Si tens una clínica, un centre mèdic o una consulta privada, probablement ja has sentit a parlar del RGPD. Però el que potser no tens tan clar és que el teu sector és un dels més vigilats: les dades de salut són una categoria especial i el seu tractament està subjecte a obligacions més estrictes que les d'un simple negoci de venda al públic.
Això no vol dir que t'hagis d'espantar. Vol dir que necessites saber exactament quines dades maneges, per què les tens i quines mesures has de prendre perquè una revisió de l'Agència Espanyola de Protecció de Dades (AEPD) no es converteixi en un maldecap. Anem a veure-ho amb calma i sense tecnicismes.
Quines dades de salut protegeix el RGPD?
El RGPD considera les dades de salut com una categoria especial de dades, recollida al seu article 9. Això inclou informació sobre la salut física o mental d'una persona, però també altres dades que la poden revelar indirectament: resultats de proves, diagnòstics, historials mèdics, receptes, al·lèrgies, baixes laborals, i fins i tot dades genètiques o biomètriques.
En el teu dia a dia maneges moltes d'aquestes dades sense pensar-hi. Una llista de pacients, una agenda de cites amb el motiu de la consulta, un correu electrònic amb un informe... Tot això és informació sensible. I la normativa exigeix que tinguis una base legal per tractar-la, normalment el consentiment explícit del pacient o la necessitat de prestar-li assistència sanitària.
A més, no val amb el "consentiment de tota la vida". Has d'informar clarament el pacient sobre què faràs amb les seves dades, durant quant de temps les conservaràs i si les cediràs a tercers (per exemple, a un laboratori o a una asseguradora). Sense aquesta informació transparent, el teu tractament de dades pot ser sancionable.
Obligacions pràctiques d'una clínica amb el RGPD
Complir el RGPD en una clínica no és només tenir un cartell de "protecció de dades" a la recepció. Hi ha obligacions concretes que has de tenir en ordre:
- Registre d'activitats de tractament: has de documentar quins tractaments fas, amb quina finalitat, qui hi té accés i durant quant de temps conserves les dades.
- Mesures de seguretat tècniques i organitzatives: des del xifratge dels historials clínics fins al control d'accés al programari de gestió de pacients. Si algú pot veure historials des de qualsevol ordinador sense contrasenya, això és un problema.
- Formació del personal: els teus empleats han de saber que no poden comentar casos fora de la consulta, ni obrir correus sospitosos, ni compartir credencials. L'error humà és una de les causes més comunes de filtracions.
- Drets dels pacients: qualsevol pacient pot demanar-te accés a les seves dades, la seva rectificació, la seva supressió o la portabilitat. Has de tenir un procediment per respondre en temps i forma.
Aquestes obligacions no depenen de la mida del teu centre. Una clínica de dues persones les ha de complir igual que un gran hospital.
Breixes de dades: el termini de 72 hores amb l'AEPD
Una breixa de dades és qualsevol incident que comprometi la confidencialitat, disponibilitat o integritat de les dades personals. En una clínica, això pot ser des d'un robatori d'un portàtil amb historials fins a un error que envia un diagnòstic al correu d'un altre pacient.
Si passa una breixa, tens un termini legal de 72 hores des que en tens constància per notificar-la a l'AEPD. I compte: no notificar pot ser sancionat de manera independent. És a dir, a més de la possible multa per la breixa en si, pots rebre'n una altra per no avisar.
La notificació ha d'incloure què ha passat, quins tipus de dades s'han vist afectades, i quines mesures has pres per mitigar l'impacte. Si la breixa presenta un alt risc per als pacients, també hauràs de comunicar-los-ho directament. Com pots imaginar, això no és una cosa que s'improvisi el mateix dia. T'interessa tenir un procediment preparat. Pots aprofundir en les conseqüències de no notificar a temps al nostre article sobre la multa per no notificar una breixa de dades.
Sancions: quant pots arribar a pagar?
Les sancions per incomplir el RGPD poden arribar, en els casos més greus, fins a 20 milions d'euros o el 4% de la facturació global anual de l'empresa, el que sigui més gran. Aquesta xifra sembla aterridora, però a la pràctica les sancions a pimes solen ser molt inferiors a aquest màxim.
Tot i això, una multa de diversos milers d'euros pot enfonsar una clínica petita. I el cost no és només econòmic: una filtració de dades sanitàries danya greument la confiança dels teus pacients. En un sector on la reputació ho és tot, això pot ser més car que la pròpia sanció.
La bona notícia és que prevenir és molt més barat que pagar una multa. Un pla de monitorització de filtracions costa uns pocs euros al mes, mentre que un incompliment pot costar-te milers d'euros i un disgust enorme. Hem parlat abans d'aquesta diferència entre el cost d'incomplir el RGPD i el de prevenir-lo.
Monitorització de filtracions: com Alerta Brecha et pot ajudar
A Alerta Brecha vigilem de manera contínua si les dades de la teva clínica (correus electrònics, dominis, telèfons, etc.) apareixen en filtracions conegudes o en llistats d'internet. En estar en fase d'accés anticipat, pots apuntar-te a la llista d'espera per accedir al servei.
Tenim dos plans pensats per a pimes i autònoms:
- Pla Bàsic (9€/mes): monitorització setmanal per saber si les teves dades han aparegut en alguna filtració.
- Pla Professional (14,50€/mes el primer any, 29€/mes després): monitorització diària amb alerta immediata si es detecta alguna cosa, i inclou un PDF precarregat per notificar a l'AEPD i una guia pas a pas per respondre correctament en les primeres 72 hores.
Això sí, serem honestos: cap servei de monitorització pot garantir que detecti el 100% de les filtracions que existeixen, i tampoc substitueix completament un delegat de protecció de dades. Però és una capa de seguretat útil i assequible, especialment si no tens temps ni pressupost per a un equip de compliment.
Si la teva clínica encara no té clar com respondre davant una filtració, et recomanem llegir la nostra guia sobre com notificar una breixa de seguretat a l'AEPD per entendre el procés des de dins. I si ni tan sols saps si alguna cosa t'afecta, el nostre article sobre què és una breixa de dades et servirà de punt de partida.
---
Recorda que aquest article té un caràcter merament divulgatiu i no substitueix l'assessorament d'un professional legal qualificat. Per resoldre dubtes concrets sobre la teva situació, consulta amb un professional.