La normativa en materia de protección de datos está en constante evolución, el nuevo Reglamento Europeo que entrará en vigor en mayo de año próximo es un ejemplo de esta evolución normativa.
En la protección de datos se distinguen fundamentalmente dos categorías de datos en función de la protección de cada uno de ellos. En primer lugar los datos ordinarios (datos relativos a competencias profesionales, imágenes, o datos identificativos de una persona en general…) en segundo lugar estarían los datos especialmente protegidos (afiliación sindical, ideología, religión, vida sexual y salud).
Los datos especialmente protegidos como su nombre indica, son merecedores de una mayor protección y su encargado de tratamiento soportará mayores obligaciones.
En el ámbito sanitario, en las clínicas y centros sanitarios ya se está utilizando software especializado para el tratamiento de los datos que se recaban de los pacientes y usuarios, que en la mayoría de los casos engloba la historia clínica del paciente o aspectos relativos a dolencias, padecimientos o medicación de los mismos.
En el caso de los datos relativos a la salud, la legislación de protección de datos establece que solo se estará legitimado para el tratamiento de estos datos cuando exista consentimiento expreso del afectado o una ley lo permita por entender que existen razones de interés general que justifiquen su tratamiento.
En relación a esta obligación solo estarían exentos de dicho consentimiento expreso los datos que resulten necesarios para la prevención o para diagnósticos médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de los servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional
Esto implica que el tratamiento de datos relativos a la salud por regla general solo se podrá llevar a cabo cuando exista consentimiento expreso del afectado.
En el caso de que se incumpla la obligación de recabar el consentimiento los encargados de tratamiento podrían arriesgarse a ser sancionados con una infracción grave cuya cuantía va de los 40.001 € a 300.000€.
Por otra parte en el tratamiento de este tipo de datos, también es importante resaltar que por regla general las medidas de seguridad a adoptar serán las correspondientes al nivel alto de seguridad. Dicho nivel implica las siguientes actuaciones:
– Acceso a soportes y documentos por las personas que tengan autorización para ello.
– Cifrado de los datos
– Realización de copias de respaldo y recuperación
– Registro de las personas que accedieron o intentaron acceder a dichos datos
En definitiva tanto las empresas de software, como encargadas del tratamiento, así como las clínicas y centros responsables de este tipo de datos han de respetar escrupulosamente las obligaciones anteriores para prevenir cualquier sanción que le pueda ser impuesta.
Martín Esparís Figueira
SistemiuS
