Protección de Datos en Clínicas y Centros de Salud
Los profesionales del sector sanitario además de datos identificativos de pacientes tratan datos relativos a salud, como las historias clínicas (diagnósticos, tratamientos, operaciones, alergias, antecedentes familiares, etc.). Estos datos personales son considerados información sensible, y están especialmente protegidos por el RGPD y la LOPDGDD.
Por ello, los centros médicos, clínicas dentales, fisioterapeutas, centros estéticos y cualquier otro profesional de la salud se deben adaptar al RGPD, pues están obligados a cumplir con requisitos y exigencias especiales en el tratamiento de los datos médicos de sus pacientes. Evita posibles sanciones RGPD a médicos con Pdatos.
¿Qué normativa afecta a las clínicas y centros de salud?
No cumplir con la normativa de protección de datos te puede suponer una fuerte sanción (incluso las más leves pueden alcanzar los 40.000 euros), en caso de incumplir con la LSSI-CE o LGDCU, puedes estar cometiendo un delito tipificado en el código penal, lo que puede conllevar no solo una multa, sino también penas de prisión y, en el caso de empresas responsabilidad penal como entidades jurídicas.
+Reglamento General de Protección de Datos (RGPD)
+Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD)
+La ley 41/2002 de autonomía del paciente
Requisitos para la adaptación de las clínicas al RGPD, LOPD y otras normativas.
● Es obligatoria la obtención del consentimiento expreso por parte del paciente para el tratamiento de sus datos personales.
● Confidencialidad de los datos médicos: El acceso a la historia clínica del paciente está exclusivamente limitado al personal médico encargado de su tratamiento. Ninguna otra persona, aunque se trate de familiares o se actúe de buena fe, podrá acceder a ella.
● El tratamiento de datos del paciente debe ser transparente, lícito y leal: Los datos se recogerán con fines concretos y explícitos y no se usarán posteriormente con otras finalidades. Se limitará el uso de los datos del paciente a aquellos que sean pertinentes, adecuados y limitados a las necesidades para el cumplimiento de la finalidad.
● Obtención del Consentimiento informado del paciente por escrito: Todo paciente tiene derecho a ser informado sobre cualquier actuación médica sobre su persona, así como a decidir libremente si se somete a ella o no.
● Debe de informar: El responsable de la clínica debe dar la adecuada información al paciente sobre la Identidad del responsable del tratamiento o representantes, datos de contacto del DPO; finalidad y base jurídica; destinatarios de los datos; transferencias internacionales; derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición; derecho a revocar el consentimiento y de presentar una reclamación ante la AEPD.
● Los datos serán exactos, veraces y estarán actualizados: Se limitará el plazo de su conservación al cumplimiento del fin para el que fueron recabados. Se protegerán frente a la pérdida, destrucción, acceso no autorizado o daño accidental
➜ ¿Cómo aplicar la protección de datos en una clínica dental, centro médico, etc. y evitar sanciones?
➢ Atender las solicitudes de ejercicios de derechos de los interesados.
➢ Incluir textos legales en la web.
➢ Carteles informativos y documentación relativa a la utilización de sistemas de videovigilancia.
➢ Revisiones internas para mejorar la seguridad y certificar el cumplimiento.
➢ Cooperar con la AEPD y/o Agencias autonómicas en los procedimientos de inspección.
➢ Documento de Seguridad. Registro de Actividades de Tratamiento (RAT). Adoptar las medidas de seguridad implementadas. Este documento lo pueden pedir en caso de inspección. Normalmente deberá constar por escrito, aunque también es válido en formato electrónico.
➢ Consentimiento de los pacientes.
➢ Contratos con empleados y terceros, como laboratorios, empresa informática, software de gestión de pacientes, etc.
➢ Protocolo en caso de incidente o brecha de seguridad.
➢ Analizar el riesgo.
Sanciones por incumplimiento del RGPD en un centro médico, centro de fisioterapia, clínica dental…
✔ Las sanciones RGPD a médicos se aplican en función de diversos criterios:
✔ Las sanciones varían en cuantía en función de la gravedad de la infracción y de factores como los perjuicios ocasionados, la extensión de la infracción en el tiempo, el lucro obtenido o la voluntad de aplicar medidas correctoras.
✔ Las sanciones impuestas a clínicas por no cumplir con las obligaciones que supone la Ley de Protección de Datos pueden ser de 3 tipos: leves, graves o muy graves que pueden ir desde los 40.000 € hasta los 20.000.000 € en los casos más graves.
Cumplir con la ley de protección de datos en centros sanitarios es fundamental para evitar este tipo de sanciones.
Un ejemplo de sanción a un centro médico privado por no cumplir la protección de datos es un caso ocurrido en 2014, cuando un médico fue multado con 5.000 € por extraviar las imágenes de la operación de un paciente. Otro ejemplo de sanción, 18.000 €, fue impuesta por tirar a la basura un documento sin destruir con datos de pacientes.
Desde la entrada en vigor del RGPD y la LOPDGDD, han ido creciendo significativamente el número de sanciones y sus cuantías a profesionales de la salud.
Por ello, te recomendamos contactar con un profesional que te asesore sobre cómo aplicar la ley de protección de datos en tu clínica y asegurar tu cumplimiento en protección de datos para evitar multas que pueden ir más allá del perjuicio económico:
👍 Daño a la Imagen y a la confiabilidad de tu empresa que incide directamente en tu rentabilidad.
👍 Inclusión en listas negras por sanciones RGPD.
👍 Pérdida o alteración de información clave para tu negocio, fuga de datos, etc.
👍 Costes adicionales para implementar y mejorar tus sistemas de seguridad.
✖ Infracciones leves
Multas de hasta 40.000€
✖ Infracciones graves
Multas de 40.001€ a 300.000€
✖ Infracciones muy graves
Multas de 300.001€ a 20.000.000€
PREGUNTAS FRECUENTES
+¿Puedo consultar mi historia clínica?
Sí. La clínica tiene que facilitar una copia del historial médico al paciente en un plazo de un mes y de forma gratuita. Asimismo, se puede solicitar la historia clínica de familiares fallecidos, a no ser que estos se hayan opuesto a ello en vida.
+¿Puedo pedir que se rectifique algún dato de mi historia clínica?
Si. El paciente tiene derecho a solicitar que se rectifiquen aquellos datos personales inexactos o incompletos. Para ello, aportará la documentación que acredite dicho error. Será el profesional sanitario quien determine si se han de rectificar o no.
+¿Puedo solicitar la supresión de los datos de mi historia clínica?
La supresión de los datos de la historia clínica solo podrá ser efectuada si lo determina un profesional sanitario, pues esos datos pueden ser necesarios para fines de diagnóstico médico, medicina preventiva, prestación de asistencia sanitaria, para mejorar la calidad de los servicios de asistencia sanitaria o la prevención de amenazas graves para la salud pública.
+¿Necesito contratar los servicios de un experto RGPD en el sector médico?
La protección de los datos de salud, considerados categorías especiales de datos, incluidos en la historia clínica del paciente es vital. Las clínicas dentales, centros médicos, fisioterapeutas y demás profesionales de la salud están obligados a adoptar las medidas técnicas y organizativas pertinentes para garantizar la seguridad e integridad de los datos que tratan. Estas medidas se han de evaluar periódicamente para determinar su idoneidad, teniendo en cuenta factores como el estado de la técnica, la naturaleza y el contexto de aplicación, o los posibles riesgos para los pacientes. Para ello, es fundamental contar con un servicio experto de protección de datos para el sector sanitario, que te asesore, ayude y respalde en tu cumplimiento y te mantenga al día. La protección de datos y el cumplimiento de su normativa es una actividad compleja, que exige conocimientos concretos y especializados. En Pdatos llevamos más de 13 años ofreciendo nuestros servicios a centros de salud y profesionales sanitarios.
+¿Pueden compartir datos de salud entre entidades y/o profesionales sanitarios?
Solo cuando estén legitimados para ello. Por ejemplo, si un usuario de la sanidad privada acude a consulta con la tarjeta de la aseguradora, el médico ha de facilitar a esta entidad la información necesaria para el abono de la prestación correspondiente.
+Puedo tener acceso a los datos de salud de mis empleados?
No. El acceso del empleador a la historia clínica del personal contratado está prohibido. La única información aportada al empleador es si el emperador es APTO o NO APTO. Los partes de baja por enfermedad tampoco incluyen datos de salud del empleado.
+¿Puede cualquier médico o sanitario tener acceso a mi historial clínico?
Solo pueden acceder a los datos del historial clínico los médicos legitimados para ello; es decir, aquellos implicados en el tratamiento de los datos, en caso de interés público o por razones de salud pública. Saltarse esta norma puede acarrear una multa o sanción por incumplir el RGPD para médicos.