Estudio LOPD en el sector sanitario

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español


AGENCIA DE PROTECCIÓN DE DATOS DE LA COMUNIDAD DE MADRIDINSTITUTO NACIONAL DE TECNOLOGÍAS DE LA COMUNICACIÓN

2


El “Estudio sobre la protección y seguridad de los datos de carácter personal en el ámbito del sector sanitario español” ha sido elaborado conjuntamente por el Instituto Nacional de Tecnologías de la Comunicación (INTECO) a través del Observatorio de la Seguridad de la Información y la Agencia de Protección de Datos de la Comunidad de Madrid (APDCM).

Pablo Pérez San-José (INTECO) - Coordinador

Susana de la Fuente Rodríguez (INTECO)

Laura García Pérez (INTECO)

Cristina Gutiérrez Borge (INTECO)

Emilio Aced Felez (APDCM) - Coordinador

Ángel Igualada Menor (APDCM)

Javier Sempere Samaniego (APDCM)

La presente publicación pertenece al Instituto Nacional de Tecnologías de la Comunicación (INTECO) y a la Agencia de Protección de Datos de la Comunidad de Madrid y está bajo una licencia Reconocimiento-No comercial 2.5 España de Creative Commons, y por ello está permitido copiar, distribuir y comunicar públicamente esta obra bajo las condiciones siguientes:

• Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace de su obra.

• Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos mientras su uso no tenga fines comerciales.

Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta licencia menoscaba o restringe los derechos morales de INTECO. http://creativecommons.org/licenses/by-nc/2.5/es/

El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format). Así, se trata de un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual, marcado de idioma y orden de lectura adecuado.

Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible en la sección Accesibilidad > Formación > Manuales y Guías de la página http://www.inteco.es

Edición Octubre 2010

http://creativecommons.org/licenses/by-nc/2.5/es/

http://www.inteco.es/Accesibilidad/Formacion_6/Manuales_y_Guias/guia_accesibilidad_en_pdf

3


Índi

ce

* Puntos clave ......................................................6I. Aspectos generales de la normativa sobre

protección de datos ............................................7

II. Derecho de información (art. 5 LOPD) ...............8

III. Consentimiento (art. 6 al 8 LOPD) ......................8

IV. Calidad (art. 4 LOPD) .........................................8

V. Ejercicio de derechos (Título III LOPD) ..............9

VI. Deber de secreto (art. 10 LOPD) ........................9

VII. Seguridad (art. 9 LOPD) ...................................10

VIII. Comunicación de datos (art. 11 LOPD) ............12

1 Introducción y objetivos ................................13 1.1 Presentación.....................................................14

1.2 Estudio sobre la protección y seguridad de los datos de carácter personal en el sector sanitario español....................................18

2 Contexto: el sector sanitario y el Sistema Nacional de Salud (SNS) ..........20 2.1 Centros de Atención Primaria ...........................21

2.2 Hospitales .........................................................22

3 Diseño metodológico .....................................23 3.1 Búsqueda y análisis documental ......................24

3.2 Investigación cuantitativa .................................25

4 Normativa sobre protección de datos que aplica al sector sanitario ................................29 4.1 Normativa europea. ..........................................30

4.2 Normativa estatal..............................................30

4.3 Normativa sectorial ...........................................31

4.4 Normativa autonómica......................................35

4.5 Normativa de Administración Electrónica .........36

5 Análisis de los resultados del estudio ............40

5.1 Aspectos generales de la normativa sobre protección de datos ................................41

5.2 Derecho de información (art. 5 LOPD) .............60

5.3 Consentimiento (art. 6 al 8 LOPD) ...................72

5.4 Calidad (art. 4 LOPD) .......................................94

5.5 Ejercicio de derechos (Título III LOPD) ..........103

5.6 Deber de secreto (art. 10 LOPD)....................118

5.7 Seguridad (art. 9 LOPD) .................................121

5.8 Comunicación de datos (art. 11 LOPD) ..........172

5.9 Inspecciones de la Agencia de Protección de Datos .......................................177

6 Buenas prácticas ..........................................1856.1 Adecuación a la LOPD del Hospital General Universitario Reina Sofía (Murcia) .....186

6.2 Eliminación de archivos incontrolados con datos de nivel alto en el Hospital Carlos III (Madrid) ...........................................188

6.3 Normas de uso de los Sistemas de Información (Hospital Universitario Fundación Alcorcón, Madrid) ..........................189

6.4 Gestión eficiente y segura del acceso a datos clínicos para profesionales del área y de otros centros sanitarios (Hospital Universitario Doce de Octubre, Madrid) ...........................................................190

4


Índi

ce

6.5 El Tercero de confianza (Servicio Andaluz de Salud) ...........................191

6.6 Plan estratégico de comunicación en Protección de Datos para Profesionales Sanitarios y Ciudadanos (Dirección General de Sistemas de Información Sanitaria de la Comunidad de Madrid) ...........192

6.7 Asegurar la utilización adecuada de la información disponible en materia de seguridad y confidencialidad de los datos de carácter personal (Gerencia del Área 10 de atención primaria del Servicio Madrileño de Salud) .......................................194

6.8 Protección online de datos personales (Oficina del Defensor del Paciente de la Consejería de Sanidad y Consumo de la Comunidad de Madrid) ..........................195

6.9 Documentación clínica en Atención Primaria: procedimiento de acceso para uso no asistencial (Osakidetza - Servicio Vasco de Salud) .............................................196

6.10 Percepciones y realidades de los profesionales sanitarios sobre la Protección de Datos. Gestión de Identidad. HUser (Hospitales Universitarios Virgen del Rocío – Servicio Andaluz de Salud) .........198

6.11 Mejora del tratamiento del fichero de datos de carácter personal de alta seguridad Pacientes CMD, pacientes y deportistas que acuden al Centro (Centro de Medicina Deportiva de la Comunidad de Madrid) ...................................200

6.12 La Comisión de Seguridad en la Información del Hospital Universitario Virgen de la Arrixaca como garante de la Protección de Datos de Carácter Personal (Hospital Virgen de la Arrixaca, Murcia) ............................................................201

6.13 Recomendaciones sobre la normativa de Protección de Datos de carácter personal y las Historias Clínicas (Colegio de Médicos de Madrid).....................202

6.14 Diseño y estrategia de implantación de un sistema integrado de información con datos de seguridad alta en Salud Pública (Instituto de Salud Pública de la Comunidad de Madrid) ..........................203

6.15 Seguridad en el desarrollo y preproducción con datos reales en un sistema de información centralizado de gestión de Historias Clínicas (Dirección General de Informática, Comunicaciones e Innovación Tecnológica, Consejería de Sanidad y Consumo de la Comunidad de Madrid) ......................................................204

6.16 Proyecto de Historia clínica compartida (Generalitat Catalunya, Department de Salut) .........................................................205

6.17 Adecuación a la LOPD de SaCyL: El reto hacia la seguridad (Gerencia Regional de Salud de Castilla y León) ...........206

6.18 Procedimiento de anonimización de pacientes al ingreso (Hospital Virgen del Camino, Pamplona) ..................................208

6.19 Reglamento de uso de la Historia Clínica en el Hospital (Hospital de Cruces, Bilbao) ...............................................209

6.20 Protocolo de destrucción de documentos en soporte papel (Hospital Central de la Cruz Roja San José y Santa Adela, Madrid) ..210

6.21 Sistema de actuación a seguir en el Hospital ante la solicitud de documentación clínica por parte de los ciudadanos y responsabilidades del Hospital (Hospital Clínico San Carlos, Madrid) ...........................................................211

5


Índi

ce

7 Conclusionesyreflexionesfinales .............212

8 Recomendaciones ........................................216 8.1 Recomendaciones a usuarios pacientes ........217

8.2 Recomendaciones a profesionales de la salud ......................................................217

8.3 Recomendaciones a centros sanitarios..........217

8.4 Recomendaciones a Administraciones Públicas ..........................................................218

8.5 Recomendaciones a organismos reguladores.....................................................218

Anexo I: Bibliografía .............................................219

Anexo II: Índices ...................................................221 1. Índice de gráficos ...........................................222

2. Índice de tablas ..............................................228

3. Índice de ilustraciones ....................................229

Puntos clave


7


Punt

os c

lave

El sector sanitario español, formado por hospitales, centros de salud y consultorios locales, maneja de manera habitual datos de salud de los pacientes. Se trata de datos muy sensibles, que tienen la consideración de datos especialmente protegidos.

En el manejo de esta información las instituciones tienen que conjugar, de un lado, la intimidad del sujeto cuyos datos están siendo manejados y, de otro, el interés público, entendiendo por ello la garantía de una adecuada prestación del servicio de salud.

Estas circunstancias exigen que se preste una atención particularizada al asunto, y por ello este informe constituye un diagnóstico sobre la situación de las instituciones sanitarias españolas en lo referente a la protección de datos personales.

Para la elaboración del estudio se ha llevado a cabo un sondeo de opinión consistente en la realización de encuestas a los responsables de protección de datos / seguridad, administradores o gerentes de 700 hospitales, centros de salud o consultorios locales. El trabajo de campo se ha realizado en marzo de 2010.

Se exponen a continuación los puntos clave del análisis.

I Aspectos generales de la normativa sobre protección de datos

• Soporte de los ficheros. En el sector sanitario español prevalecen los ficheros de carácter mixto, tanto si en ellos predomina el soporte papel (42,4%) como si prevalece el electrónico (35,5%). Un 16,6% de los centros afirma que se encuentran exclusivamente en soporte electrónico. Son una minoría los centros

que admiten que sus ficheros se encuentran exclusivamente en formato no automatizado (5,5%).

• Declaracióndeficheros. Una mayoría de los centros encuestados admiten haber declarado sus ficheros con datos de carácter personal ante la autoridad competente en materia de protección de datos, ya sea la Agencia Española (15,6%) o autonómica (38,5%). Sólo un 8,6% reconoce no tener inscritos sus ficheros, y sorprende el elevado 37,3% que no proporciona respuesta.

• Inventariadodeficheros. El 73,5% de los centros sanitarios participantes en el estudio afirman tener inventariados los ficheros con datos de carácter personal, frente a un 14,1% que reconocen no tenerlos inventariados, y un 12,4% adicional que no se posiciona.

• Formación del personal. El nivel de formación entre los centros sanitarios españoles en materia de protección de datos es correcto. Ya sea un conocimiento general (64,9%) o profundo (26,7%), lo cierto es que la inmensa mayoría del personal de atención al público de los centros sanitarios españoles dispone de formación específica sobre protección de datos.

• Coordinador de Protección de Datos. Hay un 52,2% de centros sanitarios que reconocen disponer de coordinador de protección de datos. En el análisis por tipo de centro, los hospitales, con un 80,7% de ellos que afirman contar con uno, muestran un mayor compromiso con la protección de datos que los centros de salud (58,4%) y los consultorios locales (47%).

8


Punt

os c

lave

II Derechodeinformación(art.5LOPD)

• Cláusulas en formularios de recogida de datos. A nivel global, un 47,9% de los centros encuestados reconocen incorporar una cláusula informativa en los formularios de pacientes.

El análisis segmentado revela un escenario diferente para cada uno de los tres tipos de centros analizados. Los hospitales, con un 87,3% de implantación, cumplen con el deber de información al incluir en los formularios de recogida de datos personales una cláusula específica sobre protección de datos. La situación de los hospitales difiere de la realidad existente en centros de salud y consultorios locales. En estos centros, con un 50,9% y 42,5% respectivamente de nivel de adopción de la medida, todavía queda área de mejora.

• Carteles informativos. Para dar cumplimiento al deber de información, una parte de los centros sanitarios dispone de carteles informativos sobre los tratamientos de datos personales que se realizan con los datos que se recaban de los pacientes. Se trata, en cualquier caso, de una práctica no adoptada de manera habitual. Sólo un 27,7% de los centros entrevistados reconoce tener este tipo de carteles, frente a un mayoritario 70,7% que afirma no utilizar este método.

III Consentimiento(art.6al8LOPD)

• Solicitud del consentimiento. A nivel global, el 52,8% de los centros encuestados afirma que siempre solicita el consentimiento de los titulares con anterioridad a la recogida de sus datos de carácter personal, y un 13,2% adicional dice hacerlo a menudo.

Un 78,5% de los hospitales siempre solicita el consentimiento de los titulares de los datos antes de su recogida. Este porcentaje es del 52,1% en el caso de los centros de salud y de 50,2% entre los consultorios locales.

• Revocación del consentimiento. En el sector sanitario español, un mayoritario 69,3% de los centros entrevistados afirman que disponen de un procedimiento específico para que el paciente titular de los datos pueda revocar el consentimiento otorgado. Sólo un 20,5% reconoce no disponer de un procedimiento de revocación.

• Consentimiento en caso de investigaciones clínicas. En el ámbito sanitario, es frecuente que los datos clínicos de los pacientes se utilicen en alguna labor de investigación. La mayoría de los centros sanitarios españoles (un 74,6%) han elaborado un procedimiento específico que regula la solicitud del consentimiento del paciente en los casos particulares de investigaciones clínicas.

IV Calidad(art.4LOPD)

• Finalidad. El principio de calidad y su derivado, el de finalidad, son ampliamente observados por los centros sanitarios españoles. Un 89,3% de los encuestados indican que los datos recogidos son los estrictamente necesarios para la finalidad de uso que justificó su recogida, frente a un 7,9% que manifiesta lo contrario.

En el análisis por zonas destaca especialmente la Comunidad de Madrid. Allí, un 95,1% de los centros sanitarios encuestados cumplen con el principio de

9


Punt

os c

lave

finalidad, al admitir que recogen sólo los datos que son estrictamente necesarios para su finalidad de uso.

• Actualización. Los centros son cuidadosos con la actualización de los datos personales que manejan, ya sea a través de un procedimiento específico de actualización y depuración de las bases de datos (34,1%), ya sea de manera no procedimentada, actualizando los registros a medida que se detectan incorrecciones (61,3%). Sólo el 4,6% de los centros españoles afirman que no se verifica la exactitud y actualización de los datos personales con los que trabajan.

V Ejerciciodederechos(TítuloIIILOPD)

• DerechosARCO. El 56,1% de los centros sanitarios españoles afirma disponer de un procedimiento específico para que los interesados ejerciten sus derechos de oposición, acceso, rectificación o cancelación de sus datos personales (derechos ARCO). Sorprende que haya un 37,6% que no ha adoptado un procedimiento en este sentido, y un 6,3% que no proporciona respuesta.

Se aprecian diferencias importantes en función del centro de que se trate. Así, en los hospitales está ampliamente extendida la adopción de procedimientos para facilitar al ciudadano el ejercicio de sus derechos ARCO: un 83,1% de los hospitales así lo manifiesta. La práctica es más infrecuente entre centros de salud (60,3%), y aún más entre los consultorios locales, donde sólo el 51,7% confirma haber adoptado un procedimiento específico para el ejercicio de los derechos de acceso, rectificación, cancelación u oposición de los datos.

Cataluña (75,6%) y la Comunidad de Madrid (65,8%) son las dos regiones españolas donde en mayor medida las instituciones sanitarias han adoptado procedimientos para facilitar el ejercicio de los derechos ARCO a los ciudadanos que lo soliciten.

• Acceso del paciente a la historia clínica (HC). El 70,3% de los centros entrevistados reconocen que disponen de un procedimiento específico que regula el acceso al historial clínico por parte del titular de los datos.

El nivel de observación de la disposición es más elevado entre hospitales (84,2%) que entre centros de salud (73,4%) y consultorios locales (67,8%).

El análisis geográfico confirma una vez más a Cataluña y la Comunidad Autónoma de Madrid como las áreas con mayor índice de adopción de procedimientos de acceso a la HC por el paciente, con un 81,2% y 75% de los centros, respectivamente, que afirman haberlos instaurado.

VI Deberdesecreto(art.10LOPD)

• El deber de secreto sobre los datos personales que manejan es de sobra conocido por el personal de los centros sanitarios españoles (no sólo profesionales de la salud, sino el resto del personal del centro). Así, sólo un 0,4% de los encuestados afirma que los empleados de la institución no han sido informados al respecto. Lo más habitual, en un 59,7% de las ocasiones, es que los profesionales conozcan el deber de secreto o que, incluso, se les haya pedido firmar un compromiso de confidencialidad (39,9%).

10


Punt

os c

lave

La firma del compromiso de confidencialidad por parte de los profesionales es más frecuente entre hospitales (67,9%) que entre centros de salud (35,5%) y consultorios locales (38,4%).

VII Seguridad(art.9LOPD)

• Limitación de accesos. La práctica totalidad de los centros sanitarios españoles controlan de algún modo los accesos que los empleados realizan a los datos y recursos de la institución en cuestión. Sólo un 2,3% de los encuestados afirma que no existe ningún tipo de limitación de accesos y que los profesionales pueden acceder a datos y recursos ajenos. En el resto de los casos existe una política de accesos, y en la mayoría de las situaciones (68,9%) el centro cuenta, además, con controles para evitar accesos no autorizados.

• Procedimiento de gestión de contraseñas. El 87,4% de los centros sanitarios españoles disponen de procedimientos específicos de gestión de las contraseñas del personal empleado.

• Gestión del acceso de los profesionales a la HistoriaClínicaElectrónica(HCE). En el 52,9% de los centros participantes en el estudio las historias clínicas de la institución son accesibles por todos los profesionales. En un 39,4%de los casos el acceso a las HC está limitado, de manera que cada profesional sólo puede acceder a las de los pacientes con quienes tiene relación asistencial.

Los hospitales son más cuidadosos que los centros de salud y los consultorios. Así, en un 54,1% de los hospitales el acceso de los profesionales a las historias clínicas está limitado a los pacientes con

quienes tiene relación asistencial. En el caso de centros de salud el porcentaje es de 42,2%, y de un 36,8% cuando se trata de consultorios locales.

• Control de acceso físico a las instalaciones donde se encuentran los sistemas de información. En la inmensa mayoría de los casos, el acceso está restringido (sólo existe un 6,9% que afirma que es posible acceder al lugar donde se almacenan los datos). En el resto de las situaciones existe un control de acceso e incluso, en el 44,2% de las ocasiones, existen además herramientas de control de accesos.

• Documento de Seguridad. Un 43,5% de los centros sanitarios españoles reconoce que dispone de Documento de Seguridad específico que contemple una política para los tratamientos de datos personales.

La situación no es homogénea entre los tres tipos de instituciones: en hospitales, un 79,9% dispone de documento de seguridad, en centros de salud el porcentaje es de 49,2% y en consultorios, sólo un 37,5% así lo declara.

A nivel nacional la realidad es heterogénea y diversa. Coexisten regiones como Cataluña o Madrid, donde un 63,8% y 56,4%, respectivamente, de instituciones afirman tener documento de seguridad, con otras zonas donde el cumplimiento no supera el 40%.

• Responsable de seguridad. En un 40,1% de los centros participantes en el estudio existe la figura específica del responsable de seguridad y se han definido funciones específicas para dicho puesto.

11


Punt

os c

lave

Mientras mayor es el tamaño del centro, aumenta la tendencia a disponer de responsable de seguridad: son un 79,4% de los hospitales, un 46,2% de los centros de salud y un 33,6% de los consultorios locales quienes afirman contar con una figura específica de responsable de seguridad.

• Procedimiento de realización de copias de respaldo y recuperación. El 58,3% de los centros sanitarios participantes en el estudio afirman disponer de un procedimiento específico para la realización de copias de respaldo y recuperación.

Una vez más, el nivel de cumplimiento de la normativa es mayor entre hospitales que entre centros de menor tamaño. Un 91,6% de los hospitales tiene un procedimiento de realización de copias de respaldo de los datos, frente a un 63,2% en el caso de centros de salud y un 52,9% en el de los consultorios locales.

• Procedimiento para la destrucción de documentos con datos de carácter personal. Conscientes de la especial sensibilidad de la materia, y de la existencia de precedentes en el sector sanitario que han terminado en un procedimiento sancionador, los centros sanitarios españoles han adoptado procedimientos para la destrucción de documentos con datos de carácter personal (un 75,5% lo ha hecho).

Los hospitales son los centros que más se han esforzado en regular el modo de destruir documentos con datos personales de sus pacientes. Un 92,2% de los hospitales españoles lo ha llevado a cabo. Por detrás de ellos, un 83,3% de los centros de salud y un 70,9% de los consultorios locales disponen de

procedimientos específicos para eliminar los soportes donde se almacenan datos de carácter personal.

• Procedimiento de notificación, gestión yrespuesta a incidencias. El 76% de los centros sanitarios participantes en el estudio disponen de un procedimiento específico para la gestión de las incidencias.

• Sistema de Gestión de la Seguridad de la Información (SGSI). En el sector sanitario español el nivel de adopción de Sistemas de Gestión de Seguridad de la Información es considerable. De acuerdo con las respuestas facilitadas por los responsables de seguridad participantes en el estudio, un 53,2% de los centros disponen de SGSI, frente a un 29% que reconocen no tenerlo y un 17,8% que no se pronuncian.

• Plan de Continuidad de Negocio. En el sector sanitario español, un 41,6% de los centros disponen de un Plan de Continuidad de Negocio, un 35,5% reconocen no tenerlo y un 22,7% lo desconoce.

• Auditorías de seguridad. En el sector sanitario español la realidad, a partir de las respuestas proporcionadas por los centros participantes en el estudio, es que hay un 20,8% de instituciones que realizan auditorías anualmente y un 12,4% adicional que las lleva a cabo con una periodicidad bienal. Es decir, un 33,2% de los centros sanitarios españoles estaría cumpliendo con el precepto. Existe, por otra parte, un 6,1% que reconoce llevar a cabo auditorías, pero lo hace cada más de 2 años. Sorprende el 50,8% de centros que reconoce nunca haber realizado una auditoría de seguridad.

12


Punt

os c

lave

VIII Comunicacióndedatos(art.11LOPD)

• Control de los envíos de datos de pacientes a terceros. El 66,7% de los centros sanitarios españoles participantes en el estudio manifiesta que existe en el ámbito de su organización un sistema de

control de los envíos de datos de pacientes que se realizan a terceros. Existe un 24,4% de instituciones que reconocen que no existe tal control, y un 8,9% adicional que no se manifiesta al respecto.

Introducción y objetivos 1


14


Intro

ducc

ión

y ob

jetiv

os

11.1 Presentación

1.1.1 Instituto Nacional de Tecnologías de la Comunicación

El Instituto Nacional de Tecnologías de la Comunicación, S.A. (INTECO), es una sociedad estatal adscrita al Ministerio de Industria, Turismo y Comercio a través de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información.

INTECO tiene la vocación de ser un centro de desarrollo de carácter innovador y de interés público a nivel nacional que constituye una iniciativa enriquecedora y difusora de las nue-vas tecnologías en España en clara sintonía con Europa.

Su objetivo fundamental es servir como instrumento para desarrollar la Sociedad de la Información, con actividades propias en el ámbito de la innovación y el desarrollo de pro-yectos asociados a las Tecnologías de la Información y la Comunicación (TIC), basándose en tres pilares fundamen-tales: la investigación aplicada, la prestación de servicios y la formación.

La misión de INTECO es aportar valor e innovación a los ciudadanos, a las PYMES, a las Administraciones Públicas y al sector de las tecnologías de la información, a través del desarrollo de proyectos que contribuyan a reforzar la con-fianza en los servicios de la Sociedad de la Información en nuestro país, promoviendo además una línea de participa-ción internacional.

Para ello, INTECO desarrolla actuaciones en las siguientes líneas:

• Seguridad Tecnológica: INTECO está compro-metido con la promoción de servicios de la Socie-dad de la Información cada vez más seguros, que

protejan los datos personales de los interesados, su intimidad, la integridad de su información y evi-ten ataques que pongan en riesgo los servicios prestados. Y por supuesto que garanticen un cum-plimiento estricto de la normativa legal en mate-ria de TIC. Para ello coordina distintas iniciativas públicas en torno a la seguridad de las TIC, que se materializan en la prestación de servicios por parte del Observatorio de la Seguridad de la Infor-mación, el Centro Demostrador de Tecnologías de Seguridad, el Centro de Respuesta a Incidentes de Seguridad en Tecnologías de la Información (IN-TECO-CERT) y la Oficina de Seguridad del Inter-nauta (OSI), de los que se benefician ciudadanos, PYMES, Administraciones Públicas y el sector tec-nológico.

• Accesibilidad: INTECO promueve servicios de la Sociedad de la Información más accesibles, que supriman las barreras de exclusión, cualquiera que sea la dificultad o carencia técnica, formativa, etc., incluso discapacidad, que tengan sus usuarios. Y que faciliten la integración progresiva de todos los colectivos de usuarios, de modo que todos ellos puedan beneficiarse de las oportunidades que ofre-ce la Sociedad de la Información. Asimismo desarro-lla proyectos en el ámbito de la accesibilidad orienta-dos a garantizar el derecho de ciudadanos y empre-sas a relacionarse electrónicamente con las AA.PP.

• Calidad TIC: INTECO promueve unos servicios de la Sociedad de la Información que cada vez sean de mayor calidad, que garanticen unos adecuados

15


1

Intro

ducc

ión

y ob

jetiv

os

niveles de servicio, lo cual se traduce en una ma-yor robustez de aplicaciones y sistemas, un com-promiso en la disponibilidad y los tiempos de res-puesta, un adecuado soporte para los usuarios, una información precisa y clara sobre la evolución de las funcionalidades de los servicios, y en resumen, servicios cada vez mejores. En esta línea impulsa la competitividad de la industria del Software a tra-vés de la promoción de la mejora de la calidad y la certificación de las empresas y profesionales de la ingeniería del software.

• Formación: la formación es un factor determinante para la atracción de talento y para la mejora de la competitividad de las empresas. Por ello, INTECO impulsa la formación de universitarios y profesionales en las tecnologías más demandadas por la industria.

El Observatorio de la Seguridad de la Información se inserta dentro de la línea estratégica de actuación de INTECO en materia de Seguridad Tecnológica.

El Observatorio nace con el objetivo de describir de manera detallada y sistemática el nivel de seguridad y confianza en la Sociedad de la Información y de generar conocimiento especializado en la materia. De este modo, se encuentra al servicio de los ciudadanos, las empresas y las administraciones públicas españolas para describir, analizar, asesorar y difundir la cultura de la seguridad de la información y la e-confianza.

El Observatorio ha diseñado un Plan de Actividades y Estudios con el objeto de producir conocimiento especializado y útil en materia de seguridad por parte de INTECO, así como de elaborar recomendaciones y propuestas que definan tendencias válidas para la toma de decisiones futuras por parte de los poderes públicos.

Dentro de este plan de acción se realizan labores de investigación, análisis, estudio, asesoramiento y divulgación que atenderán, entre otras, a las siguientes estrategias:

• Elaboración de estudios e informes propios en materia de seguridad de las Tecnologías de la Información y la Comunicación, con especial énfasis en la Seguridad en Internet.

• Seguimiento de los principales indicadores y políticas públicas relacionadas con la seguridad de la información y la confianza en el ámbito nacional e internacional.

• Generación de una base de datos que permita el análisis y evaluación de la seguridad y la confianza con una perspectiva temporal.

• Impulso de proyectos de investigación en materia de seguridad TIC.

• Difusión de estudios e informes publicados por otras entidades y organismos nacionales e internacionales, así como de información sobre la actualidad nacional y europea en materia de la seguridad y confianza en la Sociedad de la Información.

• Asesoramiento a las Administraciones Públicas en materia de seguridad de la información y confianza, así como el apoyo a la elaboración, seguimiento y evaluación de políticas públicas en este ámbito.

16


1

Intro

ducc

ión

y ob

jetiv

os

La Agencia de Protección de Datos de la Comunidad de Madrid (APDCM) es una autoridad independiente de control que garantiza y protege el derecho fundamental a la protección de datos personales. Sus competencias versan sobre los ficheros de titularidad pública creados o gestionados por la Comunidad Autónoma de Madrid, Entes que integran la Administración Local de su ámbito territorial, Universidades públicas y Corporaciones de derecho público representativas de intereses económicos y profesionales de la misma, en este último caso, siempre y cuando dichos ficheros sean creados o gestionados para el ejercicio de potestades de derecho público.

Es un Ente de Derecho Público de los previstos en el artículo 6 de la Ley 9/1990, de 8 de noviembre, Reguladora de la Hacienda de la Comunidad de Madrid, con personalidad jurídica propia y plena capacidad de obrar, y se configura como una autoridad de control que actúa con objetividad y total independencia de las Administraciones Públicas de la Comunidad de Madrid en el ejercicio de sus funciones, relacionándose con el Gobierno de la Comunidad de Madrid a través de la Consejería que, en su caso, se determine.

Sin perjuicio de la capacidad de control e inspección sobre los ficheros de datos de carácter personal sobre los que la APDCM ejerce su competencia, ésta desarrolla una laboriosa función de promoción y conocimiento del derecho fundamental a la protección de datos personales. Esta promoción se realiza a través de diferentes actuaciones y actividades:

• Formación a empleados públicos (desde la fecha de creación de la APDCM, 1997, se ha dado formación a más de 40.000 personas).

• Las revistas digitales www.datospersonales.org y www.dataprotectionreview.eu, así como la Revista Española de Protección de Datos.

• La herramienta de formación virtual, que permite que los empleados públicos se puedan formar en esta materia utilizando este programa usando Internet.

• La celebración de Jornadas dirigidas a ámbitos específicos, como pueden ser Sanidad, Educación, Servicios Sociales, Universidades, Colegios Profesionales y Seguridad.

• La publicación de los manuales sectoriales Protección de datos personales para Servicios Sanitarios Públicos, Protección de datos personales para Administraciones Locales, Protección de datos personales para Universidades Públicas, Protección de datos personales para Servicios Sociales Públicos, Protección de datos personales en Corporaciones de Derecho Público, y Protección de datos personales en Centros Educativos Públicos, Seguridad y Protección de Datos, así como la publicación de la Guía de Protección de datos personales para Empleados Públicos.

• La distribución de dípticos para concienciar a los ciudadanos que utilizan los servicios públicos. Concretamente, estos dípticos están orientados a los usuarios de los servicios sociales y servicios sanitarios.

Otras de las actividades de la APDCM que destacan son las referentes al apoyo al responsable de ficheros, no sólo de

1.1.2 Agencia de Protección de Datos de la Comunidad de Madrid (APDCM)

http://www.datospersonales.org

http://www.dataprotectionreview.eu

17


1

Intro

ducc

ión

y ob

jetiv

os

manera presencial sino mediante el uso de la herramienta online CUMPLE; la solicitud y evaluación de las auditorías bienales sobre los ficheros de datos de carácter personal con nivel de seguridad medio y alto; el Plan de Concienciación a menores que ha tenido lugar los pasados 28 de enero de 2009 y 2010 con la impartición de una charla sobre los riesgos de Internet en los 404 Institutos de Educación Secundaria (I.E.S.) de la Comunidad de Madrid; la posibilidad que tienen los ciudadanos de ejercitar online los derechos ARCO así como interponer, también por Internet, denuncia y procedimiento de tutela de derechos; los Planes sectoriales dirigidos a videovigilancia, publicación de datos personales en Internet y administración electrónica, y la elaboración de recomendaciones e instrucciones que suponen una interpretación de la normativa existente.

Entre estas recomendaciones e instrucciones, además de las que se van a citar en la parte de normativa de este estu-dio, destacan:

• Recomendación 1/2004, de 14 abril, de la Agencia de Protección de Datos de la Comunidad de Ma-drid, sobre la utilización y tratamiento de datos del padrón municipal por los Ayuntamientos de esta Comunidad Autónoma.

• Instrucción 1/2007, de 16 de mayo, de la Agencia de Protección de Datos de la Comunidad de Ma-drid, sobre el tratamiento de datos personales a tra-vés de sistemas de cámaras o videocámaras en el ámbito de los órganos y Administraciones Públicas de la Comunidad de Madrid.

• Recomendación 1/2008, de 14 de abril, de la Agencia de Protección de Datos de la Comunidad de Madrid, sobre el Tratamiento de datos personales en los Ser-vicios Sociales de la Administración de la Comunidad de Madrid y en los Servicios Sociales de los Entes Locales de la Comunidad de Madrid.

• Recomendación 2/2008, de 25 de abril, de la Agen-cia de Protección de Datos de la Comunidad de Madrid, sobre publicación de datos personales en boletines y diarios oficiales en Internet, en sitios webs institucionales y en otros medios electrónicos y telemáticos.

• Recomendación 3/2008, de 30 de abril, de la Agen-cia de Protección de Datos de la Comunidad de Ma-drid, sobre tratamiento de datos de carácter perso-nal en servicios de administración electrónica.

18


Intro

ducc

ión

y ob

jetiv

os

11.2.1 Contexto y oportunidad del estudio

En España, el sector sanitario muestra una dimensión considerable en términos cuantitativos: un total de 803 hospitales, 2.929 centros de salud y 10.201 consultorios locales y conforman el sector de instituciones sanitarias españolas.

Estas instituciones manejan datos especialmente sensibles, ya que se refieren a la salud de los pacientes. Se entiende por dato de salud toda información concerniente a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se considerarán datos relacionados con la sa-lud de las personas los referidos a su porcentaje de discapa-cidad y a su información genética. La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Per-sonal (en adelante, LOPD) reconoce un tratamiento especial para este tipo de datos. Así, el artículo 7 menciona los datos de salud al tratar los datos especialmente protegidos.

Todos aquellos ficheros que contengan datos de salud (por ejemplo historias clínicas, grado de discapacidad) deberán observar medidas de seguridad de nivel alto. Así lo dispone el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (RDLOPD).

En el manejo de esta información las instituciones tienen que conjugar, de un lado, la intimidad del sujeto cuyos datos están siendo manejados y, de otro, el interés público, enten-diendo por ello la garantía de una adecuada prestación del servicio de salud.

Los servicios sanitarios, al igual que el resto de organizacio-nes, están sujetos a la actual legislación española y europea sobre privacidad y protección de datos. Así, están obligados a garantizar el derecho a la información de los ciudadanos cuando se recogen sus datos personales; a asegurar los re-quisitos de calidad de la información, incluyendo la recogida de los datos adecuados y no excesivos para las finalidades legítimas para las que se van a utilizar; la actualización de los mismos; las garantías especiales para los datos más sensi-bles como los de ideología, vida sexual o salud; las obliga-ciones en materia de seguridad de los datos y la confiden-cialidad y el deber de secreto en el tratamiento de los datos personales.

Del mismo modo, los ciudadanos tienen una serie de dere-chos que pueden ejercer para controlar el uso de sus datos de carácter personal y, específicamente, el de acceder y co-nocer la información que sobre ellos tienen los responsables de tratamientos y rectificar y cancelar la información inexac-ta, incompleta, inadecuada o excesiva que obre en poder de dichos responsables.

Estas circunstancias exigen que se preste una atención particularizada al asunto, y que se formule un diagnóstico sobre la situación concreta de las instituciones sanitarias en lo referente a la protección de datos personales.

1.2 Estudio sobre la protección y seguridad de los datos de carácter personal en el sector sanitario español

19


Intro

ducc

ión

y ob

jetiv

os

11.3.1 Objetivo

El objetivo general del estudio es la realización de un diag-nóstico del cumplimiento efectivo de la normativa vigente en materia de protección de datos personales por parte del sec-tor sanitario español.

Este objetivo general de diagnóstico se desglosa operativa-mente en los siguientes objetivos específicos:

• Identificar el nivel de adecuación del sector sanita-rio español a la normativa en materia de protección de datos y, en concreto, analizar si existen diferen-tes grados de cumplimiento en función del tipo de centro, de su adscripción patrimonial o del área geográfica de ubicación.

• Identificar posibles frenos y barreras que pueden estar encontrando las instituciones de salud. Del

mismo modo, destacar cuáles son los beneficios y el valor añadido que la normativa sobre protección de datos aporta a la gestión de los centros y aportar pautas para eliminar o minimizar los frenos.

• Destacar casos reales de éxito en la implemen-tación de la normativa sobre protección de datos identificados en el sector sanitario español.

• Formular recomendaciones a usuarios pacientes, a profesionales de la salud, al sector sanitario, a las Administraciones Públicas y a los organismos regu-ladores, con objeto de incrementar el nivel de cum-plimiento, en base a los resultados del estudio y a la propia experiencia de los agentes colaboradores.

Contexto: el sector sanitario yel Sistema Nacional de Salud (SNS)2


21


Con

text

o: e

l sec

tor s

anita

rio y

el S

iste

ma

Nac

iona

l de

Salu

d

2

1 Según el Instituto Nacional de Estadística (INE), en su metodología de Estadística de Indicadores Hospitalarios, los establecimientos sanitarios se clasifican, según la dependen-cia funcional, en establecimientos Públicos: Sistema Nacional de Salud y Otros públicos (Defensa, Comunidades Autónomas, Diputaciones, Cabildos y Municipios y Otros) y No públicos: Privados sin fin de lucro (Cruz Roja, Iglesia y Benéfico-Privado) y Privados con fin de lucro; y según su finalidad en: Generales, Especiales de corta estancia (Médico-quirúrgicos y Quirúrgicos, Infantiles, Maternales y Materno-infantiles y Otros), Especiales de larga estancia (Geriátricos y crónicos y Otros) y Psiquiátricos.

Para cada clase o combinación de clases se elaboran posteriormente una serie de grupos de indicadores. (http://www.ine.es/metodologia/t15/t1530415.htm)

Sin embargo, el cómputo estadístico de centros pasó en 2005 a depender del Ministerio de Sanidad y Política Social, con lo que no existen datos actualizados segmentados según estas dos clasificaciones.

Se utiliza la definición incluida en el Real Decreto de auto-rización de centros, servicios y establecimientos sanitarios, que dice: Estructuras físicas y funcionales que posibilitan el desarrollo de una atención primaria de salud coordinada,

globalmente, integral, permanente y continuada, y con base en el trabajo en equipo de los profesionales sanitarios y no sanitarios que actúan en el mismo. En ellos desarrollan sus actividades y funciones los Equipos de Atención Primaria.

La Ley General de Sanidad atribuye al Estado, entre sus actuaciones, “El Catálogo y Registro General de centros, servicios y establecimientos sanitarios que recogerán las decisiones, comunicaciones y autorizaciones de las Comunidades Autónomas, de acuerdo con sus competencias” (art. 40.9).

Según el Ministerio de Sanidad y Política Social los Centros del Sistema Nacional de Salud (SNS) se dividen en centros sanitarios y centros de vacunación internacional. Los centros sanitarios, donde a su vez se engloban los Centros de Atención Primaria y el Catálogo Nacional de Hospitales, son los que constituyen el objeto del estudio 1.

2.1 Centros de Atención Primaria

Los Centros de Atención Primaria a su vez se dividen en Centros de Salud y Consultorios.

2.1.2 Consultorios

Igualmente, se utiliza la definición que consta en el Real De-creto antes mencionado, que dice Centros sanitarios que, sin tener la consideración de Centros de Salud, proporcionan atención sanitaria no especializada en el ámbito de la aten-ción primaria de salud).

Se incluyen bajo esta denominación, exclusivamente a los consultorios rurales, consultorios locales, consultorios peri-féricos, o cualquier otra denominación que haga referencia a

centros asistenciales mayoritariamente dependientes o rela-cionados funcionalmente con un centro de salud.

Así pues, en caso de que en alguna Comunidad permanezca algún centro urbano de modalidad de atención no reforma-da (modelo tradicional) bajo la denominación de consultorio, este centro deberá ser tratado, a estos efectos, como un cen-tro de salud.

2.1.1 Centros de Salud

http://www.ine.es/metodologia/t15/t1530415.htm

22


2.2 HospitalesEl Catálogo Nacional de Hospitales es fruto de la colaboración entre el Ministerio de Sanidad y Política Social y las Consejerías de Sanidad de las Comunidades Autónomas, el Ministerio de Defensa, los órganos competentes de las Ciudades Autónomas de Ceuta y Melilla y los propios Hospitales.

El Catálogo recoge información de los centros sanitarios destinados a la asistencia especializada y continuada de pacientes en régimen de internado, cuya finalidad principal es el diagnóstico y/o tratamiento de los enfermos ingresados en el mismo, así como la atención a pacientes de forma ambulatoria.

No obstante, el concepto tradicional de hospital, considerado como institución o centro sanitario que, al margen de su denominación, tiene como finalidad fundamental la prestación de asistencia sanitaria en régimen de internado, se ha visto superada por las nuevas formas de organización de la asistencia sanitaria especializada que tienen su fundamento en la Ley General de Sanidad:

1. Art. 56.2.b: “En el nivel de asistencia especializada, a realizar en los hospitales y centros de especialidades dependientes funcionalmente de aquellos se prestará la atención de mayor complejidad a los problemas de salud y se desarrollarán las demás funciones propias de los hospitales”

2. Art. 65.2: “El hospital es el establecimiento encarga-do tanto del internamiento clínico como de la asis-tencia especializada y complementaria que requie-ra su zona de influencia.”

Por otra parte, un hospital puede estar constituido por un único centro hospitalario o por dos o más que se organizan

e integran en el complejo hospitalario. En estos casos es la unidad de dirección y gestión la que sirve para su identificación. De esta forma, un complejo hospitalario puede estar constituido por dos o más hospitales, incluso distantes entre sí y uno o varios centros de especialidades.

Los complejos hospitalarios se consideran, y como tal se contabilizan dentro del catálogo, como un único hospital, aunque para una más completa información, se relacionan, siempre que es posible, los hospitales que forman parte de dicho complejo.

• Dependencia patrimonial: La dependencia patrimonial se refiere a la persona física o jurídica propietaria, al menos, del inmueble ocupado por el centro sanitario.

• Dependencia funcional: Es el organismo o entidad jurídica de quien depende, es decir, la persona física o jurídica que ejerce dominio o jurisdicción, jerárquica o funcional, más inmediata sobre el establecimiento sanitario. La clasificación de dependencia funcional de los hospitales con formas jurídicas de gestión contempladas en la Ley 15/1997, de 25 de abril, sobre habilitación de nuevas formas de gestión en el Sistema Nacional de Salud, y de acuerdo con desarrollos legislativos autonómicos, ha sido asignada a la de los correspondientes Servicios de Salud.

Con

text

o: e

l sec

tor s

anita

rio y

el S

iste

ma

Nac

iona

l de

Salu

d

2

3Diseñometodológico


24


Dis

eño

met

odol

ógic

o

3

Esta fase tiene como objetivo analizar contenidos publicados en la materia que puedan enriquecer y orientar el proyecto de investigación. Así, se han analizado fuentes secundarias para enriquecer y orientar el estudio. Se entiende por fuen-te secundaria todo documento que, habiéndose producido con anterioridad a la investigación actual, contiene datos que pueden ser explotados en un contexto distinto al existente en su producción.

En esta fase de documentación y recopilación de datos se han revisado diversas fuentes, cuya relevancia se basa en la metodología empleada, el contenido, las conclusiones o los objetivos perseguidos:

• Estadísticas oficiales: Estudios y estadísticas que elaboran diferentes agencias oficiales (Ministerio de Sanidad y Política Social, INE, Agencias estadísticas de las Comunidades Autónomas, etc.)

• Autoridades estatales y autonómicas responsables en materia de protección de datos.

• Universidades, fundaciones, asociaciones y entida-des privadas relacionadas con la protección de da-tos o que realizan estudios sobre la materia, tanto nacionales como extranjeras.

En el Anexo I: Bibliografía se incluye una relación de las publicaciones consideradas en la realización del informe.

3.1 Búsqueda y análisis documental

Para conseguir los objetivos planteados, la ejecución del proyecto ha combinado diferentes metodologías, abordadas de forma secuencial en las siguientes fases de trabajo:

• Fase 1. Búsqueda y análisis documental de legislación, informes, estudios e indicadores que pueden enriquecer el contenido del proyecto y contribuyen a la consecución de los objetivos perseguidos. En esta fase, cobra especial relevancia el informe de la Agencia de Protección de Datos de la Comunidad de Madrid (APDCM): Protección de datos personales para Servicios Sanitarios Públicos.

• Fase 2. Investigación cuantitativa: encuesta a los responsables de protección de datos / seguridad, administradores o gerentes de los centros sanitarios.

• Fase 3. Elaboración del presente informe con el análisis y conclusiones extraídos de las fases anteriores.

25


Tipo de Centro Número

Hospitales 803Centros de salud 2.929Consultorios locales 10.201Total 13.933

3

Dis

eño

met

odol

ógic

o

3.2.1 Universo

El universo objeto de estudio son los centros sanitarios del Servicio Sanitario de Salud (SNS) existentes en todo el terri-torio nacional.

El ámbito temporal son los centros de atención primaria y hospitales en funcionamiento a 31 de diciembre de 2009, con independencia de que a esa fecha estuviesen provisional-mente cerrados por realización de obras de reforma o am-pliación de los mismos.

Los datos han sido extraídos del Ministerio de Sanidad y Po-lítica Social, que ofrece dos catálogos:

• Un catálogo de Hospitales fruto de la colaboración entre el Ministerio de Sanidad y Política Social y

las Consejerías de Sanidad de las Comunidades Autónomas, el Ministerio de Defensa, los órganos competentes de las Ciudades Autónomas de Ceuta y Melilla y los propios Hospitales.

• Un catálogo de Centros de Atención Primaria del Sis-tema Nacional de Salud 2009 que engloba a los Cen-tros de salud y Consultorios locales que es fruto de la colaboración entre el Ministerio de Sanidad y Política Social y los órganos competentes de las Comunida-des Autónomas que han colaborado en la validación y/o rectificación de los datos presentados.

En la Tabla 1 se muestra el número total de Hospitales, Centros de salud y Consultorios locales en España.

Siguiendo las pautas facilitadas por INTECO y la Agencia de Protección de Datos de la Comunidad de Madrid, la empresa Telecyl realizó, durante el mes de marzo de 2010, un sondeo de opinión que consistió en la realización de 700 encuestas a los responsables de la seguridad de la protección de datos de carácter personal en cada el centro sanitario.

En los siguientes apartados se profundiza en los detalles correspondientes a esta fase.

3.2 Investigación cuantitativa

Tabla 1: Tipos y volumen de los Centros Sanitarios españoles

Fuente: Ministerio de Sanidad y Política Social

26


Dis

eño

met

odol

ógic

o

3La distribución geográfica de los centros sanitarios del SNS es la siguiente:

Tabla 2: Tipos y volumen de centros de atención primaria por CCAA

Id Comunidad Hospitales Centros de salud Consultorios locales

1 ANDALUCÍA 107 383 1.116

2 ASTURIAS (PRINCIPADO DE) 20 71 140

3 ARAGÓN 29 124 913

4 BALEARES (ISLAS) 23 56 103

5 CANARIAS 38 109 141

6 CANTABRIA 9 36 122

7 CASTILLA Y LEÓN 40 247 3.675

8 CASTILLA-LA MANCHA 32 199 1.141

9 CATALUÑA 210 395 807

10 COMUNIDAD VALENCIANA 62 259 588

11 EXTREMADURA 19 104 417

12 GALICIA 42 393 93

13 MADRID (COMUNIDAD DE) 81 257 152

14 MURCIA (REGIÓN DE) 26 77 190

15 NAVARRA (COMUNIDAD FORAL) DE) 13 56 245

16 PAÍS VASCO 44 137 184

17 LA RIOJA 5 19 174

18 CEUTA y MELILLA (INGESA) 3 7 0

TOTALES 803 2.929 10.201

Fuente: Ministerio de Sanidad y Política Social

27


Dis

eño

met

odol

ógic

o

33.2.2 Distribución y error muestral

Se ha extraído una muestra representativa de 700 centros sanitarios en los que se han realizado encuestas a los res-ponsables de protección de datos / seguridad, administra-dores o gerentes. La selección de los Centros Sanitarios ha sido aleatoria.

El margen de error es del ± 3,68% para p=q=0,5 y para un nivel de confianza del 95,5%.

La muestra definitiva aplicada en la investigación fue la si-guiente:

Tabla 3: Distribución de la muestra y error muestral

Tipo de centro Muestra Error muestral

Hospitales 190 ±6,34%

Centros de salud 246 ±6,10%

Consolutorios locales 264 ±6,07%

TOTAL 700 ±3,68%

Fuente: INTECO

En la elaboración del diseño metodológico se ha tenido en cuenta la siguiente premisa: una muestra suficiente para garantizar la extracción de conclusiones a nivel nacional.

Para enriquecer el análisis de resultados, aun a riesgo de obtener un mayor error muestral, se ha segmentado la muestra por zonas geográficas de todo el territorio nacional, dividiendo las regiones españolas en 7 áreas diferentes (en este caso, el error es, en cualquier caso, inferior a ±10%):

• Área 1 (Noreste): Huesca, Zaragoza e Islas Baleares.

• Área2(Levante):Albacete, Comunidad Valenciana y Murcia.

• Área 3 (Andalucía): Comunidad Andaluza, Badajoz e Islas Canarias

• Área 4 (Centro): Teruel, Ciudad Real, Cuenca, Guadalajara, Toledo, Ávila, Salamanca, Segovia, Soria, Valladolid, Zamora y Cáceres.

• Área 5 (Noroeste): Cantabria, Burgos, León, Palencia, Comunidad Gallega, La Rioja, Navarra, País Vasco y Principado de Asturias.

• Área 6 (Cataluña)

• Área 7 (Comunidad de Madrid)

28


Dis

eño

met

odol

ógic

o

3En el análisis estadístico de los datos también se ofrecen datos segmentados por dependencia funcional de los centros, distinguiendo entre centro público y centro privado.

A pesar de la consistencia de la muestra, el margen de error existente en todo proceso de investigación cuantitativa acon-seja que los resultados sean interpretados de manera global y más como tendencias que como afirmaciones absolutas.

3.2.3 Realización de las entrevistas

El sujeto de opinión es el responsable de protección de datos / seguridad, administrador o gerente del hospital, centro de salud o consultorio local. El trabajo de campo ha sido realizado en marzo de 2010.

La recogida de información se ha realizado sobre un cues-tionario estructurado elaborado conjuntamente por INTECO y la Agencia de Protección de Datos de la Comunidad de Madrid, con una duración estimada de 20 minutos para cada sujeto de opinión.

La recogida de información se ha realizado a través de encuesta telefónica asistida por ordenador (CATI), apoyada por una encuesta online así como vía fax / correo electrónico encaminada a fomentar y facilitar la participación de los responsables seleccionados a participar en el estudio.

Normativa sobre protección de datos que aplica al sector sanitario 4


30


4

Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

Traspuesta a los respectivos ordenamientos jurídicos de los Estados miembros, contiene el marco jurídico a nivel euro-peo sobre el derecho fundamental a la protección de datos personales.

Regula los principios básicos de la protección de datos per-sonales, los derechos de las personas (acceso, cancelación, oposición y rectificación), la obligación de establecer me-didas de seguridad de carácter técnico y organizativo, así como las funciones de las Autoridades de Control.

En la actualidad, se han iniciado los trabajos y debates para revisar y actualizar esta Directiva a la realidad de hoy en día, puesto que hay dificultades de aplicar la normativa de protección de datos cuando el responsable del fichero no se encuentra en la Unión Europea, o también en el caso de Internet, sobre todo, respecto al tratamiento de datos perso-nales por parte de las redes sociales. Otra de las cuestiones que se plantean, es introducir en la futura modificación de la Directiva el concepto “Privacidad por diseño” (Privacy by design).

Supone la transposición de la Directiva 1995/46/CE, de 24 de octubre, al ordenamiento jurídico español, de manera que regula, como no podría ser de otra forma, los principios y derechos mencionados anteriormente.

Contiene además preceptos específicos sobre los ficheros de solvencia y crédito patrimonial y marketing, así como el acceso y el uso de los datos personales por parte de las Fuerzas y Cuerpos de Seguridad del Estado.

Destaca lo referente al régimen sancionador por las multas que pueden imponerse a las empresas privadas, ya que las mismas van desde los 600 euros hasta los 300.000 euros, de-pendiendo de si el tipo de infracción cometida es leve, grave o muy grave.

Otra de las cuestiones de relevancia es la regulación sobre

las transferencias internacionales así como la posible adop-ción, como buenas prácticas, de los Códigos Tipos.

En materia de salud, de acuerdo al artículo 7 de la LOPD, los datos de salud son considerados datos especialmente protegidos, de manera que sólo podrán ser recabados, tra-tados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Además, el artículo 8 regula específicamente los datos de salud, disponiendo que, sin perjuicio de lo establecido en el artículo 11 (cesiones de datos personales), las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los da-tos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o auto-nómica sobre sanidad.

4.1 Normativa europea.Directiva1995/46/CE,de24deoctubre,delParlamentoydelConsejo,sobreProteccióndelaspersonasfísicasenloquerespecta al tratamiento de datos personales y a la libre circulación de estos datos

4.2 Normativa estatal.LeyOrgánica15/1999,de13dediciembre,deProteccióndeDatosdeCarácterPersonal(LOPD)

31


Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

4Como su nombre indica, es la norma que desarrolla la LOPD. En consecuencia, contiene una regulación más detallada de muchas de las cuestiones a las que ya se refiere la LOPD. Entre ellas, podemos destacar cómo se ejercitan los dere-chos de acceso, cancelación, oposición y rectificación, cues-tiones relacionadas con el consentimiento y el cumplimiento del derecho de información, o el procedimiento para la crea-ción, modificación y supresión de los ficheros de datos de carácter general.

Entre las novedades, destaca la regulación del consentimien-to para el tratamiento de los menores de edad, las medidas

de seguridad para los ficheros manuales, y la posibilidad de que el encargado del tratamiento subcontrate.

Respecto a los datos de salud, define éstos como las infor-maciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.

Asimismo, los ficheros de datos de carácter personal, tanto informatizados como manuales, que almacenen datos de sa-lud deberán adoptar las medidas de seguridad de nivel alto.

Aprobada con anterioridad a la primera Ley Orgánica de Pro-tección de Datos (LORTAD 1992), reconoce el derecho de todos los pacientes a que las Administraciones Públicas sani-

tarias garanticen la confidencialidad de la información relacio-nada con su proceso y con su estancia en instituciones sanita-rias públicas y privadas que colaboren con el sistema público.

RealDecreto1720/2007,de21dediciembre,porelqueseapruebaelReglamentodedesarrollode laLeyOrgánica15/1999,de13dediciembre

4.3 Normativa sectorialLey14/1986,de25deAbril,GeneraldeSanidad

Varios son los aspectos que regula esta ley con incidencia en el derecho fundamental a la protección de datos personales. Así, a imagen y semejanza de la anteriormente citada ley 14/1986, de 25 de abril, General de Sanidad, el artículo 7 regula el derecho a la intimidad, debiendo todos los centros sanitarios, tanto públicos como privados, adoptar las medidas necesarias para garantizar el respeto y cumplimiento de este derecho.

Una de las novedades de esta ley es la regulación del contenido mínimo de la historia clínica, teniendo cada paciente el derecho a acceder a dicho contenido obteniendo copia de toda la documentación obrante en su respectiva historia clínica. No obstante, este acceso tiene una serie de excepciones: no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente,

Ley41/2002,de14denoviembre,básica reguladorade laautonomíadelpacienteydederechosyobligacionesenmateria de información y documentación clínica

32


4

Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas.

Asimismo, en la actualidad las diferentes Agencias de Protección de Datos (tanto nacional como autonómicas) están tutelando el acceso a la historia clínica de los pacientes, cuando éstos ejercitan dicho acceso y el centro

sanitario no les facilita copia de la historia clínica, o bien cuando la documentación que se les ha dado no coincide con la totalidad de la obrante en la citada historia clínica.

Otros aspectos importantes que regula esta Ley son los referentes a la definición, uso y conservación de la historia clínica, el derecho a la información asistencial y el derecho a la información epidemiológica.

Dos son los aspectos más relevantes regulados por esta ley desde la óptica de protección de datos. En primer lugar, con una incidencia tecnológica, la creación del sistema de información sanitaria del Sistema Nacional de Salud que garantice la disponibilidad de la información y la comunicación recíprocas entre las Administraciones sanitarias. Esto supone una cesión de datos entre las citadas Administraciones, que según esta ley, estará sujeta a la legislación en materia de protección de datos de carácter personal y a las condiciones acordadas en el Consejo Interterritorial del Sistema Nacional de Salud. Igualmente, y con el fin de que los ciudadanos reciban la mejor atención sanitaria posible en cualquier centro o servicio del Sistema Nacional de Salud, el Ministerio de Sanidad y Consumo coordinará los mecanismos de intercambio electrónico de información clínica y de salud individual, previamente acordados con las comunidades autónomas, para permitir tanto al interesado como a los profesionales que participan en la asistencia sanitaria el

acceso a la historia clínica en los términos estrictamente necesarios para garantizar la calidad de dicha asistencia y la confidencialidad e integridad de la información, cualquiera que fuese la Administración que la proporcione.

En segundo lugar, esta ley regula la tarjeta sanitaria individual que permite el acceso de los ciudadanos a las prestaciones de la atención sanitaria que proporciona el Sistema Nacional de Salud. Esta tarjeta incluye, de manera normalizada, los datos básicos de identificación del titular de la tarjeta, del derecho que le asiste en relación con la prestación farmacéutica y del servicio de salud o entidad responsable de la asistencia sanitaria. Los dispositivos que las tarjetas incorporan para almacenar la información básica y las aplicaciones que la traten deberán permitir que la lectura y comprobación de los datos sea técnicamente posible en todo el territorio del Estado y para todas las Administraciones públicas.

Ley16/2003,de28demayo,decohesiónycalidaddelSistemaNacionaldeSalud

Sin lugar a dudas, uno de los temas que genera más debate en los círculos de expertos de protección de datos es la utilización de los datos de salud para fines de investigación. Esta ley garantiza, con carácter general, la protección

de la intimidad personal y el tratamiento confidencial de los datos personales que resulten de la actividad de investigación biomédica, conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de

Ley14/2007,de3dejulio,deinvestigaciónbiomédica

33


Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

4Datos de Carácter Personal. Las mismas garantías son de aplicación a las muestras biológicas que sean fuente de información de carácter personal. Además, la realización de una investigación sobre una persona requerirá el consentimiento expreso, específico y escrito de aquélla, o de su representante legal, de acuerdo con los principios generales enunciados en el artículo 4 de esta Ley. Este consentimiento para realizar análisis genéticos también deberá ser expreso y escrito.

Siguiendo esta línea garantista del derecho fundamental a la protección de datos personales, se prohíbe la utilización de datos relativos a la salud de las personas con fines distintos a aquéllos para los que se prestó el consentimiento.

Además, deberá garantizarse la trazabilidad de las células, tejidos y cualquier material biológico de origen humano, para asegurar las normas de calidad y seguridad, respetando el deber de confidencialidad y lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Por otra parte, también destaca el deber de confidencialidad y el plazo de conservación de los datos. Así, respecto al

primero, el personal que acceda a los datos genéticos en el ejercicio de sus funciones quedará sujeto al deber de secreto de forma permanente. Sólo con el consentimiento expreso y escrito de la persona de quien proceden se podrán revelar a terceros datos genéticos de carácter personal. Si no es posible publicar los resultados de una investigación sin identificar a los sujetos fuente, tales resultados sólo podrán ser publicados con su consentimiento. En el caso de análisis genéticos a varios miembros de una familia los resultados se archivarán y comunicarán a cada uno de ellos de forma individualizada. En el caso de personas incapacitadas o menores se informará a sus tutores o representantes legales.

Respecto a la conservación de los datos, los datos genéticos de carácter personal se conservarán durante un período mí-nimo de cinco años desde la fecha en que fueron obtenidos, transcurrido el cual el interesado podrá solicitar su cance-lación. Si no mediase solicitud del interesado, los datos se conservarán durante el plazo que sea necesario para preser-var la salud de la persona de quien proceden o de terceros relacionados con ella. Fuera de estos supuestos, los datos únicamente podrán conservarse, con fines de investigación, de forma anonimizada, sin que sea posible la identificación del sujeto fuente.

Según lo regulado por esta ley, las recetas médicas y órdenes hospitalarias de dispensación deben contener los datos bási-cos de identificación de prescriptor, paciente y medicamentos.

El Gobierno determinará con carácter básico los requisitos mí-nimos que han de cumplir las recetas médicas extendidas y/o editadas en soporte informático con el fin de asegurar la acce-sibilidad de todos los ciudadanos, en condiciones de igualdad efectiva en el conjunto del territorio español, a la prestación farmacéutica del Sistema Nacional de Salud. No será nece-

sario el consentimiento del interesado para el tratamiento y la cesión de datos que sean consecuencia de la implantación de sistemas de información basados en receta médica en so-porte papel o electrónico, de conformidad con lo dispuesto en los artículos 7, apartados 3 y 6; 8; y 11, apartado 2.a), de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Las citadas actuaciones deberán tener por finalidad facilitar la asistencia médica y farmacéutica al paciente y permitir el control de la prestación farmacéutica del Sistema Nacional de Salud.

Ley29/2006,de26dejulio,degarantíasyusoracionaldelosmedicamentosyproductossanitarios

34


Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

4También destaca lo relativo a las garantías de trazabilidad, de manera que la recogida y tratamiento de datos a que se refiere este artículo deberá adecuarse a la normativa vigente en materia de seguridad y protección de datos de carácter personal, en cumplimiento de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Per-

sonal, teniendo la consideración de responsables de sus respectivos ficheros de titularidad pública la Administración General del Estado, las Administraciones sanitarias compe-tentes de las Comunidades Autónomas y, en su caso, las Administraciones corporativas correspondientes.

En materia de principios generales, esta ley establece que la relación entre los profesionales sanitarios y de las personas atendidas por ellos se rige, entre otros, por los siguientes principios:

• Los profesionales tienen el deber de respetar la per-sonalidad, dignidad e intimidad de las personas a su cuidado y deben respetar la participación de los mismos en las tomas de decisiones que les afec-ten. En todo caso, deben ofrecer una información suficiente y adecuada para que aquéllos puedan ejercer su derecho al consentimiento sobre dichas decisiones.

• Los profesionales y los responsables de los centros sanitarios facilitarán a sus pacientes el ejercicio del derecho a conocer el nombre, la titulación y la es-pecialidad de los profesionales sanitarios que les atienden, así como a conocer la categoría y función de éstos, si así estuvieran definidas en su centro o institución.

• Los pacientes tienen derecho a recibir información de acuerdo con lo establecido en la Ley 41/2002, de 14 de noviembre, básica reguladora de la auto-nomía del paciente y de los derechos y obligaciones en materia de información y documentación clínica.

Para garantizar de forma efectiva y facilitar el ejercicio de los derechos citados anteriormente, los colegios profesionales, consejos autonómicos y consejos generales, en sus respec-tivos ámbitos territoriales, establecerán los registros públicos de profesionales que, de acuerdo con los requerimientos de esta ley, serán accesibles a la población y estarán a dispo-sición de las Administraciones sanitarias. Los indicados re-gistros, respetando los principios de confidencialidad de los datos personales contenidos en la normativa de aplicación, deberán permitir conocer el nombre, titulación, especialidad, lugar de ejercicio y los otros datos que en esta ley se deter-minan como públicos. Asimismo, podrán existir en los cen-tros sanitarios y en las entidades de seguros que operan en el ramo de la enfermedad, otros registros de profesionales de carácter complementario a los anteriores, que sirvan a los fines indicados en el apartado anterior, conforme a lo previs-to en los artículos 8.4 y 43 de esa ley. Los criterios generales y requisitos mínimos de estos registros serán establecidos por las Administraciones sanitarias dentro de los principios generales que determine el Consejo Interterritorial del Sis-tema Nacional de Salud, que podrá acordar la integración de los mismos al del Sistema de Información Sanitaria del Sistema Nacional de Salud.

Ley44/2003,de21denoviembre,deordenacióndelasprofesionessanitarias

35


4

Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

La finalidad principal de esta Instrucción es mejorar los proce-dimientos de toma de huellas, tanto del recién nacido como de la madre, permitiendo realizar una identificación y vinculación inequívoca de ambos, evitando confusiones y problemas de intercambio de bebés en los centros asistenciales. La inco-rrecta identificación de los recién nacidos deja sin sentido la existencia de una tarjeta de identificación sanitaria, así como impide su correcta inscripción en el Registro Civil.

En este sentido, la recogida de las huellas dactilares consti-tuye el sistema que permite una identificación inequívoca de ambos, así como para establecer la correspondencia entre el recién nacido y su madre biológica. Tal y como establece la Ley 6/1995, de 28 de marzo, de Garantías de los Derechos de la Infancia y la Adolescencia en la Comunidad de Madrid, deberán utilizarse para la toma de los datos los métodos más

avanzados y precisos disponibles, evitando que los posibles defectos en la toma de las huellas hagan que el Documento de Identificación carezca de utilidad.

Dada la finalidad para la que se recogen los datos, éstos no podrán ser objeto de cancelación, al seguir siendo necesa-rios y pertinentes durante toda la vida del recién nacido y de la madre. Si los datos recogidos en el Documento de Iden-tificación Sanitaria Materno-Filial fueran conservados dentro de la historia clínica, éstos no podrán ser objeto de expurgo ni cancelación, aun transcurridos los plazos de conservación para la historia clínica que se establecen en la Ley 41/2002, de 14 de noviembre, Básica Reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en Materia de Infor-mación y Documentación Clínica.

4.4 Normativa autonómica.Instrucción1/2009,de17dediciembre,delaAgenciadeProteccióndeDatosdelaComunidaddeMadridsobreeltratamientodedatospersonalesdelosreciénnacidosencentrosasistencialesqueintegranlaredsanitariaúnicadeutilización pública de la Comunidad de Madrid

Incide en la necesidad de que no se faciliten a los departa-mentos de personal más datos de aquellos que realmente son necesarios para justificar una ausencia al trabajo, evitan-do que se pueda conocer el diagnóstico o causa concreta de la enfermedad del trabajador, tal como ya recoge la normati-va que regula la emisión de los partes de baja.

Si bien no es necesario presentar el parte de baja en los casos de ausencia al trabajo por enfermedad común o acci-dente no laboral, el trabajador tiene que justificar la ausencia al trabajo, por lo que los centros sanitarios deben facilitar al paciente un documento que acredite el servicio prestado.

En este sentido, un aspecto concreto regulado en esta Ins-trucción es la diferenciación de los supuestos en que el so-licitante del justificante es el propio trabajador enfermo o cualquier persona que tenga con él una relación familiar o de hecho, requiriéndose en este último caso el consentimiento inequívoco del enfermo o usuario del centro sanitario.

Además, deben diseñarse procedimientos específicos para este tratamiento de datos, evitando utilizar documentos crea-dos para la gestión asistencial, como son la propia hoja de ci-tación, como justificante, dado que en esta se hace mención al posible problema de salud que pueda existir o a la prueba diagnóstica a la que haya sido sometido el paciente.

Instrucción2/2009,de21dediciembre,delaAgenciadeProteccióndeDatosdelaComunidaddeMadridsobreeltrata-mientodedatospersonalesenlaemisióndejustificantesmédicos

36


Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

4Configura el régimen jurídico de la Administración Electrónica. En relación a la protección de datos de carácter personal, esta-blece como finalidad de la propia ley crear las condiciones de confianza en el uso de los medios electrónicos, estableciendo las medidas necesarias para la preservación de la integridad de los derechos fundamentales, y en especial los relacionados con la intimidad y la protección de datos de carácter personal, por medio de la garantía de la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electrónicos.

Asimismo, también se menciona entre los principios gene-rales de la citada ley el respeto al derecho a la protección de datos de carácter personal en los términos establecidos por la Ley Orgánica 15/1999, de Protección de los Datos de Carácter Personal, en las demás leyes específicas que re-gulan el tratamiento de la información y en sus normas de desarrollo, así como a los derechos al honor y a la intimidad personal y familiar.

Por otra parte, en las transmisiones de datos entre Adminis-traciones Públicas, cada Administración deberá facilitar el acceso de las restantes Administraciones Públicas a los da-

tos relativos a los interesados que obren en su poder y se en-cuentren en soporte electrónico, especificando las condicio-nes, protocolos y criterios funcionales o técnicos necesarios para acceder a dichos datos con las máximas garantías de seguridad, integridad y disponibilidad, de conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo.

La disponibilidad de tales datos estará limitada estrictamen-te a aquellos que son requeridos a los ciudadanos por las restantes Administraciones para la tramitación y resolución de los procedimientos y actuaciones de su competencia de acuerdo con la normativa reguladora de los mismos. El ac-ceso a los datos de carácter personal estará, además, condi-cionado al cumplimiento de las condiciones establecidas en el artículo 6.2.b) de la citada ley.

Por último, la ley también regula lo referente a los registros electrónicos, expedientes administrativos electrónicos y la tramitación de los procedimientos administrativos electróni-camente.

4.5 Normativa de Administración ElectrónicaLey11/2007,de22dejunio,deaccesoelectrónicodelosciudadanosalosServiciosPúblicos

Destaca el desarrollo del artículo 6.2.b) de la Ley 11/2007, de 22 de junio, de manera que cuando los ciudadanos ejer-zan el derecho a no aportar datos y documentos que obren en poder de las Administraciones Públicas se seguirán una serie de reglas. Entre ellas, cabe mencionar las siguientes:

a. Los interesados serán informados expresamente de que el ejercicio del derecho implica su

consentimiento, en los términos establecidos por el artículo 6.2b) de la Ley 11/2007, de 22 de junio, para que el órgano y organismo ante el que se ejercita pueda recabar los datos o documentos respecto de los que se ejercita el derecho de los órganos u organismos en que los mismos se encuentren.

RealDecreto1671/2009,de6denoviembre,porelquesedesarrollaparcialmentelaLey11/2007,de22dejunio,deac-ceso electrónico de los ciudadanos a los servicios públicos

37


4

Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

b. El derecho se ejercitará de forma específica e indi-vidualizada para cada procedimiento concreto, sin que el ejercicio del derecho ante un órgano u orga-nismo implique un consentimiento general referido a todos los procedimientos que aquél tramite en re-lación con el interesado.

c. En cualquier momento, los interesados podrán aportar los datos, documentos o certificados nece-sarios, así como revocar su consentimiento para el acceso a datos de carácter personal.

d. Cuando el órgano administrativo encargado de la tramitación del procedimiento no tenga acceso a los datos, documentos o certificados necesarios, los pedirá al órgano administrativo correspondiente. Si se tratara de un órgano administrativo incluido en el ámbito de aplicación del artículo 1.2.a), deberá ce-der por medios electrónicos los datos, documentos y certificados que sean necesarios en el plazo máxi-mo que establezca la normativa específica, que no

podrá exceder de diez días. Dicho plazo máximo será igualmente aplicable si no está fijado en la nor-mativa específica.

Sobre este Real Decreto cabe mencionar también la regula-ción del contenido y servicios de la sede electrónica, que en el caso de la Administración General del Estado contendrá in-formación relacionada con la protección de datos de carácter personal, incluyendo un enlace con la sede electrónica de la Agencia Española de Protección de Datos, a asociación de metadatos a los documentos electrónicos aportados por los ciudadanos o emitidos por la Administración General del Es-tado o sus organismos públicos que será, en todo caso, reali-zada por el órgano u organismo actuante, en la forma que en cada caso se determine, y la destrucción de documentos en soporte no electrónico, los documentos originales y las copias auténticas en papel o cualquier otro soporte no electrónico ad-mitido por la ley como prueba, de los que se hayan generado copias electrónicas auténticas, en los términos y condiciones que se determinen en las correspondientes Resoluciones y cumpliendo con lo establecido en el citado Real Decreto.

RealDecreto4/2010,de8deenero,porelqueseregulaelEsquemaNacionaldeInteroperabilidadenelámbitodelaAdministración Electrónica

Su articulación se ha realizado atendiendo a la normativa nacional sobre acceso electrónico de los ciudadanos a los servicios públicos, protección de datos de carácter personal, firma electrónica y documento nacional de identidad electró-nico, accesibilidad, uso de lenguas oficiales, reutilización de la información en el sector público y órganos colegiados res-ponsables de la administración electrónica.

De conformidad con este Real Decreto, las Administraciones públicas establecerán y publicarán las condiciones de acceso y utilización de los servicios, datos y documentos en formato electrónico que pongan a disposición del

resto de Administraciones especificando las finalidades, las modalidades de consumo, consulta o interacción, los requisitos que deben satisfacer los posibles usuarios de los mismos, los perfiles de los participantes implicados en la utilización de los servicios, los protocolos y criterios funcionales o técnicos necesarios para acceder a dichos servicios, los necesarios mecanismos de gobierno de los sistemas interoperables, así como las condiciones de seguridad aplicables. Estas condiciones deberán en todo caso resultar conformes a los principios, derechos y obligaciones contenidos en la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal

38


4

Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

y su normativa de desarrollo, así como a lo dispuesto en el Esquema Nacional de Seguridad, y los instrumentos jurídicos que deberán suscribir las Administraciones públicas requeridoras de dichos servicios, datos y documentos.

Asimismo, y de conformidad con su artículo 22, para asegu-rar la conservación de los documentos electrónicos se apli-cará lo previsto en el Esquema Nacional de Seguridad en cuanto al cumplimento de los principios básicos y de los re-

quisitos mínimos de seguridad mediante la aplicación de las medidas de seguridad adecuadas a los medios y soportes en los que se almacenen los documentos, de acuerdo con la categorización de los sistemas.

Cuando los citados documentos electrónicos contengan da-tos de carácter personal les será de aplicación lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y normativa de desarrollo.

Su texto ha tenido en cuenta la normativa nacional sobre Administración electrónica, protección de datos de carácter personal, firma electrónica y documento nacional de identi-dad electrónico, Centro Criptológico Nacional, sociedad de la información, reutilización de la información en el sector públi-co y órganos colegiados responsables de la Administración Electrónica; así como la regulación de diferentes instrumen-tos y servicios de la Administración, las directrices y guías de la OCDE y disposiciones nacionales e internacionales sobre normalización.

Este Real Decreto será aplicado por las Administraciones Públicas para asegurar el acceso, integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad y conservación de los datos, informaciones y servicios utilizados en medios electrónicos que gestionen en el ejercicio de sus competen-cias.

En este sentido, el análisis y gestión de riesgos será parte esencial del proceso de seguridad y deberá mantenerse permanentemente actualizado. La gestión de riesgos permitirá el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducción de estos niveles se realizará mediante el despliegue de medidas de seguridad, que establecerá un equilibrio entre la naturaleza

de los datos y los tratamientos, los riesgos a los que estén expuestos y las medidas de seguridad.

Con la finalidad exclusiva de lograr el cumplimiento del objeto de este Real Decreto, con plenas garantías del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los afectados, y de acuerdo con la normativa sobre protección de datos personales, de función pública o laboral, y demás disposiciones que resulten de aplicación, se registrarán las actividades de los usuarios, reteniendo la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa.

Por otra parte, para dar cumplimiento a los requisitos mínimos regulados en esta norma, las Administraciones públicas aplicarán las medidas de seguridad indicadas en su Anexo II, teniendo en cuenta:

a) Los activos que constituyen el sistema.

b) La categoría del sistema, según lo previsto en el artículo 43.

c) Las decisiones que se adopten para gestionar los riesgos identificados.

RealDecreto3/2010,de8deenero,porelqueseregulaelEsquemaNacionaldeSeguridadenelámbitodelaAdminis-tración Electrónica

39


Nor

mat

iva

sobr

e pr

otec

ción

de

dato

s

4Cuando un sistema al que afecte esta norma maneje datos de carácter personal le será de aplicación lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y normativa de desarrollo, sin perjuicio de los requisitos establecidos en el Esquema Nacional de Seguridad.

Los medidas tendrán la condición de mínimos exigibles, y podrán ser ampliados por causa de la concurrencia indicada o del prudente arbitrio del responsable de la información, habida cuenta del estado de la tecnología, la naturaleza de los servicios prestados y la información manejada, y los riesgos a que están expuestos.

5Análisis de losresultados del estudio


41


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

5.1.1 Problemática e implicaciones

Las Administraciones Públicas recurren cada vez más a las nuevas tecnologías para el desarrollo de su actividad. La utilización de los nuevos sistemas de información y de comunicación para relacionarse con los ciudadanos y para mejorar el funcionamiento interno de la Administración es muy positivo puesto que contribuye a una mejora de la pro-pia legitimidad social de la Administración Pública. Al mismo tiempo, el desarrollo de una Administración electrónica y la consiguiente acumulación por parte de los poderes públicos de datos personales de los ciudadanos puede suponer una amenaza al derecho a la intimidad y a otros derechos cons-titucionales.

La Constitución española, especialmente a partir de la in-terpretación instituida por la Sentencia del Tribunal Consti-tucional 292/2000, de 30 de noviembre, ha establecido un derecho fundamental a la protección de datos personales, que puede ser definido como el derecho que tiene toda persona a controlar su información personal, lo que le fa-culta para decidir quién tiene sus datos y para qué los va a utilizar.

Las leyes atribuyen a los ciudadanos un conjunto de garantías para que ejerzan un control efectivo sobre su información per-sonal, estableciendo un conjunto de obligaciones que todos los empleados públicos deben conocer y cumplir. No se trata de limitar la utilización de la informática en el ámbito público sino de hacerla compatible con los derechos de los ciudadanos, sin que esto signifique renunciar al progreso que el uso de los sis-temas de información y la comunicación traen consigo.

Del ámbito general de aplicación que establece la LOPD debe destacarse lo siguiente: por una parte, su aplicación a los datos registrados en cualquier soporte físico susceptible de tratamiento; por otra, su aplicación tanto al sector público como al privado.

Por lo que se refiere al primero, la ley debe entenderse apli-cable no sólo a datos almacenados en soportes electróni-cos o informáticos, sino también a los recogidos en papel, siempre y cuando la información se encuentre estructurada de acuerdo con criterios relativos a personas identificadas o identificables.

5.1 Aspectos generales de la normativa sobre protección de datos

42


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

El análisis se inicia con el examen de los soportes donde se encuentran los ficheros con datos personales. Los archivos pueden encontrarse en soporte electrónico (ficheros de ca-rácter automatizado), en papel (ficheros de carácter no au-tomatizado) o mixto, cuando se combinan ambos formatos.

A la luz de los resultados que ofrece el Gráfico 1, la realidad del sector sanitario español es que prevalecen los ficheros

de carácter mixto, tanto si en ellos predomina el soporte papel sobre el electrónico (42,4%) como si, por el contrario, hay más electrónico que papel (35,5%). Un 16,6% de los centros afirma que se encuentran exclusivamente en soporte electrónico. Son una minoría los centros que admiten que sus ficheros se encuentran exclusivamente en formato no automatizado (5,5%).

Gráfico1:Soportedelosficheroscondatospersonales(%)

Fuente: INTECO

5.1.2 Diagnóstico: situación en el sector sanitario español

Soportedelosficherosquecontienendatospersonales

43


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

El Gráfico 2 profundiza en las diferencias existentes entre hos-pitales, centros de salud y consultorios locales a la hora de al-macenar sus ficheros con datos de carácter personal en uno u otro soporte. Los centros de salud muestran una tendencia a al-macenar datos en soporte principalmente electrónico: un 21,9% de los centros de salud dice que sus ficheros se encuentran exclusivamente en este tipo de formato, y un 39,3% adicional reconoce que, si bien mantiene archivos automatizados y no automatizados, predominan los primeros sobre los segundos.

Esta preferencia por el soporte electrónico de los centros de salud contrasta por la predilección por el papel de los consul-torios locales: un 7,2% de este tipo de instituciones admite

tener sus ficheros exclusivamente en papel (el porcentaje de hospitales y centros de salud que mantienen sus archivos únicamente en papel es mínimo, inferior en ambos casos al 2%) y un 44% responde que, aunque dispone de papel y electrónico, predomina el primero entre sus ficheros con da-tos de carácter personal.

Es necesario considerar, a la hora del análisis de los datos expuestos, la existencia de sistemas automatizados de tra-tamiento centralizados en muchos supuestos, que alcanzan a los Hospitales y Centros de Salud, mientras que en los consultorios, en muchos casos, no ha sido posible la implan-tación de esos sistemas.

Gráfico2:Soportedelosficheroscondatospersonales,segmentaciónportipodecentro(%)

Fuente: INTECO

44


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

Donde no se aprecian diferencias notables es en el análisis segmentado por dependencia patrimonial del centro. Sólo es destacable, quizás, una mayor presencia de los ficheros en soporte exclusivamente electrónico entre centros públicos que entre sus homólogos privados (16,9% frente a 8,6%). Sin embargo, de este dato no se puede concluir que el formato electrónico sea más popular en el sector público

que en el privado ya que, al considerar conjuntamente el porcentaje de centros que trabajan con papel (exclusiva o mayoritariamente) y el de aquéllos que trabajan con soporte electrónico, la proporción está equilibrada. Así, un 52% de los centros públicos prefieren el soporte electrónico, ya sea de forma exclusiva o compartida, y en el caso de los centros privados el porcentaje es de 53,8%.

Gráfico3:Soportedelosficheroscondatospersonales, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

45


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

Una obligación básica en materia de protección de datos es la de inscribir los ficheros con datos de carácter personal ante el Registro General de Protección de Datos.

Una mayoría de los centros encuestados admiten haber de-clarado sus ficheros con datos de carácter personal ante la autoridad competente en materia de protección de datos,

ya sea la Agencia Española (15,6%) o autonómica (38,5%). (Las agencias de protección de datos autonómicas –madrile-ña, vasca y catalana- tienen competencia sobre ficheros de titularidad pública.) Sólo un 8,6% reconoce no tener inscritos sus ficheros, y sorprende el elevado 37,3% que no propor-ciona respuesta.

DeclaracióndeficherosantelaAgenciadeProteccióndeDatos

Gráfico4:DeclaracióndeficherosenlaAgenciadeProteccióndeDatos(%)

Fuente: INTECO

46


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

La obligación de declarar los ficheros ante la Agencia de Pro-tección de Datos es asumida en mucha mayor medida por los hospitales que por los centros de salud y consultorios locales (Gráfico 5). Así, el 47,1% de los hospitales ha noti-ficado la existencia de ficheros ante el Registro General de Protección de Datos en la Agencia Estatal (en el caso de los centros de salud, el porcentaje es de 14,6% y si se analizan los consultorios locales, el dato es de un 12,4%). Cuando el análisis se centra en la inscripción ante las autoridades autonómicas, el nivel de cumplimiento entre los tres tipos de centros es similar: 37,5% en el caso de hospitales frente a un 39,8% en los centros de salud y un 38,1% cuando se trata de consultorios locales.

En cualquier caso, si se considera de manera global el por-centaje de los que declaran sus ficheros (ya sea ante la au-toridad estatal o autonómica) frente a los que no lo hacen (o no responden), se confirma la mayor implicación de los hospitales: 84,6%, frente a 54,4% en el caso de los centros de salud y 50,5% entre los consultorios locales.

Nuevamente debemos considerar la situación de la implanta-ción de sistemas centralizados en los centros de atención pri-maria (centros de salud), siendo responsabilidad de órganos administrativos jerárquicamente superiores (gerencias) la res-ponsabilidad de inscripción de dichos tratamientos de datos personales en los Registros de Ficheros correspondientes (es-tatal o autonómico, según la titularidad del centro).

Gráfico5:DeclaracióndeficherosenlaAgenciadeProteccióndeDatos, segmentaciónportipodecentro(%)

Fuente: INTECO

47


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

El nivel de inscripción de ficheros presenta diferencias entre zonas geográficas. La mayor tasa de cumplimiento se encuentra entre los centros catalanes, donde un 65,6% de los encuestados afirma haber registrado sus ficheros con datos personales (ya sea a nivel estatal o autonómico). Por detrás de Cataluña, la franja Norte – Noroeste muestra un 63,3% de registro, la zona Sur un 55,1% y Levante un 54,1%. En la comunidad de Madrid,

el porcentaje de centros que reconoce tener sus ficheros declarados es de 45,6%.

Estas diferencias deben matizarse dependiendo del grado de implantación de sistemas centralizados de tratamiento de los datos personales en cada Área geográfica, así como por el diferente criterio interpretativo del nivel de detalle de la inscripción de cada tratamiento de datos.

Gráfico6:DeclaracióndeficherosenlaAgenciadeProteccióndeDatos,segmentacióngeográfica (suma de Sí, en la Agencia Estatal y Sí, en la Agencia autonómica)(%)

Fuente: INTECO

48


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

El 73,5% de los centros sanitarios participantes en el estudio afirman tener inventariados los ficheros con datos de carácter personal, frente a un 14,1% que reconocen no tenerlos inventariados, y un 12,4% adicional, que no se posiciona (Gráfico 7).

Inventariadodeficheros

Gráfico7:CentrosSanitariosconficherosinventariados(%)

Fuente: INTECO

49


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

En el análisis por tipo de centro, se aprecia una mayor tasa de cumplimiento entre los hospitales (88,9%) que entre centros de salud (80,4%) y, sobre todo, consultorios locales (69,4%).

Gráfico8:Centrossanitariosconficherosinventariados,segmentaciónportipodecentro(%)

Fuente: INTECO

50


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

También se aprecian diferencias en función de la dependencia patrimonial del centro: los centros privados tienen inventariados los ficheros en mayor medida que los públicos (87,9% frente a 72,9%).

Gráfico9:Centrossanitariosconficherosinventariados, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

51


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

Desde un punto de vista geográfico, el mapa refleja las diferencias existentes entre las diferentes áreas (Gráfico 10). Destaca en positivo el dato de Madrid (donde un 81,7% de los centros participantes en el estudio afirman disponer de sus ficheros inventa-riados) y Cataluña (también en este caso el nivel de cumplimiento se sitúa en un 81,7%). La franja norte del país, que aglutina provincias pertenecientes a diferentes comunidades autónomas, también presenta un elevado porcentaje de centros que mantie-nen inventariados sus archivos 82,6%.

Gráfico10:Centrossanitariosconficherosinventariados,segmentacióngeográfica(%)

Fuente: INTECO

52


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

Se analiza a continuación en qué medida el personal de aten-ción al público del centro dispone de formación específica en protección de datos.

A partir de los datos del estudio, el nivel de formación entre los centros sanitarios españoles es correcto (Gráfico 11). Ya sea un conocimiento general (64,9%) o profundo (26,7%), lo

cierto es que la inmensa mayoría del personal de atención al público de los centros sanitarios españoles dispone de for-mación en materia de protección de datos. Sólo un 6,7% de los encuestados afirman que los empleados de atención al público del centro sanitario en el que trabajan no tienen nin-gún conocimiento específico en el tema, y un 2,7% adicional no se manifiesta al respecto.

Formación sobre protección de datos del personal de atención al público

Gráfico11:Formaciónsobreproteccióndedatosdelpersonaldeatenciónalpúblico(%)

Fuente: INTECO

53


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

El adecuado nivel formativo es una tendencia que se repite en hospitales, centros de salud y consultorios locales. Así, un 97,2%, 95,5% y 88,2%, respectivamente, admiten que el personal de atención al público presenta un conocimiento (ya sea general o profundo) sobre protección de datos.

Gráfico12:Formaciónsobreproteccióndedatosdelpersonaldeatenciónalpúblico,segmentaciónportipodecentro(%)

Fuente: INTECO

54


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

En el análisis por dependencia patrimonial del centro no se aprecian particularidades relevantes. En los centros de titularidad pública, un 65,2% del personal de atención al público tiene un conocimiento general sobre la normativa de protección de datos, y un 25,2% dispone de una formación profunda en la materia; en las instituciones de titularidad privada son un 57,8% quienes muestran un nivel de conocimiento general y un 37,7% los que tienen una formación exhaustiva.

Gráfico13:Formaciónsobreproteccióndedatosdelpersonaldeatenciónalpúblico,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

55


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

Siendo elevado el conocimiento sobre protección de datos en los centros sanitarios de todo el territorio español, el Gráfico 14 sugiere una mayor sensibilidad en Cataluña (96,9%), seguida de la zona Sur (94,4%), Levante (94%) y la Comunidad de Madrid (93,5%).

Gráfico14:Formaciónsobreproteccióndedatosdelpersonaldeatenciónalpúblico,segmentacióngeográfica(sumadeConoce de forma general los derechos de las personas

cuyos datos se recaban y Dispone de un conocimiento profundo de la normativa sobre protección de datos)(%)

Fuente: INTECO

56


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

El hecho de que el centro sanitario cuente con un profesional que asuma de manera expresa el papel de coordinador o respon-sable de protección de datos es un indicio de la sensibilidad de la institución hacia la normativa.

En términos generales (Gráfico 15), se encuentra bastante equilibrada la proporción de los centros sanitarios encuestados que reconocen disponer de coordinador de protección de datos (52,2%) y aquéllos que afirman no contar en plantilla con un respon-sable de estas características (42,7%). Un 5,1% adicional no se manifiesta al respecto.

Existenciadelafiguradecoordinadororesponsabledeproteccióndedatos

Gráfico15:Existenciadelafiguradecoordinadororesponsabledeproteccióndedatos(%)

Fuente: INTECO

57


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

Sin embargo, si se profundiza en las particularidades de los tres tipos de centro analizados, se obtienen diferencias interesantes (Gráfico 16). Parece que los hospitales, con un 80,7% de ellos que afirman tener un responsable de protección de datos, mues-tran un mayor compromiso con la protección de datos que los centros de salud (58,4%) y los consultorios locales (47%).

Gráfico16:Existenciadelafiguradecoordinadororesponsabledeproteccióndedatos,segmentaciónportipodecentro(%)

Fuente: INTECO

58


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

Los centros privados podrían mostrar una mayor implicación en protección de datos, dado que el 85,6% de ellos dispone de un coordinador de protección de datos (frente a un 50,8% en el caso de las instituciones de titularidad pública).

Gráfico17:Existenciadelafiguradecoordinadororesponsabledeproteccióndedatos,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

59


5

Res

ulta

dos

/

Asp

ecto

s ge

nera

les

Por áreas geográficas, los centros catalanes presentan, también en este caso, un porcentaje de disponibilidad de coordinador de protección de datos superior al resto de zonas: 67,7%. Por detrás de Cataluña, los centros del área de Levante (65,8%) y la Comunidad de Madrid (59,5%) cuentan con la figura de responsable de protección de datos.

Gráfico18:Existenciadelafiguradecoordinadororesponsabledeproteccióndedatos,segmentacióngeográfica(%)

Fuente: INTECO

60


5

Res

ulta

dos

/Derecho

deinform

ación

5.2 Derechodeinformación(art.5LOPD)


Cuando se lleva a cabo la recogida de datos personales de un afectado o interesado (ciudadano), el responsable del fi-chero debe informarle de lo siguiente:

1) Que sus datos van a ser almacenados en un fichero, la finalidad para la que se recogen y los destinatarios de la información.

2) Si es obligatoria o no su respuesta a las distintas pre-guntas que se le planteen.

3) Las consecuencias de la obtención de los datos o de su negativa a suministrarlos.

4) La posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición.

5) La identidad y dirección del responsable del fichero.

Esta comunicación se podrá facilitar al afectado o interesado (ciudadano) por cualquier medio que permita asegurar que ha recibido la información que contempla este principio: de palabra, por escrito en el propio formulario, impreso o en-cuesta en la que se recojan sus datos, o en documento apar-te, mediante carteles o anuncios situados en el lugar donde vayan a recabarse los datos que completen aquella informa-ción que no se facilite de palabra o en el impreso en que se recaben los datos, etc. No es admisible una información genérica que no permita saber quién es el responsable del fichero y para qué se están recabando los datos.

Se debe cumplir con este Principio de información cualquiera que sea el procedimiento de recogida de datos. Estos proce-dimientos pueden ser de diversos tipos: formularios, encues-

tas, entrevistas, transmisión electrónica de datos, registros públicos, directorios electrónicos, currículos, páginas Web o teléfono.

En todo caso, el deber de información deberá llevarse a cabo a través de un medio que permita acreditar su cumplimiento, debiendo conservarse prueba del mismo mientras persista el tratamiento de datos del afectado. Así, el responsable del fichero deberá conservar el soporte en el que conste el cum-plimiento del deber de informar. Para el almacenamiento de los soportes, el responsable del fichero podrá utilizar medios informáticos o telemáticos. En particular, podrá proceder al escaneado de la documentación en soporte papel, siempre y cuando se garantice que en dicha automatización no ha mediado alteración alguna de los soportes originales.

Por otra parte, cuando los datos de carácter personal no ha-yan sido recabados del interesado, éste deberá ser informa-do de forma expresa, precisa e inequívoca, por el responsa-ble del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a), d) y e). El supuesto más claro en que se debe cumplir con este deber de información es cuando se produce una cesión de datos personales. La obligación de informar de la cesión, y en consecuencia obtención de los datos, recae sobre el cesionario.

61


5

Res

ulta

dos

/Derecho

deinform

ación

Se analiza a continuación el nivel de cumplimiento del deber de información que afecta a los responsables de ficheros. Se trata de la inclusión de una cláusula informativa en los impresos de recogida de datos de los pacientes.

Tal y como muestra el Gráfico 19, el nivel de cumplimiento no es absoluto: a nivel global, un 47,9% de los centros encuestados reconocen incorporar una cláusula informativa en los formularios de pacientes, frente a un 45,4% que no lo hacen.

Gráfico19:Existenciadecláusulasinformativasenlosimpresosderecogida dedatosdelospacientes(%)

Fuente: INTECO


Existencia de cláusulas informativas en los impresos de recogida de datos de los pacientes

62


5

Res

ulta

dos

/Derecho

deinform

ación

El análisis segmentado revela un escenario diferente para cada uno de los tres tipos de centros analizados. Los hospitales, con un 87,3% de cumplimiento, admiten cumplir con el deber de información al incluir en los formularios de recogida de datos perso-nales una cláusula específica sobre protección de datos. La situación de los hospitales difiere de la realidad existente en centros de salud y consultorios locales. En estos centros, con un 50,9% y 42,5% respectivamente de nivel de adopción de la medida, todavía queda área de mejora (Gráfico 20).

Gráfico20:Existenciadecláusulasinformativasenlosimpresosderecogidadedatosdelospacientes,segmentaciónportipodecentro(%)

Fuente: INTECO

63


5

Res

ulta

dos

/Derecho

deinform

ación

Los centros privados incorporan cláusulas informativas en los impresos de recogida de datos de los pacientes en mucha mayor medida que los públicos: 89,5% frente a 46%.

Gráfico21:Existenciadecláusulasinformativasenlosimpresosderecogidadedatosdelospacientes,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

64


5

Res

ulta

dos

/Derecho

deinform

ación

La realidad nacional se configura a partir de situaciones diferentes en las siete áreas geográficas analizadas, tal y como sugiere el Gráfico 22. La Comunidad de Madrid y Cataluña son, con un 69,6% y 68,1% respectivamente, donde en mayor medida se cumple con la incorporación de cláusulas informativas en los impresos de recogida de datos de los pacientes. También la zona Sur, con un 59,2% de cumplimiento, presenta un nivel de adopción importante.

Gráfico22:Existenciadecláusulasinformativasenlosimpresosderecogidadedatosdelospacientes,segmentacióngeográfica(%)

Fuente: INTECO

65


5

Res

ulta

dos

/Derecho

deinform

ación

Se considera videovigilancia toda aquella actividad que su-ponga la colocación de una cámara de grabación, fija o mó-vil, que tenga la finalidad de vigilancia de un espacio o de personas. No es infrecuente que instituciones de sectores diversos, tanto de carácter público como privado, incorporen sistemas de videovigilancia como fórmula para procurar una mayor seguridad. Los centros sanitarios no escapan a esta situación, y por este motivo, en tanto en cuanto la imagen constituye un dato de carácter personal sujeto por tanto a la normativa, es oportuno realizar un análisis del fenómeno.

El responsable de la cámara deberá informar de modo ex-preso, preciso e inequívoco respecto a la instalación de la videocámara, la zona grabada y el Responsable del Fichero. Por ello, es necesario colocar en un lugar visible de la zona

videovigilada un distintivo informativo. En cualquier caso, la instalación de videocámaras deberá ser notificada ante la Agencia de Protección de Datos de forma que sea inscri-to un nuevo fichero con el contenido de las imágenes. Este requisito se excluye en el caso de que sólo se reproduzcan imágenes en tiempo real, y no se proceda a la grabación o almacenamiento de las imágenes.

En España, la realidad a nivel global sugiere que existe un mayoritario 78,7% de centros que admiten no tener un siste-ma de videovigilancia y un 0,9% que no es capaz de dar una respuesta. El resto de los encuestados se reparten entre un 17,1% que utilizan videovigilancia e informan de ello en un car-tel informativo o similar, y un 3,3% que, teniendo sistema de videovigilancia, no informa acerca de la recogida de imágenes.

Información de sistema de videovigilancia

Gráfico23:Mododeinformaciónsobreelsistemadevideovigilancia(%)

Fuente: INTECO

66


5

Res

ulta

dos

/Derecho

deinform

ación

La videovigilancia en el sector sanitario español está mucho más extendida entre los hospitales (sólo un 33,7% de ellos admite no utilizarla) que entre los centros de salud y consultorios locales (un 77,4% y un 84,2%, respectivamente, reconoce no disponer de sistema de videovigilancia).

Entre los centros que sí tienen videovigilancia, ya se trate de hospitales, centros de salud o consultorios locales, es mayoritario el cumplimiento de la obligación de informar del sistema a través de un cartel informativo o similar.

Gráfico24:Mododeinformaciónsobreelsistemadevideovigilancia, segmentaciónportipodecentro(%)

Fuente: INTECO

67


5

Res

ulta

dos

/Derecho

deinform

ación

El análisis de la videovigilancia en función de la dependencia patrimonial del centro sugiere, una vez más, diferencias entre centros públicos y privados (Gráfico 25). Los sistemas de videovigilancia están más extendidos en las instituciones de titularidad privada (un minoritario 40,3% de ellas dice no tenerlo, frente a un 80,4% en el caso de los centros de carácter público).

En cualquier caso, entre los centros que disponen de sistemas de videovigilancia y con independencia de su carácter público o privado, es frecuente la información de los mismos al público a través de carteles o similares.

Gráfico25:Mododeinformaciónsobreelsistemadevideovigilancia, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

68


5

Res

ulta

dos

/Derecho

deinform

ación

Para dar cumplimiento al deber de información, una parte de los centros sanitarios dispone de carteles informativos sobre los tratamientos de datos personales que se realizan con los datos que se recaban de los pacientes. Se trata, en cualquier caso, de una práctica no adoptada de manera habitual. Sólo un 27,7% de los centros entrevistados reconoce tener este tipo de carteles, frente a un mayoritario 70,7% que afirma no utilizar este método.

Existencia de carteles informativos

Gráfico26:Existenciadecartelesinformativos(%)

Fuente: INTECO

69


5

Res

ulta

dos

/Derecho

deinform

ación

El dato global admite matizaciones cuando se profundiza en el análisis por tipo de centro. Así, hospitales, centros de salud y consul-torios locales muestran comportamientos diferentes en lo que se refiere a la disponibilidad de carteles informativos sobre protección de datos. En el caso de los hospitales, un mayoritario 70,5% reconoce disponer de ellos. En los consultorios locales la tendencia es la opuesta: sólo un 18,4% de este tipo de centros basa la información sobre protección de datos personales (o, al menos, parte de ella) en un sistema de cartelería, frente a un abrumador 80,6% que admite no utilizarlos. En un punto medio se encuentran los centros de salud: el 40,9% dispone de carteles y el 55,9% no.

Gráfico27:Existenciadecartelesinformativos,segmentaciónportipodecentro(%)

Fuente: INTECO

70


5

Res

ulta

dos

/Derecho

deinform

ación

El análisis del carácter público o privado de la institución también arroja diferencias reveladoras. Son los centros privados los que, en mayor medida y de manera mayoritaria, reconocen disponer de carteles informativos (81,4%). La proporción, en el caso de los centros públicos, es de un 25,3%.

Gráfico28:Existenciadecartelesinformativos,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

71


5

Res

ulta

dos

/Derecho

deinform

ación

La práctica de disponer de carteles informativos en el centro no es homogénea en toda la geografía española. Los centros madrileños son los más habituados a utilizar carteles para informar sobre los tratamientos de datos personales que se levan a cabo en la institución (53,5%). También los catalanes (44,3%) y los centros situados en la zona Sur del país (35,3%) han adoptado esta medida de manera considerable. La franja Norte – Noroeste presenta la tendencia contraria, con sólo un 18,9% de centros que reconocen emplear carteles informativos.

Gráfico29:Existenciadecartelesinformativos,segmentacióngeográfica(%)

Fuente: INTECO

72


5

Res

ulta

dos

/

Con

sent

imie

nto

5.3 Consentimiento(art.6al8LOPD)


Con carácter general, la LOPD exige la prestación del con-sentimiento previo e inequívoco del afectado para el trata-miento de sus datos, recayendo sobre el responsable del fichero la obligación de obtener el consentimiento del intere-sado. La solicitud de dicho consentimiento debe ir referida a un tratamiento o serie de tratamientos concretos, con delimi-tación de la finalidad para la que se recaba, así como de las restantes condiciones que concurran en el tratamiento.

El afectado o interesado (ciudadano) debe prestar su consen-timiento de manera libre, inequívoca, específica e informada, pudiendo manifestar el consentimiento de forma expresa o tácita. En ningún caso podrá entenderse prestado de forma presunta. Además, corresponderá al responsable del fichero la prueba de la existencia del consentimiento del afectado.

No obstante lo anterior, la LOPD recoge una serie de supues-tos en los que no es necesario prestar el consentimiento:

a. Cuando una ley así lo dispone. Obsérvese que se hace referencia a una norma con rango de Ley, no bastando cualquier otro tipo de norma. Estamos ante un claro supuesto de reserva legal.

b. Cuando los datos son recogidos para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias.

c. Cuando se refieren a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y los datos personales son necesarios para el mantenimiento y cumplimiento de ésta.

d. Cuando el tratamiento resulte necesario para la prevención o el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. Esta excepción también se aplicará cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento.

e. Cuando los datos figuren en fuentes accesibles al público. En este punto, conviene recordar que dichas fuentes están enumeradas de forma limitativa en la LOPD.

En todo caso, la excepción del consentimiento no exime de la obligación de informar en los términos expuestos en el pun-to anterior, relativo al Principio de información, ni permite el tratamiento de cualquier dato, sino únicamente de aquéllos que cumplan con el Principio de calidad (datos adecuados, pertinentes y no excesivos).

En todo caso, el interesado o afectado (ciudadano) puede revocar su consentimiento cuando exista causa justifica-da para ello. En este sentido, el Real Decreto 1720/2007, de 21 de diciembre, exige que la revocación pueda pro-ducirse a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento.

73


5

Res

ulta

dos

/

Con

sent

imie

nto

Los datos especialmente protegidos son aquéllos que reve-lan la ideología, afiliación sindical, religión y creencias de una persona física, y que sólo con el consentimiento expreso y por escrito del afectado pueden ser objeto de tratamiento. Son también datos especialmente protegidos los que hacen referencia al origen racial, a la salud y a la vida sexual, que sólo podrán ser recabados cuando, por razones de interés general, así lo disponga una ley o el afectado lo consienta expresamente.

Sin embargo, existe una excepción en virtud de la cual no será necesario el consentimiento expreso y por escrito para el tra-tamiento de los datos especialmente protegidos: cuando se trate de ficheros mantenidos por partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones, fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros. No obstante, también en estos casos será necesario el consentimiento previo del afecta-do en caso de que se vayan a ceder este tipo de datos.

Mención aparte merecen los datos de salud que, como ya se ha indicado anteriormente se encuentran dentro de la categoría de datos especialmente protegidos, y sólo podrán ser recabados, tratados y cedidos cuando por razones de interés general así lo disponga una ley o el afectado consienta expresamente.

Se define este tipo de datos como las informaciones concer-nientes a la salud pasada, presente y futura, física y mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.

No obstante lo anterior, la propia LOPD establece una ex-cepción en la que no es necesario el consentimiento expre-so y por escrito del afectado para el tratamiento de datos que hagan referencia al origen racial, a la salud o a la vida sexual. Esta excepción tiene lugar cuando el tratamiento de los datos especialmente protegidos resulte necesario para la prevención o el diagnóstico médico, la prestación de asisten-cia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta a una obligación equivalente de secreto.

Esta misma excepción concurrirá cuando el tratamiento de los datos especialmente protegidos sea necesario para sal-vaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar tal consentimiento. Esta circunstancia deriva de la lógica prevalencia del derecho a la vida sobre el derecho a la protección de datos.

74


5

Res

ulta

dos

/

Con

sent

imie

nto

En aquellos supuestos en que es necesario el consentimiento del interesado, a nivel global, el 52,8% de los centros encuestados afirma que siempre solicita el consentimiento de los titulares con anterioridad a la recogida de sus datos de carácter personal, y un 13,2% adicional dice hacerlo a menudo (Gráfico 30).

En el otro extremo, un 19,2% reconoce que nunca solicita el consentimiento de los titulares, y un 12,1% dice que casi nunca lo hace.

Gráfico30:Solicituddeconsentimiento(%)

Fuente: INTECO


Solicitud de consentimiento

75


5

Res

ulta

dos

/

Con

sent

imie

nto

Una vez más, los hospitales muestran una mayor conformidad con la normativa de protección de datos, al registrar niveles de cum-plimiento de la obligación de solicitud de consentimiento previo considerablemente superiores a los mostrados por centros sanitarios de menor envergadura (centros de salud y consultorios locales). Los resultados aparecen en el Gráfico 31.

Así, un 78,5% de los hospitales siempre solicita el consentimiento de los titulares de los datos antes de su recogida. Este porcen-taje es del 52,1% en el caso de los centros de salud y de 50,2% entre los consultorios locales.

Gráfico31:Solicituddeconsentimiento,segmentaciónportipodecentro(%)

Fuente: INTECO

76


5

Res

ulta

dos

/

Con

sent

imie

nto

Los centros de titularidad privada muestran un mayor cuidado a la hora de solicitar el consentimiento: un 83,3% dice hacerlo siempre, y un 13,1% lo hace a menudo; en el caso de los centros públicos, los porcentajes son de 51,5% y 12,4%. Además, entre los centros privados no hay ninguno que admita nunca solicitar el consentimiento del titular de los datos, mientras que en el caso de los públicos, un 20% así lo reconoce.

Gráfico32:Solicituddeconsentimiento,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

77


5

Res

ulta

dos

/

Con

sent

imie

nto

Considerando de manera conjunta los centros que reconocen solicitar el consentimiento siempre y a menudo, los resultados dibujan un mapa del país con realidades heterogéneas. Cataluña (76,8%), el área de Levante (72,9%) y la Comunidad de Madrid (71,8%) son, por este orden, las zonas más sensibles a la solicitud de consentimiento.

Gráfico33:Solicituddeconsentimiento,segmentacióngeográfica (suma de Siempre y A menudo)(%)

Fuente: INTECO

78


5

Res

ulta

dos

/

Con

sent

imie

nto

Al analizar la problemática intrínseca al deber de solicitud de consentimiento del titular de los datos (apartado 5.3.1), se mencionaba expresamente que el interesado puede revocar su consentimiento cuando exista causa justificada para ello, y que la revocación debe producirse a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento.

En el sector sanitario español, tal y como queda reflejado en el Gráfico 34, un mayoritario 69,3% de los centros entrevis-tados afirman que disponen de un procedimiento específico para que el paciente titular de los datos pueda revocar el consentimiento otorgado. Sólo un 20,5% reconoce no dispo-ner de un procedimiento de revocación, y un 10,1% adicional no se posiciona al respecto.

Existencia de procedimiento para la revocación del consentimiento

Gráfico34:Existenciadeprocedimientoparalarevocacióndelconsentimiento(%)

Fuente: INTECO

79


5

Res

ulta

dos

/

Con

sent

imie

nto

La existencia de procedimientos de revocación del consentimiento está extendida en los tres tipos de centros analizados, siendo más frecuentes en el ámbito hospitalario (78,6%) que en los centros de salud (74,8%) y consultorios locales (66,4%).

Gráfico35:Existenciadeprocedimientoparalarevocacióndelconsentimiento, segmentaciónportipodecentro(%)

Fuente: INTECO

80


5

Res

ulta

dos

/

Con

sent

imie

nto

Entre los centros de carácter privado, la práctica de procedimentar la revocación del consentimiento es llevada a cabo por un 76,6% de instituciones; entre los públicos el porcentaje es ligeramente inferior aunque en cualquier caso mayoritario: 69%.

Gráfico36:Existenciadeprocedimientoparalarevocacióndelconsentimiento, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

81


5

Res

ulta

dos

/

Con

sent

imie

nto

Haciendo referencia a los datos presentados en el Gráfico 41, al analizar la existencia de procedimientos para regular la solicitud del consentimiento en casos de investigaciones clínicas, Cataluña y el área Norte – Noroeste son las zonas donde se aprecia un nivel más elevado. De manera coherente, vuelven a ser estas dos zonas las que en mayor medida han adoptado procedimientos para la revocación del consentimiento: un 78% de los centros catalanes y un 76,1% de los situados en la amplia franja Norte – Noroeste lo han hecho. Por detrás de ellos, la comunidad de Madrid también muestra un nivel de cumplimiento elevado, con un 72,6% de los encuestados que manifiestan disponer de procedimiento específico para revocar el consentimiento otorgado por el titular (Gráfico 37).

Gráfico37:Existenciadeprocedimientoparalarevocacióndelconsentimiento, segmentacióngeográfica(%)

Fuente: INTECO

82


5

Res

ulta

dos

/

Con

sent

imie

nto

En el ámbito sanitario, es frecuente que los datos clínicos de los pacientes se utilicen en alguna labor de investigación. Se analiza a continuación la existencia de procedimientos regla-dos y específicos para solicitar el consentimiento del titular de los datos en estos casos, en los que los datos de salud van a ser empleados en una investigación.

El uso de los datos recogidos en la historia clínica en ta-reas no estrictamente asistenciales, como son las de inves-tigación, requiere la obtención previa del consentimiento

del interesado y, atendiendo a la naturaleza de datos espe-cialmente protegidos que tiene la información referente a la salud, este consentimiento deberá tener la categoría de ex-preso y recabarse por algún medio que deje constancia y permita probar la obtención del mismo.

El Gráfico 38 sugiere que la mayoría de los centros sanitarios españoles (un 74,6%) han elaborado un procedimiento espe-cífico que regula la solicitud del consentimiento del paciente en los casos particulares de investigaciones clínicas.

Existencia de procedimiento para la solicitud de consentimiento en casos de investigaciones clínicas

Gráfico38:Existenciadeprocedimientoparalasolicituddeconsentimientoencasosdeinvestigacionesclínicas(%)

Fuente: INTECO

83


5

Res

ulta

dos

/

Con

sent

imie

nto

El elevado nivel de adopción de esta práctica se repite en los tres centros analizados, sin que se aprecien diferencias relevantes entre hospitales (75,9%), centros de salud (81,5%) y consultorios locales (72,1%).

Gráfico39:Existenciadeprocedimientoparalasolicituddeconsentimientoencasosdeinvestigacionesclínicas,segmentaciónportipodecentro(%)

Fuente: INTECO

84


5

Res

ulta

dos

/

Con

sent

imie

nto

Tampoco se aprecian diferencias de comportamiento entre centros de titularidad pública (74,6%) y privada (75,2%).

Gráfico40:Existenciadeprocedimientoparalasolicituddeconsentimientoencasosdeinvestigacionesclínicas,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

85


5

Res

ulta

dos

/

Con

sent

imie

nto

El análisis geográfico sí desvela particularidades en las diferentes áreas analizadas (Gráfico 41). Cataluña es, una vez más, la zona donde en mayor medida se han adoptado procedimientos específicos de solicitud de consentimiento cuando los datos son destinados a una investigación clínica: un 86% de los centros participantes en el estudio así lo declara.

Por detrás de Cataluña, las heterogéneas zona Norte – Noroeste (79,4%) y zona Centro (78,6%) también presentan niveles de adopción muy elevados.

Gráfico41:Existenciadeprocedimientoparalasolicituddeconsentimientoencasosdeinvestigacionesclínicas,segmentacióngeográfica(%)

Fuente: INTECO

86


5

Res

ulta

dos

/

Con

sent

imie

nto

Como medida complementaria a la necesidad de obtención de un consentimiento específico del interesado para el tratamien-to de sus datos con esta finalidad concreta, es recomendable que los centros sanitarios establezcan algún tipo de control que discrimine aquellos accesos a la historia clínica en función del uso que se pretenda dar a los datos accedidos.

En este punto, resulta oportuno realizar un examen sobre los controles existentes en la recogida de datos de la Historia

Clínica (HC) cuando éstos van a ser utilizados para labores de investigación.

Un 60,8% de los centros sanitarios participantes en la en-cuesta reconocen que siempre llevan a cabo un control es-pecífico, y un 9,1% adicional admite hacerlo a menudo. Sólo un 5,3% dicen no realizarlo casi nunca, y un 14,6%, nunca. Por último, un 10,3% de los centros no se posiciona al res-pecto.

ExistenciadecontrolesenlarecogidadedatosdelaHistoriaClínicaenloscasosdeinvestigaciones

Gráfico42:ExistenciadecontrolesenlarecogidadedatosdelaHistoriaClínica enloscasosdeinvestigaciones(%)

Fuente: INTECO

87


5

Res

ulta

dos

/

Con

sent

imie

nto

En este caso, son los centros de salud (con un 66% de casos en que siempre realizan controles y un 10,8% en que lo hacen a menudo) los centros que presentan un mayor índice de adopción de la medida, por encima de hospitales y consultorios.

Gráfico43:ExistenciadecontrolesenlarecogidadedatosdelaHistoriaClínicaenloscasosdeinvestigaciones,segmentaciónportipodecentro(%)

Fuente: INTECO

88


5

Res

ulta

dos

/

Con

sent

imie

nto

Los centros públicos adoptan este tipo de controles en mayor medida que las instituciones de carácter privado: 61,1% frente a 53,3%.

Gráfico44:ExistenciadecontrolesenlarecogidadedatosdelaHistoriaClínicaenloscasosdeinvestigaciones,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

89


5

Res

ulta

dos

/

Con

sent

imie

nto

En el desglose por áreas geográficas, nuevamente Cataluña se muestra como la comunidad autónoma con mayor nivel de adopción (77,4%) de controles específicos en la recogida de datos de la HC en caso de investigación clínica (Gráfico 45).

Gráfico45:ExistenciadecontrolesenlarecogidadedatosdelaHistoriaClínicaenloscasosdeinvestigaciones,segmentacióngeográfica(sumadeSiempre y A menudo)(%)

Fuente: INTECO

90


5

Res

ulta

dos

/

Con

sent

imie

nto

Los datos disociados (aquellos en los que se ha eliminado cualquier dato que permita identificar al titular de los mis-mos), a diferencia de los datos de carácter personal, no per-miten la identificación del sujeto a quien se refieren. En el ámbito sanitario, la importancia de este tipo de datos radica en su posible utilidad a efectos estadísticos (por ejemplo, para medir la prevalencia de dolencias, puede ser suficiente con conocer el género y edad del paciente, sin ser necesario ningún dato personal adicional).

Por ello, es oportuno examinar si los sistemas de información de los centros sanitarios españoles disponen de alguna he-rramienta o procedimiento que permita obtener datos anoni-mizados previamente.

En el Gráfico 46 se muestran los datos a nivel global: un 47,2% de los centros entrevistados dispone de herramientas o proce-dimientos de anonimización de los datos, frente a un 42,1% que reconoce no tenerlos. Un 10,7% no se posiciona al respecto.

Existenciadeherramientasoprocedimientosdeanonimizacióndedatos

Gráfico46:Existenciadeherramientasoprocedimientosdeanonimizacióndedatos(%)

Fuente: INTECO

91


5

Res

ulta

dos

/

Con

sent

imie

nto

En el análisis por tipo de centro, una vez más son los hospitales (54,8%) quienes cuentan con herramientas para anonimizar datos en mayor medida que centros de salud (51,9%) y consultorios (44,7%).

Gráfico47:Existenciadeherramientasoprocedimientosdeanonimizacióndedatos,segmentaciónportipodecentro(%)

Fuente: INTECO

92


5

Res

ulta

dos

/

Con

sent

imie

nto

No existen diferencias entre centros públicos y privados, tal y como sugiere el Gráfico 48.

Gráfico48:Existenciadeherramientasoprocedimientosdeanonimizacióndedatos,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

93


5

Res

ulta

dos

/

Con

sent

imie

nto

Tampoco a nivel geográfico se aprecian patrones de comportamiento marcadamente diferentes entre las diferentes áreas que conforman la realidad española, tal y como se aprecia en el Gráfico 49. Es cierto que las zonas de Levante (50,3%) y Cataluña (49,7%) presentan niveles de adopción de herramientas de anonimización de datos superiores a resto de la geografía nacional, pero en este caso las diferencias no son muy acusadas.

Gráfico49:Existenciadeherramientasoprocedimientosdeanonimizacióndedatos,segmentacióngeográfica(%)

Fuente: INTECO

94


5

Res

ulta

dos

/

Cal

idad

5.4 Calidad(art.4LOPD)


Este principio, regulado en el artículo 4 de la LOPD, introdu-ce un criterio de racionalidad y proporcionalidad en el trata-miento de los datos personales.

En este sentido, y como manifestación de este principio, po-demos distinguir lo siguiente:

a. Recogida de datos adecuados, pertinentes y no excesivos. Sólo se podrán solicitar aquellos datos que sean estrictamente necesarios para la finalidad para la cual se recogen.

b. Finalidad. Los datos personales recabados sólo po-drán utilizarse para el fin que motivó su recogida, no pudiendo utilizarse para una finalidad incompatible.

c. Exactitud, veracidad y rectificación de oficio. La LOPD exige que los datos de carácter personal sean exactos y estén puestos al día de forma que respondan con veracidad a la situación del afectado o interesado. Si los datos fueron recogidos direc-tamente del afectado o interesado se considerarán exactos los facilitados por éste.

d. Derecho de acceso. La LOPD establece que los datos de carácter personal deben almacenarse de forma que permitan el ejercicio del derecho de ac-ceso de los afectados o interesados. No es posible alegar como causa para denegar el derecho de ac-ceso la imposibilidad de realización de mismo como consecuencia del modo en que los datos están al-macenados.

e. Cancelación de datos innecesarios. Otra manifes-tación del Principio de Calidad de Datos regulado en el Artículo 4 de la LOPD es la cancelación de los datos cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.

f. Prohibición de recogida fraudulenta de datos. El últi-mo requisito que establece el Artículo 4 de la LOPD respecto al Principio de calidad de los datos es la pro-hibición de la recogida de datos personales por me-dios fraudulentos, desleales e ilícitos, tipificando como infracción muy grave la recogida en dichos términos.

95


5

Res

ulta

dos

/

Cal

idad

Un principio derivado de la calidad de los datos es el llamado principio de finalidad, descrito en el apartado b del epígrafe anterior (5.4.1).

Por ello, se analiza a continuación el nivel de cumplimiento de este principio por parte del sector sanitario español, pre-guntando a los encuestados si los datos que se solicitan al paciente son los estrictamente necesarios para la finalidad que motivó su recogida.

Parece que el principio de calidad y su derivado, el de fina-lidad, son ampliamente observados por los centros sanita-rios españoles. Un 89,3% de los encuestados indican que los datos recogidos son los estrictamente necesarios para la finalidad de uso que justificó su recogida, frente a un 7,9% que manifiesta lo contrario.

Gráfico50:Recogidadedatosestrictamentenecesariosparalafinalidaddeuso(%)

Fuente: INTECO

5.4.2 Diagnóstico: situación en el sistema sanitario español

Recogidadedatosestrictamentenecesariosparalafinalidaddeuso

96


5

Res

ulta

dos

/

Cal

idad

No se aprecian diferencias significativas entre los tipos de centro (Gráfico 51) ni entre el carácter patrimonial de los mismos (Grá-fico 52). La recogida de datos se ciñe estrictamente a la finalidad de uso prevista en hospitales, centros de salud y consultorios locales, y con independencia de que se trate de instituciones públicas o privadas.

Gráfico51:Recogidadedatosestrictamentenecesariosparalafinalidaddeuso, segmentaciónportipodecentro(%)

Fuente: INTECO

97


5

Res

ulta

dos

/

Cal

idad

Gráfico52:Recogidadedatosestrictamentenecesariosparalafinalidaddeuso,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

98


5

Res

ulta

dos

/

Cal

idad

En el análisis por zonas recogido en el mapa del Gráfico 53 destaca especialmente la Comunidad de Madrid. Allí, un 95,1% de los centros sanitarios encuestados cumplen con el principio de finalidad, al admitir que recogen sólo los datos que son estrictamente necesarios para su finalidad de uso.

Gráfico53:Recogidadedatosestrictamentenecesariosparalafinalidaddeuso, segmentacióngeográfica(%)

Fuente: INTECO

99


5

Res

ulta

dos

/

Cal

idad

El apartado 3 del artículo 4 de la Ley Orgánica de Protección de Datos Personales (LOPD), recoge expresamente: Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.

Se analiza a continuación el nivel de verificación de la co-rrección y actualización de los datos por parte de las institu-ciones sanitarias españolas. Según los datos del Gráfico 54,

los centros son cuidadosos con la actualización de los datos personales que manejan, ya sea a través de un procedimien-to específico de actualización y depuración de las bases de datos (34,1%), ya sea de manera no procedimentada, actua-lizando los registros a medida que se detectan incorreccio-nes (61,3%). Sólo el 4,6% de los centros españoles afirman que no se verifica la exactitud y actualización de los datos personales con los que trabajan.

Verificacióndelacorrecciónyactualizacióndelosdatos

Gráfico54:Verificacióndelacorrecciónyactualizacióndelosdatos(%)

Fuente: INTECO

100


5

Res

ulta

dos

/

Cal

idad

El nivel de adopción de medidas para verificar que los datos se encuentran actualizados es elevado tanto en hospitales como en centros de salud y consultorios. Quizás los centros de salud muestran una mayor tendencia a disponer de procedimientos específicos (43,3%) que hospitales (38,4%) y consultorios (30,5%).

Gráfico55:Verificacióndelacorrecciónyactualizacióndelosdatos, segmentaciónportipodecentro(%)

Fuente: INTECO

101


5

Res

ulta

dos

/

Cal

idad

Centros públicos y privados mantienen actualizados sus datos. Sólo un 4,7% de los primeros y un 1,9% de los segundos dicen no verificar en absoluto la corrección de sus registros. Los datos sugieren que en los centros privados existen una mayor tendencia a disponer de procedimientos específicos que en los centros públicos (40,1% frente a 33,9%).

Gráfico56:Verificacióndelacorrecciónyactualizacióndelosdatos, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

102


5

Res

ulta

dos

/

Cal

idad

El análisis geográfico del Gráfico 57 muestra el nivel de implementación de procedimientos específicos para verificar la correc-ción y actualización de los datos en las siete áreas analizadas. El Sur de España (42,5%), Cataluña (42%) y la zona de Levante (39%) son las tres áreas donde está más extendida la práctica. Por detrás de ellas se encuentra la comunidad de Madrid, donde un 35,5% de los centros afirman disponer de procedimientos para asegurar la actualización de los registros personales de sus bases de datos.

Gráfico57:Verificacióndelacorrecciónyactualizacióndelosdatos,segmentacióngeográfica (Sí, existe un procedimiento específico)(%)

Fuente: INTECO

103


5

Res

ulta

dos

/Ejerciciodederecho

s

5.5 Ejerciciodederechos(TítuloIIILOPD)


La LOPD no sólo establece las obligaciones que debe cum-plir el responsable del fichero, y en su caso, el encargado del tratamiento, sino que también reconoce una serie de dere-chos de carácter personal que pueden ser ejercitados por el interesado o afectado (ciudadano).

Estos derechos son los siguientes:

• Derecho de Acceso.

• Derecho de Rectificación.

• Derecho de Cancelación.

• Derecho de Oposición.

Estos derechos (comúnmente llamados derechos ARCO) pueden ser ejercitados por:

a. El afectado, acreditando su identidad.

b. Su representante legal, cuando el afectado se en-cuentre en situación de incapacidad o minoría de edad que le imposibilite el ejercicio personal de estos derechos. En este caso será necesario que acredite tal condición.

c. Un representante voluntario, expresamente desig-nado para el ejercicio del derecho. En ese caso, de-berá constar claramente acreditada la identidad del representado, mediante la aportación de copia de su Documento Nacional de Identidad o documento equivalente y la representación conferida por aquél.

Por otra parte, a la hora de ejercitar estos derechos es impor-tante tener en cuenta lo siguiente:

• Los derechos de acceso, rectificación, cancelación y oposición son derechos independientes, de tal forma que no puede entenderse que el ejercicio de ninguno de ellos sea requisito previo para el ejercicio de otro.

• El interesado contará con un medio sencillo para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición.

• El ejercicio por el afectado de sus derechos ARCO no podrá suponer un ingreso adicional para el res-ponsable del tratamiento ante el que se ejercitan.

• No se considerará conforme a lo dispuesto en la LOPD que el responsable del fichero establezca como medio para que el interesado pueda ejerci-tar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomu-nicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impli-quen un coste excesivo para el interesado.

• Cuando el responsable del fichero disponga de ser-vicios de cualquier índole para la atención al público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mis-mo, deberá concederse la posibilidad al afectado de ejercer sus derechos ARCO a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la contratación de sus servicios o productos.

104


5

Res

ulta

dos

/Ejerciciodederecho

s

• El responsable del fichero o tratamiento deberá aten-der la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aún cuando el mis-mo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acre-ditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos a continuación.

Obligaciones del responsable del fichero cuando recibe la solicitud de ejercicio de estos derechos:

• Deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros.

• En el caso de que la solicitud no reúna los requisitos citados anteriormente, el responsable del fichero deberá solicitar la subsanación de los mismos.

• Corresponderá al responsable del tratamiento cum-plir con el deber de respuesta además de conservar la acreditación del cumplimiento del mencionado deber.

• El responsable del fichero deberá adoptar las me-didas oportunas para garantizar que las personas de su organización que tienen acceso a datos de carácter personal puedan informar del procedimien-to a seguir por el afectado para el ejercicio de sus derechos.

105


5

Res

ulta

dos

/Ejerciciodederecho

sGráfico58:Procedimientoparaelejerciciodelosderechosdeacceso,rectificación,cancelaciónuoposicióndelosdatos(derechosARCO)(%)

Fuente: INTECO

Para dar respuesta a los derechos de acceso, rectificación, cancelación y oposición a los datos de carácter personal de los pacientes (usuarios del sistema de salud), los centros deben establecer procedimientos para facilitar el ejercicio de los derechos.

Tal y como queda recogido en el Gráfico 58, el 56,1% de los centros sanitarios españoles afirma disponer de un procedimiento específico para que los interesados ejerciten sus derechos de oposición, acceso, rectificación o cancelación de sus datos per-sonales. Sorprende que haya un 37,6% que no ha adoptado un procedimiento en este sentido, y un 6,3% que no proporciona respuesta.


Procedimientoparaelejerciciodelosderechosdeacceso,rectificación,cancelaciónuoposicióndelosdatos(derechosARCO)

106


5

Res

ulta

dos

/Ejerciciodederecho

s

En este caso, sí se aprecian diferencias importantes en función del centro de que se trate. Así, tal y como refleja el Gráfico 59, en los hospitales está ampliamente extendida la adopción de procedimientos para facilitar al ciudadano el ejercicio de sus derechos ARCO: un 83,1% de los hospitales así lo manifiesta. La práctica es más infrecuente entre centros de salud (60,3%), y aún más entre los consultorios locales, donde sólo el 51,7% confirma haber adoptado un procedimiento específico para el ejercicio de los derechos de acceso, rectificación, cancelación u oposición de los datos.

Gráfico59:Procedimientoparaelejerciciodelosderechosdeacceso,rectificación, cancelaciónuoposicióndelosdatos,segmentaciónportipodecentro(%)

Fuente: INTECO

107


5

Res

ulta

dos

/Ejerciciodederecho

s

Los datos del estudio sugieren un mayor nivel de cumplimiento entre centros privados (donde un 85,4% dispone de procedimien-to) que entre los públicos (54,8%).

Gráfico60:ProcedimientoparaelejerciciodelosderechosARCO, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

108


5

Res

ulta

dos

/Ejerciciodederecho

s

Cataluña (75,6%) y la Comunidad de Madrid (65,8%) son las dos regiones españolas donde en mayor medida las instituciones sanitarias han adoptado procedimientos para facilitar el ejercicio de los derechos ARCO a los ciudadanos que lo soliciten.

Gráfico61:ProcedimientoparaelejerciciodelosderechosARCO,segmentacióngeográfica(%)

Fuente: INTECO

109


5

Res

ulta

dos

/Ejerciciodederecho

s

La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en ma-teria de información y documentación clínica (conocida como Ley de Autonomía del Paciente), recoge expresamente que el paciente tiene el derecho de acceso a la documentación de la historia clínica y añade que los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos.

En línea con esta disposición, el 70,3% de los centros en-trevistados reconocen que disponen de un procedimiento específico que regula el acceso al historial clínico por parte del titular de los datos (Gráfico 62). Existe, sin embargo, un 25,6% que no ha adoptado un procedimiento específico en este sentido, y un 4% adicional que no facilita respuesta.

Gráfico62:Procedimientoderegulacióndelaccesoalosdatos delhistorialclínicoporeltitular(%)

Fuente: INTECO

Procedimientoderegulacióndelaccesoalosdatosdelhistorialclínico(HC)poreltitular

110


5

Res

ulta

dos

/Ejerciciodederecho

s

El nivel de observación de la disposición es más elevado entre hospitales (84,2%) que entre centros de salud (73,4%) y consul-torios locales (67,8%).

Gráfico63:Procedimientoderegulacióndelaccesoalosdatosdelhistorialclínicoporeltitular,segmentaciónportipodecentro(%)

Fuente: INTECO

111


5

Res

ulta

dos

/Ejerciciodederecho

s

También se aprecia una mayor adopción de procedimientos de acceso a la HC por parte del paciente en centros privados (83,4%) que en centros públicos (69,8%).

Gráfico64:Procedimientoderegulacióndelaccesoalosdatosdelhistorialclínicoporeltitular,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

112


5

Res

ulta

dos

/Ejerciciodederecho

s

Por último, el análisis geográfico del Gráfico 65 confirma una vez más a las comunidades autónomas de Cataluña y Madrid como las áreas con mayor índice de adopción de procedimientos de acceso a la HC por el paciente, con un 81,2% y 75% de los centros, respectivamente, que afirman haberlos instaurado.

Gráfico65:Procedimientoderegulacióndelaccesoalosdatosdelhistorialclínicoporeltitular,segmentacióngeográfica(%)

Fuente: INTECO

113


5

Res

ulta

dos

/Ejerciciodederecho

s

La Ley de Autonomía del Paciente, en su artículo 18, no sólo reconoce el derecho de acceso del paciente a su historia clí-nica, sino que le confiere, además, el derecho a obtener co-pia de los datos que figuran en ella. El apartado 3 de este ar-tículo menciona expresamente que el derecho al acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio (…) del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas.

Es decir, la Ley concede al profesional sanitario la facultad de limitar el acceso a determinada información de carácter subjetivo incorporada en la historia clínica del paciente. El hecho de que la decisión al criterio exclusivo del profesional puede plantear diferentes interpretaciones, desde posturas más abiertas (información completa) hasta posturas más cautelosas (exclusivamente información objetiva).

El Convenio para la protección de los Derechos Humanos y la dignidad del ser humano con respecto a las aplicaciones

de la Biología y la Medicina (Consejo de Europa Oviedo, 4 de abril de 1997) insiste en el hecho de que toda persona tendrá derecho a conocer toda información obtenida respecto a su salud, y añade: De modo excepcional, la ley podrá estable-cer restricciones, en interés del paciente. Parece, por tanto, que es el interés del paciente, y no cualquier otra apreciación subjetiva, lo único que debería justificar la reserva del profe-sional sobre las anotaciones de carácter subjetivo.

El Gráfico 66 analiza la frecuencia con la que, en los centros sanitarios españoles, se incluyen anotaciones subjetivas de los médicos en la copia de la historia clínica que se facili-ta al paciente. De su lectura se desprende que la postura adoptada más ampliamente por el sector sanitario español es cautelosa, ya que un 44,8% de los centros reconocen que nunca facilitan sus anotaciones subjetivas a las copias que facilitan a los titulares de las historias, y un 15,3% no lo hace casi nunca. Una interpretación más abierta la llevan a cabo el 27% de los encuestados que las facilitan siempre y el 6,3% que lo hace a menudo.

Anotacionessubjetivasdelosmédicosenlashistoriasclínicas

114


5

Res

ulta

dos

/Ejerciciodederecho

s

Gráfico66:Anotacionessubjetivasdelosmédicosenlashistoriasclínicas queentregaalospacientes(%)

Fuente: INTECO

115


5

Res

ulta

dos

/Ejerciciodederecho

s

Aunque igualmente cautelosos a la hora de incorporar anotaciones subjetivas en la historia clínica que facilitan a los clientes, los consultorios locales son algo más abiertos que hospitales y centros de salud (Gráfico 67). Así, frente al 35,2% de consultorios que siempre o a menudo facilitan este tipo de información a los pacientes, el porcentaje en el caso de hospitales es de 27,9% y de 29,5% cuando se refiere a centros de salud.

Gráfico67:Anotacionessubjetivasdelosmédicosenlashistoriasclínicasqueentrega alospacientes,segmentaciónportipodecentro(%)

Fuente: INTECO

116


5

Res

ulta

dos

/Ejerciciodederecho

s

La dependencia patrimonial del centro no parece tener influencia sobre la inclusión o no de anotaciones subjetivas de los profe-sionales en las copias de las historias clínicas que se facilitan a los pacientes.

Gráfico68:Anotacionessubjetivasdelosmédicosenlashistoriasclínicasqueentrega alospacientes,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

117


5

Res

ulta

dos

/Ejerciciodederecho

s

A nivel geográfico se aprecian diferencias notables, tal y como se aprecia en el mapa. Los centros de la zona de Levante (43,6%) son los que, en mayor medida incluyen las anotaciones subjetivas del médico en la información que se facilita el paciente. Tam-bién los centros de la amplia y heterogénea zona Centro (37,1%), Sur (35%) y Cataluña (31,6%) presentan niveles considerables. En este caso, la Comunidad de Madrid, con un 20,4% de centros, es donde menos extendido está el hábito de incorporar anota-ciones subjetivas del profesional en las historias clínicas que se facilitan a los pacientes.

Gráfico69:Anotacionessubjetivasdelosmédicosenlashistoriasclínicasqueentregaalospacientes,segmentacióngeográfica(sumadeSiempre y A menudo)(%)

Fuente: INTECO

118


5

Res

ulta

dos

/

Deb

er d

e se

cret

o

El deber de secreto respecto a los datos personales tratados es una obligación que corresponde al responsable del fichero, al encargado de tratamiento, si lo hubiera, y a todos aquellos que intervengan en cualquier fase del tratamiento de datos de carácter personal. Esta obligación se mantiene incluso finalizada la relación que permitió el acceso al fichero.

No debe confundirse este deber de secreto con el secreto profesional al que están sometidas determinadas personas en función de la profesión que ejercen. Este deber de secreto es un deber genérico que alcanza a cualquier persona que intervenga en el tratamiento de datos.

Gráfico70:Conocimientodeldeberdesecretosobrelosdatospersonales(%)

Fuente: INTECO

Es evidente que el deber de secreto sobre los datos personales que manejan es de sobra conocido por el personal de los centros sanitarios españoles (no sólo profesionales de la salud, sino el resto del personal del centro). Así, sólo un 0,4% de los encuestados afirma que los empleados de la institución no han sido informados al respecto. Lo más habitual, en un 59,7% de las ocasiones, es que los profesionales conozcan el deber de secreto o que, incluso, se les haya pedido firmar un compromiso de confidencialidad (39,9%).


Conocimiento del deber de secreto por el personal de la organización

5.6 Deberdesecreto(art.10LOPD)


119


5

Res

ulta

dos

/

Deb

er d

e se

cret

o

La firma del compromiso de confidencialidad por parte de los profesionales es más frecuente entre hospitales (67,9%) que entre centros de salud (35,5%) y consultorios locales (38,4%), tal y como se aprecia en el Gráfico 71.

Gráfico71:Conocimientodeldeberdesecretosobrelosdatospersonales, segmentaciónportipodecentro(%)

Fuente: INTECO

120


5

Res

ulta

dos

/

Deb

er d

e se

cret

o

Es en los centros privados donde existe mayor cuidado con el deber de secreto: un 80,2% de las instituciones de titularidad privada exige a sus profesionales la firma de un compromiso de confidencialidad. En las de carácter público, el porcentaje es de 38,2%.

Gráfico72:Conocimientodeldeberdesecretosobrelosdatospersonales, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

121


5

Res

ulta

dos

/

Segu

ridad

5.7 Seguridad(art.9LOPD)


El responsable del fichero y, en su caso, el encargado del tratamiento, deberán adoptar las medidas técnicas y organi-zativas necesarias para garantizar la seguridad de los datos personales integrados en los ficheros, evitando que éstos puedan perderse, alterarse, usarse o ser accesibles a per-sonas no autorizadas.

Las medidas de seguridad se adoptarán tomando en con-sideración el estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.

Las medidas de seguridad de los ficheros informatizados y no informatizados (manuales) están reguladas en el Real Decreto 1720/2007, de 21 de diciembre, que distingue entre medidas de seguridad de nivel básico, medio y alto.

Las medidas de seguridad incluidas en cada uno de los ni-veles descritos anteriormente tienen la condición de mínimos exigibles, sin perjuicio de las disposiciones legales o regla-mentarias específicas que pudieran resultar de aplicación en cada caso o las que por propia iniciativa adoptase el respon-sable del fichero.

En este sentido, el Real Decreto 1720/2007, de 21 de di-ciembre, establece las medidas de seguridad de los ficheros informatizados en los siguientes artículos:

• Artículos 89 a 94, regulan las de nivel básico (Docu-mento de Seguridad; funciones y obligaciones del personal; registro de incidencias; control de acceso; gestión de soportes y documentos; identificación y autentificación; copias de respaldo y recuperación).

• Artículos 95 a 100, las de nivel medio (Responsa-ble de Seguridad; auditoría; gestión de soportes y documentos; identificación y autentificación; control de acceso físico; registro de incidencias).

• Artículos 101 a 104, las de nivel alto (gestión y dis-tribución de soportes, copias de respaldo y recupe-ración; registro de accesos; telecomunicaciones).

Por otra parte, una de las principales novedades del Real Decreto 1720/2007, de 21 de diciembre, es que por primera vez se regulan las medidas de seguridad para los ficheros no automatizados (manuales).

La primera novedad introducida por el Real Decreto 1790/2007, de 21 de diciembre, es la previsión de que las medidas de seguridad ‘genéricas’ de los ficheros automatiza-dos resultan de aplicación a los ficheros no automatizados. Estas medidas son, entre otras, la elaboración del documen-to de seguridad –que suele ser un documento en formato pa-pel, o en su caso, un documento en Word o PDF; las obliga-ciones respecto al encargado del tratamiento, cuyo acceso deberá estar delimitado en el documento de seguridad; y el régimen de trabajo fuera de los locales del responsable del fi-chero o encargado del tratamiento –debiendo ser autorizado este supuesto por el responsable o encargado– constando dicha autorización en el documento de seguridad.

Partiendo de los tres niveles de seguridad descritos anterior-mente, se enumeran las medidas de seguridad que deben ser adoptadas por el responsable del tratamiento en los ficheros no automatizados en función de dicho nivel de seguridad. Sin per-juicio de la adopción de estas medidas de seguridad, el Real Decreto 1720/2007, de 21 de diciembre, contiene, además, tres

122


5

Res

ulta

dos

/

Segu

ridad

criterios específicos para los ficheros no automatizados, que son los siguientes: los criterios referentes al archivo, con una referen-cia a la legislación aplicable en esta materia que será la relativa a la normativa que regula los Archivos; los referentes a los dispo-sitivos de almacenamiento, que deberán disponer de mecanis-

mos que obstaculicen su apertura; y los referentes a la custodia de soportes, en virtud de los cuales la persona encargada de la custodia, mientras la documentación en formato papel esté en proceso de revisión o tramitación, deberá vigilarla e impedir que cualquier persona no autorizada pueda acceder a ella.

Gráfico73:Limitacióndeaccesos(%)

Fuente: INTECO

Se analiza a continuación si cada profesional accede úni-camente a los datos y recursos (aplicaciones, herramientas, dispositivos o periféricos) necesarios para el desarrollo de sus funciones o si, por el contrario, el acceso no está res-tringido.

Tal y como muestra el Gráfico 73, la práctica totalidad de los centros sanitarios españoles controlan de algún modo

los accesos que los empleados realizan a los datos y recur-sos de la institución en cuestión. Sólo un 2,3% de los en-cuestados afirma que no existe ningún tipo de limitación de accesos y que los profesionales pueden acceder a datos y recursos ajenos. En el resto de los casos existe una política de accesos, y en la mayoría de las situaciones (68,9%) el centro cuenta, además, con controles para evitar accesos no autorizados.


Limitacióndeaccesos

123


5

Res

ulta

dos

/

Segu

ridad

Gráfico74:Limitacióndeaccesos,segmentaciónportipodecentro(%)

Fuente: INTECO

La existencia de controles para evitar accesos no autorizados está más extendida entre los hospitales (78,3%) que entre centros de salud (71%) y consultorios locales (67,1%).

124


5

Res

ulta

dos

/

Segu

ridad

Gráfico75:Limitacióndeaccesos,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

Los centros de carácter privado son más proclives a adoptar controles para evitar accesos no autorizados que las instituciones de carácter público (79,8% frente a 68,4%), tal y como se recoge en el Gráfico 75.

125


5

Res

ulta

dos

/

Segu

ridad

Gráfico76:Limitacióndeaccesos,segmentacióngeográfica(Sí, y además existen controles para evitar accesos no autorizados)(%)

Fuente: INTECO

La realidad de adopción de políticas de accesos es heterogénea a lo largo de la geografía española. Así, en Cataluña un 82,7% de los centros sanitarios encuestados afirman disponer de una política de limitación de accesos complementada por controles para evitar los accesos no autorizados. En la Comunidad de Madrid el porcentaje es de 74,6%.

126


5

Res

ulta

dos

/

Segu

ridad

Una de las medidas a adoptar para garantizar la seguridad de los sistemas de información es, precisamente, la utiliza-ción de contraseñas. En entornos corporativos es frecuente el establecimiento de procedimientos de gestión de contra-señas, donde se contemplan aspectos como longitud mínima de la misma, utilización de caracteres alfanuméricos y perio-dicidad de cambio, por ejemplo.

El entorno sanitario no escapa a esta realidad y así, de acuerdo con los datos proporcionados por los responsables de seguridad de las instituciones participantes en el estudio, y tal y como queda reflejado en el Gráfico 77, el 87,4% de los centros sanitarios españoles disponen de procedimien-tos específicos de gestión de las contraseñas del personal empleado.

Gráfico77:Procedimientodegestióndecontraseñas(%)

Fuente: INTECO

Procedimiento de gestión de contraseñas

127


5

Res

ulta

dos

/

Segu

ridad

La existencia de un procedimiento para gestionar las contraseñas es ligeramente más frecuente en los centros de salud (93,5%) que en hospitales (90,9%) y consultorios locales (84,8%).

Gráfico78:Procedimientodegestióndecontraseñas,segmentaciónportipodecentro(%)

Fuente: INTECO

128


5

Res

ulta

dos

/

Segu

ridad

Aunque las diferencias no son relevantes, parece que los centros de carácter privado adoptan procedimientos de gestión de contraseñas en mayor medida que los públicos (90,4% frente a 87,2%).

Gráfico79:Procedimientodegestióndecontraseñas,segmentación pordependenciapatrimonial(%)

Fuente: INTECO

129


5

Res

ulta

dos

/

Segu

ridad

La extensión de la práctica alcanza toda la geografía española, tal y como se puede apreciar en el Gráfico 80, con niveles muy elevados de adopción de procedimientos de gestión de contraseñas en todas las áreas analizadas.

Destaca especialmente la comunidad madrileña, donde se da la circunstancia que un 95,1% de los centros entrevistados admiten disponer de procedimientos específicos en la materia. También Cataluña (91,1%) y la franja Norte – Noroeste (93,2%) pueden ser consideradas zonas exitosas.

Gráfico80:Procedimientodegestióndecontraseñas,segmentacióngeográfica(%)

Fuente: INTECO

130


5

Res

ulta

dos

/

Segu

ridad

El artículo 7 de la Ley 41/2002, de 14 de noviembre, bási-ca reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (Ley de Autonomía del Paciente) reconoce el derecho a la intimidad del paciente, y en concreto establece el dere-cho de toda persona a que se respete el carácter confiden-cial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la ley. A tal efecto, dispone que los centros sanitarios adoptarán las medidas oportunas para garantizar el derecho de intimidad, y elaborarán las normas y procedimientos que garanticen el acceso legal a los datos de los pacientes.

Por otra parte, el artículo 16 de la Ley de Autonomía del Pa-ciente regula los usos de la historia clínica, estableciendo que los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. Determina, asimismo, que cada centro establecerá los métodos que posibiliten en todo

momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten.

Se trata, por tanto, de compatibilizar, de un lado el derecho a la intimidad del paciente y, de otro, el principio de disponi-bilidad de la historia clínica. Dicho de otro modo, la historia clínica debe estar disponible para el profesional que trata al paciente, pero no debe estarlo para el resto de los profesio-nales.

La situación en el sistema sanitario español, a partir de los datos obtenidos del estudio, parece dibujar una primacía del principio de disponibilidad de la HC sobre el derecho a la intimidad del paciente. Así, en el 52,9% de los centros par-ticipantes en el estudio las historias clínicas de la institución son accesibles por todos los profesionales. En un 39,4%de los casos el acceso a las HC está limitado, de manera que cada profesional sólo puede acceder a las de los pacientes con quienes tiene relación asistencial.

GestióndelaccesodelosprofesionalesalaHistoriaClínicaElectrónica(HCE)

131


5

Res

ulta

dos

/

Segu

ridad

Gráfico81:GestióndelaccesodelosprofesionalesalaHistoriaClínicaElectrónica(HCE)(%)

Fuente: INTECO

132


5

Res

ulta

dos

/

Segu

ridad

Los hospitales son más cuidadosos que los centros de salud y los consultorios locales a la hora de garantizar el derecho a la intimidad de los pacientes. Así, en un 54,1% de los hospitales el acceso de los profesionales a las historias clínicas está limitado a los pacientes con quienes tiene relación asistencial. En el caso de centros de salud el porcentaje es de 42,2%, y de un 36,8% cuando se trata de consultorios locales.

Gráfico82:GestióndelaccesodelosprofesionalesalaHistoriaClínicaElectrónica(HCE),segmentaciónportipodecentro(%)

Fuente: INTECO

133


5

Res

ulta

dos

/

Segu

ridad

En el caso de los centros de carácter privado, el 58,6% de ellos asegura que existe una limitación en el acceso de los profesio-nales a las HC, mientras que en los de carácter público nos encontramos con una proporción considerablemente inferior (38,5%).

Gráfico83:GestióndelaccesodelosprofesionalesalaHistoriaClínicaElectrónica(HCE),segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

134


5

Res

ulta

dos

/

Segu

ridad

Por zonas, parece que el área Sur (con un 50,4% de cumplimiento) y Cataluña (43,9%) son las regiones que en mayor medida se preocupan por que cada profesional acceda sólo a las historias clínicas de los pacientes con los que tiene relación asistencial.

Gráfico84:GestióndelaccesodelosprofesionalesalaHistoriaClínicaElectrónica(HCE),segmentaciónporgeográfica(Cada profesional accede a la HC de los pacientes con los

que tiene relación asistencial)(%)

Fuente: INTECO

135


5

Res

ulta

dos

/

Segu

ridad

Al regular las medidas de seguridad, el Reglamento de de-sarrollo de la Ley Orgánica 15/199, de 13 de diciembre, de protección de datos de carácter personal (RDLOPD), presta atención a los accesos. Así, en el artículo 99 se dispone ex-presamente que exclusivamente el personal autorizado en el documento de seguridad podrá tener acceso a los lugares donde se hallen instalados los equipos físicos que den so-porte a los sistemas de información.

El Gráfico 85 ofrece una visión de la realidad del sector sani-tario español en lo que se refiere a esta disposición.

Se confirma que, en la inmensa mayoría de los casos, el ac-ceso está restringido (sólo existe un 6,9% que afirma que es posible acceder al lugar donde se almacenan los datos, y un 3,2% adicional que no se posiciona al respecto). En el resto de las situaciones existe un control de acceso e incluso, en el 44,2% de las ocasiones, existen además herramientas de control de accesos.

Control de acceso físico a las instalaciones donde se encuentran los sistemas de información

Gráfico85:Controldeaccesofísicoalasinstalacionesdondeseencuentran lossistemasdeinformación(%)

Fuente: INTECO

136


5

Res

ulta

dos

/

Segu

ridad

El análisis por tipo de centro muestra una especial sensibilidad de los hospitales: un 66,8% cuentan con herramientas de control de accesos (además de una restricción de acceso), frente al 50,8% de los centros de salud y el 39,4% de los consultorios locales.

Gráfico86:Controldeaccesofísicoalasinstalacionesdondeseencuentranlossistemasdeinformación,segmentaciónportipodecentro(%)

Fuente: INTECO

137


5

Res

ulta

dos

/

Segu

ridad

En el análisis por dependencia patrimonial del centro, se aprecia por parte de los centros privados una tendencia a establecer herra-mientas de control de accesos mayor que la que manifiestan los centros de carácter público (63,6% frente a 43,4%).

Gráfico87:Controldeaccesofísicoalasinstalacionesdondeseencuentranlossistemasdeinformación,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

138


5

Res

ulta

dos

/

Segu

ridad

En cualquier caso, es altísimo el nivel de establecimiento de medidas de control de acceso físico a las instalaciones donde se en-cuentran los sistemas de información. Considerando de manera conjunta los centros que afirman que el acceso está restringido y los que, además de la restricción, reconocen la existencia de herramientas de control de acceso, el mapa nacional que se perfila ofrece elevadas tasas de cumplimiento. En la heterogénea zona Centro, un 94% de centros cumplen esta disposición. Por detrás de esta zona, Cataluña (92,5%), la franja Norte-Noroeste (90,6%) y Sur (88,9%) presentan altos niveles.

Gráfico88:Controldeaccesofísicoalasinstalacionesdondeseencuentranlossistemasdeinformación,segmentacióngeográfica(SumadeEl acceso está restringido y El acceso está

restringido y existen herramientas de control de accesos)(%)

Fuente: INTECO

139


5

Res

ulta

dos

/

Segu

ridad

Un 43,5% de los centros sanitarios españoles reconoce que dispone de Documento de Seguridad específico que contemple una política para los tratamientos de datos personales. Recordemos que el artículo 88 RDLOPD establece que El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información.

Existencia de Documento de Seguridad

Gráfico89:ExistenciadeDocumentodeSeguridad(%)

Fuente: INTECO

140


5

Res

ulta

dos

/

Segu

ridad

La situación con respecto a la disponibilidad o no de documento de seguridad no es homogénea entre los tres tipos de institu-ciones: en hospitales, un 79,9% dispone de documento de seguridad, en centros de salud el porcentaje es de 49,2% y en con-sultorios, sólo un 37,5% así lo declara.

Gráfico90:ExistenciadeDocumentodeSeguridad,segmentaciónportipodecentro(%)

Fuente: INTECO

37,5%

49,2%

79,9%

37,2%

10,4%

19,8%42,7%

9,7%

13,6%

0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

Consultorio Local

C. de Salud

Hospital

Sí No Ns/Nc

141


5

Res

ulta

dos

/

Segu

ridad

Nuevamente debe tenerse en cuenta la posible implantación de sistemas centralizados de tratamiento de datos, especialmente en el ámbito de la atención primaria, lo que justifica que los documentos de seguridad estén elaborados por las Gerencias direc-tamente.

También en este caso la dependencia patrimonial del centro determina el mayor o menor nivel de cumplimiento de la normativa: en los centros públicos, sólo el 41,8% dispone de documento de seguridad; en los de titularidad privada, en cambio, el porcentaje es de 81,8%.

Gráfico91:ExistenciadeDocumentodeSeguridad, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

142


5

Res

ulta

dos

/

Segu

ridad

A nivel nacional la realidad es heterogénea y diversa, tal y como sugiere el mapa detallado en el Gráfico 92. Coexisten regiones como Cataluña o Madrid, donde un 63,8% y 56,4%, respectivamente, de instituciones afirman tener documento de seguridad, con otras como parte de Aragón y la zona Centro, donde el cumplimiento no supera el 40%.

Gráfico92:ExistenciadeDocumentodeSeguridad,segmentacióngeográfica(%)

Fuente: INTECO

143


5

Res

ulta

dos

/

Segu

ridad

En un 40,1% de los centros participantes en el estudio existe la figura específica del responsable de seguridad, y se han definido funciones específicas para dicho puesto. La opción mayoritaria es la contraria: son un 54,5% los que reconocen no contar con un profesional con este perfil.

Gráfico93:ExistenciadeResponsabledeSeguridad(%)

Fuente: INTECO

Responsable de seguridad

144


5

Res

ulta

dos

/

Segu

ridad

Mientras mayor es el tamaño del centro, aumenta la tendencia a disponer de responsable de seguridad: son un 79,4% de los hospitales, un 46,2% de los centros de salud y un 33,6% de los consultorios locales quienes afirman contar con una figura es-pecífica de responsable de seguridad.

El mismo criterio expresado en apartados anteriores por el uso de sistemas centralizados en atención primaria justifica que no tenga porqué existir en los centros de salud un responsable de seguridad, siendo este designado de forma centralizada por las Gerencias.

Gráfico94:ExistenciadeResponsabledeSeguridad,segmentaciónportipodecentro(%)

Fuente: INTECO

145


5

Res

ulta

dos

/

Segu

ridad

También en este caso la dependencia patrimonial es un factor decisivo: el 78,5% de los centros privados cuentan con responsa-ble de seguridad, frente a sólo el 38,4% en el caso de los públicos.

Gráfico95:ExistenciadeResponsabledeSeguridad, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

146


5

Res

ulta

dos

/

Segu

ridad

A nivel nacional, la Comunidad de Madrid es la zona donde mayor es la tasa de disponibilidad de responsable de seguridad en el centro sanitario: un 51,2% de las instituciones participantes en el estudio ubicadas en esta área así lo manifiestan. También Cataluña, con un 48,3%, tiene un nivel más que aceptable.

Gráfico96:ExistenciadeResponsabledeSeguridad,segmentacióngeográfica(%)

Fuente: INTECO

147


5

Res

ulta

dos

/

Segu

ridad

Los artículos 94 y 102 RDLOPD recogen la obligatoriedad de realizar medidas de respaldo y recuperación de los archivos que contengan datos de carácter personal.

El 58,3% de los centros sanitarios participantes en el estudio afirman disponer de un procedimiento específico para la realización de copias de respaldo y recuperación, frente a un 29,9% que no lo tienen y un 11,9% adicional que no facilita una respuesta.

Gráfico97:Procedimientoderealizacióndecopiasderespaldoyrecuperación(%)

Fuente: INTECO

Procedimiento de realización de copias de respaldo y recuperación

148


5

Res

ulta

dos

/

Segu

ridad

Una vez más, el nivel de cumplimiento de la normativa es mayor entre hospitales que entre centros de menor tamaño. Un 91,6% de los hospitales tiene un procedimiento de realización de copias de respaldo de los datos, frente a un 63,2% en el caso de cen-tros de salud y un 52,9% en el de los consultorios locales.

Gráfico98:Procedimientoderealizacióndecopiasderespaldoyrecuperación, segmentaciónportipodecentro(%)

Fuente: INTECO

149


5

Res

ulta

dos

/

Segu

ridad

La realización de copias de respaldo es más habitual entre centros privados (un 92,4% dispone de procedimiento al efecto) que entre instituciones de carácter público (56,8%).

Gráfico99:Procedimientoderealizacióndecopiasderespaldoyrecuperación, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

150


5

Res

ulta

dos

/

Segu

ridad

Los centros sanitarios de la Comunidad de Madrid son los que, en mayor medida, están habituados a la realización de copias de respaldo y recuperación de los archivos con datos de carácter personal: un 76,3% de los participantes en el estudio así lo manifiestan. También Cataluña, con un 70,8%, muestra un nivel de cumplimiento de la normativa correcto.

Gráfico100:Procedimientoderealizacióndecopiasderespaldoyrecuperación, segmentacióngeográfica(%)

Fuente: INTECO

151


5

Res

ulta

dos

/

Segu

ridad

No es del todo infrecuente que los medios de comunicación se hagan eco de situaciones en las que han aparecido en vías públicas documentación con datos de salud. Al margen de la visibilidad mediática de las situaciones, la Agencia Es-pañola de Protección de Datos ha dictado numerosas reso-luciones al respecto. La importancia de disponer de un pro-cedimiento para la destrucción de documentos con carácter personal se deriva del principio de seguridad de los datos (art. 9 LOPD), que impone la obligación de adoptar las medi-das de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el acceso no autorizado.

Además, el responsable del fichero (y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal) están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que sub-sistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.

El deber de secreto profesional que incumbe a los responsa-bles de los ficheros, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el de-ber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.

Conscientes de la especial sensibilidad de la materia, y de la existencia de precedentes en el sector sanitario que han terminado en un procedimiento sancionador, los centros sa-nitarios españoles han adoptado procedimientos para la des-trucción de documentos con datos de carácter personal (un 75,5% lo ha hecho). El 19,9% reconoce no haberlo hecho aún, y un 4,6% se muestra indeciso.

Procedimiento para la destrucción de documentos con datos de carácter personal

152


5

Res

ulta

dos

/

Segu

ridad

Gráfico101:Existenciadeunprocedimientoparaladestruccióndedocumentos condatosdecarácterpersonal(%)

Fuente: INTECO

153


5

Res

ulta

dos

/

Segu

ridad

Los hospitales son los centros que más se han esforzado en regular el modo de destruir documentos con datos personales de sus pacientes. Un 92,2% de los hospitales españoles lo ha hecho. Por detrás de ellos, un 83,3% de los centros de salud y un 70,9% de los consultorios locales disponen de procedimientos específicos para eliminar los soportes donde se almacenan datos de carácter personal.

Gráfico102:Existenciadeunprocedimientoparaladestruccióndedocumentoscondatosdecarácterpersonal,segmentaciónportipodecentro(%)

Fuente: INTECO

154


5

Res

ulta

dos

/

Segu

ridad

Siendo elevado el nivel de cumplimiento entre instituciones públicas y privadas, una vez más, los centros de carácter privado presentan una adopción superior (94,1%, frente a 74,7% en el caso de las instituciones de carácter público).

Gráfico103:Existenciadeunprocedimientoparaladestruccióndedocumentoscondatosdecarácterpersonal,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

155


5

Res

ulta

dos

/

Segu

ridad

La franja Norte – Noroeste, con un 88,7% de adopción de procedimiento específico para la destrucción de documentos con datos personales, es donde en mayor medida se concentra la práctica de esta disposición.

Gráfico104:Existenciadeunprocedimientoparaladestruccióndedocumentoscondatosdecarácterpersonal,segmentacióngeográfica(%)

Fuente: INTECO

156


5

Res

ulta

dos

/

Segu

ridad

Los artículos 90 y 100 del RDLOPD tratan sobre el registro de incidencias, estableciendo que deberá existir un procedi-miento de notificación y gestión de las incidencias que afec-ten a los datos de carácter personal. Dispone, igualmente, que se debe establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido o, en su caso, detectado, la persona que realiza la notificación, a quien se le comunica los efectos derivados de la misma y las medidas correctoras aplicadas.

En línea con el precepto, el 76% de los centros sanitarios participantes en el estudio disponen de un procedimiento es-pecífico para la gestión de las incidencias. Sólo un 17,3% no ha establecido un procedimiento a tal efecto, y un 6,7% adicional no proporciona respuesta.

Procedimientodenotificación,gestiónyrespuestaaincidencias

Gráfico105:Procedimientodenotificación,gestiónyrespuestaaincidencias(%)

Fuente: INTECO

157


5

Res

ulta

dos

/

Segu

ridad

Por tipo de centro, una vez más son los hospitales los más avanzados en el cumplimiento de la normativa: un 84,4% de ellos dispone de procedimiento de notificación, gestión y respuesta a incidencias. En el caso de centros de salud y consultorios locales, el porcentaje es de 79,8% y 73,8% respectivamente.

Gráfico106:Procedimientodenotificación,gestiónyrespuestaaincidencias, segmentaciónportipodecentro(%)

Fuente: INTECO

158


5

Res

ulta

dos

/

Segu

ridad

El 75,5% de los centros públicos y el 86,5% de los privados afirman contar con un procedimiento de gestión de incidencias.

Gráfico107:Procedimientodenotificación,gestiónyrespuestaaincidencias, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

159


5

Res

ulta

dos

/

Segu

ridad

El nivel de adopción de procedimientos de incidencias es elevado, y bastante homogéneo en toda la geografía española. Cata-luña es, con un 80,5% de respuestas, la región donde se concentra una mayor implementación de este tipo de procedimientos entre los centros sanitarios, seguida muy de cerca de la Comunidad de Madrid (79,8%) y la franja Norte – Noroeste (79,1%).

Gráfico108:Procedimientodenotificación,gestiónyrespuestaaincidencias, segmentacióngeográfica(%)

Fuente: INTECO

160


5

Res

ulta

dos

/

Segu

ridad

Un Sistema de Gestión de la Seguridad de la Información (también conocido por sus siglas SGSI) es una herramienta de gestión que permite conocer, gestionar y minimizar los posibles riesgos que pueden atentar contra la seguridad de la información en la organización, y por tanto poner en peli-gro la viabilidad del negocio. Los riesgos pueden venir del exterior de la empresa (por ejemplo, una catástrofe natural), pero también del interior (sustracción de información por un empleado). Con un SGSI se trata de proteger todos los acti-

vos de información con que cuente la organización, con inde-pendencia del soporte en el que se encuentren.

En el sector sanitario español el nivel de adopción de Sis-temas de Gestión de Seguridad de la Información es con-siderable. De acuerdo con las respuestas facilitadas por los responsables de seguridad participantes en el estudio, un 53,2% de los centros disponen de SGSI, frente a un 29% que reconocen no tenerlo y un 17,8% que no se pronuncian.

Gráfico109:ExistenciadeunSistemadeGestióndelaSeguridaddelaInformación(%)

Fuente: INTECO

Existencia de un Sistema de Gestión de la Seguridad de la Información

161


5

Res

ulta

dos

/

Segu

ridad

Una vez más, son los hospitales los tipos de centros más sensibilizados con la seguridad de la información: un 68,3% disponen de SGSI, frente a un 58,5% en el caso de centros de salud y 49,7% en el caso de consultorios locales.

Gráfico110:ExistenciadeunSistemadeGestióndelaSeguridaddelaInformación, segmentaciónportipodecentro(%)

Fuente: INTECO

162


5

Res

ulta

dos

/

Segu

ridad

Un 52,6% de los centros públicos y un 67,9% de los privados disponen de un Sistema de Gestión de la Seguridad de la Informa-ción.

Gráfico111:ExistenciadeunSistemadeGestióndelaSeguridaddelaInformación, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

163


5

Res

ulta

dos

/

Segu

ridad

El mapa de España se configura por una desigual implementación de Sistemas de Gestión de la Seguridad de la Información en las distintas áreas, tal y como queda reflejado en el Gráfico 112. Cataluña, una vez más, se posiciona como la comunidad autónoma con mayor nivel de adopción de SGSI por parte de los centros sanitarios. En concreto, un 68,2% de los centros par-ticipantes en el estudio disponen, según sus propias declaraciones, de un Sistema de Gestión de Seguridad de la Información. También las áreas de Levante y Sur, con 60,6% y 58%, destacan positivamente sobre el resto.

Gráfico112:ExistenciadeunSistemadeGestióndelaSeguridaddelaInformación, segmentacióngeográfica(%)

Fuente: INTECO

164


5

Res

ulta

dos

/

Segu

ridad

Las organizaciones no pueden estar preparadas para los po-tenciales efectos negativos de eventos que pueden ocurrir e impactar en sus actividades de negocio. El fallo de la red eléctrica de Barcelona en Julio de 2007 que impactó en ser-vicios críticos como sanidad y transporte es un buen ejemplo de este tipo de eventualidades. Sin tratarse de situaciones con una repercusión tan alta, cada año son muchas las or-ganizaciones de todo tipo que padecen inundaciones, incen-dios, ataques terroristas, actos vandálicos y otras amenazas.

El Plan de Continuidad de Negocios reúne la respuesta de toda la organización a un incidente destructivo. Los que utili-

zan el plan deberían ser capaces de analizar la información del grupo de respuesta sobre el impacto del incidente, selec-cionar e implementar estrategias apropiadas disponibles en el plan y conducir la reanudación de las unidades de negocio según las prioridades pactadas.

En el sector sanitario español, un 41,6% de los centros dis-ponen de un Plan de Continuidad de Negocio, un 35,5% re-conocen no tenerlo y un 22,7% lo desconoce.

Gráfico113:ExistenciadeunPlandeContinuidaddeNegocio(%)

Fuente: INTECO

Existencia de un Plan de Continuidad de Negocio

165


5

Res

ulta

dos

/

Segu

ridad

Los hospitales, con un 54,3% de adopción, son los centros que en mayor medida han abrazado la adopción de planes de continuidad de negocio. Centros de salud (45%) y consultorios locales (39,3%) se encuentran por detrás en cuanto a nivel de implantación.

Gráfico114:ExistenciadeunPlandeContinuidaddeNegocio, segmentaciónportipodecentro(%)

Fuente: INTECO

166


5

Res

ulta

dos

/

Segu

ridad

También el sector privado se muestra más favorable a implantar planes de continuidad de negocio que el público: 56,9% frente a 41,1%.

Gráfico115:ExistenciadeunPlandeContinuidaddeNegocio, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

167


5

Res

ulta

dos

/

Segu

ridad

En el análisis geográfico, Cataluña despunta sobre el resto de zonas españolas. Un 59,7% de los centros sanitarios catalanes dispone de un plan de continuidad de negocio, a partir de sus declaraciones. Por detrás de esta comunidad autónoma, a bastante distancia, se encuentra el área sur, donde un 44,6% de centros sanitarios disponen de un plan de continuidad. La Comunidad de Madrid y el área levantina (ambos, con un 44,4% de adopción) se sitúan las siguientes en el ranking.

Gráfico116:ExistenciadeunPlandeContinuidaddeNegocio,segmentacióngeográfica(%)

Fuente: INTECO

168


5

Res

ulta

dos

/

Segu

ridad

El art. 96 RDLOPD reconoce que, a partir del nivel medio, los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se deben someter, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento con la normativa sobre protección de datos.

En el sector sanitario español la realidad, a partir de las res-puestas proporcionadas por los centros participantes en el estudio, es que hay un 20,8% de instituciones que realizan

auditorías anualmente y un 12,4% adicional que las lleva a cabo con una periodicidad bienal. Es decir, un 33,2% de los centros sanitarios españoles estaría cumpliendo con el pre-cepto. Existe, por otra parte, un 6,1% que reconoce llevar a cabo auditorías, pero lo hace cada más de 2 años.

Sorprende el 50,8% de centros que reconoce nunca haber realizado una auditoría de seguridad.

Gráfico117:Realizacióndeauditoríasdeseguridad(%)

Fuente: INTECO

Auditorías de seguridad

169


5

Res

ulta

dos

/

Segu

ridad

Los hospitales son, una vez más, los centros más rigurosos en la realización de auditorías de seguridad. Considerando con-juntamente los centros que realizan auditorías con periodicidad anual y bienal, hay un 73,4% de hospitales que cumplen con el precepto reglamentario de realizar auditorías de seguridad. En el caso de los centros de salud el porcentaje es de 42,6%, y de 25,5% cuando se trata de consultorios locales.

Gráfico118:Realizacióndeauditoríasdeseguridad,segmentaciónportipodecentro(%)

Fuente: INTECO

170


5

Res

ulta

dos

/

Segu

ridad

Existe una diferencia importante en el nivel de realización de auditorías de seguridad entre centros públicos y privados. Así, exis-te un 52,6% de centros públicos que reconocen nunca haber hecho una auditoría de seguridad. En el caso de las instituciones privadas, este porcentaje es mínimo (10,7%).

Gráfico119:Realizacióndeauditoríasdeseguridad, segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

171


5

Res

ulta

dos

/

Segu

ridad

La zona Sur de España es donde, en mayor medida, se realizan auditorías de seguridad por parte de los centros sanitarios. Un 48% de las instituciones participantes en el estudio así lo reconocen. También la franja Norte – Noroeste (45,2%) y Cataluña (45,1%) han asumido correctamente la disposición reglamentaria.

En el caso concreto de la Comunidad de Madrid los datos se ven sesgados por la realización de las auditorías por parte de unidades especializadas de la Consejería, o entidades designadas por la misma. Esta situación es trasladable a todos los ámbitos geográficos en los que la seguridad de los tratamientos de datos institucionales se gestione de forma centralizada.

Gráfico120:Realizacióndeauditoríasdeseguridad,segmentacióngeográfica(SumadeSí, al menos cada año,Sí, al menos cada 2 años y Sí, con mayor frecuencia)(%)

Fuente: INTECO

172


5

Res

ulta

dos

/

Com

unic

ació

n de

dat

os

5.8 Comunicacióndedatos(art.11LOPD)


La comunicación o cesión de datos personales tiene lugar cuando los datos del afectado o interesado (ciudadano) se comunican a un tercero. Dos son los requisitos necesarios para que se produzca la cesión de datos personales: primero, que la cesión se realice para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario; segundo, el consentimiento previo del interesado.

Sin embargo, existen una serie de supuestos regulados en la LOPD en relación con los cuales no es necesario el segundo de los requisitos. En estos casos, la cesión de datos personales tiene lugar sin el consentimiento previo del afectado o interesado. Dichos supuestos, regulados en el Artículo 11.2 de la LOPD, son los siguientes:

a. Cuando la cesión esté autorizada por una ley.

b. Cuando se traten datos recogidos de fuentes accesibles al público.

c. Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la

conexión de dicho tratamiento con ficheros de terceros, siempre que se limite a la finalidad que la justifique.

d. Cuando la comunicación tenga por destinatarios al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Igualmente a Instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.

e. Cuando la cesión de datos relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero, o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.

f. Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos, los datos de carácter personal hayan sido recogidos o elaborados por una Administración Pública con destino a otra, o la comunicación se realice para el ejercicio de competencias idénticas o que versen sobre las mismas materias.

173


5

Res

ulta

dos

/

Com

unic

ació

n de

dat

os


Gráfico121:Existenciadeunsistemadecontroldelosenvíos dedatosdepacientesaterceros(%)

Fuente: INTECO

El 66,7% de los centros sanitarios españoles participantes en el estudio manifiesta que existe en el ámbito de su organización un sistema de control de los envíos de datos de pacientes que se realizan a terceros. Existe un 24,4% de instituciones que reconocen que no existe tal control, y un 8,9% adicional que no se manifiesta al respecto.

Sistema de control de los envíos de datos de pacientes a terceros

174


5

Res

ulta

dos

/

Com

unic

ació

n de

dat

os

Los hospitales se muestran más propicios a la adopción de controles de envíos de datos a terceros: un 78,6% han adoptado algún sistema de control. También los centros de salud, con un 75,4% de nivel de implantación, son cautelosos.

Gráfico122:Existenciadeunsistemadecontroldelosenvíosdedatosdepacientesaterceros,segmentaciónportipodecentro(%)

Fuente: INTECO

175


5

Res

ulta

dos

/

Com

unic

ació

n de

dat

os

Un 66,2% de los centros públicos y un 78,5% de los privados han implementado un sistema de control de los envíos de datos de pacientes a terceros, según sus propias declaraciones.

Gráfico123:Existenciadeunsistemadecontroldelosenvíosdedatosdepacientesaterceros,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

176


5

Res

ulta

dos

/

Com

unic

ació

n de

dat

os

Por lo que respecta a la segmentación geográfica, la Comunidad de Madrid, con un 79,1% de centros que reconocen haber adoptado sistemas de control de los envíos de datos de pacientes a terceros, es la que en mayor medida ha implementado este tipo de controles.

Gráfico124:Existenciadeunsistemadecontroldelosenvíosdedatosdepacientesaterceros,segmentacióngeográfica(%)

Fuente: INTECO

177


5

Res

ulta

dos

/

Insp

ecci

ones


Las autoridades de control podrán inspeccionar los ficheros a que hace referencia la presente ley, recabando cuantas informaciones precisen para el cumplimiento de sus come-tidos.

A tal efecto, podrán solicitar la exhibición o el envío de docu-mentos y datos y examinarlos en el lugar en que se encuen-tren depositados, así como inspeccionar los equipos físicos y lógicos utilizados para el tratamiento de los datos, accedien-do a los locales donde se hallen instalados.

Los funcionarios que ejerzan la inspección a que se refiere el apartado anterior tendrán la consideración de autoridad pública en el desempeño de sus cometidos.

Estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas.

En el supuesto previsto como infracción muy grave en la Ley Orgánica 15/1999, de 13 de diciembre, consistente en la uti-lización o cesión ilícita de los datos de carácter personal en la que se impida gravemente o se atente de igual modo con-tra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que la Constitución y las leyes garantizan, el Director de la Agencia Española de Protección de Datos podrá, en cualquier momento del procedimiento,

requerir a los responsables de ficheros o tratamientos de da-tos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos.

El requerimiento deberá ser atendido en el plazo improrro-gable de tres días, durante el cual el responsable del fichero podrá formular las alegaciones que tenga por convenientes en orden al levantamiento de la medida.

Si el requerimiento fuera desatendido, el Director de la Agen-cia Española de Protección de Datos podrá, mediante reso-lución motivada, acordar la inmovilización de tales ficheros o tratamientos, a los solos efectos de restaurar los derechos de las personas afectadas.

En el desarrollo de las actuaciones previas se podrán reali-zar visitas de inspección por parte de los inspectores desig-nados, en los locales o sede del inspeccionado, o donde se encuentren ubicados los ficheros, en su caso. A tal efecto, los inspectores habrán sido previamente autorizados por el Director de la Agencia Española de Protección de Datos.

Las inspecciones podrán realizarse en el domicilio del ins-peccionado, en la sede o local concreto relacionado con el mismo o en cualquiera de sus locales, incluyendo aquéllos en que el tratamiento sea llevado a cabo por un encargado.

5.9 Inspecciones de la Agencia de Protección de Datos

178


5

Res

ulta

dos

/

Insp

ecci

ones


Centros inspeccionados

Gráfico125:Entidadesquehansufridoinspecciónporparte delaAgenciadeProteccióndeDatos(%)

Fuente: INTECO

El hecho de haber experimentado una inspección por parte de la Agencia de Protección de Datos es una situación un tanto infre-cuente en el sector sanitario español: sólo un 3,7% de los centros participantes en el estudio afirman haber sufrido, en alguna oca-sión, una inspección de la autoridad de protección de datos. Existe un 10,1% que no realiza declaración a este respecto. El resto, un amplio 86,2% de las instituciones sanitarias españolas, no han sido receptoras de inspecciones.

179


5

Res

ulta

dos

/

Insp

ecci

ones

En este caso, las inspecciones parecen haber tenido mayor incidencia entre centros de salud (7,2%) que entre hospitales (3,9%) y consultorios locales (2,4%)

Gráfico126:EntidadesquehansufridoinspecciónporpartedelaAgenciadeProteccióndeDatos,segmentaciónportipodecentro(%)

Fuente: INTECO

180


5

Res

ulta

dos

/

Insp

ecci

ones

Atendiendo a la dependencia patrimonial del centro, no se aprecian diferencias relevantes: no parece tener influencia el hecho de que una institución sea pública o privada para que sea objeto de una inspección por parte de la autoridad de protección de datos.

Gráfico127:EntidadesquehansufridoinspecciónporpartedelaAgenciadeProteccióndeDatos,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

181


5

Res

ulta

dos

/

Insp

ecci

ones

En la zona Sur parece haber una mayor concentración de centros que dicen haber sufrido inspección por parte de la Agencia de Protección de Datos: un 7,4% de los centros participantes en el estudio así lo han manifestado. En el otro extremo, la zona de Levante registra el más reducido nivel de inspecciones del país, con sólo un 0,5% de instituciones que declaran haber recibido una inspección.

Gráfico128:EntidadesquehansufridoinspecciónporpartedelaAgenciadeProteccióndeDatos,segmentacióngeográfica(%)

Fuente: INTECO

182


5

Res

ulta

dos

/

Insp

ecci

ones

Considerando solamente a los centros que afirman haber sufrido una inspección por parte de la autoridad de protección de datos, se profundiza a continuación si esa inspección terminó con un expediente sancionador o no.

Sólo en un 1% de los centros que sufrieron una inspección ésta terminó con un procedimiento sancionador de carácter leve, y en un 0,8% adicional, de carácter grave. Ninguna institución de las participantes en el estudio ha sido víctima de una sanción muy grave.

Centros sancionados

Gráfico129:Entidadesquehansidoobjetodeexpedientesancionadorporparte delaAgenciadeProteccióndeDatos(%)

Base: centros que han sufrido inspección de la autoridad de protección de datos Fuente: INTECO

183


5

Res

ulta

dos

/

Insp

ecci

ones

Las pocas sanciones se concentran en el sector hospitalario, tal y como se aprecia en el Gráfico 130, pertenecientes al sector público (Gráfico 131).

Gráfico130:Entidadesquehansidoobjetodeexpedientesancionadorporparte delaAgenciadeProteccióndeDatos,segmentaciónportipodecentro(%)

Fuente: INTECO

184


5

Res

ulta

dos

/

Insp

ecci

ones

Gráfico131:EntidadesquehansidoobjetodeexpedientesancionadorporpartedelaAgenciadeProteccióndeDatos,segmentaciónpordependenciapatrimonial(%)

Fuente: INTECO

6Buenas prácticas


186


Bue

nas

prác

ticas

6El Hospital General Universitario Reina Sofía de Murcia cuenta con un plantilla de 1.199 trabajadores. El respeto a la confidencialidad y a la intimidad de los pacientes constituye un reto básico para todos los profesionales.

En el Servicio de Atención al Paciente y en la Oficina de Me-dicina Judicial y Ética Médica se informa y asesora, a pacien-tes y usuarios, de los derechos que les asisten en materia de Protección de Datos.

Se dispone de folletos informativos con los ficheros que con-tienen datos de carácter personal del Centro y de modelos de impresos para ejercer sus derechos.

También se recuerda con un video y con cartelería alegórica la importancia del secreto y del sigilo en el ámbito sanitario.

Ilustración 1: Folletos informativos del proyecto denominado “AdecuacióndelHospitalGeneralUniversitarioReinaSofíaalaLOPD”.

Fuente: Hospital Reina Sofía de Murcia

6.1 AdecuaciónalaLOPDdelHospitalGeneralUniversitarioReinaSofía(Murcia)

187


Bue

nas

prác

ticas

6Desde el Comité de Seguridad de los Sistemas de Informa-ción, como órgano de asesoramiento y consultivo en materia de protección de datos, se impulsa la formación del personal en esta materia.

El conjunto de medidas adoptadas en materia de protección de datos integran el proyecto denominado “Adecuación del Hospital General Universitario Reina Sofía a la LOPD”.

Con el proyecto se fijaron los siguientes objetivos:

• Lograr la máxima accesibilidad y transparencia frente a los ciudadanos respecto de los tratamien-tos que se realizan con los datos de carácter perso-nal que de ellos se recaban.

• Facilitar a los pacientes y usuarios el ejercicio de los derechos que la LOPD les otorga.

• Potenciar la labor informativa y educativa respec-to del derecho a la protección de datos de carácter personal, implicando a todo el personal del centro, dado el volumen y la naturaleza de la información que se maneja.

• Impregnar en los trabajadores del hospital una au-tentica cultura de protección de datos.

• Actualizar los ficheros y tratamientos de datos, para adecuarlos a la normativa vigente.

• Alcanzar la plena adecuación del centro a los re-querimientos de la normativa sobre protección de datos personales.

188


Bue

nas

prác

ticas

6El Departamento de Informática y Sistemas de Información del Hospital Carlos III de Madrid ha puesto en marcha un proyecto con el objetivo de eliminar los archivos con datos de carácter personal de nivel alto y formato ofimático. La mayo-ría se encuentran en ordenadores personales, almacenando la información en bases de datos específicas que cumplan con lo establecido en la normativa vigente en materia de Pro-tección de Datos.

Estas bases de datos están hechas a la carta, de manera personalizada, atendiendo a las necesidades de cada pro-fesional. Además, no tienen ningún dato que relacione los aspectos clínicos con la persona a la que pertenecen.

Para ello se ha desarrollado una arquitectura cuya relación es el número de historia clínica, conectando la base de datos de gestión clínica, que contiene los datos demográficos de

los pacientes, con una serie de bases de datos por departa-mentos, que registran exclusivamente parámetros clínicos.

De esta forma, se consiguen varios objetivos, bajo el para-guas de la protección de datos:

• Se fuerza a que todos los pacientes estén registra-dos por el departamento de admisión, eliminando episodios clínicos no recogidos institucionalmente.

• Desaparecen datos sensibles de ordenadores per-sonales. Todos los datos quedan custodiados en los servidores del Hospital.

• Se desarrollan bases de datos que responden a las necesidades de cada departamento y que se pue-den ajustar, fácilmente, a nuevas demandas.

6.2 EliminacióndearchivosincontroladoscondatosdenivelaltoenelHospitalCarlosIII(Madrid)

189


Bue

nas

prác

ticas

6El Hospital Universitario Fundación de Alcorcón dispone de un documento de seguridad que contiene las funciones y obligaciones del personal, en relación con el tratamiento de los datos de carácter personal.

La legislación vigente en materia de protección de datos y la relevancia de la información propia del sector sanitario moti-varon a la dirección del Hospital a elaborar un protocolo con las normas de uso de los sistemas de información: sencillas, claras y de obligado cumplimiento.

El protocolo incluye los criterios fundamentales contenidos en las normas aplicables a los datos de carácter personal, para todos los usuarios de los sistemas de información, tanto asistenciales como de gestión:

• Procedimiento de alta y baja de usuarios.

• Restricciones en la configuración de los equipos.

• Tratamiento de la información con confidencialidad.

• Protección de datos personales.

• Uso de la informática con fines laborales y en fun-ción del perfil.

• Canales para informar de los incidentes de seguridad.

• Normativa de acceso a las aplicaciones.

• Salvaguarda de la información en el PC.

• Restricciones en el acceso a Internet.

• Normas de utilización del correo electrónico.

Desde la Comisión de Historias y Documentación Clínica, se procedió a la revisión del anterior manual de uso de la Histo-ria Clínica, para actualizar los perfiles de usuarios, criterios de acceso y niveles de acceso.

El documento se estructura en varios apartados:

• Se incorporan las definiciones legales sobre historia clínica, así como otras relacionadas con ésta reco-gidas en la norma.

• Posteriormente se establecen las funciones, conte-nidos y soporte de la historia clínica.

• Otro apartado recoge las normas de cumplimenta-ción y acceso de las historias clínicas.

• El punto octavo del documento está dedicado a es-tablecer los niveles y perfiles de acceso a la histo-ria clínica de aquellos profesionales que, por sus funciones dentro del hospital, y de acuerdo con la norma, pueden acceder a las mismas, en relación con el puesto de trabajo.

6.3 NormasdeusodelosSistemasdeInformación(HospitalUniversitarioFundación Alcorcón,Madrid)

190


Bue

nas

prác

ticas

6El Hospital Universitario Doce de Octubre está comprome-tido con la puesta a disposición de sus profesionales de la información que la actividad del centro genera, manteniendo el respeto a la confidencialidad de los datos de los pacientes acorde a la normativa de protección de datos.

Para mantener el equilibrio entre seguridad y acceso se han dado los siguientes pasos:

• Creación de repositorio único de usuarios con iden-tidad digital, que asegura la autenticidad de la iden-tidad del profesional en todos sus accesos.

• Difusión de las obligaciones de los profesionales en los aspectos relacionados con el tratamiento de datos personales, haciéndoles conocedores de su responsabilidad.

• Concesión y revocación de usuarios para los pro-fesionales del centro, en tiempo real, sincronizado con Recursos Humanos.

• Definición de la figura del mediador de acceso, en quien se ha delegado la capacidad de conceder y re-vocar permisos. Para centros externos autorizados, también se les ha delegado la responsabilidad y capa-cidad de gestionar los privilegios a sus profesionales.

• Creación de un grupo de evaluación continua para analizar la utilización, accesibilidad, confidenciali-dad y mejoras en el contenido de la información.

Ilustración2:Herramientawebdegestión(repositorioúnico)deusuariosdeAtenciónPrimaria

Fuente: Hospital Universitario Doce de Octubre (Madrid)

6.4 Gestióneficienteyseguradelaccesoadatosclínicosparaprofesionalesdelárea ydeotroscentrossanitarios(HospitalUniversitarioDocedeOctubre,Madrid)

191


Bue

nas

prác

ticas

6El tercero de confianza constituye un procedimiento de emergencia para garantizar la identidad de los usuarios y sus derechos de acceso a la Historia de Salud de Andalucía.

El Sistema Sanitario Público de Andalucía dispone de más de 7.000.000 de historias clínicas electrónicas abiertas en su sistema corporativo “Diraya”. Con un uso de tal intensi-dad, es tan crítico velar por el adecuado acceso de los pro-fesionales a los datos de los pacientes como asegurar que los profesionales puedan abrir una historia clínica cuando es necesario.

Incidencias como el olvido de contraseñas o altas temporales tienen que resolverse rápidamente. Para ello se ha diseñado

una alternativa segura que se usa cuando los administrado-res locales no están disponibles. Se denomina “Tercero de Confianza” ya que se basa en que un profesional adecua-damente logado avale la identidad de quien tiene problemas para acceder.

La solicitud se hace a través del Centro de Soporte del Ser-vicio Andaluz de Salud, abierto 24 horas, y se utiliza también una aplicación web. En el último año se han realizado más de 11.000 actuaciones a través de este procedimiento, ase-gurando la accesibilidad y garantizando el cumplimiento de la normativa vigente en materia de protección de datos.

Ilustración 3: Centro de Soporte del Servicio Andaluz de Salud

Fuente: Servicio Andaluz de Salud

6.5 ElTercerodeconfianza(ServicioAndaluzdeSalud)

192


Bue

nas

prác

ticas

6En el Servicio Madrileño de Salud se dan cita decenas de aplicaciones informáticas que con la tecnología más inno-vadora ofrecen soporte a la atención sanitaria de más de 6.000.000 de ciudadanos, siendo la comunicación y coordi-nación un eje vital de éxito.

Ejemplo de ello es el procedimiento que desde las unidades de atención al paciente coordina las actuaciones de más de 38.000 profesionales técnicos y sanitarios, para dar respues-ta a los derechos de los ciudadanos en materia de tratamien-tos de datos personales.

Elemento dinamizador de ésta y otras iniciativas es el Área de Seguridad, donde un equipo de cualificados profesiona-les dan respuesta a las necesidades del SERMAS y desde donde se distribuye la newsletter o el portal de seguridad, herramientas de comunicación de consulta habitual del pro-fesional técnico, que concentran en un único punto alertas, buenas prácticas, casos de éxito, políticas, normativas y toda la información de referencia.

Ilustración 4: Boletín de Seguridad del Plan de Comunicación en protección de datos para profesionales sanitarios y ciudadanos

Fuente: Dirección General de Sistemas de Información Sanitaria de la Comunidad de Madrid

6.6 PlanestratégicodecomunicaciónenProteccióndeDatosparaProfesionalesSanitarios y Ciudadanos (Dirección General de Sistemas de Información Sanitaria de la Comunidad de Madrid)

193


Bue

nas

prác

ticas

6Objetivos del Plan de Comunicación:

• Concienciar a la Dirección respecto a la necesidad de garantizar el cumplimiento de las previsiones es-tablecidas en el marco de la seguridad y la protec-ción de los datos sanitarios.

• Concienciar e implantar las políticas de protección de datos en todo el ámbito de la Consejería.

• Garantizar el cumplimiento de la legislación y re-comendaciones del sector sanitario en materia de Protección de Datos.

• Garantizar la protección de los derechos de los ciu-dadanos y usuarios, aumentando su confianza en los servicios sanitarios madrileños.

• Aumentar la seguridad de la información, garanti-zando que el uso de los servicios de información mi-nimicen los riesgos y garanticen la confidencialidad de la historia clínica.

• Promocionar unos niveles elevados de conciencia-ción de los usuarios en materia de protección de datos dentro de la Consejería.

• Establecer unos canales de comunicación que ha-gan llegar la información, eliminando las barreras de tiempo y espacio entre centros y organismos.

• Alinear la actuación de la Consejería con una estra-tegia corporativa de seguridad.

• Transmitir una cultura en protección de datos que alcance a la totalidad del personal.

• Ofrecer un servicio de comunicación y asesoría continua con respecto a la protección de datos y a la seguridad.

• Posibilitar la realimentación continua en el sistema gracias a la participación de todos los colectivos im-plicados en los distintos roles al servicio de la sani-dad pública.

194


Bue

nas

prác

ticas

6El objetivo principal del proyecto es asegurar que la informa-ción generada a partir de la actividad que se desarrolla en el Área Sanitaria sea utilizada adecuada y confidencialmen-te, mediante la potenciación de los mecanismos necesarios para preservar el secreto profesional y el tratamiento confi-dencial de los datos.

Para ello se pretenden conseguir los siguientes objetivos es-pecíficos:

• Asegurar que los sistemas informáticos del Área cumplan las condiciones de seguridad pertinentes que garanticen la confidencialidad de los datos de carácter personal almacenados.

• Promover la formación necesaria, tanto ética como técnica, para que la seguridad y confidencialidad de la información sean asumidas de forma práctica por el personal sanitario y no sanitario.

Metodología de trabajo:

A través de la formación de grupos de trabajo, constituidos por profesionales asistenciales y no asistenciales, sanitarios y no sanitarios, se pretende cumplir los objetivos previstos.

Los grupos trabajan mediante la realización de reuniones que requieren la elaboración de un acta en la que constan conclusiones y orden del día de la siguiente reunión.

Los miembros de los grupos trabajan tanto individual como conjuntamente, analizando las necesidades y diseñando, de-sarrollando e implantando las medidas oportunas para lograr solucionar los problemas técnicos y de información / forma-ción detectados.

Fase de desarrollo:

La fase de desarrollo consta a su vez de varios procesos que se llevan a cabo de manera simultánea:

a. Plan de información / formación de los profesiona-les del Área 10.

a. Registro de ficheros.

b. Plan de seguridad del Área.

6.7 Asegurar la utilización adecuada de la información disponible en materia de seguridad yconfidencialidaddelosdatosdecarácterpersonal(GerenciadelÁrea10deatención primaria del Servicio Madrileño de Salud)

195


Bue

nas

prác

ticas

6El Defensor del Paciente tiene como misión cumplir la nor-mativa reguladora sobre protección de datos personales. Su visión es llegar a ser una institución que proteja los datos personales de acuerdo a las necesidades y expectativas de sus usuarios para alcanzar unos niveles de calidad similares a los de las organizaciones públicas más avanzadas. Para ello, ha establecido una cultura de la protección de los datos personales basada en la mejora continua de la gestión y en-caminada a proporcionar utilidad al usuario.

La estrategia del Defensor del Paciente consiste en favorecer las demandas de sus usuarios en materia de protección de da-tos en el menor tiempo y al mejor coste posible facilitando una información única y homogénea, con independencia del modo

de acceso (atención presencial, telefónica o por Internet) y del usuario de la misma (clientes externos -los ciudadanos- e in-ternos -los empleados y las organizaciones públicas-).

La nueva página web del Defensor del Paciente incorpora el conocimiento de la organización sobre protección de datos personales.

En el Área de Atención al Usuario de la Oficina del Defensor del Paciente los ciudadanos tienen a su disposición ejempla-res de la Carta de Servicios de la Agencia de Protección de Datos de la Comunidad de Madrid, folletos explicativos sobre el uso y tratamiento de datos personales y el cartel divulga-tivo de la Agencia.

Ilustración 5: Web del Defensor del Paciente

Fuente: Oficina del Defensor del Paciente de la Consejería de Sanidad y Consumo de la Comunidad de Madrid

6.8 Protecciónonlinededatospersonales(OficinadelDefensordelPacientedelaConsejería de Sanidad y Consumo de la Comunidad de Madrid)

196


Bue

nas

prác

ticas

6El acceso o uso de la historia clínica o documentación clínica de un paciente plantea varias cuestiones de índole legal que requieren un minucioso análisis, a fin de buscar la confluen-cia de derechos de todas las partes implicadas y las medidas a establecer para su garantía.

Este análisis abarca dos bloques normativos: la legislación sanitaria y la específica en materia de protección de datos de carácter personal.

La Instrucción 6/2003, del Director General de Osakidetza (Servicio Vasco de Salud), insta a todo el personal que de-sarrolla su trabajo en cualquiera de las organizaciones de servicios, a conocer la normativa actual en materia de pro-tección de datos y de confidencialidad de la información, así como a aplicar las medidas adecuadas cuando en el ejercicio de sus funciones manejen cualquier tipo de dato de carácter personal.

Ilustración 6: Documentación clínica en Atención Primaria: procedimiento de acceso para uso no asistencial

Fuente: Osakidetza – Servicio Vasco de Salud

6.9 Documentación clínica en Atención Primaria: procedimiento de acceso para uso no asistencial (Osakidetza – Servicio Vasco de Salud)

197


Bue

nas

prác

ticas

6Con la intención de ayudar a los profesionales en este pro-ceso de adaptación, se elaboró el documento de procedi-miento de acceso a documentación clínica en atención pri-maria, al igual que la publicación en 2003 del procedimiento de acceso a la documentación clínica hospitalaria. Allí se describen aspectos fundamentales relacionados con el cir-cuito a seguir. Su aplicación puede resultar una herramienta muy útil en la gestión diaria de las peticiones de acceso de este tipo.

Objetivo

El objetivo de este documento es desarrollar un procedimien-to de fácil manejo que regule en la práctica diaria el acceso a los datos clínicos del paciente en las Unidades de Atención Primaria, cuando la petición o motivo de acceso es con fines no asistenciales.

Los circuitos propuestos pretenden garantizar el acceso a través de actuaciones homogéneas en los diferentes centros

de la red y facilitar a todos los profesionales criterios sobre el manejo o trámites a seguir ante una petición de este tipo, independientemente de que los datos clínicos se encuentren registrados en soporte papel o informático.

Las situaciones de uso y acceso desarrolladas en la Ley 41/2002, de derechos y obligaciones en materia de docu-mentación clínica y de autonomía del paciente, se han orde-nado en función de quien lo solicita. Dentro de cada apartado se definen los siguientes puntos:

• Procedimiento de solicitud.

• Requisitos.

• Tramitación.

• Tipo de documentos a facilitar.

• Plazo de entrega.

198


Bue

nas

prác

ticas

6Uno de los retos es asegurar la privacidad de la información existente, para lo cual es preciso que se den los siguientes requisitos:

• Disponer de un sistema que permita conocer en todo momento los usuarios con autorización para acceder a los distintos sistemas de información y permita su ras-treo en las operaciones que realice.

• Asegurar que toda persona con privilegios de ac-ceso tiene una relación contractual con el Hospital. Gestionar la finalización de contrataciones labora-les.

• Asegurar que el usuario es pleno conocedor de la importancia de los datos a los que accede, de la necesidad de su privacidad y protección.

Ilustración7:AplicaciónHUser

Fuente: Hospitales Universitarios Virgen del Rocío – Servicio Andaluz de Salud

6.10 Percepciones y realidades de los profesionales sanitarios sobre la Protección de Datos GestióndeIdentidad.HUser(HospitalesUniversitariosVirgendelRocío–ServicioAndaluz de Salud)

199


Bue

nas

prác

ticas

6• Disponer de un dispositivo ágil de solicitud y de autorización de acceso a los distintos sistemas de información.

• Disponer de un único nombre de usuario y con-traseña para todos los sistemas de información a los que un usuario accede.

Para dar respuesta a lo planteado, el Hospital Universitario Virgen del Rocío dispone de un software de desarrollo propio denominado “HUser” que posibilita que todo profesional que, en función de su actividad, necesite acceder a un determina-do sistema de información o servicio disponible (correo elec-trónico, Internet, biblioteca...) tenga un identificador (usuario/

contraseña) personal que lo autorice e identifique en cada uno de los accesos realizados.

Para disponer de la cuenta de usuario ha de realizar una so-licitud al Servicio de Tecnologías de la Información. Para ello dispone de un formulario web que, tras ser cumplimentado con sus datos demográficos y laborales, le permite indicar los sistemas de información a los que desea acceder. En el mismo acto imprime un documento donde se le ofrece infor-mación referente a la LOPD y se le recuerda su responsabi-lidad de asegurar la confidencialidad de los datos a los que acceda. Este documento tiene que ser firmado por el solici-tante y enviado al Servicio de Tecnologías de la Información, donde queda registrado y archivado.

200


Bue

nas

prác

ticas

6La base de datos que hasta estos momentos maneja el fi-chero Pacientes CMD de historias clínicas del Centro de Me-dicina Deportiva de la Comunidad de Madrid desde el año 1999, se gestiona con una herramienta ofimática de Base de Datos. Se ha procedido a la sustitución de la misma por una nueva aplicación que cubre todas las facetas exigibles en protección de datos personales, ya que en su momento fueron detectadas deficiencias importantes en cuanto al ma-nejo de esta información por parte de la aplicación ofimática.

Las deficiencias más importantes detectadas en la aplicación ofimática se pueden resumir en:

• Las contraseñas de acceso al sistema no tienen una caducidad expresa.

• Las contraseñas se almacenan en el sistema sin cifrar.

• El sistema no establece el período máximo de vi-gencia de las contraseñas.

• En cuanto a la gestión de soportes, no había una au-torización expresa para las salidas semanales que se producen para el envío de copias de respaldo y recuperación de contingencias, ni registro de entrada y salida referente al traslado semanal de las copias de respaldo y recuperación de contingencia.

• No se indican las acciones concretas que se han de llevar a cabo para el borrado de los datos cuando se pretende la reutilización de la ficha.

• No había un registro o archivo de las revisiones y controles que realiza periódicamente el responsa-ble de seguridad.

• El sistema no establece un máximo de intentos fa-llidos de acceso al mismo por parte de los usuarios.

• No se podía identificar inequívocamente al personal autorizado a acceder a la sala donde se ubica el fichero Pacientes CMD.

• En cuanto el registro de accesos, el sistema no per-mite establecer un registro de la información exigida relativa a los accesos de los usuarios.

Así, se ha estado trabajando durante los dos últimos años en adecuar la nueva aplicación a las necesidades pertinentes para el desempeño de la labor, eminentemente sanitaria y de investigación, con todas las garantías en cuanto a protección de datos personales se refiere.

El responsable de seguridad del Centro de Medicina Deporti-va se ha encargado de coordinar y controlar las medidas de seguridad definidas en el documento de seguridad, analizar los informes de auditoría y elevar la conclusiones de los mis-mos al responsable del fichero, controlar directamente los mecanismos de registro de accesos sin que se pueda permi-tir la desactivación de los mismos, revisar periódicamente la información de control del registro de accesos y elaborar un informe de las revisiones realizadas y los problemas detecta-dos con una periodicidad mensual.

6.11 MejoradeltratamientodelficherodedatosdecarácterpersonaldealtaseguridadPacientes CMD,pacientesydeportistasqueacudenalCentro(CentrodeMedicinaDeportivadela Comunidad de Madrid)

201


Bue

nas

prác

ticas

6La Comisión de Seguridad en la Información del Hospital Uni-versitario Virgen de la Arrixaca supone el último paso dado por este centro gestor de asistencia sanitaria en la Región de Murcia a fin de garantizar adecuadamente en el Hospital una política de protección de datos de carácter personal.

Como proyecto corporativo en el ámbito de la Consejería de Sanidad y del Servicio Murciano de Salud, se ha de-cidido aplicar y desarrollar el modelo Europeo de Calidad Total (EFQM) potenciando como principales herramientas los sistemas de información, la tecnología y la gestión por procesos.

Alineado con esta realidad, el Hospital Universitario Virgen de la Arrixaca ha diseñado y está implantando la gestión por procesos, en el marco de los Sistemas de Información y Eva-luación. Para ello, se ha presentado recientemente el Mapa de procesos de nivel 0 (Macroprocesos), con la diferencia-ción y especificación de los grandes procesos que constitu-yen la esencia de su funcionamiento.

Desde la Subdirección de Gestión de Sistemas de Informa-ción y Evaluación se impulsan y coordinan todas aquellas ac-tuaciones tendentes a asegurar el cumplimiento de la norma-

tiva en materia de seguridad y confidencialidad de datos. Por tanto, el Hospital Universitario Virgen de la Arrixaca ya creó en el año 2003 la figura del Coordinador de Seguridad Informáti-ca, dependiente del Servicio de Informática, con el propósito de organizar, planificar y adoptar las medidas de seguridad que establece el Reglamento de medidas de seguridad de los ficheros que contengan datos de carácter personal y que la LOPD exige, colaborando con el Responsable del Fichero.

La Comisión tiene como funciones principales, entre otras:

a. El análisis actual de la seguridad hospitalaria en materia de protección de datos.

b. La elaboración de una reglamentación interna de seguridad.

c. La implementación de la normativa de seguridad.

d. La formación a los responsables de seguridad y de los ficheros y a todo el personal del hospital.

e. La preparación de una auditoría en materia de pro-tección de datos y medidas de seguridad.

6.12 LaComisióndeSeguridadenlaInformacióndelHospitalUniversitarioVirgendelaArrixaca comogarantedelaProteccióndeDatosdeCarácterPersonal(HospitalVirgendelaArrixaca, Murcia)

202


Bue

nas

prác

ticas

6El Ilustre Colegio Oficial de Médicos de Madrid, consciente de las dudas y complicaciones que conlleva la aplicación e interpretación de la normativa sobre protección de datos de carácter personal y la legislación sobre sanidad específica en esta materia (principalmente la Ley 41/2002, de derechos y obligaciones en materia de documentación clínica y de autonomía del paciente) decidió elaborar unas recomenda-ciones que ayuden a orientar a los responsables de centros sanitarios y a los facultativos de ejercicio individual.

La finalidad de estas recomendaciones es orientar al médico colegiado, de la manera más práctica posible. Es necesaria o, al menos, conveniente la consulta sobre el caso concreto al experto en la materia, pudiendo dirigirse al efecto a la Ase-soría Jurídica del Colegio de Médicos de Madrid.

Las recomendaciones, elaboradas conforme a la normativa vigente en enero de 2006, se dedican a cinco aspectos esen-ciales en materia de confidencialidad, archivo y protección de datos de salud:

1) Recomendación del Ilustre Colegio de Médicos de Madrid (ICOMEM) sobre cómo cumplir las obligacio-nes formales impuestas por la normativa sobre pro-tección de datos de carácter personal.

2) Recomendación del ICOMEM sobre el tratamiento de los datos de salud de los pacientes.

3) Recomendación del ICOMEM sobre la cesión o reve-lación de datos de salud.

4) Recomendación del ICOMEM sobre las medidas de seguridad a adoptar respecto a los datos de salud contenidos en las historias clínicas.

5) Recomendación del ICOMEM sobre la jubilación o cese en la actividad profesional y los datos de salud de los pacientes.

6.13 Recomendaciones sobre la normativa de Protección de Datos de carácter personal y las HistoriasClínicas(ColegiodeMédicosdeMadrid)

203


Bue

nas

prác

ticas

6El análisis efectuado puso en evidencia que la situación de los sistemas de información de la Dirección General de Sa-lud Pública y Alimentación y de su órgano técnico científico el Instituto de Salud Pública es compleja, en cuanto que hay muchos ficheros con datos de especial protección, por ser de salud. Desde comienzos de la década de los noventa se han ido incrementando de manera progresiva los ficheros automa-tizados que han ido facilitando la gestión de los datos que se generan y son necesarios para desarrollar las funciones de Salud Pública. No obstante, con el paso del tiempo las herra-mientas informáticas utilizadas se han quedado muy escasas, tanto técnica como funcionalmente, de manera que ya no per-mitían realizar un control óptimo de los datos introducidos.

Ante la situación detectada, se elaboró una estrategia cuya idea esencial era unificar el sistema de información del Ins-tituto de Salud Pública. De esta forma de múltiples ficheros conteniendo estructuralmente la misma información, se pasó a un sistema integrado que contempla cada una de las es-pecificidades pero dentro de una estructura de base de da-tos común. Ninguna de las especificidades hace cambiar la clasificación de seguridad del fichero que en todos los casos maneja información de seguridad alta.

Los objetivos estratégicos son los siguientes:

1) Cumplir de manera estricta la legislación sobre pro-tección de datos de carácter personal al aplicar a to-dos los ficheros incorporados a la base de datos el nivel de seguridad alto.

2) Adaptación de los procedimientos de comunicación de los ficheros con datos de carácter personal a los requisitos legales.

3) Aplicar el principio de calidad a los datos de los fi-cheros, agilizando la actualización e incorporación de la información, así como la depuración de la infor-mación, mediante el cruce de los datos de distintos ficheros.

4) Facilitar el derecho de información a los ciudadanos, simplificando el ejercicio de acceso, rectificación, can-celación y oposición a los datos personales así como impugnación de valoraciones.

5) Establecimiento de garantías de cumplimiento de la obligación de secreto por todas aquellas personas que manejen datos de carácter personal en el ejerci-cio de sus funciones.

6) Agilizar la gestión de la información en el Instituto de Salud Pública.

7) Propuesta de controles a establecer en el acceso a los datos por cuenta de terceros.

8) Simplificar la tramitación administrativa en cuanto a creación, modificación o supresión de ficheros, que dado el dinamismo en la información de la salud pú-blica, se prevén numerosos.

6.14 Diseño y estrategia de implantación de un sistema integrado de información con datos de seguridad alta en Salud Pública (Instituto de Salud Pública de la Comunidad de Madrid)

204


Bue

nas

prác

ticas

6El nuevo sistema de información centralizado de Atención Primaria es un elemento fundamental de la plataforma in-formática que da soporte a los profesionales sanitarios que prestan sus servicios en las gerencias de Atención Primaria del Servicio Madrileño de Salud.

Este sistema incorpora la informatización de las historias clí-nicas de los pacientes, realiza la programación de las consul-tas, se utiliza para la generación de prescripciones, recetas y partes de incapacidad, gestión de vacunaciones, y ejecuta otras funciones básicas para facilitar los diferentes servicios que estas áreas deben ofrecer a los usuarios del Servicio Madrileño de Salud.

El informe presenta las acciones realizadas en el marco del desarrollo del nuevo sistema de información centralizado de Atención Primaria, con objeto de garantizar la seguridad del sistema, así como asegurar el cumplimiento de los requisitos legalmente exigibles en cuanto a la protección de datos de carácter personal, y muy especialmente, de los datos relati-vos a la salud de los ciudadanos.

Muchos son los beneficios para el ciudadano, ya que permite:

• Optimizar la atención recibida, al mejorar la gestión de los procesos y aumentar el tiempo de dedicación a los problemas de salud.

• Facilitar por distintos canales los derechos de acce-so, rectificación, cancelación y oposición.

• Aumentar los niveles de garantía de protección de su derecho a la confidencialidad, disponibilidad e integridad de sus datos sanitarios.

• Garantizar la disponibilidad de acceso a la historia clí-nica por parte de los facultativos de toda la informa-ción del paciente en el momento de la atención, inde-pendientemente del Centro donde se haya generado.

• Facilitar la accesibilidad a los servicios ofertados y ga-rantizar la conservación de la documentación clínica.

Un aspecto fundamental en el diseño del nuevo entorno ha sido la seguridad, tanto en relación con la infraestructura (equipos, comunicaciones, etc.), como de las características y funcionalidades del Sistema de Información, así como en lo relativo a la documentación y definición de procedimientos organizativos y de buenas prácticas.

En este sentido, se ha desarrollado un proyecto paralelo al propio desarrollo del sistema, para garantizar el cumplimien-to de los criterios de seguridad establecidos en la LOPD, así como en su normativa de desarrollo, y también de la normati-va vigente en el sector sanitario y en la propia Organización.

6.15 Seguridad en el desarrollo y preproducción con datos reales en un sistema de información centralizadodegestióndeHistoriasClínicas(DirecciónGeneraldeInformática, ComunicacioneseInnovaciónTecnológica,ConsejeríadeSanidadyConsumodela Comunidad de Madrid)

205


Bue

nas

prác

ticas

6El objetivo principal de la Historia clínica compartida es la mejora de la atención de la salud de los ciudadanos me-diante una herramienta que mejore y facilite el trabajo de los profesionales sanitarios al permitir el uso compartido de la información disponible sobre los pacientes entre los centros asistenciales de Cataluña.

La Historia clínica compartida de Cataluña tiene que facilitar y potenciar la continuidad asistencial, para mejorar el uso de los recursos informativos y posibilitar que pacientes atendi-dos en diversos centros no se tengan que someter a explora-ciones y procedimientos repetidos.

Es necesario ir hacia un modelo único (o común) de accesos a registros informativos de los diversos sistemas de información. La Historia clínica compartida de Cataluña no es la suma de las historias clínicas de los centros sanitarios, sino que tiene que permitir el acceso de forma organizada a la información relevante, respetando los diferentes modelos de historia clínica.

En el modelo de accesos que se desarrolle es indispen-sable mantener la confianza en aspectos de seguridad y

confidencialidad, de médicos y pacientes. Es clave que el sistema de identificación del ciudadano sea unívoco. El sis-tema incluirá requisitos de seguridad y garantizará la traza-bilidad de todos los accesos a la Historia clínica compartida.

La Historia clínica compartida de Cataluña tendrá como nú-cleo central a todos los pacientes del sistema sanitario de Cataluña. Inicialmente, dará cobertura a los pacientes de la red sanitaria de utilización pública. El objetivo en una fase posterior es dar soporte a los pacientes del sistema sanitario privado. El ciudadano es el titular de los datos que constan en la historia clínica, y, tendrá que tener acceso a la infor-mación disponible sobre su propia salud y la posibilidad de decidir sobre el acceso a esta información por parte de los profesionales que lo atienden.

Es importante normalizar la información que se intercambia, para lo cual el sistema presenta unas necesidades de utiliza-ción de estándares de integración tecnológica que permiten la comunicación y estándares funcionales.

6.16 ProyectodeHistoriaclínicacompartida(GeneralitatCatalunya,DepartmentdeSalut)

206


Bue

nas

prác

ticas

6En el año 2003, la Gerencia Regional de Salud de Castilla y León tomó la determinación de acometer este problema desarrollando el Plan de Seguridad Integral del Sistema de Información de la Gerencia Regional de Salud de la Junta de Castilla y León. En él, de forma conjunta para sus Gerencias de Atención Especializada, Gerencias de Atención Primaria, Gerencias de Salud de Área y Servicios Centrales, se reali-zó un completo análisis de riesgos de activos informáticos y se elaboró un Plan Director de Seguridad que estableció las bases y medidas de seguridad a implantar para garantizar la seguridad de sus sistemas.

Desde el primer momento la Gerencia Regional de Salud tomó la determinación de dotar al Sistema Sanitario de Cas-tilla y León de la seguridad y confidencialidad que los pacien-

tes demandan, motivo por el cual fue creada la Oficina de Seguridad de la Información cuyo cometido es implantar los procedimientos y medidas de seguridad que se derivaron del Plan Director de Seguridad, siendo prioritario el proceso de adecuación a la LOPD del Servicio Regional de Salud.

Desde entonces, la Oficina de Seguridad de la Información ha venido realizando un extenso trabajo en materia de se-guridad y de protección de datos de carácter personal, im-plantando las actuales Políticas de Seguridad de la Gerencia Regional de Salud de Castilla y León, desarrollando un sóli-do procedimiento de adaptación a la LOPD de Centros Sani-tarios y, sobre todo, concienciando a los responsables de los centros de la necesidad de garantizar la confidencialidad de la información sanitaria.

Ilustración8:Imagendecampaña“Elretohacialaseguridad”

Fuente: Gerencia Regional de Salud de Castilla y León

6.17 AdecuaciónalaLOPDdeSaCyL:Elretohacialaseguridad(GerenciaRegionaldeSalud deCastillayLeón)

207


Bue

nas

prác

ticas

6Al iniciar el proceso de adecuación a la LOPD se identificó la primera incógnita que debía ser resuelta: ¿quién debía ser el encargado de llevar toda la responsabilidad de implantar y mantener la protección de datos de carácter personal en cada Gerencia?

Dentro del proceso de adecuación a la LOPD de cualquier organismo público, se distinguieron cuatro fases claramente diferenciadas:

1) Fase teórico-normativa, cuyas implicaciones son pu-ramente administrativas y que se realiza de forma transparente para los usuarios de los ficheros, en la cual se identifican todos los ficheros de carácter per-sonal de la Gerencia.

2) Fase de adecuación, en la que se definen las caracte-rísticas de cada fichero, se elabora el Documento de

Seguridad, se identifican las deficiencias respecto a los requerimientos de la LOPD y se proponen las me-didas de seguridad a implantar para su subsanación.

3) Fase de formación, en la que se informa a los usua-rios de los ficheros de carácter personal del trabajo realizado, de la necesidad de garantizar la confiden-cialidad en el uso de la información confidencial, y de cómo los trabajadores de la Gerencia pueden y deben colaborar en el cumplimiento de la normativa de pro-tección de datos de carácter personal.

4) Fase de seguimiento, una vez finalizada la adecua-ción a la LOPD de la Gerencia, debe realizarse para garantizar que se han implantado las medidas de se-guridad identificadas, no han aparecido posibles nue-vos ficheros, etc.

208


Bue

nas

prác

ticas

6El Hospital Virgen del Camino de Pamplona, tras informatizar en el año 1992 la gestión administrativa de los pacientes, decidió implantar, como medida de mejora, la supresión tem-poral de los datos nominales de aquellos pacientes ingresa-dos que así lo solicitasen. La decisión se adoptó en base al artículo 10.3 de la Ley General de Sanidad.

Cuando un/a ciudadano/a ingresa en el Hospital Virgen del Camino puede solicitar ser “anónimo”, por lo que el Servicio de Admisión sustituye temporalmente en el programa infor-mático de gestión administrativa (Host) el nombre y apellidos del titular por “paciente sin identificar” (conservando, sin em-bargo, para su identificación inequívoca el número de histo-rial, el número de la seguridad social, el número de tarjeta sanitaria individual, etc.). Con ello se garantiza la identifica-ción del titular, pero ésta se realiza con datos que no compro-meten su anonimato ante terceros.

Desde este momento, aparecerá como “paciente sin identifi-car” (sin sus datos nominales) en los puntos de información, en su Historia Clínica Informatizada, control de enfermería, peticiones al laboratorio, partes quirúrgicos... Como medida de seguridad se le coloca al paciente una pulsera identifica-tiva con su número de historia clínica. Al ser dado de alta, el programa informático de admisión y, a través de él, su Histo-ria Clínica Informatizada recupera el nombre y apellidos del titular.

Cualquier ciudadano adulto puede solicitar esta medida di-rectamente en el Servicio de Admisión del Hospital (o a tra-vés del Servicio de Atención al Paciente, de Trabajo Social, etc.) y éste la ejecutará en el momento sin preguntar al solici-tante el motivo de la petición ni registrar ésta en lugar alguno.

Implantación

Esta medida fue implantada en el año 1993. Posteriormente, en el año 2000, con la progresiva implantación de la Historia Clínica Informatizada como herramienta de trabajo clínico para los facultativos del hospital, esta actuación se ha hecho más eficaz, ya que permite el anonimato no sólo en los puntos de información, sino también en todo el proceso asistencial.

Estado actual

El Servicio de Admisión no pide explicaciones al peticionario, pero se sabe que la mayor parte de las solicitudes las rea-lizan pacientes ingresadas en el Servicio de Obstetricia con medidas especiales de custodia de la intimidad por ser vícti-mas de violaciones, madres dispuestas a dar a su hijo recién nacido en adopción, madres adolescentes, o son peticiones tramitadas por Trabajo Social por problemas de agresiones, conflictividad social, etc. En otros casos, las motivaciones son de carácter personal y no trascienden al personal admi-nistrativo que ejecuta la acción.

6.18 Procedimientodeanonimizacióndepacientesalingreso(HospitalVirgendelCamino, Pamplona)

209


Bue

nas

prác

ticas

6El reglamento tiene como objetivo regular todos aquellos as-pectos concernientes al uso de la Historia y que pueden inci-dir en las distintas misiones que ésta puede cumplir. Quedan obligados al cumplimiento de las normas todas las personas que de una manera u otra, con un objetivo u otro, utilicen los soportes de información clínica aludidos y sea cual fuere su categoría profesional o su relación contractual con el Hos-pital.

ConfidencialidaddelaHistoriaClínicayresponsabilida-des

• La información de la Historia Clínica es de carácter confidencial y cada profesional de forma individuali-zada, así como la institución de forma global tienen la obligación de garantizar el derecho fundamental del enfermo a su intimidad personal y familiar.

• A su vez, los profesionales u órganos que trabajan recopilando y procesando datos personales e infor-mación clínica contenida en la Historia Clínica, o de manera directa e indirecta tengan acceso a ésta, están sujetos al mismo deber de secreto que los profesionales sanitarios.

• Las normas de confidencialidad son independien-tes del tipo documental que recoge la información clínica; es decir, soporte papel, magnético u otras tecnologías futuras.

• La obligación de secreto subsiste aun después de finalizar la relación con el enfermo, con el servicio o con la institución correspondiente.

• Se tendrán en cuenta medidas de seguridad es-pecíficas para garantizar la confidencialidad, se-guridad e integridad de los datos siempre que se utilicen ficheros de Historia Clínica o se pongan en marcha programas de recogida de información, al-macenamiento y recuperación de datos clínicos.

• La Dirección del centro sanitario es la responsable de velar para que las medidas de confidencialidad y deber de secreto se cumplan.

• Los profesionales en el ejercicio de la práctica clíni-ca tienen la obligación de denunciar la falta de me-didas de seguridad o uso indebido de la información clínica cuando conozcan prácticas que atenten con-tra el deber de confidencialidad en el uso y manejo de la Historia Clínica.

• Todos estos conceptos están amparados por la nor-mativa actual (Ley Orgánica 10/1995 del Código Penal). Cuando se detecte una violación de la con-fidencialidad y seguridad de la información clínica, la Dirección del centro procederá a esclarecer las cir-cunstancias a fin de que se depuren las posibles res-ponsabilidades de acuerdo con la legislación vigente.

6.19 ReglamentodeusodelaHistoriaClínicaenelHospital(HospitaldeCruces,Bilbao)

210


Bue

nas

prác

ticas

6El Hospital, de acuerdo con la normativa vigente y en su em-peño de llevar a cabo un código de buenas prácticas, ha es-tablecido un protocolo para asegurar que la documentación generada en el Centro, cuando ya no sea necesaria, quede destruida y no tenga acceso a ella personal no autorizado.

Este protocolo será de aplicación a los datos de carácter per-sonal registrados en soporte físico, que los haga suscepti-bles de tratamiento, y a toda modalidad de uso posterior de esos datos por los sectores público y privado.

Objetivo

El fin es garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas y, especialmente, de su honor e intimidad personal y familiar. Para ello se plantea:

• Definir los responsables de resolver las dudas so-bre la documentación que puede ser confidencial.

• Establecer un mecanismo para la destrucción de la documentación que se considera confidencial.

• Fijar la localización de los contenedores de destruc-ción confidencial de documentos.

Responsabilidades

• Jefes de Servicio/Sección/Responsables de Uni-dades/Supervisores/as: Garantizar la correcta des-trucción o eliminación de la documentación confi-dencial, supervisar las retiradas de documentos confidenciales.

• Consultor de documentación confidencial: Atender y resolver las dudas que se planteen sobre el carác-ter confidencial de los documentos.

• Consultor de documentación administrativa: res-ponsable de informática.

• Consultor de documentación clínica: responsable de admisión.

• Dirección del Hospital: Poner los medios necesarios para poder desarrollar adecuadamente el procedi-miento de destrucción de documentación; revisar anualmente la implantación del mismo y favorecer el despliegue de las acciones de mejora que se de-riven de su evaluación; estudiar las propuestas del grupo de trabajo.

6.20 Protocolodedestruccióndedocumentosensoportepapel(HospitalCentraldelaCruz RojaSanJoséySantaAdela,Madrid)

211


Bue

nas

prác

ticas

6El procedimiento tiene como objeto establecer el sistema de actuación a seguir en el Hospital Clínico San Carlos ante la solicitud escrita de documentación clínica por parte del pa-ciente, familiar o representante legal, y definir las responsa-bilidades de los profesionales y ciudadanos en esta materia.

El procedimiento alcanza desde la solicitud escrita de la documentación clínica por parte del paciente, familiar o re-presentante legal hasta la entrega de la documentación al solicitante y/o, en su caso, archivo del expediente.

Si un paciente o usuario desea solicitar Documentación Clí-nica deberá tener presente las siguientes recomendaciones:

• El Servicio de Atención al Usuario del Hospital Clíni-co San Carlos le facilitará una solicitud normalizada para su debida cumplimentación. En este Servicio le informarán y asesorarán de los trámites precisos, documentación necesaria, etc.

• Con motivo de agilizar y facilitar la adecuada trami-tación de su solicitud resulta conveniente que en la

misma haga constar el tipo de documento clínico requerido, especificando los datos que recuerde de la asistencia sanitaria (fecha, servicio, asistencia prestada en consulta externa, urgencias, ingreso, etc.)

• La tramitación de su solicitud y por consiguiente la entrega de la documentación clínica requerida se encuentra sometida a un procedimiento administra-tivo, por lo que no se le podrá entregar en el mismo día. Cuando formule la solicitud le informarán del plazo aproximado de tramitación.

• Si su médico le entrega en consulta algún docu-mento, guárdelo, no lo extravíe, pues pudiera serle de gran utilidad en el futuro.

• Recuerde que en ocasiones es mucho más útil y de mayor valor clínico por ejemplo el Informe radiológi-co que la propia imagen o placa de RX.

6.21 SistemadeactuaciónaseguirenelHospitalantelasolicituddedocumentaciónclínica porpartedelosciudadanosyresponsabilidadesdelHospital(HospitalClínicoSanCarlos, Madrid)

7Conclusiones y reflexionesfinales


213


Con

clusionesyreflexion

esfinales

7Del análisis global de los datos obtenidos como resultado de las encuestas realizadas y, con carácter previo a la obtención de reflexiones específicas sobre cada uno de los apartados objeto de estudio, tenemos que considerar la asunción de responsabilidades en materia de protección de datos en el ámbito sanitario español.

Las sustanciales diferencias entre los modelos de gestión existentes en el ámbito de la atención primaria y especiali-zada se evidencian por las claras discrepancias en los re-sultados de las encuestas realizadas, cuando se analizan por separado los resultados obtenidos en el ámbito de los hospitales y los correspondientes a los centros de salud y consultorios, especialmente en el ámbito de los centros de titularidad pública.

Mientras que la media de resultados satisfactorios obtenidos en las contestaciones a las preguntas planteadas en las en-cuestas se eleva a un 79,90% en el ámbito hospitalario, este porcentaje desciende a un 55,88% en los centros de salud y a un 48,12% en los consultorios.

La asunción centralizada de las obligaciones que impone la normativa de protección de datos por parte de las geren-cias de atención primaria (por ejemplo en el ámbito de la Comunidad de Madrid), evidencia que en muchos casos se ha contestado de forma desfavorable a determinadas cues-tiones planteadas en la encuesta, cuando el interlocutor ha sido directamente el centro de salud o un consultorio, dado que desconocen que esa obligación analizada se cumple de forma centralizada para todos los centros, desde el órgano superior encargado de su coordinación. Esa misma situación es trasladable a muchos otros ámbitos geográficos del terri-torio español.

Una de las primeras reflexiones que deberíamos plantear, como consecuencia de los resultados obtenidos y de la si-

tuación organizativa comentada anteriormente, es que la centralización del cumplimiento de las obligaciones, aunque asegura un mayor respeto al derecho fundamental a la pro-tección de datos por parte de los centros del ámbito de la atención primaria del que se refleja en el análisis estadístico, produce un marcado desconocimiento de la situación real por parte de los profesionales que prestan servicios en esos centros.

No obstante, debemos considerar de manera global el nivel de cumplimiento y respeto al derecho fundamental a la pro-tección de datos más cercano al 80%, obtenido como reflejo de las encuestas en el ámbito de la atención hospitalizada, que al aprobado raspado que se obtiene en el ámbito de la atención primaria.

La apuesta por un modelo de cumplimiento de la normativa de protección de datos de forma centralizada, aunque pro-duce claros beneficios en materia de economías de escala, produce un distanciamiento importante del conocimiento del derecho fundamental a la protección de datos por parte de los profesionales sanitarios que se encuentran en la prime-ra línea de la actividad asistencial. Como segunda reflexión, aunque los resultados de las encuestas manifiestan que existe un importante nivel de conocimiento en la materia, de-bería reforzarse este aspecto. Sólo a través del conocimien-to por parte de los profesionales sanitarios de la existencia del derecho fundamental a la protección de datos es posible conseguir y asegurar su respeto y el cumplimiento de las obligaciones que nos impone.

También desde un punto de vista general debe considerar-se la relevancia de los tratamientos de datos realizados en el ámbito sanitario, afectando con carácter general a datos considerados como especialmente protegidos, lo que supo-ne un nivel de exigencia mayor para el respeto al derecho fundamental a la protección datos. El tratamiento de datos

214


7

Con

clusionesyreflexion

esfinales

sensibles supone una mayor complejidad para su legitima-ción a través de la necesidad de recabar el consentimien-to del interesado, de forma expresa y preferentemente con constancia por escrito (al objeto de poder acreditarlo cuando sea requerido) en aquellos supuestos en que sea necesario. A este respecto, hay que considerar que, con carácter gene-ral y salvo casos específicos, para el tratamiento de datos personales para la prestación de asistencia sanitaria existe, en la propia legislación de protección de datos y en las regu-laciones sanitarias una habilitación especial que exime de la necesidad de obtener el consentimiento.

En el escenario en que se desarrollan los tratamientos de datos especialmente protegidos en el ámbito sanitario, alcanzar un nivel de cumplimiento cercano al 80% en el ámbito de la atención especializada demuestra una clara implicación por parte de los responsables de los tratamien-tos, que han asumido la necesidad de cumplir los mandatos establecidos por la normativa de protección de datos. Esta actitud, volviendo a la comparación entre los datos obteni-dos en el ámbito de la atención especializada y primaria, demuestra que no obstante, en determinados aspectos, los profesionales asistenciales están centrados en el ejercicio de la atención al paciente y usuario, decayendo en ocasio-nes la consideración de otros aspectos en el tratamiento de los datos personales, como son el poder de control sobre los mismos en que se concreta el derecho fundamental a la protección de datos.

Esta especial dificultad en la implantación de las obligacio-nes impuestas por la normativa de protección de datos ha llevado, en determinados momentos y desde determinados sectores, a plantear la necesidad de la existencia de una nor-ma específica para regular los tratamientos de datos de ca-rácter personal en el ámbito sanitario, tratando de armonizar el respeto a los derechos de los pacientes o usuarios con determinadas actuaciones que se desarrollan en la práctica sanitaria. Es necesario reconocer que el cumplimiento de la

normativa de protección de datos (y muchos derechos re-conocidos en la normativa sectorial sanitaria posterior a la entrada en vigor de la LOPD) en el ámbito sanitario supo-ne el cambio radical de determinados tratamientos de datos que se han venido realizando de forma tradicional pero, aún siendo conscientes de esta complejidad, no parece un ar-gumento suficiente para promover un desarrollo normativo específico sobre la materia.

En la labor de implantación de las obligaciones impuestas por la normativa de protección de datos en el sector sani-tario, vistos los resultados obtenidos de las encuestas rea-lizadas, es destacable el alto nivel de establecimiento de procedimientos específicos para determinadas acciones a realizar. El 69,3 % de los centros encuestados manifiestan que poseen un procedimiento para facilitar la revocación del consentimiento prestado por el interesado, cuando éste es necesario, para el tratamiento de sus datos.

Más de un 80% como media de los centros de atención es-pecializada cuentan con un procedimiento para facilitar y agi-lizar el ejercicio de derechos por parte del interesado en ma-teria de acceso a sus datos. Desde una perspectiva objetiva del análisis del cumplimiento de la LOPD, debe considerarse que el ejercicio de derechos supone la vía directa en que se concreta el poder de control del interesado sobre los trata-mientos de sus datos personales en que consiste el derecho fundamental a la protección de datos.

En relación con el respeto a la confidencialidad de los datos que en muchas ocasiones se confunde con el contenido del derecho a la protección de datos, cuando éste es sólo uno de los muchos aspectos en que se manifiesta, destaca el alto grado de implantación de los sistemas de limitación de acceso a la información, tanto a través de sistemas de ges-tión de contraseñas así como con la implantación de medi-das de control de acceso físico a los datos. En este aspecto también destaca la existencia de un 75% de centros en los

215


7

Con

clusionesyreflexion

esfinales

que existe un procedimiento específico para la destrucción de documentos, alcanzándose un porcentaje del 92,2% en los centros de atención especializada.

La implantación de procedimientos, no solo en aspectos re-lacionados con la seguridad de los datos, constituye la mejor vía para garantizar el tratamiento adecuado de los datos de carácter personal.

Analizando los datos según la distribución geográfica de los centros encuestados, se observa un mejor cumplimiento, con carácter general, en aquellas zonas en que existe una autoridad de control en el ámbito autonómico. Esta situación es posible se produzca por la proximidad del órgano de con-trol a los centros sanitarios y sus órganos de responsabili-dad, así como por las actuaciones en materia de divulgación y asesoramiento que realizan las Agencias autonómicas de protección de datos. Como contrapunto a esta reflexión, la encuesta también manifiesta un mayor grado de cumplimien-to en el ámbito privado que en los centros dependientes del

sector público. La razón de esta última diferencia puede fun-damentarse, en determinados casos, en la diferencia de volu-men de muchos de los centros sanitarios públicos y privados, así como el mayor poder coercitivo del régimen sancionador previsto en la LOPD, mediante sanciones económicas a los responsables de carácter privado.

Un aspecto analizado en la encuesta realizada y que ha des-cubierto un menor nivel de implantación en los centros asis-tenciales, es la no existencia de un Sistema de Gestión de la Seguridad de la Información, así como de un Plan de Conti-nuidad para la actividad. Aunque los datos obtenidos al anali-zar de forma individualizada algunas de las medidas de segu-ridad que impone el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, revelan un considerable nivel de cumplimiento de implanta-ción de las mismas, se evidencia una falta de consideración de la adopción de medidas de seguridad de una forma más completa y coordinada que garanticen un normal funciona-miento de los tratamientos de datos en caso de incidencias.

8Recomendaciones


217


Rec

omen

daci

ones

88.1 Recomendaciones a usuarios pacientes

8.2 Recomendaciones a profesionales de la salud

8.3 Recomendaciones a centros sanitarios

• Promoción del ejercicio de los derechos que les reco-noce la legislación vigente en materia de protección de datos, así como la legislación sanitaria en materia de derechos y obligaciones en relación a la documen-tación clínica y su capacidad de autonomía.

• Confianza en los tratamientos de datos realizados por los centros e instituciones sanitarias y control

de los mismos a través del ejercicio del derecho de acceso.

• Confianza en los tratamientos de datos realizados con fines no estrictamente asistenciales (docencia, investigación, etc.), al ser herramientas imprescin-dibles para el desarrollo de las ciencias de la salud y la continua mejora de la asistencia.

• Concienciación del nuevo rol asumido por los pa-cientes, titulares de derechos que deben ser res-petados y sujetos activos en la relación asistencial, con capacidad de autonomía para la toma de deci-siones que afectan a su salud.

• Asunción de la consideración de la actividad asis-tencial como un todo integrado por las actuaciones

de diferentes profesionales, instituciones o centros sanitarios. Rechazo de actitudes de aislamiento y ocultación de información.

• Formación específica en la materia de la protección de datos de carácter personal, en particular, en los aspectos específicos que se deben considerar al tratar datos especialmente protegidos.

• Generación de confianza del usuario en el sistema sanitario a través del respeto de los derechos de los pacientes y usuarios.

• Definición y establecimiento de procedimientos que definan funciones y responsabilidades del personal que intervenga en el tratamiento de datos de carác-ter personal.

• Implantación de procedimientos que faciliten a los usuarios y pacientes el conocimiento y ejercicio de sus derechos.

• Asunción de la protección de datos como un ele-mento indispensable que se debe integrar en el ejercicio de las funciones que se desarrollan en los centros y servicios sanitarios y como un parámetro de calidad en los servicios prestados.

218


Rec

omen

daci

ones

8• Creación de una infraestructura material, dentro de su organización, encaminada al proceso continuo de implantación y verificación del cumplimiento de la normativa de protección de datos.

• Puesta en marcha de acciones sistemáticas de for-mación y concienciación de todos los profesionales

de la sanidad y del personal administrativo y de servi-cios que desarrollan su actividad en los centros sani-tarios sobre sus obligaciones en relación con la priva-cidad de los pacientes y los derechos de los mismos.

8.4 Recomendaciones a Administraciones Públicas

8.5 Recomendaciones a organismos reguladores

• Análisis de las situaciones que se plantean en el desarrollo de la actividad sanitaria, promoviendo la elaboración y aprobación de normas generales que faciliten la implantación de procedimientos respetuo-sos y garantistas con los derechos de los pacientes.

• Consideración de la materia de la protección de datos como un parámetro esencial en el diseño de sistemas o circuitos de información que traten datos personales.

• Colaboración con las administraciones e institu-ciones sanitarias para analizar su problemática específica en el tratamiento de datos personales, proponiendo soluciones equilibradas que garanti-cen tanto el derecho a una asistencia sanitaria de calidad como el respeto al derecho fundamental a la protección de datos personales.

• Asesoramiento continuo a los centros e institucio-nes sanitarias y sus profesionales, al objeto de con-cienciarles de la necesidad del cumplimiento de la legislación como garantía para la mejora de la con-fianza de los usuarios en el sistema sanitario.

• Asistencia directa a los interesados que planteen cualquier consulta, denuncia o solicitud de tutela de sus derechos, tratando de dar la máxima difusión a sus actuaciones, para un mejor conocimiento por toda la población de sus derechos y obligaciones.

Anexo I: Bibliografía


220


Ane

xo I

/

Bib

liogr

afía

• Directiva 1995/46/CE, de 24 de octubre, del Parla-mento y del Consejo, sobre Protección de las perso-nas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

• Ley Orgánica 15/1999, de 13 de diciembre, de Pro-tección de Datos de Carácter Personal.

• Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13/12/1999, de protec-ción de datos de carácter personal.

• Ley 14/1986, de 25 abril, General de Sanidad.

• Convenio para la protección de los derechos huma-nos y la dignidad del ser humano con respecto a las aplicaciones de la Biología y la Medicina.

• Ley 41/2002, de 14 noviembre, básica reguladora de la autonomía del paciente y de derechos y obli-gaciones en materia de información y documenta-ción clínica.

• Ley 16/2003, de 28 mayo, de cohesión y calidad del Sistema Nacional de Salud.

• Ley 14/2007, de 3 julio, Regula la investigación bio-médica.

• Ley 29/2006, de 26 julio, Garantías y uso racional de los medicamentos y productos sanitarios.

• Ley 44/2003, de 21 noviembre, Ordenación de las profesiones sanitarias.

Agencia de Protección de Datos de la Comunidad de Madrid (2008). Protección de datos personales para Servicios Sanitarios Públicos.

Sociedad Española de Informática de la Salud (2008). Seguridad de la Información en Entornos Sanitarios.

Legislación:

Anexo II: Índices


222


Ane

xo II

/Índicedegráficos

Gráfico 1: Soporte de los ficheros con datos personales (%) ...........................................42

Gráfico 2: Soporte de los ficheros con datos personales, segmentación por tipo de centro (%) ..............................................43

Gráfico 3: Soporte de los ficheros con datos personales, segmentación por dependencia patrimonial (%) ......................44

Gráfico 4: Declaración de ficheros en la Agencia de Protección de Datos (%)........................45

Gráfico 5: Declaración de ficheros en la Agencia de Protección de Datos, segmentación por tipo de centro (%) .................................46

Gráfico 6: Declaración de ficheros en la Agencia de Protección de Datos, segmentación geográfica (suma de Sí, en la Agencia Estatal y Sí, en la Agencia autonómica) (%) .47

Gráfico 7: Centros sanitarios con ficheros inventariados (%)........................................48

Gráfico 8: Centros sanitarios con ficheros inventariados, segmentación por tipo de centro (%) ..............................................49

Gráfico 9: Centros sanitarios con ficheros inventariados, segmentación por dependencia patrimonial (%) ......................50

Gráfico 10: Centros sanitarios con ficheros inventariados, segmentación geográfica (%) ..51

Gráfico 11: Formación sobre protección de datos del personal de atención al público (%)......52

Gráfico 12: Formación sobre protección de datos del personal de atención al público, segmentación por tipo de centro (%)..........53

Gráfico 13: Formación sobre protección de datos del personal de atención al público, segmentación por dependencia patrimonial (%) ...........................................54

Gráfico 14: Formación sobre protección de datos del personal de atención al público, segmentación geográfica (suma de Conoce de forma general los derechos de las personas cuyos datos se recaban y Dispone de un conocimiento profundo de la normativa sobre protección de datos) (%) ..............................................55

Gráfico 15: Existencia de la figura de coordinador o responsable de protección de datos (%) ..56

Gráfico 16: Existencia de la figura de coordinador o responsable de protección de datos, segmentación por tipo de centro (%)..........57

Gráfico 17: Existencia de la figura de coordinador o responsable de protección de datos, segmentación por dependencia patrimonial (%) ...........................................58

Gráfico 18: Existencia de la figura de coordinador o responsable de protección de datos, segmentación geográfica (%) .....................59

Gráfico 19: Existencia de cláusulas informativas en los impresos de recogida de datos de los pacientes (%) ...................................61

Gráfico 20: Existencia de cláusulas informativas en los impresos de recogida de datos de los pacientes, segmentación por tipo de centro (%) .......................................62

Gráfico 21: Existencia de cláusulas informativas en los impresos de recogida de datos de los pacientes, segmentación por dependencia patrimonial (%) ......................63

Gráfico 22: Existencia de cláusulas informativas en los impresos de recogida de datos de los pacientes, segmentación geográfica (%) ............................................64

Gráfico 23: Modo de información sobre el sistema de videovigilancia (%).................................65

223


Ane

xo II

/Índicedegráficos

Gráfico 24: Modo de información sobre el sistema de videovigilancia, segmentación por tipo de centro (%) .......................................66

Gráfico 25: Modo de información sobre el sistema de videovigilancia, segmentación por dependencia patrimonial (%) ......................67

Gráfico 26: Existencia de carteles informativos (%)......68

Gráfico 27: Existencia de carteles informativos, segmentación por tipo de centro (%)..........69

Gráfico 28: Existencia de carteles informativos, segmentación por dependencia patrimonial (%) ...........................................70

Gráfico 29: Existencia de carteles informativos, segmentación geográfica (%) .....................71

Gráfico 30: Solicitud de consentimiento (%) .................74

Gráfico 31: Solicitud de consentimiento, segmentación por tipo de centro (%)..........75

Gráfico 32: Solicitud de consentimiento, segmentación por dependencia patrimonial (%) ...........................................76

Gráfico 33: Solicitud de consentimiento, segmentación geográfica (suma de Siempre y A menudo) (%)...........................77

Gráfico 34: Existencia de procedimiento para la revocación del consentimiento (%) .........78

Gráfico 35: Existencia de procedimiento para la revocación del consentimiento, segmentación por tipo de centro (%)..........79

Gráfico 36: Existencia de procedimiento para la revocación del consentimiento, segmentación por dependencia patrimonial (%) ...........................................80

Gráfico 37: Existencia de procedimiento para la revocación del consentimiento, segmentación geográfica (%) .....................81

Gráfico 38: Existencia de procedimiento para la solicitud de consentimiento en casos de investigaciones clínicas (%) ..................82

Gráfico 39: Existencia de procedimiento para la solicitud de consentimiento en casos de investigaciones clínicas, segmentación por tipo de centro (%) .................................83

Gráfico 40: Existencia de procedimiento para l a solicitud de consentimiento en casos de investigaciones clínicas, segmentación por dependencia patrimonial (%)................84

Gráfico 41: Existencia de procedimiento para la solicitud de consentimiento en casos de investigaciones clínicas, segmentación geográfica (%) ............................................85

Gráfico 42: Existencia de controles en la recogida de datos de la Historia Clínica en los casos de investigaciones (%) .....................86

Gráfico 43: Existencia de controles en la recogida de datos de la Historia Clínica en los casos de investigaciones, segmentación por tipo de centro (%) .................................87

Gráfico 44: Existencia de controles en la recogida de datos de la Historia Clínica en los casos de investigaciones, segmentación por dependencia patrimonial (%)................88

Gráfico 45: Existencia de controles en la recogida de datos de la Historia Clínica en los casos de investigaciones, segmentación geográfica (suma de Siempre y A menudo) (%) .........................................89

Gráfico 46: Existencia de herramientas o procedimientos de anonimización de datos (%) ...............................................90

Gráfico 47: Existencia de herramientas o procedimientos de anonimización de datos, segmentación por tipo de centro (%) ..............................................91

224


Ane

xo II

/Índicedegráficos

Gráfico 48: Existencia de herramientas o procedimientos de anonimización de datos, segmentación por dependencia patrimonial (%) ...........................................92

Gráfico 49: Existencia de herramientas o procedimientos de anonimización de datos, segmentación geográfica (%) .....93

Gráfico 50: Recogida de datos estrictamente necesarios para la finalidad de uso (%) .....95

Gráfico 51: Recogida de datos estrictamente necesarios para la finalidad de uso, segmentación por tipo de centro (%)..........96

Gráfico 52: Recogida de datos estrictamente necesarios para la finalidad de uso, segmentación por dependencia patrimonial (%) ...........................................97

Gráfico 53: Recogida de datos estrictamente necesarios para la finalidad de uso, segmentación geográfica (%) .....................98

Gráfico 54: Verificación de la corrección y actualización de los datos (%) .................99

Gráfico 55: Verificación de la corrección y actualización de los datos, segmentación por tipo de centro (%)........100

Gráfico 56: Verificación de la corrección y actualización de los datos, segmentación por dependencia patrimonial (%) .........................................101

Gráfico 57: Verificación de la corrección y actualización de los datos, segmentación geográfica (Sí, existe un procedimiento específico) (%) .............102

Gráfico 58: Procedimiento para el ejercicio de los derechos de acceso, rectificación, cancelación u oposición de los datos (derechos ARCO) (%) ..........105

Gráfico 59: Procedimiento para el ejercicio de los derechos de acceso, rectificación, cancelación u oposición de los datos, segmentación por tipo de centro (%)........106

Gráfico 60: Procedimiento para el ejercicio de los derechos ARCO, segmentación por dependencia patrimonial (%)..............107

Gráfico 61: Procedimiento para el ejercicio de los derechos ARCO, segmentación geográfica (%) ..........................................108

Gráfico 62: Procedimiento de regulación del acceso a los datos del historial clínico por el titular (%) .............................109

Gráfico 63: Procedimiento de regulación del acceso a los datos del historial clínico por el titular, segmentación por tipo de centro (%) ............................... 110

Gráfico 64: Procedimiento de regulación del acceso a los datos del historial clínico por el titular, segmentación por dependencia patrimonial (%).............. 111

Gráfico 65: Procedimiento de regulación del acceso a los datos del historial clínico por el titular, segmentación geográfica (%) .......................................... 112

Gráfico 66: Anotaciones subjetivas de los médicos en las historias clínicas que entrega a los pacientes (%) ................................... 114

Gráfico 67: Anotaciones subjetivas de los médicos en las historias clínicas que entrega a los pacientes, segmentación por tipo de centro (%) ............................................ 115

Gráfico 68: Anotaciones subjetivas de los médicos en las historias clínicas que entrega a los pacientes, segmentación por dependencia patrimonial (%) .................... 116

225


Ane

xo II

/Índicedegráficos

Gráfico 69: Anotaciones subjetivas de los médicos en las historias clínicas que entrega a los pacientes, segmentación geográfica (suma de Siempre y A menudo) (%)......... 117

Gráfico 70: Conocimiento del deber de secreto sobre los datos personales (%) ................ 118

Gráfico 71: Conocimiento del deber de secreto sobre los datos personales, segmentación por tipo de centro (%)........ 119

Gráfico 72: Conocimiento del deber de secreto sobre los datos personales, segmentación por dependencia patrimonial (%)..............120

Gráfico 73: Limitación de accesos (%)........................122

Gráfico 74: Limitación de accesos, segmentación por tipo de centro (%) ..............................123

Gráfico 75: Limitación de accesos, segmentación por dependencia patrimonial (%)..............124

Gráfico 76: Limitación de accesos, segmentación geográfica (Sí, y además existen controles para evitar accesos no autorizados) (%) ..................................125

Gráfico 77: Procedimiento de gestión de contraseñas (%) ..................................126

Gráfico 78: Procedimiento de gestión de contraseñas, segmentación por tipo de centro (%) ...............................127

Gráfico 79: Procedimiento de gestión de contraseñas, segmentación por dependencia patrimonial (%)..............128

Gráfico 80: Procedimiento de gestión de contraseñas, segmentación geográfica (%) ..........................................129

Gráfico 81: Gestión del acceso de los profesionales a la Historia Clínica Electrónica (HCE) (%) ..............................131

Gráfico 82: Gestión del acceso de los profesionales a la Historia Clínica Electrónica (HCE), segmentación por tipo de centro (%) ...............................132

Gráfico 83: Gestión del acceso de los profesionales a la Historia Clínica Electrónica (HCE), segmentación por dependencia patrimonial (%)..............133

Gráfico 84: Gestión del acceso de los profesionales a la Historia Clínica Electrónica (HCE), segmentación por geográfica (Cada profesional accede a la HC de los pacientes con los que tiene relación asistencial) (%) .........................................134

Gráfico 85: Control de acceso físico a las instalaciones donde se encuentran los sistemas de información (%)...............135

Gráfico 86: Control de acceso físico a las instalaciones donde se encuentran los sistemas de información, segmentación por tipo de centro (%)........136

Gráfico 87: Control de acceso físico a las instalaciones donde se encuentran los sistemas de información, segmentación por dependencia patrimonial (%) .........................................137

Gráfico 88: Control de acceso físico a las instalaciones donde se encuentran los sistemas de información, segmentación geográfica (Suma de El acceso está restringido y El acceso está restringido y existen herramientas de control de accesos) (%) .......................138

Gráfico 89: Existencia de Documento de Seguridad (%)...........................................139

Gráfico 90: Existencia de Documento de Seguridad, segmentación por tipo de centro (%) ............................................140

226


Ane

xo II

/Índicedegráficos

Gráfico 91: Existencia de Documento de Seguridad, segmentación por dependencia patrimonial (%) ....................141

Gráfico 92: Existencia de Documento de Seguridad, segmentación geográfica (%) ..........................................142

Gráfico 93: Existencia de Responsable de Seguridad (%)......................................143

Gráfico 94: Existencia de Responsable de Seguridad, segmentación por tipo de centro (%) .....................................144

Gráfico 95: Existencia de Responsable de Seguridad, segmentación por dependencia patrimonial (%) ....................145

Gráfico 96: Existencia de Responsable de Seguridad, segmentación geográfica (%) ..........................................146

Gráfico 97: Procedimiento de realización de copias de respaldo y recuperación (%) ....147

Gráfico 98: Procedimiento de realización de copias de respaldo y recuperación, segmentación por tipo de centro (%)........148

Gráfico 99: Procedimiento de realización de copias de respaldo y recuperación, segmentación por dependencia patrimonial (%) .........................................149

Gráfico 100: Procedimiento de realización de copias de respaldo y recuperación, segmentación geográfica (%) ...................150

Gráfico 101: Existencia de un procedimiento para la destrucción de documentos con datos de carácter personal (%)..........152

Gráfico 102: Existencia de un procedimiento para la destrucción de documentos con datos de carácter personal, segmentación por tipo de centro (%)........153

Gráfico 103: Existencia de un procedimiento para la destrucción de documentos con datos de carácter personal, segmentación por dependencia patrimonial (%) .........................................154

Gráfico 104: Existencia de un procedimiento para la destrucción de documentos con datos de carácter personal, segmentación geográfica (%) ...................155

Gráfico 105: Procedimiento de notificación, gestión y respuesta a incidencias (%) ......156

Gráfico 106: Procedimiento de notificación, gestión y respuesta a incidencias, segmentación por tipo de centro (%)........157

Gráfico 107: Procedimiento de notificación, gestión y respuesta a incidencias, segmentación por dependencia patrimonial (%) .........................................158

Gráfico 108: Procedimiento de notificación, gestión y respuesta a incidencias, segmentación geográfica (%) ...................159

Gráfico 109: Existencia de un Sistema de Gestión de la Seguridad de la Información (%) .....160

Gráfico 110: Existencia de un Sistema de Gestión de la Seguridad de la Información, segmentación por tipo de centro (%)........161

Gráfico 111: Existencia de un Sistema de Gestión de la Seguridad de la Información, segmentación por dependencia patrimonial (%) .........................................162

Gráfico 112: Existencia de un Sistema de Gestión de la Seguridad de la Información, segmentación geográfica (%) ...................163

Gráfico 113: Existencia de un Plan de Continuidad de Negocio (%) .........................................164

Gráfico 114: Existencia de un Plan de Continuidad de Negocio, segmentación por tipo de centro (%) ............................................165

227


Ane

xo II

/Índicedegráficos

Gráfico 115: Existencia de un Plan de Continuidad de Negocio, segmentación por dependencia patrimonial (%) ....................166

Gráfico 116: Existencia de un Plan de Continuidad de Negocio, segmentación geográfica (%) ..........................................167

Gráfico 117: Realización de auditorías de seguridad (%) ......................................168

Gráfico 118: Realización de auditorías de seguridad, segmentación por tipo de centro (%)........169

Gráfico 119: Realización de auditorías de seguridad, segmentación por dependencia patrimonial (%) .........................................170

Gráfico 120: Realización de auditorías de seguridad, segmentación geográfica (Suma de Sí, al menos cada año, Sí, al menos cada 2 años y Sí, con mayor frecuencia) (%) .........................................171

Gráfico 121: Existencia de un sistema de control de los envíos de datos de pacientes a terceros (%) ...........................................173

Gráfico 122: Existencia de un sistema de control de los envíos de datos de pacientes a terceros, segmentación por tipo de centro (%) ............................................174

Gráfico 123: Existencia de un sistema de control de los envíos de datos de pacientes a terceros, segmentación por dependencia patrimonial (%) ....................175

Gráfico 124: Existencia de un sistema de control de los envíos de datos de pacientes a terceros, segmentación geográfica (%) ..........................................176

Gráfico 125: Entidades que han sufrido inspección por parte de la Agencia de Protección de Datos (%)......................178

Gráfico 126: Entidades que han sufrido inspección por parte de la Agencia de Protección de Datos, segmentación por tipo de centro (%) ...............................179

Gráfico 127: Entidades que han sufrido inspección por parte de la Agencia de Protección de Datos, segmentación por dependencia patrimonial (%)..............180

Gráfico 128: Entidades que han sufrido inspección por parte de la Agencia de Protección de Datos, segmentación geográfica (%) ..........................................181

Gráfico 129: Entidades que han sido objeto de expediente sancionador por parte de la Agencia de Protección de Datos (%) .............................................182

Gráfico 130: Entidades que han sido objeto de expediente sancionador por parte de la Agencia de Protección de Datos, segmentación por tipo de centro (%)........183

Gráfico 131: Entidades que han sido objeto de expediente sancionador por parte de la Agencia de Protección de Datos, segmentación por dependencia patrimonial (%) .........................................184

228


Ane

xo II

/

Índi

ce d

e ta

blas

Tabla 1: Tipos y volumen de los Centros Sanitarios españoles ........................................................25

Tabla 2: Tipos y volumen de centros de atención primaria por CCAA ..........................................26

Tabla 3: Distribución de la muestra y error muestral.....27

229


Ane

xo II

/

Índi

ce d

e ilu

stra

cion

es

Ilustración 1: Folletos informativos del proyecto denominado “Adecuación del Hospital General Universitario Reina Sofía a la LOPD”. .............................................186

Ilustración 2: Herramienta web de gestión (repositorio único) de usuarios de Atención Primaria....................................190

Ilustración 3: Centro de Soporte del Servicio Andaluz de Salud ....................................191

Ilustración 4: Boletín de Seguridad del Plan de Comunicación en protección de datos para profesionales sanitarios y ciudadanos ...........................................192

Ilustración 5: Web del Defensor del Paciente ..............195

Ilustración 6: Documentación clínica en Atención Primaria: procedimiento de acceso para uso no asistencial ...........................196

Ilustración 7: Aplicación HUser ....................................198

Ilustración 8: Imagen de campaña “El reto hacia la seguridad” ...........................................206

www.inteco.es www.apdcm.es

Estudio LOPD en el sector sanitario

Documents

Transcript of Estudio LOPD en el sector sanitario