¿Alguna vez te has preguntado quiénes pueden acceder a tu historial médico? Con la llegada de Internet, la protección de datos comenzó a ganar peso en muchas áreas, pero existen ámbitos en los que siempre hemos convivido con ella, como el sanitario. Y es que en la actualidad los hospitales y clínicas deben cumplir con las leyes de protección de datos tanto de forma online como offline. Así que si eres de esos que tiene un conocido al que recurren para consultar el resultado de pruebas médicas antes de recibir la comunicación oficial o trabajas en el sector sanitario y tú o tus trabajadores realizáis prácticas que no cumplen con la normativa, en este post te contamos las sanciones a las que os enfrentáis.
¿Qué es el historial clínico?
El historial clínico o historia clínica es el documento médico-legal que se crea cuando acudes por primera vez a un centro sanitario y que se irá actualizando conforme vuelvas a visitar dicho lugar. Su objetivo no es otro que el de recoger toda la información en relación a la salud y tratamiento que recibe el paciente. Es decir, es una especie de historial de la relación médico-paciente para conocer en todo momento los tratamientos del paciente y brindarle la mejor y más personalizada atención posible.
El historial clínico recoge información de carácter personal y médica. Estos son los 10 principales datos que se almacenan:
-
Nombre, apellidos, DNI y dirección
-
Número de la tarjeta sanitaria
-
Registro de ingresos y de altas
-
Informes de urgencia, anestesias y quirófano
-
Exploraciones
-
Tratamientos
-
Evolución del estado del paciente
-
Órdenes médicas
-
Cuidados de enfermería
-
Antecedentes familiares
¿Quién tiene acceso a mi historial clínico?
Esta es sin duda una de las preguntas que más dudas causa y es que… ¿Quién puede ver mi historial médico? ¿Mi doctor? ¿Yo? ¿Alguien más? Para hallar la respuesta hay que echar mano de la Ley 41/2002, de 14 de noviembre, Básica Reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en Materia de Información y Documentación Clínica, que dice lo siguiente: solamente el paciente y el personal sanitario directamente implicado en el tratamiento del paciente tienen acceso al historial clínico de dicho paciente. Todas estas personas están además obligadas a guardar secreto profesional, lo que se conoce como secreto médico compartido.
Si una persona ajena al hospital o clínica accediera a esta información de carácter personal, estaría violando la protección de datos, o lo que es lo mismo, la Ley Orgánica de Protección de Datos de Carácter Personal y Garantía de los Derechos Digitales (LOPDGDD) y el Reglamento General de Protección de Datos (RGPD). De hecho, estos centros están obligados a guardar los historiales clínicos un mínimo de 5 años desde la fecha en la que se haya producido el registro de un dato concreto.
Excepciones
Como toda regla, siempre existen excepciones. En este caso, se dan unos casos muy concretos y que quedan bien definidos por ley en los que otra persona podría acceder al historial médico.
-
Por orden judicial, en el transcurso de una investigación que precise conocer esos datos.
-
Por evaluación de la calidad de la asistencia (realizada por el personal sanitario acreditado).
-
Por epidemia, para evitar y prevenir problemas sanitarios de primer orden.
-
Por investigación o docencia (teniendo en cuenta el punto 2 de la Disposición adicional decimoséptima de la LOPDGDD).
-
Por acceso de la Administración, solo si fuese estrictamente necesario para realizar su trabajo (los permisos deben ser concedidos por el centro sanitario).
Del mismo modo que el personal acreditado para consultar un historial clínico en circunstancias normales, el personal no sanitario también está obligado a guardar secreto profesional, denominado secreto médico derivado.
Por ningún motivo entra dentro de las excepciones el acceso al historial clínico de una persona que cuente con las plenas facultades para hacerlo. La Agencia Española de Protección de Datos (AEPD) establece que si un paciente no tiene diagnosticada una discapacidad cognitiva, sus familiares no podrán solicitar el acceso a su historial médico. Asimismo, en lo relativo a pacientes fallecidos, el artículo 18.4 de la Ley de Autonomía del Paciente establece lo siguiente: “Sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite”.
Tratamiento de datos en el ámbito sanitario
El tratamiento de datos en el área de la salud funciona de la misma manera que el resto, pero existen ciertas características específicas. Una de ellas es la obligación de las instituciones médicas de notificar al paciente cualquier tipo de información relativa a actuaciones médicas que hayan de realizarse sobre su persona. Lo que se pretende es que el paciente pueda decidir libremente si se somete a ellas o no, consentimiento que ha de ser expreso y por escrito.
En cualquier caso, el Capítulo II del RGPD recoge los principios por los que debe regirse el tratamiento de datos:
● Principio de licitud, lealtad y transparencia: se prohíbe la recogida de datos a través de métodos desleales, ilícitos o fraudulentos.
● Principio de exactitud: datos actualizados, exactos y verídicos.
● Principio de limitación: los datos han de recogerse con un fin que luego no puede modificarse.
● Principios de integridad y confidencialidad: aplicación de medidas de seguridad para la protección de los datos ante la pérdida, robo, acceso no autorizado… que se puedan producir.
● Principio de proporcionalidad: también denominado “minimización de datos”, controla que los datos recogidos se limiten a la finalidad para la que se recogieron y sean adecuados a ella.
● Principio de responsabilidad proactiva y enfoque de riesgo: aplicación de medidas de seguridad de acuerdo con el RGPD.
¿Los datos médicos son sensibles?
El RGPD establece que los datos médicos son datos personales especiales de carácter sensible, en otras palabras, datos que deben estar especialmente protegidos. Por lo tanto, las clínicas y hospitales deben cumplir con ciertas actividades para velar por la protección de estos datos a la vez que no incumplen el RGPD y la LOPDGDD.
● Consentimiento de los clientes, por consentimiento expreso de los pacientes a través de una firma física o a través de la marcación de una casilla en su web.
● Garantizar los derechos de los usuarios, conocidos como derechos ARCO-POL.
● Análisis de riesgos, para implantar las mejores y más efectivas medidas de protección de datos.
● Inclusión de textos legales en su web, por obligación en todas las webs que traten datos personales.
● Registro de las actividades, como la cesión de datos a terceros o la propia finalidad del tratamiento de los mismos.
● Notificar a los implicados si se produce una falla en la seguridad en un plazo de 72 horas, como máximo.
● Contar con un Delegado de Protección de Datos (DPD).
Sanciones y penas
¿Pensando en consultar los datos de un familiar, amigo o conocido? Aunque la intención sea buena, no te recomendamos hacerlo si no quieres incumplir la ley, ya que actuar de buena fe no exime del cumplimiento de la ley.
La normativa en protección de datos castiga tanto por divulgación de secretos como por atentar contra la intimidad personal, con penas y sanciones que varían, en función de la gravedad, entre las siguientes:
● Penas de cárcel
● Inhabilitación profesional temporal o permanente
● Sanción administrativa
Está claro que tomarse a la ligera el tratamiento de los datos no es moco de pavo, y menos en un ámbito tan importante como es el sanitario, en el que además la salud de los pacientes está en juego. Razón por la cual si trabajas o gestionas una empresa en esta área, te recomendamos ponerte en contacto con nosotros. En Pdatos ofrecemos servicios de protección de datos de manera personalizada para tu negocio y aplicamos las medidas de seguridad necesarias que bloquearán cualquier amenaza de multa o sanción. Ponte en contacto con nosotros a través de la web o llámanos gratuitamente al 91 090 17 89. Estaremos encantados de ayudarte.