Guía Práctica sobre Protección de datos: ámbito sanitario

II. La protección de datos en el ámbito sanitario

1. La protección de datos en el ámbito sanitario

El tratamiento de datos en el ámbito sanitario se ha visto afectado, como no podía ser de otro modo, por las novedades introducidas por el Reglamento 2016/679/UE, General de Protección de Datos (en adelante RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de Derechos Digitales (en adelante LOPDGDD).

En el ámbito de la asistencia sanitaria, como mínimo, son dos los derechos fundamentales afectados, el derecho a la intimidad personal recogido en el art. 18.11) de la Constitución Española (en adelante CE), que protege frente a cualquier invasión que pueda realizarse en el ámbito de la vida personal y familiar (vg. que se pueda disponer de habitación individual o que no se haga pública el ingreso en un centro sanitario), y el derecho fundamental a la protección de datos derivado del art. 18.4 CE que persigue garantizar a los interesados un poder de control sobre sus datos personales, el denominado derecho a la autodeterminación informativa (vg. que no se informe a un tercero del número de habitación de un paciente ingresado, o no se permita el acceso a un familiar a su historia clínica).

La normativa de protección de datos es una normativa transversal que afecta a casi todos, por no decir todos, los sectores de la sociedad. Partiendo del concepto de dato de carácter personal como información que permite identificar o hacer identificable a una persona física 2), se hace difícil imaginar cómo una organización pública o privada del sector sanitario puede alcanzar sus fines sin tratar de alguna manera datos de personas físicas (clientes, pacientes, proveedores, empleados, candidatos a un puesto de trabajo, familiares de pacientes, etc..).

Un primer problema nos lo encontramos cuando nos aproximamos al concepto de datos relativos a la salud. No existiendo dudas sobre el carácter personal de estos datos, la legislación nacional no contenía una definición de dicho concepto (y no será porque la normativa de protección de datos no tenga definiciones en su articulado). Esta carencia se corrigió con el Reglamento que desarrollaba la LOPD3) que contenía una definición de los datos de carácter personal relacionados con la salud en su art. 5.1. g) 4), definición que también se ha recogido en el RGPD, en cuyos considerandos 34 y 35 se vienen a definir5) con ejemplos clarificadores.

Tener claro cuando estamos tratando un dato relativo a la salud de una persona física o un dato genético es muy importante, pues la normativa de protección de datos otorga una especial protección a este tipo de datos, lo que debe ser tenido en cuenta por las organizaciones que realicen un tratamiento de los mismos, tanto a efectos de obligaciones que deben asumir, como de eventuales sanciones derivadas de la comisión de infracciones por un tratamiento indebido de este tipo de datos que ahora pueden ser sancionadas con multas administrativas de hasta 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. Además, junto con la posibilidad de multas administrativas, el art. 82 RGPD6) deja la puerta abierta a que los interesados puedan reclamar una indemnización derivada de los daños y perjuicios materiales o inmateriales como consecuencia de una infracción del Reglamento, lo que conlleva que una organización pueda enfrentarse no solo a una multa administrativa sino también a una reclamación judicial de daños y perjuicios.

Una vez tengamos claro si los datos que manejamos son datos relativos a la salud, un segundo concepto clave a tener en cuenta es de la historia clínica, definida en el art. 3 de la Ley Básica 41/2002, Reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en materia de información Clínica (en adelante LAP) como “el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial.”

En esta historia clínica es donde se van a recoger y tratar la mayoría de datos de salud de los interesados, y como documento maestro que es en este ámbito, deberemos prestarle especial atención en lo que se refiere a su acceso, confección, custodia, conservación y eventual cesión a terceros, obligando a que las organizaciones deban adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertados del interesado conforme exige el art. 32 RGPD.7)

Y aquí nos encontramos con un nuevo reto, la transversalidad de la normativa de protección de datos, provoca en ocasiones problemas interpretativos para el operador jurídico con la normativa especial de un determinado sector. Esta situación nos la encontramos en el sector de la sanidad, donde puede decirse que la norma de referencia en España, que completa las previsiones de la Ley 14/1986, General de Sanidad (en adelante LGS), es la LAP, sin perjuicio de que en cada Comunidad Autónoma con competencias en materia sanitaria se pueda completar dicho texto legal; la LAP, entre otras cosas, garantiza la confidencialidad de la información con los servicios sanitarios que se prestan, pero lo hace, como no puede ser de otro modo, desde la óptica de la normativa de protección de datos que estaba vigente en su momento de promulgación, esto es, la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en adelante LOPD), Ley Orgánica que contiene unos principios inspirados en la Directiva 95/46, distintos y superados por el vigente RGPD, lo que va a provocar en el operador jurídico tener que hacer una labor interpretativa de aquella normativa anterior al RGPD, en tanto en cuanto, no debemos olvidarlo, estamos ante un Reglamento Europeo, dotado de eficacia directa y primacía frente a toda norma nacional que contradiga su contenido, conforme a la jurisprudencia emanada del Tribunal de Justicia de la Unión Europea8) (en adelante TJUE) que establece que en caso de contradicción entre la norma nacional y la comunitaria, la primera debe interpretarse de conformidad con la comunitaria, si ello fuera posible y, en caso contrario, dejar inaplicada la normativa nacional en favor de la aplicación de la comunitaria, todo ello siempre que la contradicción sea evidente, ya que si no lo es, la cuestión debe someterse, mediante cuestión prejudicial, al TJUE.

En el momento de promulgación de la LAP, la base jurídica estrella que legitimaba el tratamiento de datos de carácter personal era el consentimiento9), si se me permite la expresión, era el rey de la fiesta. Por ello, la LAP en su artículo 2.2 dedicado a los principios básicos señala:

2. Toda actuación en el ámbito de la sanidad requiere, con carácter general, el previo consentimiento de los pacientes o usuarios. El consentimiento, que debe obtenerse después de que el paciente reciba una información adecuada, se hará por escrito en los supuestos previstos en la Ley.

El RGPD establece en su art. 610) las condiciones para que un tratamiento de datos sea lícito, estableciendo seis bases jurídicas en igualdad de condiciones, sin que sea preferente una frente a las demás, como ya hemos visto que sí hacía el ahora derogado art. 6 LOPD.

Este nuevo marco normativo instaurado por el RGPD va a obligar a las organizaciones del sector sanitario a analizar la base jurídica que legitima su tratamiento, dado que ahora se ha abierto el abanico de posibilidades más allá del consentimiento del paciente-usuario.

En cualquier caso, debe tenerse presente que los datos relativos a la salud, así como el tratamiento de datos genéticos o datos biométricos son considerados como categorías especiales de datos personales al que el RGPD dispensa de una especial protección, hasta el punto de prohibir su tratamiento como regla general en su art. 9.111).

Para poder tratar este tipo de categorías especiales de datos debe concurrir alguna de las circunstancias previstas en el ordinal segundo el ciado art. 9 RGPD, siendo aplicables en el ámbito sanitario las siguientes:

a) El consentimiento explícito del interesado.

b) El tratamiento sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice una norma legal estatal o comunitaria, o un convenio colectivo.

c) El tratamiento sea necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento.

d) El tratamiento se refiera a datos personales que el interesado ha hecho manifiestamente públicos.

e) El tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial.

f) El tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base de una norma legal estatal o comunitaria o en virtud de un contrato con un profesional sanitario, siempre y cuando dicho tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.

g) El tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base de una norma legal estatal o comunitaria, derechos y libertades del interesado, en particular el secreto profesional,

h) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos.

Por su parte la LOPDGDD, recogiendo la habilitación contenida en el art. 9.4 RGPD12), ha indicado que el tratamiento de datos amparados en razones de interés público, para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, datos que el interesado haya hecho manifiestamente públicos y que el tratamiento sea necesario por razones de interés público ene ámbito de la salud pública, deberán estar amparados en una norma con rango de ley (reserva de ley), excluyendo por tanto al resto de fuentes jerárquicamente inferiores de nuestro ordenamiento jurídico como Reglamentos y disposiciones de rango normativo inferior.13)

Es más, la LOPDGDD ha procedido a listar aquellas normas con rango legal que amparan el tratamiento de datos relacionados con la salud y de datos genéticos en su Disp. Adic. 17.ª14), si bien, llama la atención a este autor que en dicha Disp. Adic. 17.ª se ampare el tratamiento de datos de salud y genéticos “que estén regulados en las siguientes leyes y sus disposiciones de desarrollo” cuando como hemos visto el art. 9.2 LOPDGDD establecía una reserva de Ley, por lo que en principio una norma reglamentaria de desarrollo de esas leyes no podría amparar un tratamiento de este tipo de datos, existiendo una defectuosa técnica legislativa.

Del estudio de este nuevo marco normativo, lo que nos tiene que quedar claro es que no siempre que se traten datos relativos a la salud, se requerirá como regla general el consentimiento del interesado, como venía afirmando la LAP, en tanto en cuanto puedan existir normas de rango legal que legitimen dicho tratamiento, o puede concurrir una urgencia vital, existiendo, por tanto, otras bases jurídicas que legitiman el tratamiento de este tipo de datos. Como decía anteriormente, el consentimiento ha dejado de ser el rey de la fiesta.

Otro problema con el que se encuentran las organizaciones del sector sanitario es la seguridad jurídica a la hora de afrontar las concretas obligaciones que les impone el RGPD. Este Reglamento está basado en la “acconuntability” anglosajona, o como se ha traducido en España en el principio de Responsabilidad Proactiva, que deja la pelota en el tejado de las organizaciones a la hora de cumplir con la normativa, y demostrar dicho cumplimiento.

Esta técnica de “soft law”, a la que no estamos acostumbrados en nuestro Derecho Patrio, donde venimos de un Reglamento que desarrollaba la LOPD15) cuyo título VIII nos listaba las medidas de seguridad que debíamos implementar en función de unos niveles de seguridad (básico, medio y alto), provoca que las organizaciones estén perdidas a la hora de decidir qué concretas medidas de seguridad jurídicas, técnicas y organizativas deben implantar para garantizar que cumplen con la normativa, surgen preguntas tales como ¿debo designar un Delegado de Protección de Datos? ¿debo tener un registro de actividades de tratamiento? ¿debo hacer una Evaluación de Impacto relativa a la protección de datos? ¿y un análisis de riesgos? ¿qué hago con el documento de seguridad que venía manteniendo con la antigua LOPD? ¿cuándo debo notificar a la Agencia Española de Protección de Datos una brecha de seguridad?, preguntas que cada organización deberá ir respondiendo en función del concreto tratamiento de datos que realice, se acabó el “café para todos”, imponiéndose la evaluación personalizada e individualizada de cada organización atendiendo al estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riegos de probabilidad y gravedad variables para los derechos y libertades de los interesados.

David Muñiz Aguirreurreta

Socio Director de DMA COMPLIANCE & DATA CONSULTING, S.L.