Análisis de riesgos y accesos: la muralla de ciberseguridad de la privada

La tecnología forma parte del día a día en los centros sanitarios, pero no solo en la asistencia, sino también como eslabón fundamental en la protección de datos de los pacientes. ASPE sostiene que desempeña un "papel central" y, por ello, ha abordado recientemente los desafíos y barreras de la ciberseguridad en este ámbito. ¿Qué papel tiene en los grupos hospitalarios de la sanidad privada? Desde Ribera le otorgan un "papel clave" y ven en este aspecto una oportunidad, más allá del imperativo. Para una adecuada protección, parten de un análisis de los riesgos para después implementar una serie de medidas.

Así lo define Manuel Bosch, director de Innovación del grupo sanitario Ribera: "La ciberseguridad para nosotros es una ventaja competitiva. Contar con sistemas y herramientas digitales seguras es, hoy por hoy, no solo un imperativo, sino una oportunidad. Y no solo desde el punto de vista técnico, sino también desde el legal y el ético, asegurando un acceso adecuado, legal y justo a la información". A fin de cuentas, se resume en que tiene un "papel clave", la ciberseguridad "marca la diferencia" en la asistencia sanitaria prestada por los pacientes, según sostienen desde este grupo privado.

Francisco Rodríguez, Delegado de Protección de Datos (DPO) del grupo, explica que es muy importante los pacientes sientan que tanto ellos cuando reciben una asistencia sanitaria, como los datos personales que gestionan como parte de esos procesos asistenciales, están seguros. "En nuestro caso utilizamos modelos de protección de datos enfocados al análisis de los riesgos a los que nos podemos enfrentar. A partir de estos análisis, determinamos para cada tratamiento de datos personales las medidas de seguridad más adecuadas para cada caso", concreta.

Algunas de las medidas son: aplicación de accesos lógicos a la información, a través de los cuales establecen perfiles de profesionales que pueden acceder a la información, según las necesidades de la actividad; la aplicación de entornos seguros para compartir información entre distintos profesionales; y, la más importante según Rodríguez: la planificación de actividades formativas y de concienciación dirigidas a los profesionales que en su día a día tratan datos personales para que entiendan la necesidad de proteger los datos de los pacientes. "Sobre todo, que sepan cuáles son las herramientas que Ribera pone a su disposición para ello", enfatiza.

Delegado de Protección de Datos en Ribera

Rodríguez explica que debido al Reglamento General de Protección de Datos de la Unión Europea desde 2018 es obligatorio que aquellas entidades que realizan tratamientos de datos a gran escala tengan un DPO. "Y desde la entrada en vigor de la Ley Orgánica de Protección de Datos y Garantías de Derechos Digitales, se establece de forma concreta que aquellos centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes, deben contar con uno", añade.

Sin embargo, desde Ribera apostaron por la implantación de esta figura antes de que fuera obligatorio, en 2016. El motivo que empujó esta decisión fue la voluntad de la organización de prestar a los pacientes "una asistencia sanitaria orientada hacia la excelencia", que tuviera en cuenta todos y cada uno de los aspectos que influyen, no solo los puramente clínicos.

Las funciones están reguladas por normativa. Estas abarcan desde asesorar y supervisar que la organización cuenta con bases de legitimación para los tratamientos de datos hasta realizar análisis de riesgos o evaluaciones de impacto en Protección de Datos por los tratamientos de datos, pasando también por ser el punto de contacto con los interesados y con las autoridades de control en la materia.

"No obstante, si tuviera que definir las funciones de un DPO en unas pocas líneas, diría que la función es de asesorar a la dirección en el cumplimiento de la normativa de protección de datos de forma que los distintos órganos de gobierno puedan tomar decisiones relativas a los tratamientos de datos personales que se ajusten a las obligaciones derivadas de la normativa", resume Rodríguez.

Ciberseguridad en el SNS

Bosch sostiene que los datos en salud son "muy valiosos" y objetivo claro de los ciberdelincuentes. "Muchos grupos sanitarios hemos desarrollado e invertido en sistemas y programas de ciberseguridad, aunque aún queda camino por hacer", detalla.

Rodríguez, por su parte, sostiene que, con independencia de que se trate de un centro público o privado, se intenta proteger de la mejor manera posible los datos de los que son responsables. "Pero, en ocasiones, la diferencia estará en los recursos que cada operador destina a la protección de los derechos y libertades de los pacientes", apostilla.