Materia de estudio
Resumen del tema con citas literales de la normativa oficial. Lee los apuntes y luego pon a prueba lo que has aprendido en el test.
La protección de datos en el ámbito sanitario es uno de los temas con mayor peso en los exámenes de TCAE, dado que el personal auxiliar maneja información clínica de carácter especialmente sensible a diario. El marco normativo lo forman el Reglamento (UE) 2016/679 (RGPD), de aplicación directa desde el 25 de mayo de 2018, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo adapta al ordenamiento español.
Marco normativo
- RGPD: Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Aplicable en todos los Estados miembros desde el 25 de mayo de 2018.
- LOPDGDD: Ley Orgánica 3/2018, de 5 de diciembre. Publicada en el BOE el 6 de diciembre de 2018. Deroga la anterior LO 15/1999 (LOPD).
- La Agencia Española de Protección de Datos (AEPD) es la autoridad de control en España (art. 57 RGPD; arts. 44 y ss. LOPDGDD).
Conceptos clave
Dato personal
Cualquier información sobre una persona física identificada o identificable (art. 4.1 RGPD). Se considera identificable cuando se puede determinar la identidad directa o indirectamente, por ejemplo mediante un número de historia clínica, una dirección IP o datos de localización.
Categorías especiales de datos (datos sensibles)
El art. 9.1 RGPD prohíbe, con carácter general, el tratamiento de:
- Datos relativos a la salud.
- Datos genéticos y biométricos dirigidos a identificar de forma unívoca a una persona.
- Origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical.
- Datos relativos a la vida sexual u orientación sexual.
En sanidad, los datos de salud son la categoría más relevante. El art. 4.15 RGPD los define como datos relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria.
Excepciones al tratamiento de datos de salud
El art. 9.2 RGPD permite el tratamiento cuando concurre alguna de estas circunstancias (selección de las más relevantes para TCAE):
- Consentimiento explícito del interesado (letra a).
- Fines de medicina preventiva o laboral, diagnóstico médico, prestación de asistencia sanitaria o tratamiento (letra h).
- Razones de interés público en el ámbito de la salud pública (letra i).
- Fines de investigación científica o estadística (letra j).
Principios del tratamiento
El art. 5 RGPD recoge los principios que rigen todo tratamiento:
- Licitud, lealtad y transparencia.
- Limitación de la finalidad: los datos se recogen para fines determinados y no se tratan de forma incompatible.
- Minimización de datos: solo los datos adecuados, pertinentes y limitados a lo necesario.
- Exactitud: deben estar actualizados.
- Limitación del plazo de conservación: no más tiempo del necesario.
- Integridad y confidencialidad: seguridad adecuada frente a tratamientos no autorizados o ilícitos.
El art. 5.2 RGPD establece el principio de responsabilidad proactiva (accountability): el responsable del tratamiento debe poder demostrar el cumplimiento de estos principios.
Responsable y encargado del tratamiento
- Responsable (art. 4.7 RGPD): quien determina los fines y medios del tratamiento. En un hospital público, suele ser la administración sanitaria.
- Encargado (art. 4.8 RGPD): quien trata datos por cuenta del responsable (p. ej., una empresa de limpieza con acceso a historias clínicas). La relación se formaliza mediante un contrato de encargo de tratamiento (art. 28 RGPD).
Delegado de Protección de Datos (DPD)
El art. 37 RGPD obliga a designar DPD, entre otros casos, cuando el tratamiento lo lleva a cabo una autoridad u organismo público, o cuando se realiza a gran escala de categorías especiales de datos. Los centros sanitarios públicos están obligados a designarlo. El art. 34 LOPDGDD amplía esta obligación a centros sanitarios privados que traten datos de salud a gran escala.
Sus funciones principales (art. 39 RGPD): informar y asesorar, supervisar el cumplimiento, cooperar con la autoridad de control y actuar como punto de contacto con la AEPD.
Derechos de los pacientes / interesados
El RGPD reconoce los siguientes derechos (arts. 15 a 22):
- Acceso (art. 15): conocer qué datos se tratan.
- Rectificación (art. 16): corregir datos inexactos.
- Supresión o “derecho al olvido” (art. 17): solicitar la eliminación de datos.
- Limitación del tratamiento (art. 18).
- Portabilidad (art. 20): recibir los datos en formato estructurado y transmitirlos a otro responsable.
- Oposición (art. 21).
El art. 12 RGPD establece que el responsable debe responder a las solicitudes de ejercicio de derechos sin dilación indebida y en el plazo máximo de un mes, prorrogable dos meses más en casos complejos.
Datos numéricos y plazos que más se preguntan
- Plazo de respuesta a derechos del interesado: 1 mes (prorrogable hasta 3 meses en total) — art. 12.3 RGPD.
- Notificación de brecha de seguridad a la AEPD: 72 horas desde que el responsable tenga conocimiento — art. 33.1 RGPD.
- Notificación al interesado de una brecha que entrañe alto riesgo: sin dilación indebida — art. 34.1 RGPD (no hay plazo fijo en horas, pero debe ser lo antes posible).
- Edad mínima para consentir el tratamiento de datos en servicios de la sociedad de la información: 14 años en España — art. 7 LOPDGDD (el RGPD fija el umbral en 16 años pero permite a los Estados bajarlo hasta 13).
- Aplicación del RGPD: desde el 25 de mayo de 2018.
- Publicación LOPDGDD en BOE: 6 de diciembre de 2018.
Distinciones entre conceptos que confunden
- Responsable vs. encargado: el responsable decide el fin del tratamiento; el encargado ejecuta el tratamiento por instrucciones del responsable. Un laboratorio externo que analiza muestras de un hospital es encargado, no responsable.
- Consentimiento explícito vs. consentimiento tácito: para datos de salud se exige explícito (art. 9.2.a RGPD). El consentimiento tácito o implícito no es válido para categorías especiales.
- Supresión vs. limitación: la supresión elimina los datos; la limitación los conserva pero bloquea su uso activo. En sanidad, la limitación es más frecuente porque la normativa obliga a conservar historias clínicas durante plazos mínimos.
- Brecha de seguridad con notificación a la AEPD vs. sin notificación: solo se notifica si la brecha puede suponer un riesgo para los derechos y libertades de las personas (art. 33.1 RGPD). Si es improbable que suponga riesgo, basta con documentarla internamente (art. 33.2 RGPD).
- DPD obligatorio vs. voluntario: en centros sanitarios públicos es obligatorio; en centros privados que no traten datos a gran escala puede ser voluntario, aunque recomendable.
Errores típicos del opositor
- Confundir el plazo de 72 horas (notificación de brecha a la AEPD) con el plazo de 1 mes (respuesta a derechos del interesado). Son plazos distintos para obligaciones distintas.
- Creer que el RGPD fija la edad de consentimiento digital en 14 años: el RGPD dice 16 años; es la LOPDGDD la que la baja a 14 en España.
- Pensar que la historia clínica puede destruirse libremente una vez finalizada la asistencia. La normativa sanitaria impone plazos mínimos de conservación que prevalecen sobre el derecho de supresión.
- Identificar al médico o enfermero como “responsable del tratamiento”: el responsable es la institución (hospital, centro de salud), no el profesional individual.
- Olvidar que el consentimiento para datos de salud debe ser explícito, no genérico ni implícito.
Trucos mnemotécnicos
- “72 horas para la AEPD, 1 mes para el paciente”: brecha → autoridad de control en 72 h; derechos del interesado → respuesta en 1 mes.
- RGPD = 16 años / LOPDGDD = 14 años: “España rebaja dos años el umbral”.
- Los 6 principios del art. 5 RGPD con la sigla LMLEII: Licitud, Minimización, Limitación de finalidad, Exactitud, Integridad/confidencialidad, Intervalo de conservación limitado.
- “El responsable decide, el encargado ejecuta”: frase para no confundir roles.
- Para recordar que los datos de salud son categoría especial: “todo lo íntimo es especial” — salud, genética, biometría, religión, sexo, raza, sindicato, política.