Dentro de las actuaciones previstas en su Plan Estratégico, la Agencia Española de Protección de Datos (AEPD) ha presentado el informe Plan de Inspección de oficio de la atención sociosanitaria. En él analiza por primera vez los tratamientos realizados en el ámbito sociosanitario e investiga su adecuación a la normativa de protección de datos.
En concreto, el plan contiene conclusiones respecto del cumplimiento del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD); así como recomendaciones dirigidas a organismos públicos, empresas e instituciones titulares de centros sociosanitarios, que inciden en actuaciones necesarias para una correcta aplicación de la normativa.
Entre las conclusiones más relevantes se encuentran las referidas a la información que se debe ofrecer al usuario de estos servicios. Según el documento, preferiblemente será por capas, concisa y con un lenguaje claro, de acuerdo con la capacidad de comprensión del destinatario de la información. Por ejemplo, en la primera deberían estar carteles informativos sencillos ubicados en zonas de acceso a los centros. Después, en ellos, se podrían incluir referencias a otras capas de información más detallada.
El informe también destaca que, durante las auditorías, se detectaron problemas relacionados con la identificación por parte de los responsables de bases jurídicas de los tratamientos. En ese caso, la Agencia recuerda que para cada actividad de tratamiento realizada hay que identificar su base jurídica.
Estas inspecciones de oficio que realiza la Agencia en distintos sectores o áreas específicas no tienen carácter sancionador sino preventivo. Es decir, se llevan a cabo para obtener una visión integral que permita detectar deficiencias y realizar las oportunas recomendaciones. Su finalidad es elevar el grado de protección de los ciudadanos a través del análisis de los datos que manejan las organizaciones.
Preguntas y recomendaciones
El documento cuenta con un apartado de preguntas frecuentes en protección de datos que da respuesta a dudas surgidas en el ámbito sociosanitario. Por ejemplo, si es posible cancelar determinados datos de un usuario a petición suya; o también si se pueden llevar a cabo tratamientos con fines de investigación médica en un centro; o si es obligatorio facilitar datos personales de los usuarios del centro si lo solicitan las fuerzas de seguridad.
También se apreciaron dudas sobre si los centros podían facilitar información sobre la estancia, ubicación o estado de salud de un usuario a solicitud de los familiares. En este sentido, la AEPD observa que debe recabarse el consentimiento del usuario. No obstante, en casos de urgencia vital o si la presencia de personas vinculadas al usuario por razones familiares o de hecho pudiera ser esencial para la debida atención del usuario, siempre que el paciente no se haya opuesto a que dicha información sea facilitada, el centro puede informar si la persona se encuentra ingresada y su ubicación, sin indicar datos de categorías especiales o sobre la atención prestada.
Finalmente, el informe ofrece algunas recomendaciones relativas a la seguridad de los datos debido a que se trata de categorías especiales. Algunas de ellas son:
- Minimizar la compartición de datos personales entre profesionales a lo estrictamente necesario.
- Elaborar perfiles de acceso que consideren las necesidades de información de cada profesional
- Realizar auditorías de los accesos.
- Los empleados que tratan datos personales de los usuarios deben suscribir un compromiso de confidencialidad.
- Evitar la utilización de usuarios genéricos cuyo uso se comparte entre varios empleados.
- Los contratos de encargado de tratamiento deben especificar todas las obligaciones estipuladas por el RGPD.
- Las políticas de seguridad se han de basar en el análisis de riesgos.
- Realizar Evaluaciones de Impacto relativas a la Protección de los Datos para los nuevos tratamientos de los centros sociosanitarios.
Archivado en:
