Las residencias de mayores tratan datos personales identificativos de los residentes, como pueden ser sus nombres y apellidos, documentos de identidad, números de teléfono, datos bancarios, e incluso también datos de contacto de sus familiares.

El principal riesgo de protección de datos en las Residencias de Mayores deriva del tratamiento de categorías especiales de datos personales como son los datos de salud (enfermedades, patologías, etc.), respecto de los cuales se debe tener especial diligencia y un mayor nivel de protección.

Otra de las especialidades con la que nos encontramos en las residencias de ancianos es que muchos de ellos no tienen plena capacidad de obrar o tienen su capacidad modificada judicialmente.

En estos casos, sería el representante legal del residente el encargado de obrar en nombre de este y a quien deberán dirigirse las debidas informaciones.

OBLIGACIONES A CUMPLIR EN LAS RESIDENCIAS DE MAYORES

Seguidamente te contamos que debes implementar en la Residencia para cumplir con la protección de datos:

1. Registro de actividades de tratamiento

Lo primero que debes tenerse en cuenta es qué tipo de datos manejas y qué cantidad.

Debes responder a preguntas como:

• Tipo de datos que recopilas
• Finalidad del tratamiento
• Política de almacenamiento de esos datos
• Si cedes esos datos o los transfieres fuera de nuestro país
• Medios de tratamiento

Es decir, que las residencias de mayores deben llevar a cabo un registro de actividades del tratamiento en el que debe constar los fines del tratamiento de los datos, qué categorías de interesados se verán afectados, qué categorías de datos personales van a tratarse (en este caso deberían incluirse también los tratamientos de datos sensibles relativos a la salud), y posibles destinatarios, entre otros aspectos.

2. Análisis de riesgos

El tratamiento de datos personales relativos a nuestros mayores por parte de las residencias entraña un alto riesgo para sus derechos y libertades de personas que pueden ser consideradas en situación de vulnerabilidad. 

Es por ello que la residencia debe realizar un análisis de riesgos para identificar los tipos de riesgos y amenazas a los que están expuestos los datos personales, y establecer controles y medidas de seguridad adecuadas que minimicen esos riesgos y garanticen la confidencialidad.

Una vez realizado este análisis, debes implementar medidas de seguridad avanzadas, nunca obsoletas, que sean capaces de impedir o bloquear los ataques informáticos actuales.

3. Evaluación de impacto

Además, al ser el riesgo especialmente alto por tratar datos sensibles, deberás realizar una evaluación de impacto para minimizar las posibilidades de afectar a los derechos o libertades de los interesados.

Las residencias geriátricas realizan un tratamiento de categorías especiales de datos ya que manejan datos de salud de sus residentes. Por tanto, estás obligado a realizar esa Evaluación de impacto.

4. Contratos con terceros

Las residencias de la tercera edad se relacionan también con terceros que disponen de algunos de los datos de los usuarios.

Es por ello que debes identificar adecuadamente a las empresas externas que te prestan servicios con tratamiento de datos personales por cuenta del responsable (que en este caso, es la residencia), como por ejemplo las farmacias, las gestorías, la empresa de mantenimiento informático, las empresas de videovigilancia, entre otras.

Con ellas deberá firmar los correspondientes contratos de encargado del tratamiento donde deberá recogerse, entre otros aspectos, el objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos personales, categorías de interesados, obligaciones y derechos.

De igual forma, deberán instar a estas empresas externas a que acrediten un adecuado nivel de cumplimiento de la normativa de protección de datos.

Respecto a las farmacias, en los casos en que las residencias gestionen la medicación de sus residentes, implica necesariamente un traspaso de información sensible de la Residencia a la Farmacia, con motivo de la entrega de recetas o informes médicos indispensables para la dispensación.

Las residencias deberán informar sobre estas comunicaciones de datos y contar con el consentimiento de los pacientes o de sus representantes legales para estas cesiones, o acreditar que cuentan con poder suficiente para la gestión de los medicamentos de residentes y de la facturación de los mismos.

5. Consentimiento de residentes

La residencia deberá recabar el consentimiento expreso de sus residentes (o de sus representantes legales), siendo estos previamente informados de manera adecuada sobre el tratamiento de sus datos, así como de los derechos que les asisten en materia de protección de datos de carácter personal y las vías por las cuales pueden ejercerlos.

Se recomienda aprovechar el momento de ingreso del residente en la institución para que este o el representante legal, en su caso, otorgue poder suficiente para, entre otros aspectos, la gestión de su medicación, y para autorizar el tratamiento de sus datos personales necesarios para la adecuada prestación de los servicios.

Cuando el residente no cuente con plena capacidad de obrar, las debidas informaciones deberán dirigirse a su representante legal, que será quien autorice y consienta el tratamiento de los datos personales en nombre y representación de aquel.

Este consentimiento puede solicitarse de dos formas:

• Si el cliente/residente introduce sus datos personales en la página web, debe existir una casilla desmarcada por defecto que le permita aceptar esa política de privacidad.
• En caso de que el paciente facilite sus datos personalmente en el centro, debe firmar un documento en el que se le informe sobre:
  • responsable del tratamiento,
  • finalidad para la que se van a usar los datos,
  • si se van a ceder a terceros y
  • el medio por el que puede ejercer sus derechos ARCO.

6. Derechos de los usuarios

Estos son los derechos que pueden ejercer los interesados:

• acceso a los propios datos personales;
• rectificación si los datos son inexactos;
• supresión (derecho al olvido) si se tratan de forma ilegal o ya no son necesarios para la finalidad con que se recogieron;
• limitación del tratamiento;
• portabilidad de los datos;
• oposición a un uso posterior con fines de prospección comercial (marketing directo), investigación científica o histórica, o fines estadísticos; y
• a no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles).

En la residencia de ancianos debes proveer mecanismos para que los interesados puedan ejercer sus derechos.

Estos medios deben indicarse en el documento de consentimiento a firmar por los residentes y en la política de privacidad de la página web.

7. Contratos con empleados

Los empleados de la residencia que traten datos personales para el desempeño de sus funciones deben ser debidamente formados e informados sobre sus obligaciones y derechos en materia de protección de datos.

La residencia deberá firmar con ellos compromisos de confidencialidad y cumplimiento del deber de secreto.

También deben cumplir las medidas de seguridad establecidas por la empresa para garantizar la protección de los datos personales.

En un centro geriátrico, los empleados tienen acceso a un correo electrónico para comunicarse entre ellos internamente, y también para comunicarse con familiares de los residentes y proveedores.

Esto les convierte en objetivos de los atacantes, porque la ingeniería social y técnicas como el phishing son los métodos de ataque más utilizados debido al éxito que tiene para los ciberdelincuentes.

8. Notificar brechas de seguridad

Una de las obligaciones que establece el nuevo Reglamento es la notificación de los incidentes de seguridad que se produzcan en la empresa.

¿A quién?

Tanto a los afectados como a la AEPD.

En el caso de que se dé una situación de ciberataque o infracción en la residencia de ancianos, lo ideal es que estés prevenido con un plan de respuesta ante incidentes.

Existe un límite de 72 horas para notificar a las autoridades y dotar a estas de información, por lo que el plan debe someterse a prueba para garantizar que cumpla con el plazo.

Cabe destacar que, aunque no se permitirán infracciones intencionadas de la ley, existirán atenuantes si se puede demostrar a las autoridades y a los clientes que se está haciendo todo lo posible para cumplir con ella.

9. Nombrar un DPD

Puede ser necesario designar un Delegado de Protección de Datos (DPD) en la residencia, en atención al volumen de datos tratados, en el caso de que se realice un tratamiento a gran escala de categorías especiales de datos personales, como son los datos de salud.

Además, para cumplir con el principio de información del nuevo RGPD, la designación del DPD y sus datos de contacto deben hacerse públicos y deberán ser comunicados a las autoridades de supervisión competentes.

El Delegado de Protección de Datos podrá ser tanto una persona en plantilla de la empresa como una externa y el cargo podrá ser desempeñado también por una empresa que ofrezca el servicio.

OTROS TEMAS A TENER EN CUENTA

Información a los familiares acerca de los residentes

Si la persona afectada tiene capacidad plena de obrar sería dueña de sus propios datos y la cesión de los mismos debe realizarse mediante consentimiento expreso y escrito.

De no ser así, serán sus representantes legales quienes accedan a dicha información, ya que actúan en nombre y representación del afectado.

¿Cuánto tiempo puedo guardar los expedientes de los residentes?

El RGPD no establece un plazo concreto sino que se indica que los datos deben guardarse durante el tiempo en que sean necesarios para la finalidad para la que se recabaron y mientras sean exigibles responsabilidades derivadas de los mismos.

En líneas generales los plazos de conservación de la historia clínica y expedientes del paciente suele ser de 5 años a contar desde el último tratamiento. Pero cada Comunidad autónoma, al tener atribuidas las competencias en materia de sanidad, puede establecer plazos distintos.

¿Puedo publicar fotografías de los residentes realizadas en actividades en el centro?

No, no puedes publicarlas. 

Salvo que tengas el consentimiento expreso de los residentes o de sus representantes legales.

La publicación en una página web de las fotos constituye una cesión o comunicación de datos de carácter personal. La cesión es definida como “Toda revelación de datos realizada a una persona distinta del interesado”. Y requiere el consentimiento del afectado.

¿Qué tengo que hacer si instalo cámaras de videovigilancia?

Si en tu residencia de mayores instalas un sistema de Vídeo Vigilancia también debes cumplir los siguientes requisitos:

• Instalar carteles informativos en todas las entradas al centro,
• incluir esas grabaciones en el Registro de actividades de tratamiento,
• no guardar grabaciones después de 30 días,
• las cámaras deberán respetar la intimidad de las personas y no podrán grabar en espacios públicos, solo el interior del local,
• si tenemos una pantalla donde vemos las grabaciones, ésta solo debe estar visible por personal autorizado y
• debemos tener un Impreso donde informe de:
  • existencia de las grabaciones,
  • fin para el que se recogen dichas grabaciones,
  • posibilidad de que un cliente pueda ejercer sus derechos y
  • identidad del responsable de esta información.

¿Puedo contratar una empresa externa para destruir los historiales clínicos?

Sí puedes.

Esto se considera un acceso a datos por cuenta de tercero y para ello se necesita un contrato entre el responsable del fichero y el tercero en el cual se indiquen expresamente las obligaciones de este.

El encargado del tratamiento adquiere idénticas obligaciones al responsable del fichero e incurre en las mismas responsabilidades.

Derecho de acceso a historia clínica del residente

El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 

El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada.

Los centros sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o de hecho. 

También podrán dirigirse con estos fines las personas o instituciones a las que el fallecido hubiese designado expresamente para ello.

Todas estas personas no podrán solicitar acceso, rectificación o supresión de los datos del residente fallecido, cuando este lo hubiese prohibido expresamente, o así lo establezca una ley. Resolución AEPD R/02421/2017.

CONCLUSION

• El tratamiento sistemático de categorías especiales de datos personales como son los datos de salud conlleva, ya de por sí, un alto riesgo para la privacidad.
• En las Residencias, los datos de salud se refieren a un colectivo especialmente vulnerable, como es el caso de los mayores.
• Estos dos factores, datos sensibles de salud y personas que a menudo no pueden comprender el alcance de su privacidad, hacen que los tratamientos de datos en estas entidades presenten un alto riesgo de vulnerar los derechos y libertades fundamentales de sus residentes.
• Por ello,  deben establecerse todas las garantías necesarias y las oportunas medidas técnicas y organizativas que permitan reducir el riesgo de vulneración del derecho a la protección de datos.