La FNCP demanda una norma específica que proteja los datos de salud

Enrique Pita / Imagen: Pablo Eguizábal. Madrid
Europa trabaja en un reglamento que regule la protección de datos. Para ello, se han identificado las mejores prácticas de cada Estado de la UE y se han recogido en un texto que, una vez esté aprobado, será de aplicación inmediata, sin necesidad de transposición. En lo que se refiere a los datos de salud, el documento no prevé grandes cambios con respecto a la legislación española, según ha explicado el subdirector general del Registro General de Protección de Datos de la Agencia Española de Protección de Datos (AEPD), Julián Prieto, en el marco de una jornada organizada por la Federación Nacional de Clínicas Privadas (FNCP).

Julián Prieto, subdirector general del Registro General de Protección de Datos de la Agencia Española de Protección de Datos (AEPD).

Así, los datos de salud seguirán considerados como una categoría de especial protección, si bien hace una interpretación “extensiva y amplia de la definición de lo que es un dato de salud”, en la línea de la actual. Además, los datos genéticos también estarían incluidos como una categoría de especial protección. Sin embargo, según ha señalado a Redacción Médica el gerente de la FNCP, Carlos Rus, lo deseable sería que una normativa específica regulara la protección de datos en el sector salud, por el tipo de datos que maneja. En este sentido Rus ha apuntado que una fórmula posible sería dar más peso a los códigos tipo, una suerte de fórmulas de buenas prácticas que adoptan las empresas y que deben ser depositados e inscritos en el Registro General de Protección de Datos. “Creo que en el sector sanitario la vía de la autorregulación a través de estos códigos tipo puede ser interesante para adaptar el tratamiento a las características especiales de estos datos”, ha concedido Prieto.

El principio general de este reglamento europeo establece que los datos de salud no pueden ser tratados, salvo en casos de consentimiento explícitos, que sería equivalente al consentimiento expreso de la normativa española, es decir, no se puede considerar la no acción o el silencio como un consentimiento; o bien cuando fuera necesario para proteger el interés vital del paciente o de un tercero y no pueda ser otorgado por incapacidad física o jurídica; o cuando fuera necesario a efectos sanitarios o si fuese necesario para la investigación científica o médica. “En estos casos el tratamiento de los datos sanitarios está recogido en el reglamento como situaciones específicas”, ha explicado Prieto. Además, establece que se pueden tratar siempre que sea necesario para medicina preventiva, medicina del trabajo, diagnóstico médico, prestación de asistencia sanitaria o gestión de servicios de asistencia sanitaria, “pero con la condición de que se realice por un profesional sanitario o por un profesional sometido a equivalente régimen de confidencialidad. También se podrán tratar los datos de salud por razones de interés de salud pública o de protección social”.

Por otra parte, el reglamento “ha optado por reforzar la exigencia de un compromiso activo con la protección de datos” para evitar o paliar las infracciones, es decir, en la línea de exigir que se adopten las medidas necesarias para la protección de datos. Además, será necesaria una evaluación de impacto previa al tratamiento de los datos de salud.

En cuanto a las sanciones que establece el reglamento, Rus ha señalado como “razonable” que, pese a que se incrementen, se establezca un criterio para que se adopten en función de los ingresos de la compañía que incurra en una infracción, que podrán ser de hasta 250.000, 500.000 o 1.000.000.