Los hospitales públicos deben tener un delegado de protección de datos

Tras la aplicación del Reglamento General de Protección de Datos hace un año y de la Ley Orgánica de Protección de Datos y garantía de los derechos digitales el pasado mes de diciembre, es necesario actualizar las implicaciones que conlleva la normativa para las organizaciones sanitarias y los directivos de la salud.

"Cualquier centro hospitalario debe tener un registro de actividades de los tratamientos que realizan, efectuar un análisis de riesgo y, en su caso, una evaluación de impacto, implantar medidas técnicas, organizativas y de seguridad y contar con un delegado de protección de datos", explica Mar España, directora de la Agencia Española de Protección de Datos (AEPD), quien ha participado en el Foro SEDISA sobre la Normativa de Protección de Datos en el Ámbito de la Salud, organizado por la Sociedad Española de Directivos de la Salud (SEDISA), la Fundación SEDISA y el Comité de Antiguos Alumnos de SEDISA (ALSEDISA).

Las organizaciones cada vez hacen un mayor uso de los datos de las personas, de forma que éstos se han convertido en un activo fundamental, que genera valor añadido a los productos y servicios y sirven de ayuda en el apoyo a la toma de decisiones por parte de las empresas. En palabras de Joaquín Estévez, presidente de SEDISA, "en el ámbito de las organizaciones sanitarias, la situación es muy compleja. En un hospital se genera un gran número de datos, que además son necesarios para introducir con evidencia todos los avances terapéuticos y de tecnología sanitaria. Sin embargo, esos datos no se están utilizando de forma generalizada, aunque el conocimiento que aportan es fundamental para la planificación de recursos y mejora de la actividad asistencial. Además, nuestros sistemas no son invulnerables y cada día se perfeccionan más los ataques a éstos".

Sector prioritario

Por este motivo, según la directora de la AEPD, el sector salud ha sido prioritario para la Agencia, 

Se han incrementado en un 150 % las reclamaciones de Sanidad

desde la que se están elaborando guías y se pondrá en marcha un plan de actuación específico para el área de atención sociosanitaria. En este sentido, según se recoge en la Memoria 2018 de la Agencia, se han incrementado en un 150 por ciento las reclamaciones de Sanidad pasando de una cifra de 379 y 361 los años 2016 y 2017 a 901 en 2018.

Respecto a la figura del delegado de protección de datos (DPD), Mar España ha explicado que "su papel es fundamental para asesorar sobre el cumplimiento y concienciar sobre ello a los profesionales. No se exige que tenga una titulación específica o que sus cualidades hayan sido certificadas pero sí unos requisitos mínimos, debiendo tener conocimientos en derecho y práctica en protección de datos; se deja libertad para que el delegado de protección de datos sea interno, de la propia organización, se seleccione por contratación externa o sea compartido, y quien lo nombra debe garantizar que participe en el equipo directivo, y que esté respaldado con medios técnicos, autonomía e independencia”.

Delegados de protección de datos

Sobre la situación al respecto, la directora de la AEPD ha precisado que “en la Agencia tenemos notificados 35.000 delegados, frente a los 20.000 organismos públicos y las cerca de tres millones de empresas que existen en España aproximadamente. Si bien es cierto que sólo las empresas que traten datos a gran escala deben contar con un DPD, así como todos los organismos públicos, podemos decir que aún queda trabajo por hacer”, explica Mar España.

La directora de la AEPD ha puesto de relieve el trabajo realizado por la Agencia en los últimos años, 

Siete de cada diez reclamaciones se han resuelto de forma satisfactoria para ambas partes

destacando que en 2018 las reclamaciones crecieron casi un 33 por ciento respecto a 2017, pasando de 10.651 a 14.416. Asimismo, ha indicado que un año después de la aplicación del Reglamento se han resuelto casi 2.100 reclamaciones con respuesta satisfactoria tras remitirlas al responsable o al Delegado de Protección de Datos, lo que supone que 7 de cada 10 reclamaciones enviadas se han resuelto de forma satisfactoria para las partes implicadas.

Por otro lado, la página web de la Agencia ha recibido 8 millones de visitas en el último año, ha habilitado un canal de información en el que se han recibido más de 4.000 consultas de responsables de protección de datos sobre la aplicación del RGPD y ha publicado la Guía de buenas prácticas en el uso de Big Data y salud. Próximamente publicará la ‘Guía para instituciones y profesionales sanitarios’ y la ‘Guía para pacientes y usuarios de Sanidad’, así como el ‘Plan de oficio para el sector sociosanitario’, actualmente en ejecución.

Acceso a la historia clínica

Pese a que se conoce cuándo un profesional sanitario puede acceder a una historia clínica, la AEPD sigue recibiendo reclamaciones en esta área. “La Ley garantiza la atención al paciente y, al mismo tiempo y preserva la trazabilidad”, explica Mar España, quien añade que, “sin embargo, por otra parte, facilita el acceso para la investigación, asegura el anonimato y contempla el derecho a la delimitación del uso de los datos y de la portabilidad”.

De esta forma, la legislación delimita el acceso tanto a los profesionales administrativos como a los estatutarios a las historias clínicas relacionadas con su actividad asistencial