Guía de cumplimiento del RGPD y LOPDGDD en el Sector Salud

Obtener copia de la historia clínica.

• Por regla general, gratuita.
• Se pueden cobrar copias repetidas o solicitudes excesivas.

Acceso por terceros

Familiares de menores: los padres/tutores pueden acceder salvo restricciones médicas o situaciones de conflicto.

Familiares de fallecidos: podrán acceder a información relevante, excepto si:

• El fallecido lo prohibió en vida.
• Afecta a derechos de terceros.

Profesionales sanitarios: solo pueden acceder bajo criterio de necesidad asistencial (principio de minimización).

El paciente puede solicitar registro de accesos (quién consultó su historia y cuándo).

Rectificación y supresión de datos

Rectificación: procede frente a datos incorrectos, incompletos o inexactos.

En datos clínicos prevalece el criterio médico.

Supresión: no suele aplicarse a datos clínicos por la obligación legal de conservación.

Sí puede aplicarse a datos administrativos o no relevantes.

Obligaciones de los Centros Sanitarios (Responsables del Tratamiento)

Los datos de salud solo pueden tratarse bajo condiciones estrictas

Base jurídica principal:

Interés público en el ámbito de la salud para:

• Asistencia sanitaria.
• Gestión sanitaria.
• Diagnóstico y tratamiento.
• Coordinación asistencial.

Cuándo se requiere consentimiento explícito:

• Investigaciones no amparadas por normativa específica.
• Cesiones a terceros que no estén relacionadas con la asistencia sanitaria.
• Algunos procedimientos o tratamientos no estrictamente asistenciales.
• Uso de datos para formación o proyectos externos.

Medidas de seguridad obligatorias

Los centros sanitarios deben aplicar medidas técnicas y organizativas reforzadas:

Medidas técnicas

• Cifrado de datos almacenados y de las comunicaciones.
• Sistemas de control de acceso basados en perfiles.
• Contraseñas robustas y autenticación multifactor cuando sea posible.
• Registro de accesos a la historia clínica.

Medidas organizativas

• Protocolos de confidencialidad para el personal.
• Copias de seguridad periódicas.
• Planes de respuesta ante incidentes y brechas de seguridad.
• Procedimientos de bloqueo y conservación de historiales.

Deber de información al paciente

El centro sanitario debe informar de forma clara, previa y accesible sobre:

• Identidad del responsable del tratamiento.
• Finalidad del tratamiento.
• Base legal.
• Plazos de conservación.
• Derechos del paciente.
• Datos de contacto del Delegado de Protección de Datos (DPD).

La información puede darse mediante:

• Cartelería.
• Folletos informativos.
• Formularios de admisión.
• Web del centro.

Delegado de Protección de Datos (DPD)

Es obligatorio en:

• Hospitales.
• Clínicas.
• Centros sanitarios públicos y privados.

Funciones principales:

• Supervisión del cumplimiento.
• Asesoría interna.
• Interlocución con la AEPD.
• Gestión de solicitudes de derechos.

Incidentes en el entorno sanitario

La gestión de incidentes en el sector sanitario requiere una especial atención debido a la naturaleza sensible de los datos de salud. Una brecha de seguridad en un hospital, clínica o centro médico no solo supone un incumplimiento normativo, sino también un riesgo directo para los derechos y libertades de los pacientes. Por ello, los centros sanitarios deben contar con protocolos sólidos para detectar, evaluar y responder adecuadamente a cualquier incidente.

Las brechas de seguridad son uno de los incidentes más críticos. Cuando se produce una filtración, pérdida o acceso no autorizado a datos clínicos, el centro debe actuar de forma inmediata. En primer lugar, debe identificarse y documentarse la brecha, analizando su alcance y posibles consecuencias. A continuación, se realiza una evaluación de riesgos para determinar el impacto sobre los pacientes. Si del análisis se desprende que existe un riesgo para los derechos de los afectados, la organización debe notificar la brecha a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas.

En los casos en los que el riesgo sea especialmente alto, también es obligatorio informar directamente a los pacientes afectados. Finalmente, el incidente debe registrarse en el registro interno de brechas para su seguimiento y prevención futura.

En Forlopd ayudamos a empresas de diferente índole a adaptar sus procesos para un correcto cumplimiento normativo. Acompañándoles en esta adecuación, si tu negocio necesita saber si se adapta para evitar costosas sanciones administrativas, puedes solicitarnos un análisis sin coste a través del siguiente enlace.