confidencialitat

El 16 de febrero de 2023 el Congreso de los Diputados aprobó la denominada “Ley reguladora de la protección de las personas que informan sobre infracciones normativas y la lucha contra la corrupción” publicada en el BOE de 21 de febrero. Con la aprobación de la Ley se incorpora al Derecho español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019. La normativa entrará en vigor 20 días después de su publicación en el BOE . En la normativa se incorporan los dos claros objetivos de la Directiva europea: proteger a los informantes y establecer las normas mínimas de los canales de información. A continuación, identificamos los principales aspectos de la normativa: (más…)

El plazo para la transposición de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo de 23 de octubre de 2019 en lo referente a la protección de las personas que informan sobre infracciones del Derecho de la Unión, también conocida como la Directiva “Whistleblower”, finalizó el pasado 17 de diciembre de 2021 sin que nuestro legislador le hubiera transpuesto. La Directiva prevé este plazo de transposición a fin de que las entidades privadas y públicas de más de 250 trabajadores dispongan de un canal de denuncias interno sobre infracciones del Derecho de la Unión que garantice la confidencialidad del denunciante. De hecho, la Comisión Europea ya ha enviado una carta de emplazamiento a varios Estados Miembros, entre los que se encuentra el nuestro. (más…)

Dentro del Plan Estratégico 2015-2019, la Agencia Española de Protección de Datos ha realizado el Plan de inspección de oficio de la atención sociosanitaria con el objetivo principal de analizar los tratamientos de datos personales que se efectúan en este ámbito e investigar su adaptación a la normativa de protección de datos con carácter preventivo.

La atención sociosanitaria engloba la coordinación de la asistencia sanitaria y social dirigida a colectivos especialmente vulnerables como, por ejemplo, la tercera edad, enfermos crónicos, personas con alguna discapacidad física, psíquica o sensorial y en riesgo de exclusión social. El plan de inspección se refiere a la prestación simultánea intensiva, continuada y sinérgica de los servicios sociales y sanitarios. La Agencia considera que más de un sector sociosanitario debería hablar del denominado “espacio sociosanitario” en el que se coordinan los servicios sociales y los sanitarios para prestar una atención integral, que no sea fragmentada, al usuario que presente simultáneamente enfermedades crónicas y dependencia con servicios trasversales y multidisciplinares que atienden al individuo de forma más eficaz y de acuerdo con sus necesidades específicas.

La AEPD empezó su plan de inspección en junio de 2018. Para ello, realizó la planificación de la auditoría identificando los actores involucrados y realizó un estudio previo basado en la investigación documental a través de Internet; en esta fase la Agencia se reunió con el IMSERSO. En la siguiente fase, la AEPD procedió a solicitar información y documentación a los centros inspeccionados, excluyendo Cataluña y País Vasco por razón de competencias. La Agencia realizó inspecciones de septiembre de 2018 a diciembre del mismo año en centros de Atención sociosanitaria de referencia de carácter público estatal para la atención a enfermos con una determinada dolencia, hospitales de media estancia y convalecencia público de una Comunidad Autónoma dependientes de su Consejería de Sanidad, residencia de mayores especializada en Alzheimer de un Ayuntamiento gestionado por una empresa privada con contrato de gestión indirecta y centros privados sociosanitarios de atención a enfermos mentales con plazas concertadas, privadas y de aseguradoras privadas. El plan de inspección resulta en la emisión del informe.

El capítulo 7 de conclusiones y recomendaciones del informe explica las diferentes deficiencias detectadas y aspectos susceptibles de mejora y las recomendaciones propuestas para la subsanación o mejoras de estas.

La asistencia sociosanitaria requiere el tratamiento de muchos datos personales, entre los que se incluyen datos las categorías especiales. La prestación sanitaria demanda el uso de datos sanitarios, incluyendo la Historia Clínica, diagnósticos, tratamientos, etc.; datos de la Historia Social como informes sociales, información sociofamiliar y del entorno, situación económica personal, redes de apoyo, etc.; informes psicopedagógicos; datos de evaluación de autonomía, etc.; registro de incidencias como caídas o alteraciones conductuales de las personas usuarias, etc.; el denominado Plan de Atención Personalizada/Individualizada (PAP/PAI) de la persona usuaria; datos de familiares o de personas responsables de la persona usuaria; contrato de convivencia; entre otros datos personales.

La Agencia ha detectado que estos datos personales se utilizan frecuentemente en documentación en formato papel que pueda encontrarse dispersa en los diferentes espacios físicos del centro sociosanitario, es lo que la AEPD ha llamado “islas de información” y considera que, en determinadas casuísticas, puede afectar a la integridad y disponibilidad de los datos personales. También la Agencia detecta que los datos personales son tratados por diferentes perfiles profesionales, por ejemplo, en las reuniones interdisciplinares mediante las que se coordina la atención y se realizan los seguimientos de las personas usuarias. El sector sociosanitario requiere que trabajen diferentes perfiles, personal médico, enfermero, fisioterapéutico, terapéutico ocupacional, psicológico, psicopedagogo, asistencial no diplomado (auxiliares), así como otro personal gestor o de apoyo e, incluso, orientadores espirituales en los centros religiosos, todo el personal coordinado con la finalidad de atender a la persona usuaria de forma integral y personalizada. En este sentido, la Agencia relata el ejemplo expreso de una persona usuaria que vocifera sin motivo aparente o causa conocida y el origen de su malestar puede ser tanto físico, como psíquico o social, por lo que se necesita toda la información posible para prestar la debida atención a la persona usuaria.

Antes estas situaciones detectadas por la Agencia, la misma sugiere que una posible solución, dentro de los recursos disponibles, es la digitalización total de la historia sociosanitaria del centro. Para ello, aplicando los principios de protección desde el diseño y por defecto, se otorgarían a los perfiles profesionales los diferentes accesos a los datos personales que necesiten para poder realizar la debida prestación sanitaria. La información se estructura por distintos accesos e inicialmente se otorgan los privilegios de acceso mínimo necesarios para la prestación sociosanitaria, depurando posterior y puntualmente otras necesidades en base a los nuevos requerimientos que se presenten.

Todo ello, deberá acompañarse del compromiso de confidencialidad escrito y suscrito por el personal que, además del personal propio, puede incluir personas becarias, estudiantes en prácticas, personal de empresas externas.

El capítulo 7 detecta otras situaciones a subsanar y mejorar como la información del tratamiento de datos personales a las personas usuarias y familias, licitud del tratamiento, los flujos de datos entre administraciones y otros actores públicos y privados, análisis de contrato, pliegos y convenios y otras adaptaciones al Reglamento General de Protección de Datos. Entre otras subsanaciones y mejoras propuestas por la Agencia se menciona el procedimiento de identificación y gestión de las quiebras de seguridad, la realización de un Análisis de Riesgos para determinar las medidas técnicas y organizativas apropiadas al nivel de riesgos detectado a fin de garantizar la seguridad de los tratamientos de datos personales, las correspondientes Avaluación de Impacto relativas a la Protección de Datos.

Es en el capítulo 8 del informe donde se encuentra el decálogo de recomendaciones que puede resumirse del siguiente modo:

1. Información a la persona usuaria preferentemente en capas, concisa y con un lenguaje claro adecuado a la capacidad de comprensión de la persona destinataria de la información. La primera capa deberían ser carteles informativos sencillos ubicados en zonas de acceso a los centros juntamente con las leyendas informativas en todos los formularios de recogida de datos personales.
2. Licitud de cada actividad de tratamiento.
3. Minimizar la compartición de datos personales entre el personal aplicando los principios de protección de datos desde el diseño y por defecto. Menciona expreso la Agencia el deber de realizar auditorías de los accesos.
4. El personal con accesos a datos personales deben suscribir el compromiso de confidencialidad. Debe incluirse en los contratos de encarado de tratamiento como obligatorio la firma del compromiso por parte de los empleados y a poder ser incluyendo el modelo de compromiso como anexo al contrato de encargo.
5. Evitar la dispersión de los documentos en papel con datos personales en diferentes ubicaciones del centro y las establecer medidas de seguridad para el traslado y almacenamiento de la documentación con mecanismos que impidan su acceso a personas no autorizadas.
6. No se deben usar usuarios genéricos.
7. Para facilitar información a los familiares de la persona usuaria sobre su estancia, ubicación en el centro y estado de salud debe recabarse el consentimiento de la persona usuaria.
8. No usar el fax ni el correo electrónico sin cifrar para el envío de documentación que contenga datos personales de categorías especiales.
9. Los contratos de encargado de tratamiento deben ser conformes al RGPD. En los contratos de prestación de servicios sin acceso a datos personales se debe prohibir expresamente el acceso a los mismos e informar al personal trabajador. También debe incluirse los posibles accesos accidentales o fortuitos con un compromiso de confidencialidad.
10. Las medidas de seguridad se establecen en base al Análisis de Riesgos. La Evaluación de Impacto relativa a la Protección de Datos es obligatoria para los nuevos tratamientos de los centros sociosanitarios.

El informe recoge en el capítulo 9 algunas preguntas frecuentes que resultan de utilidad práctica como, por ejemplo, que no se pueden cancelar determinados datos personales de una persona usuaria a petición suya porque es preciso mantener la autenticidad de la historia sociosanitaria.