque no se permitirán infracciones intencionadas de la ley, existirán atenuantes si se puede demostrar a las autoridades y a los clientes que se está haciendo todo lo posible para cumplir con ella.

9. Nombrar un DPD

Puede ser necesario designar un Delegado de Protección de Datos (DPD) en la residencia, en atención al volumen de datos tratados, en el caso de que se realice un tratamiento a gran escala de categorías especiales de datos personales, como son los datos de salud.

Además, para cumplir con el principio de información del nuevo RGPD, la designación del DPD y sus datos de contacto deben hacerse públicos y deberán ser comunicados a las autoridades de supervisión competentes.

El Delegado de Protección de Datos podrá ser tanto una persona en plantilla de la empresa como una externa y el cargo podrá ser desempeñado también por una empresa que ofrezca el servicio.

OTROS TEMAS A TENER EN CUENTA

Información a los familiares acerca de los residentes

Si la persona afectada tiene capacidad plena de obrar sería dueña de sus propios datos y la cesión de los mismos debe realizarse mediante consentimiento expreso y escrito.

De no ser así, serán sus representantes legales quienes accedan a dicha información, ya que actúan en nombre y representación del afectado.

¿Cuánto tiempo puedo guardar los expedientes de los residentes?

El RGPD no establece un plazo concreto sino que se indica que los datos deben guardarse durante el tiempo en que sean necesarios para la finalidad para la que se recabaron y mientras sean exigibles responsabilidades derivadas de los mismos.

En líneas generales los plazos de conservación de la historia clínica y expedientes del paciente suele ser de 5 años a contar desde el último tratamiento. Pero cada Comunidad autónoma, al tener atribuidas las competencias en materia de sanidad, puede establecer plazos distintos.

¿Puedo publicar fotografías de los residentes realizadas en actividades en el centro?

No, no puedes publicarlas. 

Salvo que tengas el consentimiento expreso de los residentes o de sus representantes legales.

La publicación en una página web de las fotos constituye una cesión o comunicación de datos de carácter personal. La cesión es definida como “Toda revelación de datos realizada a una persona distinta del interesado”. Y requiere el consentimiento del afectado.

¿Qué tengo que hacer si instalo cámaras de videovigilancia?

Si en tu residencia de mayores instalas un sistema de Vídeo Vigilancia también debes cumplir los siguientes requisitos:

• Instalar carteles informativos en todas las entradas al centro,
• incluir esas grabaciones en el Registro de actividades de tratamiento,
• no guardar grabaciones después de 30 días,
• las cámaras deberán respetar la intimidad de las personas y no podrán grabar en espacios públicos, solo el interior del local,
• si tenemos una pantalla donde vemos las grabaciones, ésta solo debe estar visible por personal autorizado y
• debemos tener un Impreso donde informe de:
  • existencia de las grabaciones,
  • fin para el que se recogen dichas grabaciones,
  • posibilidad de que un cliente pueda ejercer sus derechos y
  • identidad del responsable de esta información.

¿Puedo contratar una empresa externa para destruir los historiales clínicos?

Sí puedes.

Esto se considera un acceso a datos por cuenta de tercero y para ello se necesita un contrato entre el responsable del fichero y el tercero en el cual se indiquen expresamente las obligaciones de este.

El encargado del tratamiento adquiere idénticas obligaciones al responsable del fichero e incurre en las mismas responsabilidades.

Derecho de acceso a historia clínica del residente

El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 

El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada.

Los centros sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o de hecho. 

También podrán dirigirse con estos fines las personas o instituciones a las que el fallecido hubiese designado expresamente para ello.

Todas estas personas no podrán solicitar acceso, rectificación o supresión de los datos del residente fallecido, cuando este lo hubiese prohibido expresamente, o así lo establezca una ley. Resolución AEPD R/02421/2017.

CONCLUSION

• El tratamiento sistemático de categorías especiales de datos personales como son los datos de salud conlleva, ya de por sí, un alto riesgo para la privacidad.
• En las Residencias, los datos de salud se refieren a un colectivo especialmente vulnerable, como es el caso de los mayores.
• Estos dos factores, datos sensibles de salud y personas que a menudo no pueden comprender el alcance de su privacidad, hacen que los tratamientos de datos en estas entidades presenten un alto riesgo de vulnerar los derechos y libertades fundamentales de sus residentes.
• Por ello,  deben establecerse todas las garantías necesarias y las oportunas medidas técnicas y organizativas que permitan reducir el riesgo de vulneración del derecho a la protección de datos.

La entrada Protección de datos en Residencias de mayores se publicó primero en Gestiona Abogados.

La protección de datos es algo trasversal, que exige una perspectiva holística y que involucra a todo y a todos en una organización.

Documentación de PRL

El primer paso es analizar qué tipo de datos de carácter personal forman parte de la documentación que los técnicos de prevención, ya sea de servicios propios o ajenos, manejan a diario:

• Aptos de vigilancia de la salud y expedientes médicos (en caso de asumir la Vigilancia de la Salud).
• Historia clínica del trabajador (en caso de asumir la especialidad de Medicina en el Trabajo).
• Títulos de formación.
• Investigación de accidentes.
• Evaluaciones de riesgos, trabajadores sensibles, embarazadas.
• Registros de entrega de EPIs.
• Documentación de Coordinación de Actividades Empresariales de diferentes empresas (títulos de formación, aptos, e incluso el RNT ó relación nominal de trabajadores).
• Documentos de PRL de las ETTs (contrato de puesta a disposición, certificados de aptitud y de formación).

¿Qué documentos son los susceptibles de contener datos personales?

• Nombre.
• Dirección y el número de teléfono.
• Registros sanitarios.
• Ingresos y la información bancaria, etc.

¿A quién afecta?

Para las organizaciones de menor tamaño y con tratamientos de poca complejidad: el análisis será el resultado de una reflexión, documentada mínimamente, sobre las implicaciones de los tratamientos en los derechos y libertades de los interesados.

En cambio, para grandes organizaciones, como regla general, el análisis deberá llevarse a cabo utilizando alguna de las metodologías de análisis de riesgo existentes.

Todos los responsables de PRL deberán realizar una valoración del riesgo de los tratamientos que realicen, a fin de poder establecer qué medidas deben aplicar y cómo deben hacerlo.

El tipo de análisis variará en función de:

• -Los tipos de tratamiento.
• -La naturaleza de los datos que se traten.
• -El número de interesados afectados.
• -La cantidad y variedad de tratamientos que una misma organización lleve a cabo.

Errores más frecuentes

La ley de Protección de DatosEnlace añadido por la extensión vLex, nos exige que todos estos datos de carácter personal, estén a buen recaudo, y que su uso sea pertinente, adecuado y proporcional, que se informe a la persona o interesado de su uso, manipulación y cesión.

Los errores más frecuentes que se cometen tanto por parte de las empresas, de los Servicios de Prevención (PRL),  como de los técnicos y personal sanitario son:

Envíos de los resultados médicos a la empresa: 

Los archivos en formato papel que contengan datos de salud, deberán enviarse en un sobre precintado que contenga la palabra “confidencial”.

En caso de ser enviados por correo electrónico, deberá estar encriptado o bien a través de una plataforma con acceso de seguridad, facilitando un usuario y contraseña para cada trabajador.

Cesión indebida de datos en la coordinación de actividades empresariales:

Previa a la cesión de datos de nuestros trabajadores a terceros, (TC1y TC2, formación, aptitud médica, etc) el trabajador deberá estar informado.

Cesión de datos a terceros en las Plataformas de Coordinación a cuenta de la empresa cliente: 

Cuando el servicio de prevención (PRL) gestione plataformas de coordinación a cuenta de sus empresas clientes, el servicio de prevención deberá tener firmado el correspondiente contrato a terceros con la plataforma que manipule o almacene los datos de carácter personal de los trabajadores.

En el mismo sentido, el servicio de prevención (PRL) deberá disponer del contrato a terceros con la empresa cliente, en el cual quede constancia de dicha gestión y de la cesión de datos de sus trabajadores a las plataformas.

-Salida de soportes (ordenadores portátiles) fuera de las dependencias: 

Los ordenadores que contengan datos personales que salgan de las dependencias, instalaciones o empresa, deberán disponer de control de accesos (usuario y contraseña).

Además, estos equipos deberán estar registrados en el documento de seguridad de la empresa y autorizados por el responsable de seguridad.

-Acceso indebido a información confidencial en archivos informatizados: 

Los equipos u ordenadores que contengan datos confidenciales y de salud, deberán estar encriptados y solo podrán acceder a sus sesiones el personal médico y personal autorizado que consten en el documento de seguridad.

-Acceso indebido a información confidencial en archivos físicos: 

Todos los archivos físicos (formato papel) que contengan datos confidenciales y de salud, deben estar cerrados con llave y con acceso restringido al personal autorizado, así como, mantener un control de accesos físico (huella dactilar, iris, papel…) riguroso y mantenerlo registrado en el documento de seguridad.

-Falta de formación e información en el uso, manipulación y almacenamiento de datos de carácter personal: 

Las personas y en especial, el departamento administrativo y los técnicos que manipulen datos de carácter personal, deberán estar formados e informados en materia de protección de datos,  con la finalidad de saber cómo gestionar los datos que les proporcionen y de cómo cederlos con seguridad.

-Carencia de seguridad en los soportes informáticos (usuario y contraseñas): 

El usuario y contraseña son personales e intransferibles.

En los equipos informáticos que contengan datos de carácter personal, las contraseñas se deberán cambiar de forma frecuente.

-Periodicidad o inexistencia de copias de seguridad: 

Las copias de seguridad de los archivos que contengan datos de carácter personal de nivel básico, deberán realizarse como mínimo cada 30 días.

Las copias de seguridad de los datos de salud deberán hacerse a diario y como mínimo realizar una copia externa a las instalaciones con medidas de seguridad altas.

Estas copias deberán ejecutarse siempre encriptadas y/o anonimizadas, con la finalidad de que nadie pueda reconocer al paciente.

Es importante recordar

La ley 31/1995, en particular en su art 22 sobre Vigilancia de la Salud:

-en su apdo 2 dice “Las medidas de vigilancia y control de la salud de los trabajadores se llevarán a cabo respetando siempre el derecho a la intimidad y a la dignidad de la persona del trabajador y la confidencialidad de toda la información relacionada con su estado de salud”, y

-en su apdo 4 que “El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador”.

Así pues, ante peticiones que supongan el ceder esa información de datos de salud, y salvo la comunicación a la propia persona titular de esos datos, los mismos sólo podrían ser comunicados a otros facultativos médicos si el propio usuario solicitara la transmisión de su historia a su nuevo médico, sin perjuicio del deber de conservación del anterior. En ese caso, ese nuevo médico se encontraría vinculado por los mismos deberes legales.

Para finalizar, recordar que a ninguna persona, con las salvedades de a la autoridad sanitaria y a la autoridad judicial (si al respecto hay una orden requisitoria fundamentada), se le puede facilitar ninguno de esos datos especialmente protegidos por la vigente legislación.

La entrada PRL Y PROTECCIÓN DE DATOS se publicó primero en Gestiona Abogados.

• mejora la calidad asistencial,
• disminuye su variabilidad
• mejora el principio de equidad
• forma parte de lo que el profesional debe hacer
• reporta beneficios al profesional (mejora la formación, aumenta la motivación y la satisfacción profesional)
• debe ser garantizada por los gestores y planificadores (aporta a los servicios de salud calidad, efectividad y eficiencia)

La información clínica almacenada en registros de diverso tipo constituye una herramienta fundamental para la investigación. ´

Hasta hace pocos años, el acceso a la información clínica y/o administrativa de los pacientes con fines de investigación apenas tenía limitaciones.

Sin embargo, con la legislación vigente en materia de protección de datos de carácter personal y documentación clínica, esta situación se ha modificado, al existir importantes restricciones a su acceso.

Así mismo, la petición de consentimiento informado a los participantes del estudio puede introducir sesgos de selección.

Por lo tanto, nos encontramos en una situación que dificulta la investigación, lo que podría llegar a limitar considerablemente el avance del conocimiento, obstaculizar las posibilidades de formación de profesionales sanitarios, y disminuir la calidad y eficiencia de la atención que se presta.

El uso de los datos de carácter personal con fines de investigación está legitimado por nuestra legislación, sin embargo, esta información debe ser tratada de forma confidencial en todo momento.

La legislación ofrece dos alternativas:

• el consentimiento del paciente
• el tratamiento disociado de la información.

Sin embargo, en algunos supuestos, resulta realmente difícil el cumplimiento de las exigencias legales, planteándose preguntas del tipo:

• ¿a quién se considera facultativo directamente implicado en el diagnóstico y tratamiento del enfermo en un centro de salud?
• cuando un facultativo quiere investigar con pacientes que no son de su cupo, ¿cómo accede a los datos de estos pacientes?
• en este caso, ¿quién puede acceder previamente a la información en su integridad para someterla al procedimiento de disociación para obtener los datos?
• ¿cómo obtener los datos personales de un paciente para conseguir su consentimiento?
• ¿qué hacer cuando no es posible obtener el consentimiento de los pacientes y los datos no se pueden disociar?

Como vemos, en algunos supuestos, el cumplimiento de las exigencias legales a la hora de obtener datos para investigar se hace realmente difícil, planteándose una serie de dificultades que en muchos casos imposibilita el desarrollo de la investigación.

En este post marcaremos una orientación sobre el acceso a la información contenida en registros, respetando los derechos de los pacientes y la legislación vigente.

Revisaremos distintos supuestos para definir un posible procedimiento de actuación que nos oriente sobre el acceso a la información contenida en registros informatizados y no informatizados (historia clínica, bases de datos, tarjeta sanitaria) respetando los derechos de los pacientes y la legislación vigente.

NORMATIVA

A nivel nacional, la aprobación de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales ha abierto nuevas vías al tratamiento de datos con fines científicos y de investigación.

Así, su Disposición Adicional Decimoséptima, sobre tratamientos de datos de salud, ha definido un nuevo marco en España para la investigación científica.

Esta norma incorpora previsiones de significado particularmente relevante para la investigación en salud como la pseudonimización -técnica de amplio uso en la investigación sanitaria-, y las cuestiones planteadas por la anonimización, por la protección de datos personales desde el diseño y por defecto, así como por el análisis de impacto en la protección de datos.

La comunicación oral o escrita, la presentación de casos clínicos y series de casos y el tratamiento de imágenes que hacen referencia al paciente, constituyen actividades de investigación o científicas que suponen un tratamiento de los datos personales del paciente, por lo que su ejecución se encuentra sometida a los principios que establece la legislación vigente en materia de protección de datos.

Para analizar en qué condiciones debe efectuarse ese tratamiento de datos, debe estudiarse el cumplimiento de cada uno de los principios que el RGPD establece para el uso de los datos que hacen referencia a una persona, haciendo especial incidencia en el de legitimidad de la finalidad perseguida y en el requerimiento de contar con consentimiento del interesado para poder tratar sus datos personales.  

LEGITIMACIÓN DE LA FINALIDAD  

La Ley General de Sanidad, establece en su artículo 6 que las actuaciones de las Administraciones Públicas Sanitarias estarán orientadas, entre otros supuestos, a:

«garantizar que cuantas acciones sanitarias se desarrollen estén dirigidas a la prevención de las enfermedades y no sólo a la curación de las mismas».

Además, su artículo 18 indica como una de las actuaciones sanitarias del Sistema de Salud:

«el fomento de la investigación científica en el campo específico de los problemas de salud».

La misma Ley, establece en su artículo 61 que:

«… la información relativa a cada paciente … estará a disposición de los enfermos y de los facultativos que directamente estén implicados en el diagnóstico y el tratamiento del enfermo, así como a efectos de inspección médica o para fines científicos, debiendo quedar plenamente garantizados el derecho del enfermo a su intimidad personal y familiar y el deber de guardar el secreto por quien, en virtud de sus competencias, tenga acceso a la historia clínica.

Los poderes públicos adoptarán las medidas precisas para garantizar dichos derechos y deberes», y en su artículo 68, que:

«los centros hospitalarios desarrollarán, además de las tareas estrictamente asistenciales, funciones de promoción de salud, prevención de las enfermedades e investigación y docencia, de acuerdo con los programas de cada Área de Salud, con objeto de complementar sus actividades con las desarrolladas por la red de Atención Primaria». 

Por su parte, la nueva ley básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece los siguientes principios; su artículo 2:

«la dignidad de la persona humana, el respeto a la autonomía de su voluntad y a su intimidad orientarán toda la actividad encaminada a obtener, utilizar, archivar, custodiar y transmitir la información y documentación clínica»;

su artículo 7:

«toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la ley».

y su artículo 16:

«el acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la normativa, de Protección de Datos de carácter personal, y en la Ley General de Sanidad, y demás normas de aplicación en cada caso».

En conclusión, la Ley considera, como no podría ser de otra forma, que la docencia y la investigación constituyen dos actividades necesarias para el desarrollo de las actuaciones sanitarias que se atribuyen al Sistema de Salud, pero garantizando, en todo caso, el derecho del enfermo a su intimidad personal y familiar.

CONSENTIMIENTO DEL AFECTADO

En el caso que nos ocupa, cualquier actividad de investigación o docencia desarrollada con los datos de un paciente obtenidos en la actividad asistencial debe tenerse en cuenta que estamos utilizando datos obtenidos del paciente para una finalidad muy concreta, su atención sanitaria y en unas determinadas condiciones, a un uso completamente diferente como es el de investigación o docencia, del cual no se ha informado expresamente al ciudadano y para el que no hemos recabado, en el normal de los supuestos, su consentimiento, y que aunque la normativa considere como actividad no incompatible, debe ajustarse al principio de consentimiento previo que establece la normativa sobre Protección de Datos Personales.

La Ley básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece en su artículo 16.1 que

«el acceso a la historia clínica con estos fines (de investigación o docencia) obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico-asistencial, de manera que como regla general quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos».

Con ello, se abren dos posibles vías o modos de realizar estos trabajos:

• con datos disociados, cuando no sea posible asociarlos con una persona concreta
• con datos en los que aparece identificado de forma inequívoca el titular de esa información.
• Con datos disociados

Con datos disociados

En el supuesto de disociación, la Ley establece el criterio de que la persona que pretenda acceder a los datos con fines científicos, no tenga acceso en ningún caso a aquellos datos que identifican al titular de los mismos.

Esta tarea debe haberse realizado con carácter previo al acceso de los datos, de tal manera que la forma de almacenamiento de la documentación clínica distinga entre los datos identificativos y los clínico-asistenciales que figurarán en ficheros anónimos y que sólo el personal encargado de gestionar los archivos pueda relacionar cuando sea necesario.

Cuando los datos que se utilicen respondan a estas características y sea imposible saber a quién corresponden los datos que se tratan, el tratamiento queda excluido del ámbito de aplicación de la normativa en materia de Protección de Datos (LOPD).

Con datos en los que aparece identificado de forma inequívoca el titular de esa información.

Cuando el tratamiento de los datos requiera conocer a quién corresponden, utilizando para ello los datos identificativos, será necesario el consentimiento inequívoco para tratar los datos del paciente con fines de investigación o docencia, circunstancia que se producirá cuando se cumpla la obligación de información previa que contempla la normativa sobre Protección de Datos.

Con carácter previo a la recogida de la información se debe informar al ciudadano de quién es el responsable de los datos que se están recabando y cuál es la finalidad a la que se van a destinar.

Sólo cuando se cumpla este principio de información estaremos legitimados para poder realizar el tratamiento de los datos.

Además, debe tenerse en cuenta que el consentimiento del interesado es revocable en cualquier momento y por cualquier causa, teniendo el titular de los datos la plena disponibilidad sobre los mismos.  

También debe tenerse en cuenta que al tratarse de datos especialmente protegidos, tal y como los califica la normativa sobre Protección de Datos, el consentimiento necesario tiene que tener la característica de ser expreso, no siendo suficiente en ningún caso cualquier tipo de consentimiento presunto o tácito.

Para poder tratar datos referentes a la salud de las personas para fines distintos a los propiamente asistenciales, requeriremos una manifestación clara e inequívoca de voluntad del paciente que nos autorice a realizar el tratamiento de datos que pretendemos. 

CONSIDERACIONES PREVIAS

La investigación que se realiza utilizando registros debe estar bien fundamentada y desarrollarse con una metodología correcta.

La primera norma ética que se debe valorar en un trabajo de investigación es su corrección técnica.

Sin ella, la investigación carece de justificación, ya que no será capaz de alcanzar los objetivos que se plantea.

Ello se basa en que la relación beneficio/riesgo para los participantes debe ser siempre favorable.

Si por ser incorrecta la metodología, el conocimiento obtenido es nulo o erróneo, cualquier riesgo asumido será gratuito y por tanto inadmisible.

Todo trabajo de investigación se deberá sustentar en un protocolo con los siguientes apartados:

• justificación,
• objetivos,
• variables a recoger,
• metodología de recogida de datos,
• fuentes de información,
• consentimiento informado (si es posible obtenerlo),
• compromiso del investigador de respetar el protocolo y la confidencialidad
•  y conformidad de los colaboradores.

La información que se debe recoger de los sujetos debe ser consistente con los objetivos del estudio.

Se deben sopesar los datos que se recogen, principalmente cuando se refieren a información especialmente sensible (adicción a drogas, orientación sexual, etc.).

Otro aspecto a valorar es que el conocimiento obtenido de la investigación deberá resultar útil, al menos, para la población de la que proceden los sujetos sometidos a la investigación.

Estas consideraciones han de ser valoradas de forma independiente del investigador o institución que realice la investigación.

Es decir, han de ser evaluadas por un Comité de Ética de la Investigación (CEI), que valorando el riesgo potencial de la investigación (principalmente derivado de la intromisión en la esfera de la privacidad o intimidad de los pacientes) establecerá los requisitos necesarios para que se pueda garantizar el respeto a los derechos humanos y la observación de los principios éticos básicos.

Acceso a datos clínicos y/o administrativos. Situaciones posibles

Contemplamos diferentes situaciones relativas a la utilización de datos clínicos y administrativos.

Acceso a datos anonimizados

Las colecciones de datos anónimos y los registros anonimizados pueden ser utilizados y cedidos sin el consentimiento informado de los sujetos.

Estos datos son un tipo de información cuyo tratamiento queda fuera de los requerimientos establecidos por la normativa de protección de datos de carácter personal.

Este supuesto no precisaría de especiales consideraciones éticas, al no poder asociarse la información con persona alguna.

De hecho, son varias las recomendaciones que lo clasifican dentro de la investigación «no clínica».

Acceso a datos no anonimizados. Datos administrativos de usuarios de un área de salud

La utilización de los datos administrativos es posible, siempre que se obtengan para contactar con los titulares,  al objeto de obtener su consentimiento.  para participar en cualquier actividad investigadora.

No obstante, se deberían cumplir una serie de requisitos:

• Se precisará de la autorización del responsable del fichero. Sólo el responsable del fichero está legitimado para usar los datos para contactar con sus titulares al objeto de obtener su consentimiento para participar en una investigación.
• El fichero con los datos personales de los usuarios se deberá entregar al investigador principal o persona responsable de la investigación preservando la seguridad de acceso a los mismos.
• En caso de que sea necesario contactar con el titular de los datos, a través de una carta para pedirle la participación en el estudio, ésta irá firmada por el órgano competente y el investigador. Si el contacto se realiza por teléfono, será necesario un compromiso de confidencialidad por parte de la persona que realiza las llamadas.

No es posible ceder los datos a un tercero para que sea éste el que los utilice para contactar con los interesados, salvo que se haga mediando un contrato de encargo de tratamiento, realizando el trabajo en nombre y por encargo de la institución sanitaria pública, que deberá ser previamente informado por la agencia de protección de datos antes de su firma.

En el caso de los menores de 13 años se pueden obtener los datos de identidad y dirección del padre, madre o tutor del registro correspondiente con la única finalidad de recabar la autorización para requerir el consentimiento de los padres o tutores.

Datos contenidos en la historia clínica

Como norma general, siempre que haya que acceder a datos contenidos en las historias clínicas, se realizará un proceso de anonimización que permita obtener los datos clínicos de interés, separándolos de los identificativos (por ejemplo, utilizando procedimientos informáticos para la extracción selectiva de estos datos).

Cuando esto no sea posible, será necesario que el investigador solicite el consentimiento informado de los sujetos, de acuerdo con la legislación vigente.

En relación al consentimiento informado, hay que tener en cuenta que es un proceso que requiere información, comprensión y voluntariedad.

• Hay que informar al interesado, de forma expresa y clara de cuál es la finalidad que se persigue (para qué van a utilizarse los datos), así como de quiénes van a tener acceso a los mismos (especialmente en el caso de que vayan a ser cedidos a terceros para que realicen la actividad de investigación) y de la posibilidad de revocar el consentimiento en cualquier momento, así como de los derechos que la normativa de protección de datos les reconoce (acceso, rectificación, oposición a un uso posterior, supresión, limitación del tratamiento, portabilidad de los datos, y a no ser objeto de decisiones individuales automatizadas).

•  Si se utilizan datos de carácter personal en menores de edad o incapaces, deberá justificarse científicamente la necesidad de incluir a dichas poblaciones en la investigación. Será necesario el consentimiento de los padres o representantes legales. En estos casos, se debe garantizar que el riesgo de la investigación es inexistente o mínimo, y que los conocimientos que así se obtienen no pueden obtenerse de otro modo.

Posibles situaciones

-no es posible obtener el consentimiento informado.

Puede haber situaciones en las que es prácticamente imposible obtener el consentimiento de cada una de las personas que integran el estudio, por falta de recursos materiales o humanos, o por imposibilidad de contactar con los sujetos.

En estos casos, la alternativa que nos plantea la legislación para cumplir las exigencias legales es el tratamiento disociado de la información, es decir, manejar datos anonimizados.

Sin embargo, para llevar a cabo esta disociación hay un paso previo que plantea cierta problemática:

¿qué profesional está autorizado para acceder, revisar y extraer los datos de la historia clínica del paciente para posteriormente anonimizarlos?

Ante esto se pueden plantear dos supuestos distintos:

•Pacientes pertenecientes al mismo centro que los investigadores:

Según la LGS, la información de cada paciente estará a disposición de los facultativos que directamente estén implicados en el diagnóstico y el tratamiento del enfermo, así como para fines científicos.

En nuestro sistema sanitario, todos los médicos de un centro de salud pueden acceder, con fines asistenciales, a las historias de los pacientes adscritos a dicho centro, ya que son parte del equipo médico que puede atender a cualquier paciente del centro (urgencias/suplencias/doblajes).

Cuando se accede a los datos de la historia clínica con fines de investigación, los profesionales sanitarios y el personal que accede en el ejercicio de sus funciones (siendo una de ellas la investigación) queda sujeto al deber de secreto profesional (artículo 16.6 de la Ley 41/2002) no pudiendo revelar los datos a un tercero.

En estos casos, la obtención de la información se realizaría desde el mismo centro, utilizando las claves de los investigadores para el acceso habitual a las historias clínicas.

Una vez extraída la información necesaria, se deberá someter a un proceso de disociación de manera que la identidad del sujeto quede desligada de los datos de carácter personal o su asociación no esté al alcance del investigador.

•Pacientes pertenecientes a un centro distinto al de los investigadores:

Si los investigadores no forman parte del equipo médico que atiende o puede atender a los pacientes, se podría acceder a dicha información mediante la extracción de datos realizada por el equipo médico del sujeto, incorporando posteriormente un procedimiento de disociación adecuado, antes de ceder la información a los investigadores.

Se podría plantear una excepción en caso de imposibilidad de la colaboración del equipo médico habitual de los pacientes y ausencia de riesgo de uso indebido de la información.

En este caso, para la obtención de la información por parte de investigadores ajenos al centro, cobra especial interés el informe de un CEI que valore los aspectos éticos y la necesidad e importancia del proyecto.

El estudio debe considerarse de indudable interés para la salud pública y el riesgo para el sujeto de investigación (incluyendo el riesgo de vulnerar la confidencialidad de sus datos), que debe ser mínimo.

-No es posible anonimizar los datos personales ni obtener el consentimiento informado

Otra situación que se da con cierta frecuencia, tanto si los pacientes pertenecen al mismo centro que los investigadores como si no, es el caso de proyectos en los que, en una primera fase del estudio, no es posible anonimizar los datos personales o clínicos de los sujetos, ni tampoco obtener el consentimiento informado para ello.

Supongamos que la población objeto del estudio de investigación son sujetos con una determinada condición clínica o enfermedad.

Para ello es necesario obtener listados de pacientes con esta enfermedad de los que extraer una muestra de sujetos (por ejemplo, pasar una encuesta de calidad de vida a pacientes con cardiopatía isquémica, contactar con adolescentes que han sufrido una interrupción voluntaria del embarazo, etc.).

De esta forma, los listados de pacientes no pueden estar anonimizados, y sólo se podría obtener el consentimiento informado a posteriori, tras contactar con ellos.

En estos casos el profesional encargado de obtener estos listados debe garantizar en todo momento la confidencialidad de estos datos, por lo que el fichero con los datos personales de los usuarios se deberá entregar al investigador principal o persona responsable de la investigación preservando la seguridad de acceso a los mismos e, igualmente que en el apartado anterior, será imprescindible la valoración de un CEI.

CONCLUSIÓN

Hemos intentado recopilar algunos de los supuestos más comunes que se presentan a la hora de desarrollar un proyecto de investigación.

Probablemente, con el marco legal actual, quedan otras situaciones que no hemos contemplado y que, si se analizan, siguen planteando multitud de dudas.

Siempre con carácter de excepcionalidad, podemos realizar una consideración ética relativa a limitar la intimidad de las personas para permitir una actividad investigadora en beneficio de la comunidad.

Es especialmente importante el principio de la necesidad y proporcionalidad en el tratamiento de datos personales.

Para valorar la necesidad, nos plantearemos si el mismo fin (el estudio epidemiológico o de investigación) no pueda ser desarrollado sin datos de carácter personal.

En relación con la proporcionalidad, valoraremos que el fin a alcanzar (la actividad epidemiológica o de investigación) es proporcional con el medio (el tratamiento de los datos de salud).

En esta situación, pueden ser de utilidad las directrices del Medical Research Council sobre el manejo de información clínica en la investigación médica a la hora de hacer una excepción al consentimiento.

 Y, al igual que planteábamos anteriormente, cobra especial importancia el informe de un CEI, que valore los aspectos éticos y la necesidad e importancia del proyecto como de indudable interés para la salud pública.

Directrices del Medical Research Council sobre manejo de información clínica en la investigación médica

Esperamos que la anterior información le haya resultado de utilidad.

La entrada INVESTIGACION CIENTIFICA Y RGPD se publicó primero en Gestiona Abogados.

Al tratar datos personales de terceros, ya sean pacientes o empleados, los nutricionistas deben cumplir con la normativa de protección de datos.

Con esta nueva norma, deberás adquirir un mayor compromiso con la privacidad y la gestión de los datos, sobre todo de los pacientes.

Para comenzar, lo primero que debemos conocer es que, en función de los datos que tratamos, deberemos de implementar unas u otras medidas de seguridad.

Al poseer datos sensibles, como son los de salud, personalidad… deberemos tener en consideración las siguientes cuestiones:

Nuevas obligaciones para los centros de nutrición

Son varias las nuevas prácticas que los nutricionistas deben realizar para garantizar que su negocio cumpla el RGPD.

Consentimiento

Procurar el consentimiento inequívoco y expreso, no tácito, del paciente para el uso de sus datos.

Cláusulas

Es necesario actualizar las cláusulas de los contratos, ya que se exige una mayor vigilancia con respecto a los terceros que contratamos para que nos presten un servicio, y también cumplan con la normativa.

Confidencialidad

Los datos que se tratan en un centro de nutrición, o por nutricionistas, pueden llegar a ser muy sensibles, por lo que se debe poner por escrito el compromiso de confidencialidad que deben firmar los trabajadores, así como también, las repercusiones si faltan al mismo.

Notificación brechas de seguridad

Estaremos obligados a notificar una brecha o violación de seguridad si la misma afecta a datos personales y cuando la misma constituya un riesgo para los derechos y las libertades de las personas físicas.

Proveedores

Elección responsable de los proveedores externos que accedan a los datos, como por ejemplo la gestoría que nos elabora las nóminas o la empresa encargada del mantenimiento informático de nuestros ordenadores.

Si nosotros cumplimos con la normativa, ellos también deben hacerlo.

DPO

Una de las principales novedades del reglamento es la obligatoriedad de disponer de un Delegado de Protección de Datos en nuestro centro.

EIPD

Deberemos elaborar una Evaluación de Impacto en la Protección de Datos Personales (EIPD) para ciertos tratamientos de datos sensibles, ya que para poder gestionar esta información personal habrá que analizar previamente los riesgos.

Códigos de conducta y certificados

Se está fomentando la redacción de códigos de conducta y certificaciones mediante los cuales, cumpliendo sus exigencias y adoptándolos, podremos cumplir con la normativa.

Derechos de los interesados

Los interesados, los dueños de los datos personales, pueden ejercer, según el RGPD, sus derechos. Estos son los derechos que pueden ejercer:

• acceso a los propios datos personales;
• rectificación si los datos son inexactos;
• supresión (derecho al olvido) si se tratan de forma ilegal o ya no son necesarios para la finalidad con que se recogieron;
• limitación del tratamiento;
• portabilidad de los datos;
• oposición a un uso posterior con fines de prospección comercial (marketing directo), investigación científica o histórica, o fines estadísticos; y
• a no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles).
• derecho a presentar una reclamación ante la autoridad de control competente.

En tu centro de nutrición, o como nutricionista, debes proveer mecanismos para que los interesados puedan ejercer sus derechos. Estos medios deben indicarse en el documento de consentimiento a firmar por los pacientes y en la política de privacidad de la página web.

El derecho de portabilidad es uno de los nuevos derechos recogidos en el RGPD. Para facilitar el cumplimiento de este derecho, los datos personales deben ser almacenados y administrados en un formato estructurado, de uso común y lectura mecánica para que sean fáciles de utilizar y compartir.

En cuanto al derecho al olvido, o de supresión, el paciente puede solicitar que se eliminen o se oculten los datos que le conciernen.

Deberás informar al paciente de cómo, cuándo y dónde puede ejercer tales derechos, y deberás responder dentro del plazo de 1 mes desde que se presentó la reclamación, y de 2 meses cuando se trate de solicitudes más complejas.

Recordemos que en materia de salud es necesario conservar algunos datos durante un cierto número de años para cuestiones médicas/legales. En este caso, es preferible ocultar los datos en lugar de eliminarlos.

Plazo de conservación de los datos

En líneas generales los plazos de conservación de la historia clínica y expedientes del paciente suele ser de 5 años a contar desde el último tratamiento.

No obstante dependiendo de la Comunidad Autónoma donde ejerzas hay diferentes plazos para diferente documentación clínica.

Auditorías periódicas

Además en nuestro caso, como nutricionistas, debido al nivel de datos que tratamos estaremos obligados a hacer auditorías bienales como mínimo.

La realización de la auditoría será también obligatoria en el caso de cambios en los sistemas de información que puedan afectar a las medidas ya implantadas.

La auditoría se podrá realizar de forma interna o externa y finalizará con un Informe que determinará si nuestra empresa se adecua o no a la Ley, y en el caso de no cumplir con ella, indicará cuáles son las deficiencias y recomendará las medidas correctoras necesarias.

Estos informes serán revisados para adoptar las medidas correctoras necesarias, quedando este informe a disposición de la AEPD y de las autoridades de control de cada Comunidad Autónoma.

No usar mensajería instantánea (watsapp) para enviar datos de los pacientes

La comunicación de datos médicos confidenciales mediante mensajes de texto SMS y otro tipo de mensajes electrónicos no cifrados está prohibido, por infringir las leyes de Protección de Datos.

Si queremos seguir usando aplicaciones de mensajería como Whatsapp, mejor redactar de forma adecuada los consentimientos de los pacientes. Así evitaremos ser sancionados.

Síntesis para que un nutricionista cumpla la LOPD

Por lo tanto, según lo expuesto, si queremos cumplir con la normativa, debemos hacer hincapié en los siguientes puntos:

• Tener actualizada y firmada toda la documentación
• Firmar compromiso de confidencialidad de empleados
• Analizar previamente al tratamiento los riesgos que puede conllevar el mismo
• Establecer las medidas de seguridad conforme a los riesgos detectados
• Redactar el Registro de las Actividades de Tratamiento
• Informar a los interesados del tratamiento de sus datos y derechos
• Elaborar el Documento de Seguridad
• Nombrar un Delegado de Protección de Datos

Esperamos haberte facilitado la implementación de esta normativa en el caso de que trates datos en el ámbito de la nutrición.

La entrada NUTRICIONISTAS Y RGPD se publicó primero en Gestiona Abogados.

Así como tener especial diligencia con las historias clínicas de los pacientes y el consentimiento informado.

Por tanto, tienen la obligación de cumplir con lo establecido en el RGPD.

Aspectos generales

La oficina de farmacia es un establecimiento sanitario en el que el farmacéutico titular propietario realiza unas funciones de carácter profesional que conllevan un acceso a los datos personales de sus clientes.

A los efectos de la normativa de protección de datos, ese farmacéutico es el responsable del tratamiento de esos datos.

¿Quién es el responsable de tratamiento?

La normativa sobre protección de datos define al «responsable de tratamiento» como a la persona física o jurídica, autoridad pública, servicio u otro organismo que por sí solo, o junto con otros, determine los fines y medios del tratamiento de los datos personales.

¿Que se entiende por tratamiento?

Según la misma normativa, por «tratamiento» se entiende cualquier operación o conjunto de operaciones realizadas sobre los datos personales o conjunto de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, difusión o cualquier otra habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

¿Qué datos se tratan?

Los principales datos, sobre los que el farmacéutico titular de la oficina de farmacia realiza ese tratamiento, son de salud, ya que se derivan de la dispensación de los medicamentos, de la realización de actividades de carácter sanitario y de la prestación de servicios sanitarios; por tanto, su actividad profesional, en tanto que tiene acceso a datos personales, también está sujeta a la normativa que regula su tratamiento.

Respetar los derechos

Y toda esa información forma parte del contenido de los derechos fundamentales contemplados en las constituciones de los países desarrollados: el derecho al honor, a la intimidad personal y a la propia imagen.

Nuevos principios

El nuevo reglamento de la Unión europea ha introducido nuevos principios con respecto a la normativa que le precede.

En realidad, mantiene los anteriores y amplía a otros nuevos.

Esos principios son:

• de licitud, lealtad y transparencia.
• limitación a la finalidad para la que se obtienen (para fines determinados explícitos y legítimos).
• minimización (datos adecuados, pertinentes y limitados en relación con los fines para los que son tratados).
• exactitud y actualización (evitar errores en el tratamiento).
• limitación en el plazo de conservación.
• integridad.
• confidencialidad.
• tratados de manera que se garantice una seguridad adecuada.
• protección contra el tratamiento no autorizado o ilícito, su pérdida o destrucción.
• adopción de medidas técnicas u organizativas.

Con relación a la implementación de esas medidas, el nuevo reglamento aplica el principio de responsabilidad proactiva.

El principio de responsabilidad proactiva implica que, antes de someter a tratamiento los datos personales, el responsable de tratamiento debe, desde el diseño de la aplicación o de los soportes con los que va a realizarse el tratamiento y por defecto, implementar o introducir esas medidas.

Medidas de seguridad

A diferencia de la normativa anterior, en la que en función de la categoría de datos sujetos a tratamiento debían implementarse medidas de seguridad de diferente nivel (básico, medio y alto) convenientemente descritas, el nuevo reglamento no indica qué medidas en concreto deben implementarse; en su lugar, aunque sí establece la necesidad de que esas medidas garanticen:

• la seudonimización y el cifrado de los datos;
• la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y los servicios de tratamiento;
• la capacidad de restaurar la disponibilidad y el acceso a los datos en caso de incidencia física o técnica;
• la existencia de un proceso de verificación, evaluación y valoración regulares, de la eficacia de esas medidas para garantizar la seguridad.

Y todo eso, adecuando el nivel de seguridad a los riesgos que puedan producirse como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de los datos personales.

Esas medidas deberán garantizar también que sólo se traten los datos personales necesarios para cumplir con la finalidad de su obtención.

La protección de datos desde el diseño y por defecto es uno de los ejes principales de su adopción, de manera que, desde el momento de la concepción de la idea de una aplicación informática, un producto o un servicio, se tenga en cuenta el riesgo que implica el tratamiento de los datos.

Tipos de datos

El nuevo reglamento distingue dos tipos de datos: aquellos denominados de «categorías especiales» (datos sobre el origen racial y étnico; opiniones políticas; convicciones religiosas; afiliación sindical; datos genéticos, biométricos y de salud; vida sexual y orientación sexual) y el resto.

En la normativa anterior, la clasificación de los datos venía definida por el nivel de medidas de seguridad que debían adoptarse:

• Básico. Nombre, apellidos, domicilio, DNI, etc.
• Medio. Los relativos a la comisión de infracciones administrativas o penales o tributarias, los originados con la prestación de servicios financieros, los de las mutuas de accidentes de trabajo y enfermedades profesionales, o aquellos que contengan un conjunto de datos que ofrezcan una definición de las características y personalidad de los ciudadanos y permitan determinar su comportamiento.
• Alto. Datos sobre ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual, así como los recabados para fines policiales sin el consentimiento de las personas afectadas.

¿Qué datos personales son objeto de tratamiento en la oficina de farmacia?

De acuerdo con la clasificación del nuevo reglamento, podríamos distinguir entre los datos de categorías especiales:

• los de la receta médica;
• los de los servicios de SPD;
• los del seguimiento farmacoterapéutico;
• los del libro recetario y el de estupefacientes,
• los datos que se obtienen por la prestación de otros servicios de carácter sanitario en la oficina de farmacia.

El resto pueden referirse a datos exclusivamente comerciales (adquisición de productos de higiene personal, cosmética, promociones comerciales, tarjetas de clientes sin datos de salud, videovigilancia, datos sobre el personal y la relación laboral, etc.).

¿CÓMO DEBEN CUMPLIR LAS FARMACIAS EL RGPD?

Las farmacias forman parte de ese tipo de negocios que tienen en sus manos una gran cantidad de datos, y datos de salud, por lo que también tendrán que adaptarse a la nueva normativa.

Para asegurar un debido cumplimiento de esta, debes tener en cuenta una serie de preguntas y cuestiones que te facilitarán la tarea.

Cada vez que un cliente recoge las recetas médicas o solicita otros servicios farmacéuticos estás manejando datos de carácter personal de terceros.

Las principales actuaciones que debes realizar en tu farmacia para adaptarte al RGPD son:

1. Realizar un Registro de actividades de tratamiento
2. Elaborar un análisis de riesgos
3. Realizar una Evaluación de impacto
4. Firmar los contratos con terceros
5. Incluir los textos legales en la página web
6. Solicitar el consentimiento a los clientes/pacientes
7. Facilitar los derechos de los usuarios.
8. Firmar los contratos con los empleados
9. Nombrar un DPD

¿No sabes por dónde empezar?

No te preocupes, en el siguiente post, te explico paso por paso todo lo que debes hacer.

La entrada FARMACIA Y RGPD se publicó primero en Gestiona Abogados.

1. Registro de actividades de tratamiento

El nuevo reglamento ha eliminado la obligación de notificar a la Agencia Española de Protección de Datos la existencia de un fichero.

Con todo, el fichero no ha desaparecido como concepto, pero existe la preferencia de identificar los datos en función de su tratamiento y la tipología del dato, en vez de hacerlo por la existencia del fichero en sí.

Además, para el tratamiento de datos con riesgo para la privacidad o en el tratamiento de datos sensibles, el Reglamento obliga a llevar un registro de actividades que debe contener básicamente la misma información que incluía el formulario de notificación de la inscripción del fichero.

Ese registro de actividades ha de estar documentado y a disposición de las autoridades competentes.

Sin duda, lo primero que debes tener en cuenta es qué tipo de datos manejas y qué cantidad. Debes responder a preguntas como:

• Tipo de datos que recopilas.
• Finalidad del tratamiento.
• Política de almacenamiento de esos datos.
• Si cedes esos datos o los transfieres fuera de nuestro país.
• Medios de tratamiento.

Para ello es necesario realizar un registro de actividades de tratamiento que debes mantener actualizado. Este documento te lo pueden pedir en caso de tener alguna inspección por la AEPD.

Normalmente deberá constar por escrito,  aunque también es válido en formato electrónico.

2. Análisis de riesgos

Por su actividad profesional, el farmacéutico titular de oficina de farmacia realiza un tratamiento de categorías especiales de datos personales.

Es por ello por lo que debe llevar a cabo un análisis de riesgos, con el fin de valorar el impacto de la exposición a la amenaza, juntamente con el hecho de que ésta se materialice, como consecuencia del tratamiento de los datos.

Es decir, que el análisis debe ser el resultado de un estudio documentado sobre las implicaciones de los tratamientos respecto a los derechos y libertades de los interesados o de la cantidad y variedad de tratamientos que lleve a cabo el farmacéutico titular de la oficina de farmacia.

El análisis de riesgo debe hacerse con los distintos tratamientos que se lleven a cabo.

Por ejemplo,

• se tratan datos sensibles,
• datos de gran cantidad de personas;
• incluye elaboración de perfiles;
• se cruzan datos obtenidos de otras fuentes;
• se tratan datos obtenidos para una finalidad distinta de la que motivó su obtención;
• se tratan a gran escala,
• o se utilizan tecnologías especialmente invasivas para la privacidad.

Es decir, debes valorar las posibles contingencias de los tratamientos que se realicen, teniendo en cuenta, entre otras cuestiones:

• el tipo de tratamiento:
  • ¿dónde se almacenan los datos?
  • ¿durante cuánto tiempo?
  • ¿en un fichero o en una base de datos?
  • ¿en qué equipos?
• la naturaleza de los datos,
  • identificativos.
  • bancarios.
  • de salud ….
• el número de interesados afectados;
  • 1.000
  • 5.000
  • 50.000 …

Una vez realizado este análisis, debes implementar medidas de seguridad avanzadas, nunca obsoletas, que sean capaces de impedir o bloquear los ataques informáticos actuales. Un ejemplo de incumplimiento sería el uso de sistemas de cifrado obsoletos.

3. Evaluación de impacto.

En tu farmacia estás obligado a realizar esa Evaluación de impacto al tratar categorías especiales de datos. Es decir, porque manejas datos de salud de tus pacientes.

Por eso, con la realización de una Evaluación de Impacto se determinan los posibles daños que se podrían producir si la amenaza se materializa, es decir, qué consecuencias repercutirían sobre los interesados.

Es decir, que al ser el riesgo especialmente alto por tratar datos sensibles, deberás realizar una evaluación de impacto para minimizar las posibilidades de afectar a los derechos o libertades de los interesados;

Tras estos análisis deberás implementar unas medidas de seguridad adecuadas.

4. Contratos con Encargados de tratamiento

Descripción

El encargado de tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que presta un servicio al responsable de tratamiento que conlleva el acceso y el tratamiento de datos personales por cuenta de éste.

En el caso de la actividad llevada a cabo en la oficina de farmacia, los encargados de tratamiento serán aquellas personas y/o entidades que presten un servicio al farmacéutico titular propietario del establecimiento.

Ejemplos

Por ejemplo: si el farmacéutico contrata a una gestoría los servicios de confección de nóminas, de contratos laborales y la representación ante los organismos de la Seguridad Social para cumplir con las obligaciones laborales con respecto a los empleados, esa gestoría será, a efectos de la normativa de protección de datos, un encargado de tratamiento, porque para cumplir con sus obligaciones contractuales tiene que tener acceso a los datos personales de los trabajadores y operar con ellos.

Otro ejemplo: El farmacéutico titular de oficina de farmacia que elabora fórmulas magistrales por encargo de otros titulares de oficina de farmacia tiene la consideración de encargado de tratamiento de estos últimos, ya que realiza operaciones (tratamiento) con los datos correspondientes a los destinatarios de la medicación que preparan.

A su vez, el farmacéutico titular de oficina de farmacia puede ser encargado de tratamiento de aquellos datos personales a los que la administración sanitaria le proporciona acceso cuando participa en programas de salud promovidos por dicha administración.

Numerosas farmacias recurren con regularidad al software de gestión de pacientes. En el marco del cumplimiento del RGPD, resulta esencial tener en cuenta aspectos técnicos sobre cómo y dónde el software seleccionado procesa y aloja los datos personales, especialmente si está basado en la nube.

¿Y qué hacer entonces?

Debes aclarar con tus proveedores de TI y de software de qué manera estos sistemas se adaptarán para la implementación del RGPD. Un cuestionario o una lista de verificación exhaustivos ayudarán a comprender los flujos de datos, así como a identificar posibles vulnerabilidades.

Y qué decir tiene que tienes que estar seguro de que el paciente sepa qué datos suyos se recopilan a través de las páginas web de estas empresas.

La relación entre el responsable de tratamiento y el encargado de tratamiento, aparte de la que regule las obligaciones con respecto a la prestación de los servicios que se contratan, debe establecerse mediante un contrato o un acto jurídico similar que los vincule, por escrito o incluso en formato electrónico.

En la relación entre el responsable y el encargado de tratamiento, el responsable no pierde la consideración de tal y sigue siendo el responsable del tratamiento que se da a los datos personales, y de la garantía de los derechos de las personas afectadas por dicho tratamiento, por lo que debe mantener una obligación de control de las actividades del encargado.

No hay límite de tratamiento de datos que pueda llevar a cabo el encargado por cuenta del responsable.

El encargado puede adoptar todas las decisiones organizativas y operacionales necesarias para la prestación del servicio contratado, asegurando la confidencialidad de los datos.

Las decisiones que, sobre este aspecto, tome deberán respetar las instrucciones del responsable de tratamiento.

Contenido mínimo del contrato

El acuerdo entre el responsable de tratamiento y el encargado debe contener como mínimo los siguientes aspectos:

• las instrucciones del responsable de tratamiento acordes con la finalidad de su obtención y/o acceso;
• el deber de confidencialidad y privacidad de los datos;
• las medidas de seguridad que va a implementar;
• el régimen de subcontratación;
• los derechos de los interesados;
• la colaboración en el cumplimiento de las obligaciones del responsable;
• el destino de los datos al finalizar la prestación de los servicios
• la colaboración con el responsable para demostrar el cumplimiento de las obligaciones del responsable de tratamiento.

Recuerda firmar el contrato de encargo de tratamiento con los terceros.

5. Página web

Si ofreces los servicios de información o asesoramiento a través de una página web debes incluir en ella los textos exigidos por la normativa de Protección de Datos y la Ley de Servicios de la Sociedad de la Información (LSSI):

• Aviso legal
• Política de privacidad
• Política de cookies

Aviso legal

Este es el documento donde se identifica al propietario de la página web. En él debes incluir:

• Nombre del propietario
• CIF / NIF
• Dirección
• Email
• Nº de inscripción en el Registro mercantil o nº de colegiado, si eres autónomo

Debes poner un enlace visible a este texto desde cualquier página de la web.

Política de privacidad

Es importante revisar la política de privacidad de la farmacia, y hacer una versión de ésta más extensa, que incluya más información acerca del procesamiento de los datos.

• ¿Dónde se utilizan esos datos?
• ¿Se está haciendo con el consentimiento de los usuarios?
• ¿Tiene fines comerciales?
• ¿Se realizan cesiones a terceros o transferencias internacionales?

Así, al solicitar los datos personales del cliente, en el formulario tendrás que informar expresamente de:

• existencia de un tratamiento de los datos que se le están solicitando,
• finalidad,
• destinatario o destinatarios de aquella información,
• identidad y dirección del responsable del tratamiento de los datos y
• posibilidad de ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad, limitación del tratamiento, y por qué vía.

Todos esos detalles deberán formar parte de la política de privacidad. Una vez actualizada, asegúrate de que esta nueva versión se publique en la web.

Política de cookies

Las cookies son archivos de información enviados por un sitio web y almacenado en el navegador del usuario que visita ese sitio.

Se utilizan para analizar las visitas a nuestra página web o mostrar publicidad dinámica.

Por tanto, si tu web incluye algo de esto, debes cumplir con la ley de cookies. (LSSIEnlace añadido por la extensión vLex), redactando en un texto visible en tu web que estás utilizando cookies.

En ese texto debe informarse sobre las cookies utilizadas en la página, su finalidad y duración.

Para adaptarnos a la ley existen dos maneras de lograrlo en función del tipo de cookies que utilicemos y el uso que hagamos de ellas:

1. Si tus cookies son propias (como las de Google Analytics). Mientras mantengas el anonimato de los usuarios, sólo necesitas informarlo a través del aviso legal (o de la política de privacidad de tu sitio).
2. Si utilizas cookies de terceros(Google Analytics no las usa), o usas cookies propias pero identificas al usuario. Entonces debes solicitar un consentimiento expreso por parte del usuario. Debes avisar que tu sitio utiliza cookies y quienes tienen que otorgar su consentimiento para que las utilices son los usuarios de tu página web.

Política de cookies transparente

Se debe informar al usuario claramente y en todo momento sobre el funcionamiento de las cookies en el sitio web.

Responsabilidad por el uso de cookies en la web

Pueden inspeccionarte y te pueden imponer la obligación de rendir cuentas exhaustivamente sobre los procesos de datos vinculados a tu sitio web. La complicación aquí está en que la mayoría de los sitios web cuentan con un gran número de cookies de terceros.

Consentimiento previo

Con el RGPD, el consentimiento del usuario debe tener lugar antes de la configuración de las cookies, de manera que inicialmente solo se establezcan las que sean estrictamente necesarias.

Consentimiento a través de una acción afirmativa

La principal novedad en el uso de cookies en relación al RGPD es que el consentimiento deberá otorgarse a través de una acción afirmativa evidente.

Estamos acostumbrados a los banners en nuestros sitios web, informando del uso de cookies y a veces pidiendo el marcar la casilla del botón de ok, sin ofrecer ninguna otra opción.

Con estas nuevas normativas, esto no es suficiente. El consentimiento deberá otorgarse como una opción afirmativa y positiva, y el rechazo de cookies debe suponer una opción real.

Revocar el consentimiento

El usuario debe ser capaz de retirar su autorización.

Por eso, es importante asegurarse de que los usuarios tienen acceso a su declaración de consentimiento vigente en cualquier momento y de que pueden modificar los parámetros o retirar íntegramente su autorización.

Renovación del consentimiento

Cada 12 meses desde la primera visita del usuario al sitio debe renovarse el consentimiento.

Información en lenguaje sencillo

El uso de cookies debe ser transparente y debe dar una idea al usuario sobre el tratamiento de sus datos.

Por otro lado, la comunicación debe ser clara y fácil de entender para que el usuario disponga de una opción real.

Registro de consentimientos otorgados

Todos los consentimientos deben guardarse de forma segura de forma que puedan servir como prueba en caso de inspección.

6. Consentimiento de pacientes

El farmacéutico titular de la oficina de farmacia debe garantizar tanto el respeto a la dignidad de la persona y a la autonomía de su voluntad, como el respeto a su intimidad.

Los interesados (usuarios/clientes/pacientes) de la oficina de farmacia tienen derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización por escrito, salvo que dicho acceso esté amparado por la Ley.

El tratamiento de sus datos sólo será lícito si cumple con los siguientes requisitos:

El interesado presta su consentimiento.

EL CONSENTIMIENTO EN EL RGPD

• Mediante una declaración inequívoca o una acción afirmativa clara. Las casillas previamente marcadas, el consentimiento tácito o la inacción no constituyen desde la aplicación del nuevo reglamento europeo un consentimiento válido.
• El consentimiento ha de ser explícito cuando se traten datos de categorías especiales, para la adopción de medidas automatizadas y para realizar transferencias internacionales de datos.
• Sin embargo, el consentimiento puede ser inequívoco y otorgarse de forma implícita cuando se deduce de una acción del interesado; por ejemplo, cuando accedemos a navegar por una página web y aceptamos que se utilicen cookies para monitorizar nuestra navegación.

Datos personales sin consentimiento RGPD

El tratamiento es necesario:

• Para la prestación de un servicio (como la dispensación de un medicamento, sujeto o no a receta médica, o la prestación de servicios sanitarios a petición).
• Cumplir con una obligación legal (como el tratamiento de datos consecuencia de cumplir con las obligaciones laborales).
• Proteger el interés vital del interesado.
• Satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o de un tercero.

El consentimiento puede solicitarse de dos formas:

En la web

Si el cliente/paciente introduce sus datos personales en la página web, debe existir una casilla desmarcada por defecto que le permita aceptar esa política de privacidad.

En la farmacia

En caso de que el paciente facilite sus datos personalmente en la farmacia, debe firmar un documento en el que se le informe sobre:

• el responsable del tratamiento,
• la finalidad para la que se van a usar los datos,
• si se van a ceder a terceros y
• el medio por el que puede ejercer sus derechos.

Uno de los fines principales del RGPD es que los clientes sean mucho más conscientes de qué información disponen las empresas de ellos y para qué se utiliza.

Por ello, es esencial que se les comunique cualquier cambio que se vaya a realizar.

Una buena opción sería enviar emails a los clientes y empleados o publicar alguna entrada en la página web y difundirla posteriormente por redes sociales, para generar más confianza.

7. Derechos de los interesados

Derecho de información

En cualquier caso, los interesados tienen derecho a que el responsable de tratamiento les informe de lo siguiente:

• Identificación del responsable de tratamiento (datos de contacto, nombre y apellidos, CIF, teléfono, y datos de contacto del DPO).
• Finalidad del tratamiento: descripción de las finalidades del tratamiento, plazos de conservación de los datos, criterios de conservación y lógica aplicada a la elaboración de perfiles.
• Legitimación o descripción de la base jurídica del tratamiento: puede consistir en el consentimiento del interesado, en una obligación legal del responsable de tratamiento o en un interés legítimo de éste.
• Destinatarios: previsión de si los datos van a cederse a terceros y, en su caso, las transferencias internacionales.
• Información sobre los derechos de los interesados.

¿Cuáles son estos derechos?

El responsable de tratamiento tiene el deber de informar a los interesados de los derechos que les asisten en relación con el tratamiento de datos que lleve a cabo.

El nuevo reglamento ha ampliado el elenco de derechos, con el objeto de proporcionar herramientas de control de sus datos.

El farmacéutico deberá informar de cómo, cuándo y dónde el interesado puede ejercer tales derechos, y deberá responder dentro del plazo de 1 mes desde que se le presentó la reclamación, y de 2 meses cuando se trate de solicitudes más complejas.

Los interesados, los dueños de los datos personales, pueden ejercer, según el RGPD, sus derechos. Estos son los derechos que pueden ejercer:

• acceso a los propios datos personales;
• rectificación si los datos son inexactos;
• supresión (derecho al olvido) si se tratan de forma ilegal o ya no son necesarios para la finalidad con que se recogieron;
• limitación del tratamiento;
• portabilidad de los datos;
• oposición a un uso posterior con fines de prospección comercial (marketing directo), investigación científica o histórica, o fines estadísticos; y
• a no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles).
• derecho a presentar una reclamación ante la autoridad de control competente.

En tu farmacia debes proveer mecanismos para que los interesados puedan ejercer sus derechos. Estos medios deben indicarse en el documento de consentimiento a firmar por los pacientes y en la política de privacidad de la página web.

El derecho de portabilidad es uno de los nuevos derechos recogidos en el RGPD. Para facilitar el cumplimiento de este derecho los datos personales deben ser almacenados y administrados en un formato estructurado, de uso común y lectura mecánica para que sean fáciles de utilizar y compartir.

En cuanto al derecho al olvido, o de supresión, el paciente puede solicitar que se eliminen o se oculten los datos que le conciernen.

Recordemos que en materia de salud es necesario conservar algunos datos durante un cierto número de años para cuestiones médicas/legales. En este caso, es preferible ocultar los datos en lugar de eliminarlos.

8. Contratos de confidencialidad con empleados

Los empleados tienen acceso a toda la información que maneja la farmacia y, por tanto, deben firmar un acuerdo de confidencialidad para evitar que esa información sea revelada a personas no autorizadas.

Son los empleados los que manipulan y gestionan toda la información, por lo que deben estar debidamente informados y concienciados sobre las medidas de seguridad que deben aplicar para proteger dicha información.

En una farmacia, los empleados tienen acceso a un correo electrónico para comunicarse entre ellos internamente, y también para comunicarse con pacientes y proveedores.

Esto les convierte en objetivos de los atacantes, porque la ingeniería social y las técnicas como el phishing son los métodos de ataque más utilizados debido al éxito que tiene para los ciberdelincuentes.

9. Notificar brechas de seguridad

Una de las obligaciones que establece el nuevo Reglamento es la notificación de los incidentes de seguridad que se produzcan en la empresa.

¿A quién?

Tanto a los afectados como a la AEPD.

Lo ideal es estar prevenidos con un plan de respuesta ante incidentes.

Existe un límite de 72 horas para notificar a las autoridades y dotar a estas de información, por lo que el plan debe someterse a prueba para garantizar que se cumple con el plazo establecido.

10. Delegado de protección de datos

El delegado de protección de datos es una figura que tiene distintas funciones:

• asesorar e informar al responsable de tratamiento;
• supervisar el cumplimiento de la normativa sobre protección de datos;
• cooperar con la autoridad de control,
• operar como punto de contacto entre ésta y el responsable de tratamiento.

La figura del delegado de protección de datos no existía en la normativa anterior al nuevo reglamento europeo. La que más se le asemeja es la del «responsable de seguridad», que el responsable de tratamiento debía nombrar, cuando los datos personales tratados requerían la adopción de medidas de seguridad de nivel medio y alto.

En principio,  el farmacéutico titular propietario de la oficina de farmacia no debería estar obligado a nombrar un delegado de protección de datos.

De hecho, el tratamiento de datos de pacientes por parte de un solo médico u otro profesional de la salud no constituye tratamiento a gran escala, por lo que se entiende que ése sería el caso del farmacéutico titular de la oficina de farmacia.

No obstante, por el volumen de datos que trates en tu farmacia, puede ser necesario que debas designar a un profesional con la cualificación necesaria en esta materia para que salvaguarde los procesos y políticas internas del tratamiento de datos personales. Este profesional será el Delegado de Protección de Datos (DPD).

Además, para cumplir con el principio de información del nuevo RGPD, la designación del DPD y sus datos de contacto deben hacerse públicos y deberán ser comunicados a las autoridades de supervisión competentes.

El Delegado de Protección de Datos podrá ser, tanto una persona en plantilla de la empresa, como una externa, y el cargo podrá ser desempeñado también por una empresa que ofrezca el servicio.

OTRAS CUESTIONES

¿Deben las farmacias cumplir los requisitos del RGPD en la instalación de cámaras de videovigilancia?

Por supuesto. En caso de que instalen cámaras de videovigilancia deben:

• Incluir el correspondiente tratamiento
• Cumplir el principio de proporcionalidad
• Informar mediante el correspondiente cartel distintivo.

¿Qué ocurre con las tarjetas de fidelidad facilitadas a mis clientes/pacientes?

Aquí hay que prestar gran atención porque los datos que recoge el farmacéutico, en algunas ocasiones no son del farmacéutico, no los puede usar y tratar para su uso en la farmacia como propios.

Son de la sociedad que gestiona la tarjeta.

Hay que ser conscientes de qué es de la farmacia y qué no es, de qué datos es responsable la farmacia y de cuáles es encargada de tratamiento, así como de las obligaciones que tiene respecto de esos datos.

¿Debo establecer medidas de seguridad adicionales a las habituales en el sector?

La normativa de protección de datos no hace referencia a medidas concretas de seguridad.

Se refiere a las “adecuadas al tipo de datos que se maneja, su volumen y finalidad, y en todo caso en relación al estado actual de la tecnología y al coste asociado a su implantación”.

Esto quiere decir que las medidas de seguridad deben ser las correspondientes al manejo, en el caso de las farmacias, de datos tan sensibles como los de salud. Que además pueden afectar a colectivos considerados vulnerables, tales como los menores o los ancianos.

Por todo lo anterior se hace necesario enfatizar en la necesidad de cumplir unas medidas de seguridad como:

• establecer sistemas de identificación de usuarios y contraseñas para el acceso a la información en el caso del uso de herramientas informáticas,
• elaborar una relación de autorizados y sus niveles de acceso,
• posible encriptación de archivos y
• realizar copias de respaldo de la abundante documentación de la que normalmente se dispone en las farmacias.

En el caso de prestadores de servicios sin acceso a datos en farmacias, ¿Cuándo se tratan datos personales?

• Cuando prestamos el servicio, no actuamos como Encargados de tratamiento, ya que no debemos tener acceso a datos personales de clientes para ejecutar nuestro contrato con la clínica como prestador de servicios.
• Es obligación de la clínica, como Responsables, enviar cualquier información para la revisión por parte del prestador del servicio con los datos personales de los clientes anonimizados.
• En caso contrario (recibir la información sin datos anonimizados), el prestador del servicio deberá tomar medidas técnicas, como la destrucción de esa información, informando al Responsable y pidiendo la recepción correcta conforme al RGPD de la información.
• Cuando no se tenga acceso a datos personales de las clínicas/laboratorios no se deberá firmar un contrato de “Encargado de Tratamiento” en sí.
• Sin embargo, sí sería necesario firmar un “Contrato de Prestador de Servicios y/o Confidencialidad SIN acceso a datos”, donde se recojan las obligaciones del Responsable y del Encargado sin acceso a datos, así como el deber de confidencialidad propio y de nuestros empleados en caso de acceso a los datos.
• En caso contrario, siempre será necesario firmar un “Contrato de Encargado de Tratamiento” conforme al RGPD. Algunos ejemplos de estos prestadores de servicios son: empresa de limpieza, mantenimiento técnico, cáterings de empresa…

Deseamos que esta información le haya sido de utilidad. En cualquier caso, puede contactar con nuestro despacho para cualquier duda que le surja. Llámenos al 96.291.50.25 y estaremos encantados de atenderle.

La entrada CUMPLIMIENTO DEL RGPD EN FARMACIAS se publicó primero en Gestiona Abogados.

Esto no es así, y deben protegerse todos aquellos datos que se almacenen ya sean, de proveedores, de los pacientes, trabajadores o cualquier dato personal.

Además siempre se debe informar al interesado, mantener la información actualizada, y un aspecto muy importante, firmar los acuerdos de confidencialidad con todo aquel que vaya a tener acceso a estos datos.

Además, no hay que olvidarse de que un fisioterapeuta tiene pacientes, esto quiere decir que posee datos de salud, y estos están especialmente protegidos.

¿Qué deben hacer los Fisioterapeutas para cumplir con el RGPD?

Las tareas a llevar a cabo para el cumplimiento de esta ley son:

1. Identificar los ficheros o datos personales.

Se deben identificar los tratamientos que contengan datos de carácter personal. Con total seguridad serán datos de:

• empleados
• pacientes
• clientes
• proveedores

A continuación, especificar la finalidad para la que se usan esos datos.

2. Reconocimiento del nivel de seguridad que se les aplica.

Una vez identificados los ficheros se deberán analizar los riesgos que supone tratar con esos datos en nuestro centro para determinar las medidas de seguridad que deberemos adoptar.

Evaluar el nivel de seguridad es muy importante porque no es el mismo, el riesgo que se da en el tratamiento en los datos de los empleados, que en el de los pacientes.

3. Evaluación de Impacto.

En el caso particular de los fisioterapeutas, por la actividad que realizan, y el riesgo que pueden suponer para los derechos y libertades de nuestros pacientes, el RPGD nos obliga a realizar una Evaluación de Impacto.

Aquí encontrarás un artículo sobre cómo realizar una Evaluación de Impacto.

4. Elaborar un Registro de Actividades de Tratamiento.

Al tratar datos sensibles, los fisioterapeutas estarán obligados a su redacción. Si deseas saber cómo elaborar un Registro de actividades de tratamiento pincha aquí.

5. Documento de Seguridad.

El Documento de Seguridad, es un documento en el cual se resume todo aquello relativo al tratamiento de datos personales dentro de la actividad profesional, como los ficheros tratados, empleados que acceden a los datos, sistemas de seguridad instalados, registro de incidencias, etc.

6. Contratos de confidencialidad.

Se deberá firmar un compromiso de confidencialidad con los empleados, con los colaboradores, y con todos aquellos que tengan acceso a las historia clínicas, debido a la criticidad de los datos para las libertades y derechos de los pacientes.

7. Formación.

El Responsable del tratamiento, deberá tener una formación en la materia que le permita tratar los datos conforme a la normativa.

8. Delegado de Protección de Datos.

En este caso en particular, se pueden llegar a tratar datos de historias clínicas, por lo que la normativa exige que se cuente con un una figura de responsabilidad experta en la materia, el Delegado de Protección de Datos.

9. Información a los propietarios de los datos.

Es necesario informar a los afectados por el tratamiento de, al menos:

• nombre del responsable.
• legitimación para la recogida de los datos, es decir, el por qué del tratamiento de los datos.
• finalidad del tratamiento.
• derechos de los interesados, incluyendo el interponer una reclamación ante la AEPD y como ejercitarlos

10. Plazo de conservación de los datos.

En líneas generales los plazos de conservación de la historia clínica y expedientes del paciente suele ser de 5 años a contar desde el último tratamiento.

No obstante dependiendo de la Comunidad Autónoma donde ejerzas hay diferentes plazos para diferente documentación clínica.

11. Auditorías periódicas.

Como fisioterapeutas, y debido al nivel de datos que tratamos, estaremos obligados a hacer auditorías bienales como mínimo.

La realización de la auditoría será también obligatoria en el caso de cambios en los sistemas de información que puedan afectar a las medidas ya implantadas.

La auditoría se podrá realizar de forma interna o externa y finalizará con un Informe que determinará si nuestra empresa se adecua o no a la Ley, y en el caso de no cumplir con ella, indicará cuáles son las deficiencias y recomendará las medidas correctoras necesarias.

Estos informes serán revisados para adoptar las medidas correctoras necesarias, quedando este informe a disposición de la AEPD y de las autoridades de control de cada Comunidad Autónoma.

12. Consentimiento.

Procurar que el consentimiento sea inequívoco y expreso, no tácito, del paciente para el uso de sus datos.

13. Cláusulas.

Es necesario actualizar las cláusulas de los contratos, ya que se exige una mayor vigilancia con respecto a los terceros que contratamos para que nos presten un servicio también cumplan con la normativa.

Asimismo, es necesario dar mayor información a las personas que tratamos sus datos.

14. Confidencialidad.

Los datos que se tratan en un centro de fisioterapia, pueden llegar a ser muy sensibles, por lo que se debe poner por escrito el compromiso de confidencialidad que deben firmar los trabajadores, así como también, las repercusiones si faltan al mismo.

15. Notificación brechas de seguridad.

Estaremos obligados a notificar una brecha o violación de seguridad si la misma afecta a datos personales y cuando la misma constituya un riesgo para los derechos y las libertades de las personas físicas.

16. Proveedores.

Elección responsable de los proveedores externos que accedan a los datos, como por ejemplo: la gestoría que nos elabora las nóminas,  o la empresa encargada del mantenimiento informático de nuestros ordenadores.

Si nosotros cumplimos con la normativa ellos también deben hacerlo.

17. Códigos de conducta y certificados.

Se está fomentando la redacción de códigos de conducta y certificaciones mediante los cuales, cumpliendo sus exigencias y adoptándolos, podremos cumplir con la normativa.

18. No usar mensajería instantánea para enviar datos de los pacientes.

La comunicación de datos médicos confidenciales mediante mensajes de texto SMS y otro tipo de mensajes electrónicos no cifrados está prohibido, por infringir las leyes de Protección de Datos.

Conclusión

Por lo tanto, según lo expuesto, si queremos cumplir con la normativa, debemos hacer hincapié en los siguientes puntos:

• 1.Tener actualizada y firmada toda la documentación.
• 2.Firmar el compromiso de confidencialidad de empleados.
• 3.Analizar previamente al tratamiento los riesgos que puede conllevar el mismo.
• 4.Establecer las medidas de seguridad conforme a los riesgos detectados.
• 5.Redactar el Registro de las Actividades de Tratamiento.
• 6.Informar a los interesados del tratamiento de sus datos y derechos.
• 7.Elaborar el Documento de Seguridad.
• 8.Nombrar un Delegado de Protección de Datos.

Esperamos haberte facilitado la implementación de esta normativa en el caso de que trates datos en el ámbito de la fisioterapia.

Tened en cuenta que si no se cumplen con todas estas medidas, o alguna de ellas, se le puede sancionar por ello, y el importe variará dependiendo de la infracción cometida.

 

La entrada FISIOTERAPEUTAS Y RGPD se publicó primero en Gestiona Abogados.