Salud y RGPD: proteger los datos sensibles de los pacientes

¿De qué trata el RGPD?

El RGPD incluye los datos de salud entre las categorías especiales del artículo 9, cuyo tratamiento está prohibido salvo excepción. Los datos afectados incluyen el estado de salud físico y mental, pero también datos inferidos (resultados, prescripciones).

En Francia, la protección se refuerza mediante la obligación de recurrir a un alojador de datos de salud certificado (HDS) y el papel de la CNIL, especialmente vigilante en este sector.

¿Está afectado el sector «Sanidad»?

Centros sanitarios, profesionales, editores de software de salud y proveedores que tratan datos de salud están todos concernidos, sin umbral alguno. La sensibilidad de los datos genera exigencias superiores a las de un tratamiento ordinario.

Los actores que creen albergar «solo» datos administrativos deben verificarlo: en cuanto un dato revela el estado de salud, aunque sea indirectamente, se aplica el régimen reforzado.

Obligaciones detalladas

Sanciones y riesgos

Las multas pueden alcanzar los 20 M€ o el 4 % del volumen de negocio mundial. La AEPD ejerce una vigilancia reforzada sobre los datos de salud y sanciona las deficiencias de seguridad y de alojamiento.

Una filtración de datos de salud conlleva un perjuicio grave para las personas y un importante riesgo reputacional para el actor afectado.

Errores frecuentes en el sector

• 1Tratamiento sin excepción. Tratar datos de salud sin una excepción válida del artículo 9.
• 2Ausencia de EIPD. Omitir el análisis de impacto, no obstante casi sistemático.
• 3Alojamiento no HDS. Almacenar datos de salud en un alojador no certificado.
• 4Accesos no rastreados. No registrar los accesos a los expedientes, impidiendo cualquier detección de uso anómalo.

Caso práctico

Una estructura sanitaria despliega una aplicación de seguimiento de pacientes alojada en un proveedor no certificado HDS, sin EIPD. Una inspección detecta ambas deficiencias. La regularización pasa por la migración a un proveedor HDS, la realización de la EIPD y la implantación del registro de accesos — tres requisitos que condicionan la legalidad del sistema.

Hoja de ruta de cumplimiento

1. 1

   Cartografiar. Inventariar los tratamientos de datos de salud y su localización.

2. 2

   Calificar la base legal. Verificar la excepción aplicada a cada tratamiento.

3. 3

   Realizar las EIPD. Llevar a cabo los análisis de impacto necesarios.

4. 4

   Formalizar el HDS contractualmente. Recurrir a un proveedor de alojamiento certificado y formalizar el DPA.

5. 5

   Asegurar los accesos. Reforzar habilitaciones, cifrado y registro de eventos.

Preguntas frecuentes