"Consentir la cesión de datos sanitarios solo le corresponde al paciente"

La entrada en escena de elementos como el 'big data' o la inteligencia artificial han hecho que el debate en torno a los datos sanitarios adquiera más intensidad si cabe. A ellos se ha referido la presidenta de la Alianza de la Sanidad Privada Española (ASPE), Cristina Contel, que se ha encargado de abrir la 'I Jornada de Novedades Normativas en el Sector Sanitario 2019'. En una intervención donde ha destacado las "cuantiosas multas" por el incumplimiento de la Ley Orgánica de Protección de Datos, Contel ha incidido en la idea de que "consentir la cesión de datos sanitarios solo le corresponde al paciente".

La presidenta de la patronal ha subrayado la "especial sensibilidad y protección que se da a los datos personales sanitarios, que gozan del mayor nivel de protección en su recopilación, tratamiento y manejo". Por otro lado, Contel incide en "la responsabilidad" de todos los agentes que entran en contacto con los datos de salud. Según la presidenta de ASPE: "La responsabilidad no puede ser subrogada o transferida al amparo de contratos genéricos, como pueden ser los casos de acuerdos entre entidades sanitarias y aseguradoras de salud".

La segunda mesa redonda de la jornada se ha centrado en las novedades normativas sobre verificación de medicamentos. En este sentido, Cristina Contel ha señalado la "gran importancia de garantiar la trazabilidad de los medicamentos", por ello ha indicado que "son esenciales los mecanismos para poner al alcance la calidad asistencial".

Tratamiento flexible de los datos de salud

---

"La nueva ley permite una mayor flexibilidad en el tratamiento de datos sanitarios"

---

Jesús Rubí Navarrete, adjunto a la Dirección de la Agencia Española de Protección de Datos (AEPD), ha afirmado durante su ponencia que, pese a que se siga operando con la necesidad de consentimiento a la hora de tratar con datos sanitarios, "las nuevas legislaciones han aumentado las bases jurídicas tradicionales". Por ejemplo, las excepciones en las que no se prohíbe el tratamiento de este tipo de datos son "amenazas transfronterizas graves para la salud, la investigación científica, analizar los niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios".

Por otro lado, Rubí Navarrete ha profundizado en el manejo de datos de salud con fines de investigación biomédica. El representante de la AEPD ha hecho hincapié en que la nueva LOPD "permite y exige una interpretación flexible y amplia de las finalidades para las que se puede consentir el tratamiento de estos datos, entre las que se encuentra la investigación biomédica". Rubí Navarrete confirma que "el Comité Europeo de Protección de Datos (CEPD) diferencia la utilización de los datos de salud con el fin de investigación biomédica".

Formación a los profesionales sanitarios

Isabel Jiménez, DPO del Grupo Asisa y del Grupo HLA, ha comentado que desde HLA "hemos optado por crear una oficina de la privacidad y hemos designado interlocutores internos a nivel de cada una de las clínicas y hospitales del grupo para que nos sirvan de enlace para poner en marcha la ley de protección de datos". Desde el grupo han hecho "especial hincapié en la formación y la concienciación sobre la ley, también tenemos prevista hacer formación online junto al departamento de Recursos Humanos y que será para todo el grupo Asisa".

---

El Grupo Asisa asegura que el plazo de 72 horas para comunicar una fuga de información es muy corto

---

Jiménez ha destacado que se han dado cuenta de que "es muy fácil que haya una pequeña o gran fuga de información". Según la especialista del Grupo Asisa, esto es debido a que "intervienen distintos agentes, como terceros, que colaboran en la prestación de servicios con las clínicas y los hospitales". Respecto al plazo de 72 horas que indica la normativa europea dentro de las cuales se debe comunicar a la agencia una fuga o brecha de información, Isabel Jiménez ha asegurado que "el plazo se queda cortísimo",  ya que es muy largo "todo el conjunto de acciones que hay que hacer para darte cuenta de que se ha producido una fuga de información".

Por su parte, Luis Hidalgo, de la Dirección General de Relaciones Institucionales del Instituto Nacional de Ciberseguridad (INCIBE), ha declarado que durante los dos últimos años se han producido más de 200 hechos relevantes en el mundo de ataques de ciberseguridad y que el sector sanitario también puede ser víctima de este tipo de ataques. Este tipo de ataques son uno de los grandes problemas a los que se enfrenta la protección de datos.

Alberto Martín, director general de Alaro Avant, ha abordado la designación de la figura del delegado de protección de datos. Martín ha explicado que deben contar con uno "los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes, a excepción de los profesionales de la salud que ejerzan su actividad a título individual". Respecto a la reutilización de datos con fines de investigación biomédica, Martín ha aclarado que se podrá llevar a cabo "cuando se haya recogido el consentimiento para una finalidad concreta y se utilicen para una finalidad relacionada".

Por último, María C. de la Cruz, vicepresidenta del Comité de Ética en la Investigación de la Comunidad de Madrid, ha subrayado que la nueva LOPD "nos limita a utilizar una parte muy pequeñita para la investigación". Sin embargo, ha asegurado que "detrás de una dificultad, encontraremos como mínimo una oportunidad, la de mejorar, y esta ley nos ha permitido mejorar".