Test: Protección de datos en sanidad

La protección de datos en el ámbito sanitario es uno de los temas con mayor proyección práctica para el Celador del SERMAS. El manejo cotidiano de historias clínicas, datos de filiación y documentación sensible convierte este bloque en fuente habitual de preguntas test. Dominar la normativa aplicable —y sus límites concretos— es imprescindible para superar la oposición.

Marco normativo

Las normas que articulan este tema son cuatro:

• Reglamento (UE) 2016/679, de 27 de abril de 2016 (RGPD): norma europea de aplicación directa en todos los Estados miembros. Prima sobre la legislación nacional en caso de conflicto.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD): adapta el RGPD al ordenamiento español. Por ser Ley Orgánica, requirió mayoría absoluta del Congreso.
• Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (LAP): regula la historia clínica, el consentimiento informado y el acceso a la documentación sanitaria.
• Ley 55/2003, de 16 de diciembre, del Estatuto Marco del personal estatutario de los servicios de salud: establece deberes de confidencialidad para el personal sanitario y no sanitario, categoría en la que se encuadra el Celador.

Estructura del tema

El tema se articula en torno a tres ejes:

1. Qué son los datos de salud y por qué merecen protección reforzada.
2. Quién puede acceder a ellos y en qué condiciones.
3. Qué obligaciones tiene el personal del SERMAS, incluido el Celador.

Conceptos clave

Dato personal y dato de salud

El dato personal es cualquier información sobre una persona física identificada o identificable (art. 4.1 RGPD).

El dato de salud es una categoría especial: información relativa a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria (art. 4.15 RGPD). Estos datos gozan de protección reforzada.

El art. 9.1 RGPD prohíbe con carácter general el tratamiento de datos de salud. Solo se levanta esa prohibición en los supuestos tasados del art. 9.2 RGPD, entre ellos:

• Consentimiento explícito del interesado.
• Fines de medicina preventiva, diagnóstico médico, prestación de asistencia sanitaria o gestión de sistemas y servicios de salud (art. 9.2.h RGPD).
• Razones de interés público en el ámbito de la salud pública (art. 9.2.i RGPD).

Historia clínica

La historia clínica es el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y evolución clínica de un paciente (art. 14.1 LAP).

Aspectos clave para el examen:

• Conservación mínima: los centros sanitarios deben conservar la documentación clínica como mínimo cinco años desde la fecha del alta de cada proceso asistencial (art. 17.1 LAP).
• Acceso del paciente: el paciente tiene derecho a acceder a la documentación de su historia clínica (art. 18.1 LAP).
• Acceso de terceros: los familiares o allegados del paciente solo pueden acceder si el paciente lo permite expresamente o si ha fallecido, salvo que el fallecido lo hubiera prohibido expresamente (art. 18.4 LAP).
• Acceso del personal sanitario: únicamente el personal que atiende al paciente puede acceder a su historia clínica en el ejercicio de sus funciones (art. 16.1 LAP). El Celador no tiene acceso a la historia clínica salvo en lo estrictamente necesario para su función de traslado o custodia documental.

Consentimiento informado

El consentimiento es la conformidad libre, voluntaria y consciente del paciente, manifestada en el pleno uso de sus facultades, para que tenga lugar una actuación que afecta a su salud (art. 3 LAP).

• Regla general: el consentimiento puede ser verbal (art. 8.2 LAP).
• Forma escrita obligatoria en: intervenciones quirúrgicas, procedimientos diagnósticos y terapéuticos invasores, y en general cuando se apliquen procedimientos que supongan riesgos o inconvenientes de notoria y previsible repercusión negativa sobre la salud del paciente (art. 8.2 LAP).
• Mayoría de edad sanitaria: a partir de 16 años, el menor presta el consentimiento por sí mismo, salvo en casos de grave riesgo (art. 9.3.c LAP en su redacción vigente).

Derechos ARSULIPO (RGPD y LOPDGDD)

El RGPD reconoce al ciudadano un catálogo de derechos sobre sus datos:

• Acceso (art. 15 RGPD)
• Rectificación (art. 16 RGPD)
• Supresión (“derecho al olvido”, art. 17 RGPD)
• Limitación del tratamiento (art. 18 RGPD)
• Portabilidad (art. 20 RGPD)
• Oposición (art. 21 RGPD)

El responsable del tratamiento debe responder a estas solicitudes en el plazo de un mes, prorrogable otros dos meses más en casos complejos, comunicando la prórroga al interesado en el primer mes (art. 12.3 RGPD).

Responsable y encargado del tratamiento

• Responsable del tratamiento: quien determina los fines y medios del tratamiento (art. 4.7 RGPD). En el SERMAS, es la propia Comunidad de Madrid / el centro sanitario.
• Encargado del tratamiento: quien trata los datos por cuenta del responsable (art. 4.8 RGPD). Debe existir un contrato escrito que regule el encargo (art. 28 RGPD).

Delegado de Protección de Datos (DPD)

El art. 37.1.a RGPD obliga a designar un DPD cuando el tratamiento lo lleve a cabo una autoridad u organismo público. Los centros del SERMAS están obligados a tenerlo. El DPD actúa con independencia y no puede ser sancionado por el ejercicio de sus funciones (art. 38.3 RGPD).

Deber de confidencialidad del Celador

La Ley 55/2003 establece como deber del personal estatutario mantener la debida reserva y confidencialidad de la información y documentación relativa a los centros sanitarios y a los usuarios (art. 19.1.e Ley 55/2003). Este deber no cesa con la extinción de la relación de servicio.

La LOPDGDD refuerza esta obligación: las personas que intervengan en cualquier fase del tratamiento de datos están sujetas al deber de confidencialidad (art. 5.1 LOPDGDD), incluso después de finalizar su relación con el responsable.

Datos numéricos y plazos que más se preguntan

• 5 años: conservación mínima de la historia clínica desde el alta (art. 17.1 LAP).
• 1 mes: plazo para responder solicitudes de derechos (art. 12.3 RGPD).
• 2 meses adicionales: prórroga máxima para responder (art. 12.3 RGPD).
• 16 años: edad a partir de la cual el menor consiente por sí mismo en el ámbito sanitario (art. 9.3.c LAP).
• 72 horas: plazo para notificar una brecha de seguridad a la Agencia Española de Protección de Datos (AEPD) desde que el responsable tiene conocimiento de ella (art. 33.1 RGPD).

Errores típicos del opositor

• Confundir el plazo de conservación de la historia clínica: son 5 años desde el alta del proceso, no desde el nacimiento del paciente ni desde la última consulta.
• Creer que el Celador puede acceder a la historia clínica: el Celador no tiene acceso a la historia clínica. Su función es el traslado físico de documentos, no su consulta.
• Confundir responsable y encargado: el responsable decide el “para qué” y el “cómo”; el encargado ejecuta el tratamiento por orden del responsable.
• Pensar que el deber de confidencialidad termina con el contrato: tanto la LOPDGDD (art. 5.1) como la Ley 55/2003 (art. 19.1.e) establecen que el deber persiste tras el cese de la relación laboral o estatutaria.
• Confundir el plazo de respuesta a derechos: es 1 mes (prorrogable a 3 en total), no 15 días ni 2 meses directamente.

Trucos mnemotécnicos

• “5 años de historia”: la historia clínica se guarda 5 años, igual que los dedos de una mano. Fácil de visualizar.
• “72 horas para avisar a la AEPD”: tres días naturales, como un fin de semana largo. Si hay brecha, hay que avisar antes de que acabe el “puente”.
• “1+2 = 3 meses para responder”: el mes base más los dos de prórroga suman tres. Nunca más.
• “ARSULIPO”: Acceso, Rectificación, Supresión, Limitación, Portabilidad, Oposición. Las seis iniciales forman el acrónimo para recordar los derechos del RGPD.
• “El Celador traslada, no lee”: regla de oro para cualquier pregunta sobre acceso del Celador a documentación clínica.