¿Cómo afecta la ley de protección de datos a los centros sanitarios?
Los centros sanitarios deben cumplir con la ley de protección de datos, en la medida en que tratan datos de carácter personal. En este sentido, en España está vigente la LOPDGDD (Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales) que emana del RGPD (Reglamento General de Protección de Datos) de la Unión Europea.
El incumplimiento de la legislación en esta materia puede acarrear cuantiosas sanciones económicas. Además, también tiene impacto en la imagen del centro de salud y la confianza de los pacientes.
Tipos de datos que suelen tratar los centros sanitarios
Los hospitales, clínicas y otros centros sanitarios suelen recopilar datos personales, tales como:
- Información para identificar a los pacientes: nombre, apellido, fecha de nacimiento, DNI, etc.
- Datos de contacto: teléfono, email y otros.
- Datos sociodemográficos: nacionalidad, estado civil, ocupación, etc.
- Historia clínica de la persona: antecedentes familiares, alergias, tratamientos previos, hábitos de salud, etc.
- Información financiera: pagos, financiaciones, seguros y demás.
Asimismo, en los centros sanitarios se recopilan datos clínicos, como resultados de pruebas o intervenciones. Puede haber diagnósticos del paciente, información genética y otros datos especialmente sensibles que deben ser protegidos.
Cualquier acceso no autorizado o brecha de seguridad puede tener consecuencias graves que afecten tanto al paciente como al centro sanitario.
Normativa de protección de datos específica para centros sanitarios
Los centros sanitarios, como cualquier empresa y organización que trata datos personales, deben cumplir las leyes de protección de datos. Para hospitales, clínicas y cualquier otro centro ubicado en España, se debe cumplir la LOPDGDD, la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Además, rige también el Reglamento General de Protección de Datos de la Unión Europea.
Estas son, en general, las principales obligaciones que afectan a los centros sanitarios en materia de protección de datos.
Deber de informar
Hospitales o clínicas tienen el deber, extensible a todo su personal, de informar a los pacientes de manera clara y transparente sobre el uso de sus datos. Igualmente, también tienen las mismas obligaciones con sus proveedores, sus trabajadores y cualquier otra persona de la que tengan información de carácter personal.
El deber de informar se concreta en una serie de puntos:
- Finalidad del tratamiento
- Responsable del tratamiento
- Si lo hay, información del delegado de protección de datos
- Derechos que tiene la persona sobre sus datos
- Cualquier posible transferencia de datos a terceros
Es importante que, en caso de facilitar un formulario online o en papel a un paciente, se le informe previamente sobre el tratamiento de datos. En la página web debe existir una política de privacidad fácilmente localizable, legible y comprensible. Para contacto directo en el centro sanitario, se debe facilitar información de manera oral o mediante un documento escrito acerca de la protección de datos.
Solicitar el consentimiento expreso
Además de informar, es obligatorio pedir consentimiento. No basta con un consentimiento tácito, debe ser explícito. De hecho, es conveniente que sea por escrito, para que quede constancia. El centro de salud debe poder demostrar que obtuvo el consentimiento para cualquier tratamiento de datos.
En el caso de la página web, también se debe pedir consentimiento expreso para el uso de cookies. En este sentido, hay soluciones tecnológicas específicas para añadir fácilmente banners de cookies en el sitio web.
Contratos con terceros
En caso de que se contrate cualquier servicio a terceros, se debe informar sobre el uso de datos personales. Por ejemplo, si se manda una muestra de sangre a un laboratorio, el paciente debe estar informado sobre ello y debe consentir su tratamiento de datos.
Protección de la página web y análisis de riesgos
La página web del centro sanitario, especialmente si cuenta con un portal del paciente, debe estar protegida contra amenazas. La seguridad es especialmente crítica cuando se trata de la salud de las personas.
Algunas de las medidas que se deben tomar son:
- Cifrado de datos
- Contraseñas robustas
- Copias de seguridad regulares
- Detección de intrusos
- Uso de firewalls
- Actualización continua del software
Además, los servidores y cualquier hardware local también tiene que estar protegido contra cualquier posible robo de datos.
Notificación de brechas de seguridad
La ley de protección de datos obliga a los centros sanitarios, como a cualquier organización, a notificar a las autoridades cualquier violación de la seguridad en un plazo de 72 horas desde que se conoce la situación.
En el caso de España, el responsable del tratamiento debe comunicar a la Agencia Española de Protección de Datos todos los detalles de la brecha producida. Además, también se debe informar a los afectados, es decir, las personas cuyos datos se han visto comprometidos.
Delegado de protección de datos
El Delegado de Protección de Datos es una figura que se designa dentro de las organizaciones para garantizar el cumplimiento de la legislación. Sin embargo, no es obligatorio para todas las empresas. Dado que, en la mayoría de los casos, los centros sanitarios manejan información de carácter personal, es necesario designar un DPO.
Datos de categorías especiales
El artículo 9 del RGPD hace referencia al tratamiento de categorías especiales de datos personales, donde se señala que:
Ahora bien, también se especifican una serie de excepciones en las que esta prohibición no se aplica. Entre ellas, una de las circunstancias es justamente la de los centros de salud:
Por tanto, los centros de salud pueden tratar estos datos de carácter especial, pero siempre que se encuentren en las circunstancias que permite la ley para su tratamiento.
Cómo puede Usercentrics ayudarle a cumplir la normativa
Usercentrics ofrece un conjunto de herramientas útiles para cumplir la ley de protección de datos en centros de salud. Incorpore en la página web de su clínica u hospital una Plataforma de Gestión del Consentimiento (CMP, por sus siglas en inglés) y evite sanciones.
Nuestro software RGPD para el cumplimiento de la ley de protección de datos permite añadir banners de cookies en su sitio web. Así, los usuarios pueden dar su consentimiento sobre el tratamiento de sus datos. Estos banners se pueden personalizar y además es posible ofrecer diferentes niveles de consentimiento, según diferentes finalidades: esencial, comercial, entre otras.
Usercentrics también le ofrece un generador de política de privacidad que puede añadir a su web e incluso actualizar de manera continua de acuerdo con la normativa vigente.
Conclusión
Cumplir la ley de protección de datos en centros de salud es esencial para mantener la confianza y buena reputación. Asimismo, puede prevenir cuantiosas sanciones económicas que afectarían a la solvencia del hospital o clínica.
No dude en solicitar una consulta gratuita con nosotros para informarse de todos los recursos que le podemos ofrecer. Contacte con nuestro equipo experto y encuentre hoy una solución para evitar problemas que pueden dañar críticamente su centro en el futuro.
–
Descargo de responsabilidad: Usercentrics no provee asesoría legal, y la información provista tiene fines únicamente educativos. Siempre recomendamos recurrir a consultorías legales cualificadas o especialistas en privacidad en relación a las cuestiones y operaciones sobre privacidad y protección de datos.