Klinika bat, zentro mediko bat edo kontsulta pribatu bat baduzu, ziurrenik RGPDren berri izan duzu jada. Baina agian ez duzu hain argi zure sektorea zaintzapekoenetako bat dela: osasun-datuak kategoria berezia dira, eta haien tratamendua betebehar zorrotzagoen mende dago, publikoari salmenta egiten dion negozio soil batena baino.
Horrek ez du esan nahi beldurtu behar zarenik. Esan nahi du jakin behar duzula zehatz-mehatz zein datu kudeatzen dituzun, zergatik dituzun eta zer neurri hartu behar dituzun Espainiako Datuen Babeserako Agentziaren (AEPD) berrikuspen bat buruhauste bihur ez dadin. Ikus dezagun lasai eta teknika-berbarik gabe.
Zein osasun-datu babesten ditu RGPDk?
RGPDk osasun-datuak datu-kategoria berezitzat hartzen ditu, bere 9. artikuluan jasota. Horrek pertsona baten osasun fisiko edo mentalari buruzko informazioa barne hartzen du, baina baita zeharka agerian jar dezaketen beste datu batzuk ere: proben emaitzak, diagnostikoak, historia medikoak, errezetak, alergiak, laneko bajak, eta baita datu genetikoak edo biometrikoak ere.
Zure egunerokoan datu horietako asko kudeatzen dituzu pentsatu gabe. Pazienteen zerrenda bat, hitzorduen agenda kontsultaren arrazoiarekin, txosten bat duen mezu elektroniko bat... Hori guztia informazio sentikorra da. Eta araudiak oinarri juridiko bat izatea eskatzen du horiek tratatzeko, normalean pazientearen baimen esplizitua edo osasun-laguntza emateko beharra.
Gainera, ez da balio "betiko baimenarekin". Pazienteari argi eta garbi jakinarazi behar diozu zer egingo duzun bere datuekin, zenbat denboran gordeko dituzun eta hirugarrenei lagako dizkiezun (adibidez, laborategi edo aseguratzaile bati). Informazio garden hori gabe, zure datu-tratamendua zigorgarria izan daiteke.
Klinika baten betebehar praktikoak RGPDrekin
Klinika batean RGPD betetzea ez da "datuen babesa" kartel bat edukitzea harreran. Betebehar zehatzak daude, eta ordenan eduki behar dituzu:
- Tratamendu-jardueren erregistroa: zer tratamendu egiten dituzun, zein helbururekin, nork duen sarbidea eta zenbat denboran gordetzen dituzun datuak dokumentatu behar dituzu.
- Neurri tekniko eta antolamenduzkoak: historia klinikoen zifraketa eta pazienteen kudeaketa softwarearen sarbide-kontrola barne. Norbaitek historialak ikus ditzakeen edozein ordenagailutik pasahitzik gabe, hori arazo bat da.
- Langileen prestakuntza: zure langileek jakin behar dute ezin dituztela kasuak kontsultatik kanpo komentatu, ez mezu elektroniko susmagarriak ireki, ez kredentzialak partekatu. Giza akatsa ihesaldien kausa ohikoenetako bat da.
- Pazienteen eskubideak: edozein pazientek eska diezazuke bere datuetarako sarbidea, zuzentzea, ezabatzea edo eramangarritasuna. Prozedura bat izan behar duzu denbora eta forman erantzuteko.
Betebehar horiek ez dute zure zentroaren tamainaren araberakoak. Bi pertsonako klinika batek bete behar ditu, ospitale handi batek bezala.
Datu-hausteak: 72 orduko epea AEPDrekin
Datu-haustea datu pertsonalen konfidentzialtasuna, erabilgarritasuna edo osotasuna arriskuan jartzen duen edozein gorabehera da. Klinika batean, hori izan daiteke historialak dituen ordenagailu eramangarri bat lapurtzetik paziente baten posta elektronikoan diagnostiko bat bidaltzen duen akats batera.
Haustea gertatzen bada, 72 orduko epe legala duzu, jakinaren gainean zaudenetik, AEPDri jakinarazteko. Eta kontuz: ez jakinaraztea modu independentean zigor daiteke. Hau da, haustearen beraren zigorraz gain, beste bat jaso dezakezu ez ohartarazteagatik.
Jakinarazpenak jaso behar du zer gertatu den, zer datu-mota eragin dituen eta zer neurri hartu dituzun eragina arintzeko. Hausteak pazienteentzako arrisku handia badu, zuzenean ere jakinarazi beharko diezu. Imajina dezakezunez, hori ez da egun berean inprobisatzen den zerbait. Interesatzen zaizu prozedura bat prestatuta edukitzea. Sakondu dezakezu garaiz ez jakinaraztearen ondorioetan gure artikuluan: datu-hauste bat ez jakinarazteagatiko isuna.
Zigorrak: zenbat ordaindu dezakezu?
RGPD ez betetzeagatiko zigorrak, kasu larrienetan, 20 milioi euroraino edo enpresa osoaren urteko fakturazio globalaren %4ra irits daitezke, handiena dena. Zifra hori izugarria dirudi, baina praktikan pymeentzako zigorrak askoz txikiagoak izan ohi dira gehienezko hori baino.
Hala ere, milaka euroko isun batek klinika txiki bat hondoratu dezake. Eta kostua ez da soilik ekonomikoa: osasun-datuen ihesaldi batek zure pazienteen konfiantza kaltetzen du larriki. Ospearen sektore batean, hori isuna bera baino garestiagoa izan daiteke.
Albiste ona da prebenitzea isun bat ordaintzea baino askoz merkeagoa dela. Ihesaldien monitorizazio-plan batek hilean euro batzuk kostatzen ditu, eta ez-betetze batek milaka euro eta atsekabe handia kosta diezazuke. Lehenago hitz egin dugu RGPD ez betetzearen kostuaren eta prebenitzearen arteko diferentziaz.
Ihesaldien monitorizazioa: nola lagun zaitzake Alerta Brecha-k
Alerta Brecha-n etengabe zaintzen dugu zure klinikaren datuak (posta elektronikoak, domeinuak, telefonoak, etab.) ezagutzen diren ihesaldietan edo interneteko zerrendetan agertzen ote diren. Sarbide goiztiarreko fasean zaudenez, itxaron-zerrendan izena eman dezakezu zerbitzura sartzeko.
Pyme eta autonomoentzako bi plan ditugu:
- Plan Básico (9€/hilabete): asteroko monitorizazioa zure datuak ihesaldi batean agertu diren jakiteko.
- Plan Profesional (14,50€/hilabete lehen urtean, 29€/hilabete ondoren): eguneroko monitorizazioa, zerbait hautematen bada berehalako alertarekin, eta AEPDri jakinarazteko PDF aurrez kargatua eta lehen 72 orduetan behar bezala erantzuteko urratsez urratseko gida barne hartzen ditu.
Bai, zintzoak izateko: monitorizazio-zerbitzu batek ezin du bermatu existitzen diren ihesaldi guztien %100a hautemango duenik, eta ez du erabat ordezkatzen datuen babeserako ordezkari bat. Baina segurtasun-geruza erabilgarria eta merkea da, batez ere betetze-talde bat izateko denborarik edo aurrekonturik ez baduzu.
Zure klinikak oraindik ez badu argi ihesaldi baten aurrean nola erantzun, gure gida irakurtzea gomendatzen dizugu: segurtasun-hauste bat AEPDri nola jakinarazi prozesua barrutik ulertzeko. Eta zerbait eragiten dizun ere ez badakizu, gure artikulua zer den datu-hauste bat abiapuntu gisa balioko dizu.
---
Gogoratu artikulu honek izaera dibulgatiboa besterik ez duela eta ez duela ordezkatzen lege-profesional kualifikatu baten aholkularitza. Zure egoerari buruzko zalantza zehatzak konpontzeko, jarri harremanetan aditu batekin.