¿Qué supuso para España la entrada en vigor del Reglamento General de Protección de Datos (RGPD) del pasado año?
La norma resulta de obligado cumplimiento y directamente aplicable desde el 25 de mayo de 2018 en cada Estado miembro, lo que supuso un fuerte impacto en el ámbito empresarial, porque no solo abordó un cambio legislativo sino también de cumplimiento.Debe tenerse en cuenta que el RGPD es el inicio de una carrera a largo plazo y aún queda mucho por hacer, pues una de las obligaciones de la propia norma es revisar las medidas aplicadas de manera que siempre se encuentren actualizadas. Además, desde finales de 2018 tenemos en España una nueva Ley (Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales) que puntualiza y matiza algunos de los aspectos que expone el RGPD. Esta Ley también ha traído algunas novedades, como es el derecho a la desconexión digital en el ámbito laboral y el derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral, que las empresas deben tener en cuenta con sus empleados.
¿Qué cambios debieron hacer las empresas sanitarias?
Las empresas sanitarias realizan un trata-miento de datos relativos a la salud, considerado por el RGPD una categoría especial y deberá realizarse en términos más restrictivos. Los principales cambios que debieron realizar fueron los relacionados con medidas de responsabilidad proactiva, entre los que tenemos: elaboración de políticas de protección de datos adecuadas, análisis de los datos personales tratados y elaboración del registro de actividades de tratamiento, establecer medidas de protección desde el diseño y, por defecto, establecer medidas de seguridad adecuadas al riesgo, nombrar un Delegado de Protección de Datos en los casos exigidos por la normativa (o incluso voluntariamente como medida de cumplimiento), procedimiento adecuado de notificación de violaciones de seguridad, realizar un análisis de riesgos y llevar a cabo una evaluación de im-pacto en caso de que sea necesario, solicitar una autorización previa o consulta previa a la Autoridad de Control, etc.
¿En qué consiste la figura del Delegado de Protección de Datos?
En el sector sanitario quedan obligados a designar esta figura los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Se exceptúan de esta obligación los profesionales de la salud que, aun estando legalmente obligados a ello, ejerzan su actividad a título individual. El DPD debe encargarse de asesorar e informar a la empresa respecto al cumplimiento de la normativa. Debe actuar con independencia y autonomía de manera que no haya lugar a conflicto de interés en el cumplimiento. Los datos genéticos son de gran relevancia personal, ¿cómo deben manejarse?Son considerado por el RGPD una categoría especial de datos personales por lo que se deberá aplicar en el tratamiento de los mismos un nivel de seguridad adecuado a tal riesgo. Se trata de un nivel de máxima protección y las medidas organizativas y técnicas deberán garantizar la seguridad de tal tratamiento. Deberá prestarse especial atención a los riesgos relacionados con destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conserva-dos o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
Las historias clínicas, ¿cómo se debe realizar su custodia y su eliminación?
Deberán tratarse conforme al riesgo que supone ese tratamiento de datos sensibles. Tiene que garantizar la confidencialidad, integridad, disponibilidad y resiliencia de tales sistemas, evitando accesos no autorizados por parte de terceros, pérdida o destrucción de información, etc. Respecto a la eliminación, se deberá atender al principio de limitación del plazo de conservación establecido en el RGPD de manera que solo se mantendrán durante el tiempo necesario para cumplir con los fines para lo que fueron obtenidos. Para su eliminación deberá atenderse a lo dispuesto en la normativa concreta aplicable al caso, la Ley de Autonomía del Paciente que marca un plazo mínimo de conservación y señala a la legislación autonómica para determinar plazos concretos.
¿Y sobre el uso de fotografías de pacientes?
Lo primero es tener en cuenta que deberán aplicarse las obligaciones marcadas en la normativa de protección de datos a las foto-grafías que identifiquen a una persona o la hagan identificable. Deberá valorarse la legitimidad de su tratamiento, por ejemplo, si nos encontramos que forma parte de la historia clínica, pues es evidencia del progreso de un tratamiento, o si se trata de mostrar en una conferencia y sirva como ejemplo para las cuestiones que se están abordando. Además, deberán aplicarse las medidas adecuadas para garantizar su custodia e eliminación segura.Cada vez más las nuevas tecnologías han ganado espacio en la parcela profesional, ¿qué ocurre y qué riesgo se corre con ellas en consultas médicas?Desde mi punto de vista los riesgos en relación a las nuevas tecnologías son muy ele-vados si no se toman las precauciones y medidas adecuadas para mitigarlos. Por ejemplo, en una clínica el riesgo de utilizar WhatsApp para comunicarse con los clientes y enviar documentación por esa vía es altísima, ya que la herramienta no permite adjuntar la documentación cifrada y en caso de brecha de seguridad esa información queda totalmente expuesta. Deben utilizarse herramientas que ofrezcan garantías adecuadas y no lesionen los derechos y libertades de los pacientes.
¿Es legal la publicidad que algunos médicos hacen por WhatsApp?
Depende, ya que deberíamos valorar varias circunstancias. El tratamiento de datos personales debe realizarse únicamente para la finalidad para la que fueron recabados. Si el médico obtuvo el consentimiento (libre, expreso, inequívoco) del paciente para realizarle comunicaciones comerciales a través de dicha vía, se puede llegar a considerar conforme a la norma. Si la finalidad para la que el médico recabó los datos personales nada tienen que ver con tales envíos de publicidad, esos envíos incumplirán la normativa.
