Test: Protecció de dades en sanitat

La protecció de dades en l’àmbit sanitari és un dels temes transversals de les oposicions de Celador ICS. El celador accedeix de manera habitual a informació personal i clínica dels pacients, per la qual cosa conèixer els drets dels ciutadans, les obligacions dels professionals i el règim sancionador és imprescindible per superar el test i, sobretot, per exercir correctament la professió.

Marc normatiu

Les normes que estructuren aquest tema, de major a menor rang, són:

• Reglament (UE) 2016/679, de 27 d’abril de 2016, Reglament General de Protecció de Dades (RGPD). Aplicació directa a tots els estats membres des del 25 de maig de 2018.
• Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i Garantia dels Drets Digitals (LOPDGDD). Adapta l’ordenament espanyol a l’RGPD.
• Llei 32/2010, del 1 d’octubre, de l’Autoritat Catalana de Protecció de Dades (APDCAT). Regula l’organisme supervisor a Catalunya.
• Codi Penal, art. 197. Tipifica el descobriment i la revelació de secrets, inclosos els de naturalesa sanitària.

Nota d’estudi: l’RGPD preval sobre la LOPDGDD en cas de conflicte, perquè és norma de la UE d’aplicació directa.

Conceptes clau

Dada personal

Qualsevol informació sobre una persona física identificada o identificable (art. 4.1 RGPD). Una persona és identificable quan pot ser reconeguda directament o indirectament, per exemple mitjançant un número d’identificació, dades de localització o factors específics de la seva identitat.

Dades especialment protegides (categoria especial)

L’art. 9.1 RGPD estableix una categoria especial per a les dades que revelen:

• Origen ètnic o racial
• Opinions polítiques
• Conviccions religioses o filosòfiques
• Afiliació sindical
• Dades genètiques
• Dades biomètriques destinades a identificar de manera unívoca una persona
• Dades relatives a la salut
• Dades sobre vida sexual o orientació sexual

Les dades de salut són, per tant, categoria especial i gaudeixen de protecció reforçada. El tractament general d’aquestes dades queda prohibit tret que s’apliqui alguna de les excepcions de l’art. 9.2 RGPD (consentiment explícit, finalitats de medicina preventiva, diagnòstic mèdic, prestació d’assistència sanitària, etc.).

Tractament de dades

Qualsevol operació sobre dades personals: recollida, registre, organització, conservació, consulta, comunicació, difusió o supressió (art. 4.2 RGPD).

Responsable del tractament

Persona física o jurídica, autoritat pública o organisme que determina els fins i els mitjans del tractament (art. 4.7 RGPD). A l’ICS, el responsable és l’entitat institucional, no el celador a títol individual.

Encarregat del tractament

Persona o entitat que tracta dades per compte del responsable (art. 4.8 RGPD). La relació s’ha de formalitzar per contracte o acte jurídic vinculant (art. 28 RGPD).

Delegat de Protecció de Dades (DPD)

L’art. 37 RGPD obliga a designar un DPD, entre d’altres supòsits, quan el tractament a gran escala de categories especials de dades és l’activitat principal de l’organització. Els centres sanitaris públics estan obligats a tenir DPD. Les seves funcions principals (art. 39 RGPD) inclouen informar i assessorar, supervisar el compliment i cooperar amb l’autoritat de control.

Principis del tractament (art. 5 RGPD)

Aquests principis apareixen sovint en preguntes tipus test:

• Licitud, lleialtat i transparència: les dades es tracten de manera lícita i transparent per a l’interessat.
• Limitació de la finalitat: recollides amb fins determinats, explícits i legítims; no es poden tractar de manera incompatible amb aquests fins.
• Minimització de dades: adequades, pertinents i limitades al necessari.
• Exactitud: han de ser exactes i actualitzades.
• Limitació del termini de conservació: no es conserven més temps del necessari per a la finalitat.
• Integritat i confidencialitat: tractament amb seguretat adequada.
• Responsabilitat proactiva (accountability): el responsable ha de poder demostrar el compliment de tots els principis anteriors.

Drets dels interessats

L’RGPD reconeix els drets següents, que en l’àmbit sanitari corresponen als pacients:

• Dret d’accés (art. 15 RGPD): obtenir confirmació de si es tracten dades i accedir-hi.
• Dret de rectificació (art. 16 RGPD): corregir dades inexactes.
• Dret de supressió o “dret a l’oblit” (art. 17 RGPD): supressió de les dades quan ja no siguin necessàries.
• Dret a la limitació del tractament (art. 18 RGPD): restringir el tractament en determinades circumstàncies.
• Dret a la portabilitat (art. 20 RGPD): rebre les dades en format estructurat i transmetre-les a un altre responsable.
• Dret d’oposició (art. 21 RGPD): oposar-se al tractament per motius relacionats amb la situació particular de l’interessat.

El responsable ha de respondre les sol·licituds d’exercici de drets en el termini d’un mes (art. 12.3 RGPD), prorrogable fins a dos mesos addicionals en casos complexos, amb notificació prèvia a l’interessat.

L’Autoritat Catalana de Protecció de Dades (APDCAT)

Regulada per la Llei 32/2010, és l’autoritat de control independent a Catalunya per als tractaments efectuats per les administracions públiques catalanes, inclòs l’ICS. Les seves funcions principals inclouen:

• Supervisar el compliment de la normativa de protecció de dades.
• Atendre reclamacions dels ciutadans.
• Imposar mesures correctores i sancions.

A nivell estatal, l’autoritat equivalent és l’Agència Espanyola de Protecció de Dades (AEPD), però per als organismes de la Generalitat de Catalunya la competència recau en l’APDCAT.

Règim sancionador

Sancions administratives (art. 83 RGPD)

L’RGPD estableix dos nivells de multes:

• Nivell 1: fins a 10.000.000 € o el 2 % del volum de negoci anual global (el que sigui més elevat). S’aplica a infraccions com incomplir les obligacions del responsable o de l’encarregat.
• Nivell 2: fins a 20.000.000 € o el 4 % del volum de negoci anual global (el que sigui més elevat). S’aplica a infraccions dels principis bàsics, dels drets dels interessats o de les transferències internacionals.

Responsabilitat penal (art. 197 Codi Penal)

El descobriment i la revelació de secrets, inclosa la divulgació de dades de salut sense consentiment, pot constituir un delicte. El celador que accedeixi o difongui informació clínica sense autorització pot incórrer en responsabilitat penal, a més de la disciplinària i administrativa.

Dades numèriques i terminis que més es pregunten

• 25 de maig de 2018: data d’aplicació de l’RGPD.
• 1 mes: termini per respondre drets dels interessats (art. 12.3 RGPD).
• 2 mesos addicionals: pròrroga màxima en casos complexos (art. 12.3 RGPD).
• 72 hores: termini per notificar una bretxa de seguretat a l’autoritat de control (art. 33.1 RGPD).
• 10 milions € / 2 %: multa de nivell 1 (art. 83.4 RGPD).
• 20 milions € / 4 %: multa de nivell 2 (art. 83.5 RGPD).

Errors típics de l’opositor

• Confondre el responsable (decideix els fins) amb l’encarregat (tracta per compte d’altri). El celador no és cap dels dos: actua sota la direcció del responsable.
• Creure que el dret a l’oblit permet esborrar qualsevol dada en qualsevol moment. L’art. 17 RGPD estableix condicions i excepcions, especialment en l’àmbit sanitari per raons d’interès públic.
• Confondre l’APDCAT (competent per a l’ICS i la Generalitat) amb l’AEPD (competent per a l’Administració General de l’Estat i entitats privades fora de l’àmbit autonòmic català).
• Oblidar que les dades de salut són categoria especial (art. 9 RGPD) i que el seu tractament és, per defecte, prohibit tret d’excepció legal.
• Situar el termini de notificació de bretxes en 48 hores. El termini correcte és 72 hores (art. 33.1 RGPD).

Trucs mnemotècnics

• “LMEIPL + R” per als principis de l’art. 5 RGPD: Licitud, Minimització, Exactitud, Integritat, Propòsit (limitació de finalitat), Limitació de conservació + Responsabilitat proactiva.
• “10-2 / 20-4” per a les sancions: nivell baix = 10 milions / 2 %; nivell alt = 20 milions / 4 %. El doble sempre.
• “1+2 mesos” per als drets: 1 mes de termini ordinari, 2 mesos de pròrroga.
• “72 hores = 3 dies” per a la notificació de bretxes: tres dies naturals des que es té coneixement de la bretxa.
• Per recordar que les dades de salut són categoria especial: “el metge guarda el secret més especial”.