Test: Protecció de dades en sanitat

La protecció de dades personals en l’àmbit sanitari és un tema transversal de gran rellevància per al celador de la Conselleria de Sanitat Valenciana. El personal sanitari i auxiliar tracta diàriament informació sensible dels pacients, per la qual cosa conèixer els drets, obligacions i principis que estableix la normativa vigent és imprescindible tant per a l’exercici professional com per a superar les preguntes tipus test de l’oposició.

Marc normatiu

La normativa aplicable es fonamenta en dos instruments:

• Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016, conegut com a RGPD. Aplicable directament a tots els estats membres des del 25 de maig de 2018.
• Llei Orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals (LOPDGDD). Adapta l’ordenament espanyol al RGPD i el complementa.

El RGPD té primacia sobre la LOPDGDD en cas de contradicció. La LOPDGDD concreta i desenvolupa aspectes que el RGPD deixa a la discreció dels estats membres.

Conceptes clau

Dada personal

Qualsevol informació sobre una persona física identificada o identificable (art. 4.1 RGPD). Una persona és identificable quan pot ser reconeguda directament o indirectament, per exemple mitjançant un número d’identificació, dades de localització o un o diversos elements propis de la seua identitat física, fisiològica o genètica.

Categories especials de dades

L’art. 9.1 RGPD prohibeix, com a regla general, el tractament de:

• Dades que revelen l’origen ètnic o racial
• Opinions polítiques, conviccions religioses o filosòfiques
• Afiliació sindical
• Dades genètiques
• Dades biomètriques dirigides a identificar de manera unívoca una persona
• Dades relatives a la salut
• Dades relatives a la vida sexual o l’orientació sexual

En l’àmbit sanitari, les dades de salut constitueixen la categoria especial per excel·lència. El seu tractament requereix una base jurídica específica (art. 9.2 RGPD), com ara el consentiment explícit del titular o la necessitat per a finalitats de medicina preventiva o assistència sanitària.

Tractament de dades

Qualsevol operació o conjunt d’operacions efectuades sobre dades personals, ja siga per procediments automatitzats o no: recollida, registre, organització, estructuració, conservació, adaptació, modificació, extracció, consulta, utilització, comunicació, difusió, supressió o destrucció (art. 4.2 RGPD).

Responsable del tractament

La persona física o jurídica, autoritat pública, servei o altre organisme que, sol o conjuntament amb altres, determine els fins i els mitjans del tractament (art. 4.7 RGPD). En l’àmbit sanitari, sol ser el centre hospitalari o la conselleria competent.

Encarregat del tractament

La persona física o jurídica que tracte dades personals per compte del responsable (art. 4.8 RGPD). La relació entre responsable i encarregat ha de formalitzar-se mitjançant un contracte o acte jurídic vinculant (art. 28 RGPD).

Delegat de Protecció de Dades (DPD)

Figura prevista en els arts. 37 a 39 RGPD. La seua designació és obligatòria per a les autoritats i organismes públics (art. 37.1.a RGPD), cosa que inclou els centres sanitaris públics. Les seues funcions principals són:

• Informar i assessorar el responsable i els empleats
• Supervisar el compliment del RGPD i la LOPDGDD
• Cooperar amb l’autoritat de control
• Actuar com a punt de contacte per als interessats

El DPD no pot rebre instruccions del responsable quant a l’exercici de les seues funcions (art. 38.3 RGPD).

Principis del tractament

L’art. 5 RGPD estableix els principis que han de regir tot tractament de dades:

• Licitud, lleialtat i transparència: el tractament ha de tenir una base jurídica i l’interessat ha de ser informat.
• Limitació de la finalitat: les dades es recullen per a finalitats determinades, explícites i legítimes, i no es poden tractar de manera incompatible amb elles.
• Minimització de dades: només s’han de tractar les dades adequades, pertinents i limitades al que siga necessari.
• Exactitud: les dades han de ser exactes i, si cal, actualitzades.
• Limitació del termini de conservació: no s’han de conservar més temps del necessari per a la finalitat.
• Integritat i confidencialitat: s’ha de garantir la seguretat adequada, inclosa la protecció contra tractaments no autoritzats o il·lícits.
• Responsabilitat proactiva (accountability): el responsable ha de poder demostrar el compliment de tots els principis anteriors.

Drets dels interessats

Els drets reconeguts en el RGPD i la LOPDGDD que més apareixen en els exàmens són:

• Dret d’accés (art. 15 RGPD): l’interessat pot obtindre confirmació de si es tracten dades seues i accedir-hi.
• Dret de rectificació (art. 16 RGPD): rectificació de dades inexactes.
• Dret de supressió o “dret a l’oblit” (art. 17 RGPD): supressió de les dades quan, entre altres motius, ja no siguen necessàries per a la finalitat per a la qual es van recollir.
• Dret a la limitació del tractament (art. 18 RGPD): l’interessat pot sol·licitar que es limite el tractament en determinades circumstàncies.
• Dret a la portabilitat (art. 20 RGPD): rebre les dades en un format estructurat, d’ús comú i lectura mecànica, i transmetre-les a un altre responsable.
• Dret d’oposició (art. 21 RGPD): oposar-se al tractament per motius relacionats amb la seua situació particular.

Dades i terminis que més es pregunten

• Data d’aplicació del RGPD: 25 de maig de 2018 (art. 99.2 RGPD).
• Data d’entrada en vigor de la LOPDGDD: 7 de desembre de 2018 (tres dies després de la publicació en el BOE del 6 de desembre de 2018).
• Notificació de bretxes de seguretat a l’autoritat de control: sense dilació indeguda i, si és possible, en un termini màxim de 72 hores des que el responsable en tinga coneixement (art. 33.1 RGPD).
• Notificació de bretxes a l’interessat: sense dilació indeguda quan la bretxa comporte un alt risc per als seus drets i llibertats (art. 34.1 RGPD). No s’estableix un termini numèric concret per a aquesta notificació.
• Resposta als drets dels interessats: en general, un mes des de la recepció de la sol·licitud, prorrogable dos mesos més en casos complexos (art. 12.3 RGPD).
• Autoritat de control a Espanya: l’Agència Espanyola de Protecció de Dades (AEPD), prevista en la LOPDGDD.

Errors típics de l’opositor

• Confondre responsable i encarregat: el responsable decideix el per a què i el com; l’encarregat executa per compte del responsable.
• Creure que el consentiment és l’única base jurídica: l’art. 6 RGPD preveu sis bases jurídiques (consentiment, contracte, obligació legal, interès vital, missió en interès públic i interès legítim). En sanitat pública, sovint s’actua per obligació legal o missió en interès públic.
• Confondre el DPD amb el responsable del tractament: el DPD supervisa i assessora, però no pren decisions sobre el tractament.
• Oblidar que les dades de salut són categoria especial: qualsevol pregunta que mencione historial clínic, diagnòstic o tractament mèdic implica categoria especial i protecció reforçada.
• Confondre el termini de 72 hores: és per a notificar la bretxa a l’autoritat de control (AEPD), no necessàriament a l’interessat.

Trucs mnemotècnics

• “LMEIT-IC” per als set principis de l’art. 5 RGPD: Licitud, Minimització, Exactitud, Integritat i confidencialitat, Termini de conservació, Interès legítim (finalitat), Compliment (accountability). Adapta l’ordre al que et resulte més fàcil.
• “72 hores = AEPD”: la notificació de bretxa en 72 hores va dirigida a l’autoritat de control, no al pacient.
• “El DPD no rep ordres”: recorda que el responsable no pot instruir el DPD en l’exercici de les seues funcions (art. 38.3 RGPD).
• “Salut = categoria especial sempre”: en qualsevol pregunta sobre dades mèdiques o historials clínics, activa mentalment el règim de l’art. 9 RGPD.
• “1 mes + 2 de pròrroga”: termini per a respondre drets dels interessats. Suma: màxim 3 mesos en casos complexos.