Protección de Datos en Sanidad — Tema 6 · Test y apuntes TCAE

La protección de datos en el ámbito sanitario es uno de los temas con mayor peso en los exámenes de TCAE, dado que el personal auxiliar maneja información clínica de carácter especialmente sensible a diario. El marco normativo lo forman el Reglamento (UE) 2016/679 (RGPD), de aplicación directa desde el 25 de mayo de 2018, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo adapta al ordenamiento español.

Marco normativo

RGPD: Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Aplicable en todos los Estados miembros desde el 25 de mayo de 2018.
LOPDGDD: Ley Orgánica 3/2018, de 5 de diciembre. Publicada en el BOE el 6 de diciembre de 2018. Deroga la anterior LO 15/1999 (LOPD).
La Agencia Española de Protección de Datos (AEPD) es la autoridad de control en España (arts. 51 y 57 RGPD; arts. 44 y ss. LOPDGDD).

Conceptos clave

Dato personal

Cualquier información sobre una persona física identificada o identificable (art. 4.1 RGPD). Se considera identificable cuando se puede determinar la identidad directa o indirectamente, por ejemplo mediante un número de historia clínica, una dirección IP o datos de localización.

Categorías especiales de datos (datos sensibles)

El art. 9.1 RGPD prohíbe, con carácter general, el tratamiento de:

Datos relativos a la salud.
Datos genéticos y biométricos dirigidos a identificar de forma unívoca a una persona.
Origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical.
Datos relativos a la vida sexual u orientación sexual.

En sanidad, los datos de salud son la categoría más relevante. El art. 4.15 RGPD los define como datos relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria.

Excepciones al tratamiento de datos de salud

El art. 9.2 RGPD permite el tratamiento cuando concurre alguna de estas circunstancias (selección de las más relevantes para TCAE):

Consentimiento explícito del interesado (letra a).
Fines de medicina preventiva o laboral, diagnóstico médico, prestación de asistencia sanitaria o tratamiento (letra h).
Razones de interés público en el ámbito de la salud pública (letra i).
Fines de investigación científica o estadística (letra j).

Principios del tratamiento

El art. 5 RGPD recoge los principios que rigen todo tratamiento:

Licitud, lealtad y transparencia.
Limitación de la finalidad: los datos se recogen para fines determinados y no se tratan de forma incompatible.
Minimización de datos: solo los datos adecuados, pertinentes y limitados a lo necesario.
Exactitud: deben estar actualizados.
Limitación del plazo de conservación: no más tiempo del necesario.
Integridad y confidencialidad: seguridad adecuada frente a tratamientos no autorizados o ilícitos.

El art. 5.2 RGPD establece el principio de responsabilidad proactiva (accountability): el responsable del tratamiento debe poder demostrar el cumplimiento de estos principios.

Responsable y encargado del tratamiento

Responsable (art. 4.7 RGPD): quien determina los fines y medios del tratamiento. En un hospital público, suele ser la administración sanitaria.
Encargado (art. 4.8 RGPD): quien trata datos por cuenta del responsable (p. ej., una empresa de limpieza con acceso a historias clínicas). La relación se formaliza mediante un contrato de encargo de tratamiento (art. 28 RGPD).

Delegado de Protección de Datos (DPD)

El art. 37 RGPD obliga a designar DPD, entre otros casos, cuando el tratamiento lo lleva a cabo una autoridad u organismo público, o cuando se realiza a gran escala de categorías especiales de datos. Los centros sanitarios públicos están obligados a designarlo. El art. 34.1.l) LOPDGDD obliga en todo caso a designarlo a los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes (públicos o privados, sin exigir gran escala); se exceptúan los profesionales de la salud que ejerzan su actividad a título individual.

Sus funciones principales (art. 39 RGPD): informar y asesorar, supervisar el cumplimiento, cooperar con la autoridad de control y actuar como punto de contacto con la AEPD.

Derechos de los pacientes / interesados

El RGPD reconoce los siguientes derechos (arts. 15 a 22):

Acceso (art. 15): conocer qué datos se tratan.
Rectificación (art. 16): corregir datos inexactos.
Supresión o “derecho al olvido” (art. 17): solicitar la eliminación de datos.
Limitación del tratamiento (art. 18).
Portabilidad (art. 20): recibir los datos en formato estructurado y transmitirlos a otro responsable.
Oposición (art. 21).

El art. 12 RGPD establece que el responsable debe responder a las solicitudes de ejercicio de derechos sin dilación indebida y en el plazo máximo de un mes, prorrogable dos meses más en casos complejos.

Datos numéricos y plazos que más se preguntan

Plazo de respuesta a derechos del interesado: 1 mes (prorrogable hasta 3 meses en total) — art. 12.3 RGPD.
Notificación de brecha de seguridad a la AEPD: 72 horas desde que el responsable tenga conocimiento — art. 33.1 RGPD.
Notificación al interesado de una brecha que entrañe alto riesgo: sin dilación indebida — art. 34.1 RGPD (no hay plazo fijo en horas, pero debe ser lo antes posible).
Edad mínima para consentir el tratamiento de datos en servicios de la sociedad de la información: 14 años en España — art. 7 LOPDGDD (el RGPD fija el umbral en 16 años pero permite a los Estados bajarlo hasta 13).
Aplicación del RGPD: desde el 25 de mayo de 2018.
Publicación LOPDGDD en BOE: 6 de diciembre de 2018.

Distinciones entre conceptos que confunden

Responsable vs. encargado: el responsable decide el fin del tratamiento; el encargado ejecuta el tratamiento por instrucciones del responsable. Un laboratorio externo que analiza muestras de un hospital es encargado, no responsable.
Consentimiento explícito vs. consentimiento tácito: para datos de salud se exige explícito (art. 9.2.a RGPD). El consentimiento tácito o implícito no es válido para categorías especiales.
Supresión vs. limitación: la supresión elimina los datos; la limitación los conserva pero bloquea su uso activo. En sanidad, la limitación es más frecuente porque la normativa obliga a conservar historias clínicas durante plazos mínimos.
Brecha de seguridad con notificación a la AEPD vs. sin notificación: solo se notifica si la brecha puede suponer un riesgo para los derechos y libertades de las personas (art. 33.1 RGPD). Si es improbable que suponga riesgo, basta con documentarla internamente (art. 33.5 RGPD, que obliga a documentar cualquier violación).
DPD obligatorio vs. voluntario: es obligatorio en todo centro sanitario, público o privado, legalmente obligado a mantener historias clínicas (art. 34.1.l LOPDGDD); solo quedan fuera los profesionales sanitarios que ejercen a título individual, que pueden designarlo voluntariamente (art. 34.2).

Errores típicos del opositor

Confundir el plazo de 72 horas (notificación de brecha a la AEPD) con el plazo de 1 mes (respuesta a derechos del interesado). Son plazos distintos para obligaciones distintas.
Creer que el RGPD fija la edad de consentimiento digital en 14 años: el RGPD dice 16 años; es la LOPDGDD la que la baja a 14 en España.
Pensar que la historia clínica puede destruirse libremente una vez finalizada la asistencia. La normativa sanitaria impone plazos mínimos de conservación que prevalecen sobre el derecho de supresión.
Identificar al médico o enfermero como “responsable del tratamiento”: el responsable es la institución (hospital, centro de salud), no el profesional individual.
Olvidar que el consentimiento para datos de salud debe ser explícito, no genérico ni implícito.

Trucos mnemotécnicos

“72 horas para la AEPD, 1 mes para el paciente”: brecha → autoridad de control en 72 h; derechos del interesado → respuesta en 1 mes.
RGPD = 16 años / LOPDGDD = 14 años: “España rebaja dos años el umbral”.
Los 6 principios del art. 5 RGPD con la sigla LMLEII: Licitud, Minimización, Limitación de finalidad, Exactitud, Integridad/confidencialidad, Intervalo de conservación limitado.
“El responsable decide, el encargado ejecuta”: frase para no confundir roles.
Para recordar que los datos de salud son categoría especial: “todo lo íntimo es especial” — salud, genética, biometría, religión, sexo, raza, sindicato, política.

Preguntas de este test

Estas son las 10 preguntas que componen el test de este tema. Las respuestas correctas y la explicación detallada se revelan al completar el test arriba.

Según el artículo 5.1.a del RGPD, el principio de 'licitud, lealtad y transparencia' implica que los datos personales serán:
- A) Comunicados a terceros sin informar al interesado siempre que sea necesario
- B) Tratados únicamente con fines lucrativos y de forma confidencial
- C) Almacenados sin limite temporal siempre que el interesado lo desconozca
- D) Tratados de manera lícita, leal y transparente en relación con el interesado
Referencia: Reglamento (UE) 2016/679 (RGPD) , Art. 5.1.a
Según el artículo 5.1.d del RGPD, el principio de exactitud de los datos personales implica que:
- A) Solo se exige exactitud en los datos de identificación, no en los datos clínicos
- B) Basta con recoger los datos una sola vez, sin necesidad de actualizarlos jamas
- C) Los datos pueden contener errores si no afectan a la facturación del centro sanitario
- D) Los datos personales serán exactos y, si fuera necesario, actualizados, debiendo adoptarse todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos inexactos
Referencia: Reglamento (UE) 2016/679 (RGPD) , Art. 5.1.d
Según el artículo 15 del RGPD, el derecho de acceso del interesado le permite obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen, y en caso afirmativo, acceder a:
- A) Únicamente una copia impresa de sus datos, sin mas información
- B) Los datos de otros pacientes que compartan el mismo diagnóstico
- C) Exclusivamente el nombre del medico que introdujo los datos en el sistema
- D) Los datos personales objeto de tratamiento, los fines del tratamiento, las categorías de datos, los destinatarios, el plazo de conservación y la existencia de decisiones automatizadas
Referencia: Reglamento (UE) 2016/679 (RGPD) , Art. 15
Según el artículo 25 del RGPD, el principio de 'protección de datos desde el diseño y por defecto' implica que:
- A) El interesado debe configurar manualmente la protección de sus datos
- B) Las medidas de protección solo se implementan cuando se detecta una brecha de seguridad
- C) El responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, para integrar las garantías necesarias desde el inicio
- D) Solo se aplica a empresas tecnológicas, no a centros sanitarios
Referencia: Reglamento (UE) 2016/679 (RGPD) , Art. 25
Según el artículo 83 del RGPD, las infracciones mas graves pueden dar lugar a multas administrativas de hasta:
- A) 1.000 euros en todos los casos
- B) 100.000 euros como máximo absoluto
- C) No existen sanciones económicas en el RGPD, solo advertencias
- D) 20 millones de euros o el 4% del volumen de negocio total anual global del ejercicio financiero anterior, optandose por la de mayor cuantía
Referencia: Reglamento (UE) 2016/679 (RGPD) , Art. 83.5
Según el artículo 37 del RGPD, el Delegado de Protección de Datos (DPD) debe designarse obligatoriamente cuando:
- A) El tratamiento lo lleve a cabo una autoridad u organismo público, o las actividades principales del responsable requieran una observación habitual y sistemática de interesados a gran escala, o consistan en el tratamiento a gran escala de categorías especiales de datos
- B) Cuando lo solicite la mayoría de los trabajadores de la empresa
- C) Únicamente si la empresa ha sufrido una brecha de seguridad en el ultimo ano
- D) Solo cuando la empresa tenga mas de 500 empleados
Referencia: Reglamento (UE) 2016/679 (RGPD) , Art. 37.1
Según el artículo 17 del RGPD (derecho de supresión o 'derecho al olvido'), el interesado puede solicitar la supresión de sus datos. Sin embargo, este derecho NO se aplica cuando el tratamiento sea necesario para:
- A) Enviar publicidad comercial al interesado
- B) La comodidad del responsable del tratamiento en la gestión de sus bases de datos
- C) Fines de medicina preventiva o laboral, diagnóstico medico, prestación de asistencia sanitaria o gestión de sistemas sanitarios, o por razones de interés público en el ámbito de la salud pública
- D) Crear perfiles de consumo para vender a terceras empresas
Referencia: Reglamento (UE) 2016/679 (RGPD) , Art. 17.3.c
Según el artículo 30 del RGPD, el responsable del tratamiento y, en su caso, su representante, llevaran un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Este registro contendra, entre otra información:
- A) El nombre y datos de contacto del responsable, los fines del tratamiento, una descripción de las categorías de interesados y de las categorías de datos personales, y los plazos previstos para la supresión
- B) Exclusivamente el nombre de la empresa y la fecha de inicio del tratamiento
- C) Solo una lista de las brechas de seguridad sufridas en el ultimo ano
- D) Únicamente los datos de los trabajadores de la empresa
Referencia: Reglamento (UE) 2016/679 (RGPD) , Art. 30
Según el artículo 3 de la LOPDGDD, el acceso a los datos personales de un paciente fallecido y, en su caso, su rectificación o supresión pueden ser solicitados por:
- A) Las personas vinculadas al fallecido por razones familiares o de hecho, asi como sus herederos, salvo que el fallecido lo hubiera prohibido expresamente
- B) Exclusivamente el notario que gestione la herencia
- C) Cualquier persona que lo solicite, sin restricción alguna
- D) Nadie, ya que los datos de personas fallecidas quedan automáticamente eliminados
Referencia: Ley Orgánica 3/2018 (LOPDGDD) , Art. 3
Según el RGPD, cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas, el responsable del tratamiento deberá realizar, antes del tratamiento:
- A) Una evaluación de impacto relativa a la protección de datos
- B) Una consulta previa a los colegios profesionales sanitarios
- C) Una auditoría financiera del centro sanitario
- D) Un referéndum entre los trabajadores del centro para aprobar el tratamiento
Referencia: Reglamento (UE) 2016/679 (RGPD) , Art. 35

Test: Protección de Datos en Sanidad

Materia de estudio