protecció dades

La Autoridad Catalana de Protección de Datos (APDCAT) ya constató en su Memoria de 2022 que la gran mayoría de delegados de protección de datos (DPD) nombrados en el sector público son externos, lo que implica que, en muchos casos, han sido contratados a través de procesos de contratación pública. Ahora, a través de la Recomendación 2/2023, publicada recientemente, la APDCAT recuerda que el DPD es una figura de obligatorio nombramiento en la administración pública y que dicho nombramiento debe tener en cuenta ciertos aspectos cualitativos, como la necesidad de tener conocimientos jurídicos, especialmente en relación con la protección de datos, o la capacidad para llevar a cabo determinadas funciones de información, asesoramiento, supervisión y cooperación.

Esta recomendación surge debido a la constatación de que en muchos procesos de licitación pública de un contrato de servicios de DPD externo, solo se ha tenido en cuenta el factor precio o se ha estimado un valor de precio muy bajo, sin considerar la dedicación real y los aspectos cualitativos que debe tener necesariamente la figura del DPD y su trabajo. (más…)

Dentro del Plan Estratégico 2015-2019, la Agencia Española de Protección de Datos ha realizado el Plan de inspección de oficio de la atención sociosanitaria con el objetivo principal de analizar los tratamientos de datos personales que se efectúan en este ámbito e investigar su adaptación a la normativa de protección de datos con carácter preventivo.

La atención sociosanitaria engloba la coordinación de la asistencia sanitaria y social dirigida a colectivos especialmente vulnerables como, por ejemplo, la tercera edad, enfermos crónicos, personas con alguna discapacidad física, psíquica o sensorial y en riesgo de exclusión social. El plan de inspección se refiere a la prestación simultánea intensiva, continuada y sinérgica de los servicios sociales y sanitarios. La Agencia considera que más de un sector sociosanitario debería hablar del denominado “espacio sociosanitario” en el que se coordinan los servicios sociales y los sanitarios para prestar una atención integral, que no sea fragmentada, al usuario que presente simultáneamente enfermedades crónicas y dependencia con servicios trasversales y multidisciplinares que atienden al individuo de forma más eficaz y de acuerdo con sus necesidades específicas.

La AEPD empezó su plan de inspección en junio de 2018. Para ello, realizó la planificación de la auditoría identificando los actores involucrados y realizó un estudio previo basado en la investigación documental a través de Internet; en esta fase la Agencia se reunió con el IMSERSO. En la siguiente fase, la AEPD procedió a solicitar información y documentación a los centros inspeccionados, excluyendo Cataluña y País Vasco por razón de competencias. La Agencia realizó inspecciones de septiembre de 2018 a diciembre del mismo año en centros de Atención sociosanitaria de referencia de carácter público estatal para la atención a enfermos con una determinada dolencia, hospitales de media estancia y convalecencia público de una Comunidad Autónoma dependientes de su Consejería de Sanidad, residencia de mayores especializada en Alzheimer de un Ayuntamiento gestionado por una empresa privada con contrato de gestión indirecta y centros privados sociosanitarios de atención a enfermos mentales con plazas concertadas, privadas y de aseguradoras privadas. El plan de inspección resulta en la emisión del informe.

El capítulo 7 de conclusiones y recomendaciones del informe explica las diferentes deficiencias detectadas y aspectos susceptibles de mejora y las recomendaciones propuestas para la subsanación o mejoras de estas.

La asistencia sociosanitaria requiere el tratamiento de muchos datos personales, entre los que se incluyen datos las categorías especiales. La prestación sanitaria demanda el uso de datos sanitarios, incluyendo la Historia Clínica, diagnósticos, tratamientos, etc.; datos de la Historia Social como informes sociales, información sociofamiliar y del entorno, situación económica personal, redes de apoyo, etc.; informes psicopedagógicos; datos de evaluación de autonomía, etc.; registro de incidencias como caídas o alteraciones conductuales de las personas usuarias, etc.; el denominado Plan de Atención Personalizada/Individualizada (PAP/PAI) de la persona usuaria; datos de familiares o de personas responsables de la persona usuaria; contrato de convivencia; entre otros datos personales.

La Agencia ha detectado que estos datos personales se utilizan frecuentemente en documentación en formato papel que pueda encontrarse dispersa en los diferentes espacios físicos del centro sociosanitario, es lo que la AEPD ha llamado “islas de información” y considera que, en determinadas casuísticas, puede afectar a la integridad y disponibilidad de los datos personales. También la Agencia detecta que los datos personales son tratados por diferentes perfiles profesionales, por ejemplo, en las reuniones interdisciplinares mediante las que se coordina la atención y se realizan los seguimientos de las personas usuarias. El sector sociosanitario requiere que trabajen diferentes perfiles, personal médico, enfermero, fisioterapéutico, terapéutico ocupacional, psicológico, psicopedagogo, asistencial no diplomado (auxiliares), así como otro personal gestor o de apoyo e, incluso, orientadores espirituales en los centros religiosos, todo el personal coordinado con la finalidad de atender a la persona usuaria de forma integral y personalizada. En este sentido, la Agencia relata el ejemplo expreso de una persona usuaria que vocifera sin motivo aparente o causa conocida y el origen de su malestar puede ser tanto físico, como psíquico o social, por lo que se necesita toda la información posible para prestar la debida atención a la persona usuaria.

Antes estas situaciones detectadas por la Agencia, la misma sugiere que una posible solución, dentro de los recursos disponibles, es la digitalización total de la historia sociosanitaria del centro. Para ello, aplicando los principios de protección desde el diseño y por defecto, se otorgarían a los perfiles profesionales los diferentes accesos a los datos personales que necesiten para poder realizar la debida prestación sanitaria. La información se estructura por distintos accesos e inicialmente se otorgan los privilegios de acceso mínimo necesarios para la prestación sociosanitaria, depurando posterior y puntualmente otras necesidades en base a los nuevos requerimientos que se presenten.

Todo ello, deberá acompañarse del compromiso de confidencialidad escrito y suscrito por el personal que, además del personal propio, puede incluir personas becarias, estudiantes en prácticas, personal de empresas externas.

El capítulo 7 detecta otras situaciones a subsanar y mejorar como la información del tratamiento de datos personales a las personas usuarias y familias, licitud del tratamiento, los flujos de datos entre administraciones y otros actores públicos y privados, análisis de contrato, pliegos y convenios y otras adaptaciones al Reglamento General de Protección de Datos. Entre otras subsanaciones y mejoras propuestas por la Agencia se menciona el procedimiento de identificación y gestión de las quiebras de seguridad, la realización de un Análisis de Riesgos para determinar las medidas técnicas y organizativas apropiadas al nivel de riesgos detectado a fin de garantizar la seguridad de los tratamientos de datos personales, las correspondientes Avaluación de Impacto relativas a la Protección de Datos.

Es en el capítulo 8 del informe donde se encuentra el decálogo de recomendaciones que puede resumirse del siguiente modo:

1. Información a la persona usuaria preferentemente en capas, concisa y con un lenguaje claro adecuado a la capacidad de comprensión de la persona destinataria de la información. La primera capa deberían ser carteles informativos sencillos ubicados en zonas de acceso a los centros juntamente con las leyendas informativas en todos los formularios de recogida de datos personales.
2. Licitud de cada actividad de tratamiento.
3. Minimizar la compartición de datos personales entre el personal aplicando los principios de protección de datos desde el diseño y por defecto. Menciona expreso la Agencia el deber de realizar auditorías de los accesos.
4. El personal con accesos a datos personales deben suscribir el compromiso de confidencialidad. Debe incluirse en los contratos de encarado de tratamiento como obligatorio la firma del compromiso por parte de los empleados y a poder ser incluyendo el modelo de compromiso como anexo al contrato de encargo.
5. Evitar la dispersión de los documentos en papel con datos personales en diferentes ubicaciones del centro y las establecer medidas de seguridad para el traslado y almacenamiento de la documentación con mecanismos que impidan su acceso a personas no autorizadas.
6. No se deben usar usuarios genéricos.
7. Para facilitar información a los familiares de la persona usuaria sobre su estancia, ubicación en el centro y estado de salud debe recabarse el consentimiento de la persona usuaria.
8. No usar el fax ni el correo electrónico sin cifrar para el envío de documentación que contenga datos personales de categorías especiales.
9. Los contratos de encargado de tratamiento deben ser conformes al RGPD. En los contratos de prestación de servicios sin acceso a datos personales se debe prohibir expresamente el acceso a los mismos e informar al personal trabajador. También debe incluirse los posibles accesos accidentales o fortuitos con un compromiso de confidencialidad.
10. Las medidas de seguridad se establecen en base al Análisis de Riesgos. La Evaluación de Impacto relativa a la Protección de Datos es obligatoria para los nuevos tratamientos de los centros sociosanitarios.

El informe recoge en el capítulo 9 algunas preguntas frecuentes que resultan de utilidad práctica como, por ejemplo, que no se pueden cancelar determinados datos personales de una persona usuaria a petición suya porque es preciso mantener la autenticidad de la historia sociosanitaria.

La Inteligencia Artificial (en adelante, IA) se ha asentado en nuestra vida cotidiana con el objetivo de hacernos la vida más fácil y sencilla. Aprovechando los avances en la tecnología aspira a crear experiencias cada vez más personalizadas de productos y servicios.

¿Sabías que el Google Maps es uno de los sistemas de IA más utilizados en todo el mundo? ¿Que la IA podría reducir el consumo de luz? ¿Podríamos decir que hemos normalizado que un sistema automatizado nos sugiera la serie que nos apetece ver según el momento del día? La inteligencia artificial no sólo se aplica a pequeñas tareas rutinarias y repetitivas, sino que desde hace años la inteligencia artificial se explora en grandes sectores como el de la salud o la educación. (más…)