Se tes unha clínica, un centro médico ou unha consulta privada, probablemente xa oíches falar do RGPD. Pero o que quizais non teñas tan claro é que o teu sector é un dos máis vixiados: os datos de saúde son unha categoría especial e o seu tratamento está suxeito a obrigas máis estritas que as dun simple negocio de venda ao público.
Isto non significa que debas asustarte. Significa que precisas saber exactamente que datos manexas, por que os tes e que medidas debes tomar para que unha revisión da Axencia Española de Protección de Datos (AEPD) non se converta nunha dor de cabeza. Imos velo con calma e sen tecnicismos.
Que datos de saúde protexe o RGPD?
O RGPD considera os datos de saúde como unha categoría especial de datos, recollida no seu artigo 9. Isto inclúe información sobre a saúde física ou mental dunha persoa, pero tamén outros datos que poden revelala indirectamente: resultados de probas, diagnósticos, historiais médicos, receitas, alerxias, baixas laborais, e mesmo datos xenéticos ou biométricos.
No teu día a día manexas moitos destes datos sen pensalo. Unha lista de pacientes, unha axenda de citas co motivo da consulta, un correo electrónico cun informe... Todo iso é información sensible. E a normativa esixe que teñas unha base legal para tratala, normalmente o consentimento explícito do paciente ou a necesidade de prestarlle asistencia sanitaria.
Ademais, non vale co "consentimento de toda a vida". Debes informar claramente ao paciente sobre que vas facer cos seus datos, durante canto tempo os conservarás e se os cederás a terceiros (por exemplo, a un laboratorio ou a unha aseguradora). Sen esa información transparente, o teu tratamento de datos pode ser sancionable.
Obrigas prácticas dunha clínica co RGPD
Cumprir o RGPD nunha clínica non é só ter un cartel de "protección de datos" na recepción. Hai obrigas concretas que debes ter en orde:
- Rexistro de actividades de tratamento: debes documentar que tratamentos fas, con que finalidade, quen ten acceso e durante canto tempo conservas os datos.
- Medidas de seguridade técnicas e organizativas: desde o cifrado dos historiais clínicos ata o control de acceso ao software de xestión de pacientes. Se alguén pode ver historiais desde calquera ordenador sen contrasinal, iso é un problema.
- Formación do persoal: os teus empregados deben saber que non poden comentar casos fóra da consulta, nin abrir correos sospeitosos, nin compartir credenciais. O erro humano é unha das causas máis comúns de filtracións.
- Dereitos dos pacientes: calquera paciente pode pedirche acceso aos seus datos, a súa rectificación, a súa supresión ou a portabilidade dos mesmos. Debes ter un procedemento para responder en tempo e forma.
Estas obrigas non dependen do tamaño do teu centro. Unha clínica de dúas persoas ten que cumprilas igual que un gran hospital.
Brechas de datos: o prazo de 72 horas coa AEPD
Unha brecha de datos é calquera incidente que comprometa a confidencialidade, dispoñibilidade ou integridade dos datos persoais. Nunha clínica, isto pode ser desde un roubo dun portátil con historiais ata un erro que envía un diagnóstico ao correo doutro paciente.
Se ocorre unha brecha, tes un prazo legal de 72 horas desde que tes constancia para notificala á AEPD. E ollo: non notificar pode ser sancionado de forma independente. É dicir, ademais da posible multa pola brecha en si, podes recibir outra por non avisar.
A notificación debe incluír que pasou, que tipos de datos se viron afectados, e que medidas tomaches para mitigar o impacto. Se a brecha presenta un alto risco para os pacientes, tamén deberás comunicalo a eles directamente. Como podes imaxinar, isto non é algo que se improvise o mesmo día. Interésache ter un procedemento preparado. Podes profundar nas consecuencias de non notificar a tempo no noso artigo sobre a multa por non notificar unha brecha de datos.
Sancións: canto podes chegar a pagar?
As sancións por incumprir o RGPD poden alcanzar, nos casos máis graves, ata 20 millóns de euros ou o 4% da facturación global anual da empresa, o que sexa maior. Esa cifra soa aterradora, pero na práctica as sancións a pemes adoitan ser moi inferiores a ese máximo.
Aínda así, unha multa de varios miles de euros pode afundir a unha clínica pequena. E o custo non é só económico: unha filtración de datos sanitarios dana gravemente a confianza dos teus pacientes. Nun sector onde a reputación o é todo, iso pode ser máis caro que a propia sanción.
A boa noticia é que previr é moito máis barato que pagar unha multa. Un plan de monitorización de filtracións custa uns poucos euros ao mes, mentres que un incumprimento pode custarche miles de euros e un disgusto enorme. Falamos antes desa diferenza entre o custo de incumprir o RGPD e o de prevelo.
Monitorización de filtracións: como Alerta Brecha pode axudarche
En Alerta Brecha vixiamos de forma continua se os datos da túa clínica (correos electrónicos, dominios, teléfonos, etc.) aparecen en filtracións coñecidas ou en listados de internet. Ao estar en fase de acceso anticipado, podes apuntarte á lista de espera para acceder ao servizo.
Temos dous plans pensados para pemes e autónomos:
- Plan Básico (9€/mes): monitorización semanal para saber se os teus datos apareceron nalgunha filtración.
- Plan Profesional (14,50€/mes o primeiro ano, 29€/mes despois): monitorización diaria con alerta inmediata se se detecta algo, e inclúe un PDF precargado para notificar á AEPD e unha guía paso a paso para responder correctamente nas primeiras 72 horas.
Iso si, ser honestos: ningún servizo de monitorización pode garantir que detecte o 100% das filtracións que existen, e tampouco substitúe por completo a un delegado de protección de datos. Pero é unha capa de seguridade útil e asequible, especialmente se non tes tempo nin orzamento para un equipo de cumprimento.
Se a túa clínica aínda non ten claro como responder ante unha filtración, recomendámosche ler a nosa guía sobre como notificar unha brecha de seguridade á AEPD para entender o proceso desde dentro. E se nin sequera sabes se algo te afecta, o noso artigo sobre que é unha brecha de datos servirache de punto de partida.
---
Lembra que este artigo ten un carácter meramente divulgativo e non substitúe o asesoramento dun profesional legal cualificado. Para resolver dúbidas concretas sobre a túa situación, consulta cun profesional.