La AEPD profundiza en los tratamientos de datos de salud en una nueva guía

La nueva guía aborda, en primer lugar, cuestiones generales de la normativa de protección de datos que se aplican a los tratamientos de datos de salud realizados por los profesionales sanitarios, y hace un repaso a los derechos de los ciudadanos en este ámbito con los cambios incluidos en GDPR y la LOPDGDD, que introduce algunas novedades.

La guía aborda en su primera parte cuestiones generales de la normativa de protección de datos que se aplican a los tratamientos de datos de salud, que son considerados como datos sensibles, especialmente protegidos y, tras la publicación del RGPD, como una categoría especial de datos personales.

Recuerda que no es necesario que el médico o el centro sanitario solicite el consentimiento a los pacientes para recoger y utilizar de datos personales y de salud si se van a emplear para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social.

Tampoco es necesario si el tratamiento de datos se efectúa por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios o la inspección de reclamaciones de los ciudadanos. También se pueden tratar los datos de salud sin solicitar el consentimiento cuando el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento, o cuando lo solicite un órgano judicial.

“Sin embargo, sí se deberá pedir el consentimiento, por ejemplo, en el caso de que el odontólogo o el fisioterapeuta nos quieran enviar publicidad”, especifica la publicación.

Aunque generalmente no se le tiene que requerir el consentimiento, la guía recuerda que sí es obligatorio que sea informado de una serie de cuestiones como la identidad y los datos de contacto del responsable y, en su caso, de su representante; los datos de contacto del delegado de protección de datos, en el caso de que sea obligatorio tener delegado; los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; los destinatarios o las categorías de destinatarios de los datos personales en determinados casos. Por ejemplo, en las consultas de médicos a los que se acude a través de una aseguradora privada, el médico que presta asistencia al paciente facilitará los datos mínimos imprescindibles a la aseguradora para que le abone el servicio prestado.

También es necesario que se comunique la intención del responsable de transferir datos personales a un tercer país u organización internacional y el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo, etc.

En otro de los apartados aborda el derecho de acceso del paciente a su historia clínica. En él explica que los usuarios tienen derecho a dirigirse al responsable del tratamiento de sus datos (médicos, centros de salud, centros sanitarios, tanto públicos como privados) y el acceso a la documentación que constituye su historia clínica. El acceso abarca la documentación electrónica y en papel, que será gratuita si se trata de una sola copia.

En este punto, señala que el ciudadano puede solicitar la rectificación y supresión de datos de su historia clínica pero, si se trata de datos médicos, será el facultativo o la administración sanitaria los que decidan si se rectifican o cancelan.

Al final, dedica un breve capítulo a cuestiones que preocupan de forma especial a los usuarios de la sanidad española referidas al tratamiento de sus datos, algunas de ellas ya tratadas en puntos anteriores.

Esta guía forma parte de las actuaciones del plan estratégico de la agencia, que incluye facilitar instrumentos preventivos para dar a conocer y fomentar el cumplimiento de los derechos que tienen los ciudadanos respecto al tratamiento de sus datos personales.