Test: Protección de datos en sanidad (LOPDGDD, RGPD)

La protección de datos en el ámbito sanitario es uno de los temas con mayor proyección práctica en las oposiciones de Celador. El Celador maneja, aunque sea de forma indirecta, información clínica de los pacientes: historias clínicas, datos de filiación, resultados de pruebas. Conocer los límites legales de ese manejo es obligatorio y preguntado en examen.

Marco normativo

Los tres pilares normativos de este tema son:

• Reglamento (UE) 2016/679, de 27 de abril de 2016 (RGPD): norma de aplicación directa en toda la Unión Europea desde el 25 de mayo de 2018.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD): adapta el RGPD al ordenamiento español.
• Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica: regula la historia clínica y el consentimiento informado.

La jerarquía es clara: el RGPD prevalece sobre la LOPDGDD; la Ley 41/2002 es norma especial en materia sanitaria y se aplica de forma complementaria.

Conceptos clave

Dato personal

El art. 4.1 RGPD define dato personal como «toda información sobre una persona física identificada o identificable». El nombre, el DNI, la dirección, el número de historia clínica o una imagen son datos personales.

Dato especialmente protegido (categoría especial)

El art. 9.1 RGPD establece que los datos relativos a la salud son una categoría especial de datos, junto con los datos genéticos, biométricos, origen racial, ideología, religión, vida sexual, entre otros. Su tratamiento está prohibido con carácter general, salvo que concurra alguna de las excepciones del art. 9.2 RGPD.

En el ámbito sanitario, la excepción más relevante es la del art. 9.2.h) RGPD: el tratamiento es lícito cuando es necesario para fines de medicina preventiva o laboral, diagnóstico médico, prestación de asistencia sanitaria o tratamiento o gestión de los sistemas y servicios de asistencia sanitaria.

Responsable del tratamiento

Art. 4.7 RGPD: persona física o jurídica, autoridad pública u organismo que determina los fines y medios del tratamiento. En el SES, el responsable es la propia institución sanitaria (hospital, centro de salud), no el trabajador individual.

Encargado del tratamiento

Art. 4.8 RGPD: quien trata datos por cuenta del responsable. Ejemplo: una empresa externa de mantenimiento informático que accede a servidores con historias clínicas.

Consentimiento

Art. 4.11 RGPD: manifestación de voluntad libre, específica, informada e inequívoca. Para datos de salud, el art. 9.2.a) RGPD exige que el consentimiento sea explícito. No basta el consentimiento tácito ni el silencio.

Historia clínica

Art. 14 Ley 41/2002: el paciente tiene derecho de acceso a la documentación de su historia clínica. El art. 15 regula su contenido mínimo. El art. 17 establece la conservación de la documentación clínica: mínimo 5 años desde la fecha del alta de cada proceso asistencial.

Principios del tratamiento de datos (RGPD, art. 5)

Son los principios que rigen cualquier tratamiento. Memorizarlos es fundamental:

• Licitud, lealtad y transparencia: el tratamiento debe tener base jurídica y el interesado debe ser informado.
• Limitación de la finalidad: los datos se recogen para fines determinados y no se usan para fines incompatibles.
• Minimización de datos: solo se tratan los datos adecuados, pertinentes y limitados a lo necesario.
• Exactitud: los datos deben ser exactos y actualizados.
• Limitación del plazo de conservación: no se conservan más tiempo del necesario.
• Integridad y confidencialidad: tratamiento con seguridad adecuada, incluida la protección contra accesos no autorizados.
• Responsabilidad proactiva (accountability): el responsable debe poder demostrar el cumplimiento de todos los principios anteriores.

Derechos del interesado (RGPD)

El RGPD reconoce al ciudadano un catálogo de derechos sobre sus propios datos:

• Derecho de acceso (art. 15 RGPD): obtener confirmación de si se tratan sus datos y una copia de ellos.
• Derecho de rectificación (art. 16 RGPD): corregir datos inexactos.
• Derecho de supresión o «derecho al olvido» (art. 17 RGPD): solicitar la eliminación de sus datos.
• Derecho a la limitación del tratamiento (art. 18 RGPD): restringir el uso de sus datos en determinadas circunstancias.
• Derecho a la portabilidad (art. 20 RGPD): recibir sus datos en formato estructurado y de uso común.
• Derecho de oposición (art. 21 RGPD): oponerse al tratamiento en determinados supuestos.

Atención al examen: el derecho de acceso a la historia clínica del art. 14 Ley 41/2002 es la concreción sanitaria del derecho de acceso del art. 15 RGPD. Son compatibles, no contradictorios.

Autoridad de control: la AEPD

La Agencia Española de Protección de Datos (AEPD) es la autoridad de control independiente en España, prevista en el art. 57 RGPD y regulada en los arts. 44 y siguientes de la LOPDGDD. Es el organismo ante el que se presentan reclamaciones por vulneración de derechos en materia de protección de datos.

Régimen sancionador

Infracciones y sanciones (RGPD, arts. 83 y 84; LOPDGDD, arts. 70-77)

El RGPD establece dos niveles de multas administrativas:

• Nivel 1 (art. 83.4 RGPD): hasta 10.000.000 € o el 2 % del volumen de negocio anual global del ejercicio anterior (la cifra mayor).
• Nivel 2 (art. 83.5 RGPD): hasta 20.000.000 € o el 4 % del volumen de negocio anual global (la cifra mayor). Se aplica a las infracciones más graves, como vulnerar los principios del art. 5 o los derechos de los interesados.

La LOPDGDD clasifica las infracciones en muy graves, graves y leves (arts. 72, 73 y 74 LOPDGDD) y adapta el régimen sancionador para las Administraciones Públicas: estas no reciben multas económicas, sino que la AEPD puede dictar resoluciones de apercibimiento y comunicarlo al órgano competente (art. 77 LOPDGDD).

Responsabilidad penal

El Código Penal tipifica en sus arts. 197 y siguientes los delitos contra la intimidad y el secreto de las comunicaciones. El acceso no autorizado a datos de salud o su revelación puede constituir delito, con penas de prisión.

Datos numéricos y plazos que más se preguntan

• 25 de mayo de 2018: fecha de aplicación del RGPD.
• 5 años: plazo mínimo de conservación de la historia clínica desde el alta (art. 17 Ley 41/2002).
• 10.000.000 € / 2 %: multa de nivel 1 (art. 83.4 RGPD).
• 20.000.000 € / 4 %: multa de nivel 2 (art. 83.5 RGPD).
• 72 horas: plazo máximo para notificar una brecha de seguridad a la autoridad de control (art. 33.1 RGPD).
• 1 mes: plazo general para responder a una solicitud de ejercicio de derechos (art. 12.3 RGPD), prorrogable otros 2 meses en casos complejos.

Errores típicos del opositor

• Confundir responsable y encargado: el responsable decide el para qué y el cómo; el encargado ejecuta por cuenta del responsable.
• Creer que el consentimiento siempre es necesario: en sanidad, la base jurídica más frecuente es el art. 9.2.h) RGPD (asistencia sanitaria), no el consentimiento explícito del paciente.
• Confundir el plazo de conservación de la historia clínica con el de prescripción de acciones: 5 años es el mínimo legal de conservación documental (art. 17 Ley 41/2002), no un plazo de prescripción de responsabilidades.
• Pensar que las Administraciones Públicas reciben multas económicas: la LOPDGDD excluye las multas económicas para las AAPP (art. 77 LOPDGDD) y prevé el apercibimiento.
• Olvidar el plazo de 72 horas para notificar brechas: es uno de los datos numéricos más preguntados en test.

Trucos mnemotécnicos

• Los 7 principios del art. 5 RGPD: «Li-Li-Mi-Ex-Li-In-Re» → Licitud, Limitación de finalidad, Minimización, Exactitud, Limitación de conservación, Integridad/confidencialidad, Responsabilidad proactiva.
• Multas del RGPD: recuerda «2-10 / 4-20»: nivel bajo = 2 % y 10 millones; nivel alto = 4 % y 20 millones.
• 72 horas para brechas: «tres días para avisar al vigilante» (la AEPD es el vigilante).
• Datos de salud = categoría especial: siempre que veas «datos de salud» en un enunciado, activa la alerta de «protección reforzada» y recuerda el art. 9 RGPD.
• 5 años de historia clínica: «cinco años de vida en papel» (desde el alta del proceso).