La Agencia Española de Protección de Datos Envía un requerimiento a 654 Hospitales de toda España

En el VII Foro sobre protección de datos celebrado en Pamplona los días 13 y 14 de Abril, los asistentes tuvieron la oportunidad de conocer de primera mano la noticia. Artemi Rallo, Director de la AEPD, anunció el envío de un requerimiento de la agencia a nada menos que 654 hospitales de toda España. Concretamente, según el Sr. Artemi, a todos los hospitales del catálogo nacional bajo la jurisdicción directa de la AEPD.

El Director de la Agencia, se lamentó por la falta de colaboración de los responsables de los centros sanitarios para el cumplimiento de la Ley, especialmente en lo relativo a los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición).

El 90% de la denuncias presentadas por los ciudadanos ante la agencia respecto de los centros sanitarios son estimadas. Según el Sr. Rallo, hay que insistir más en que los responsables de los centros colaboren y cumplan con la LOPD y anunció que la agencia ha iniciado una actuación que tendrá un fuerte impacto en el Sistema Nacional de Salud respecto de la protección de datos

La AEPD ha enviado a 654 centros españoles un requerimiento sobre cuestiones de la LOPD que deberán cumplimentar antes del 31 de mayo. El objetivo es realizar una evaluación sobre el nivel de cumplimiento de los centros sanitarios a nivel nacional .

El cuestionario nos pedirá información sobre varios (no todos) aspectos importantes, como los procedimientos internos de los centros para facilitar el ejercicio de los derechos ARCO a los ciudadanos, y especialmente sobre el deber de información.

También hay cuestiones sobre los procedimientos para la gestión de la información de salud tanto dentro de la organización como la realizada por los encargados de tratamiento, Registro de Accesos y auditorías sobre el mismo, Procedimientos de conservación y custodia de la información en soporte papel, cumplimiento con las auditorías bienales obligatorias,… (ojo, nos piden la fecha de la última auditoría sobre LOPD realizada en el centro)

Por último, Artemi Rallo, anunció con claridad que la agencia actuará en consecuencia con los datos obtenidos en a partir de este requerimiento.

Bueno, la afirmación del Sr. Rallo, puede ser interpretada, pero da la sensación que se trata de una nueva vuelta de tuerca en el camino hacia la LOPD.

¿Tenéis responsable de seguridad para contestar al cuestionario o tendrá que ser el Gerente quien lo firme? ¿Se ha hecho una auditoria LOPD en vuestro centro en los dos últimos años? ¿Tenéis un registro de accesos a los datos de salud? ¿y si lo hay…. lo mira alguien? ¿Se verifican que los accesos realizados son realmente lícitos? ¿Tenéis en regla los contratos con las empresas que prestan servicios en vuestros centros?….. Son algunas de las preguntas a las que tendrán que contestar los responsables.

Os recomiendo la lectura de la NOTA DE PRENSA DE LA AEPD:

…La iniciativa de evaluar el nivel de cumplimiento de los centros hospitalarios se debe a la constatación de alarmantes casos y procedimientos tramitados por la Agencia vinculados principalmente a la vulneración de los deberes de seguridad y secreto por parte de centros sanitarios  – entre los que se encuentran casos de difusión de datos de pacientes a través de redes de intercambio de archivos P2P, como eMule, así como datos de salud abandonados en la vía pública- así como al incremento de las tutelas de derechos relacionadas con el acceso a la historia clínica planteadas por ciudadanos en los últimos años.
Así mismo, la AEPD ha tramitado diversas reclamaciones relativas a la pérdida de historiales clínicos de pacientes al proceder a la automatización de los historiales y no adoptar las medidas de seguridad pertinentes; utilización de los datos sanitarios para finalidades no autorizadas y la comunicación indebida de datos como comunicación de datos a terceras personas (caso de entrega de historias o información  médica a ex-conyuges); entrega de certificados hospitalarios de ingresos a terceras personas con información excesiva, o denuncias relativas a la cesión de historias clínicas a efectos de facturación a terceras entidades. ….