Cada vez que un español acude a su médico de cabecera, a urgencias, a un especialista de un hospital y, en general, a cualquier profesional de la salud, se le abre una historia clínica. Es un documento válido desde el punto vista clínico y legal donde se recoge la información necesaria (asistencial, preventiva y social) para la correcta atención de los pacientes. Debe recordarse que los tratamientos de datos de carácter personal que se realizan en el ámbito hospitalario y, en particular, los relacionados con la gestión de las historias clínicas o la investigación clínica, incluyen datos de salud, considerados datos sensibles o especialmente protegidos por la Ley (al mismo nivel que el origen racial y la vida sexual). y, como tales, tienen un régimen de garantías más fuerte.
Según aclara Antoni Bosch, presidente del Institute of Audit & IT-Governance (IAITG), una iniciativa que contempla la realidad de las tecnologías de la información y su buen gobierno, este mayor nivel de garantías en el ámbito sanitario se concreta en la exigencia de un consentimiento reforzado, la cualificación de las infracciones como muy graves y la aplicación de las medidas de seguridad de nivel alto.
No obstante, según las conclusiones del informe elaborado por la AEPD, sólo un 22,5% de los hospitales consultados ha realizado la última auditoría en 2010; un 30,8% en 2009; un 10% en 2008, y un 7,4% en 2006 o años anteriores. Un 29,3% de los centros no aporta información sobre la fecha de la última auditoría de seguridad realizada.
Tal y como explica Ramona Stepan, del departamento jurídico de Alcatraz Solutions, una empresa experta en cumplimiento normativo, los principios de respeto a la intimidad y a la confidencialidad de la información clínica de los pacientes están presentes en la legislación sanitaria y, además, en lo concerniente a la conservación de la documentación clínica, la Ley 41/2002 hace en su artículo 17 una referencia explícita a la Ley Orgánica de Protección de Datos (LOPD) y a su normativa de desarrollo, al establecer que “son de aplicación las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contiene datos de carácter personal y, en general, por La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal”.
En 2009 se registraron un total de 123 denuncias y actuaciones previas de investigación en el sector de la Sanidad en relación a la protección de datos. Dada la trascendencia y la importancia del derecho fundamental a la protección de datos en este sector, en el mes de marzo de 2010 la Agencia Española de Protección de Datos tomó la iniciativa de elaborar el Informe de cumplimiento de la LOPD en Hospitales y remitirlo a cada uno de los centros públicos y privados que componen el Catálogo Nacional de Hospitales, al objeto de conocer el nivel de cumplimiento de la LOPD y de su normativa de desarrollo en centros hospitalarios, para adoptar las medidas que resultasen pertinentes.
En el 88,7% de los centros hospitalarios las medidas previstas en el documento de seguridad son las correspondientes al nivel alto, que son las aplicables para los datos relativos a la salud de las personas, y el resultado fue desesperanzador e inquietante: un tercio de los hospitales españoles no está capacitado para salvaguardar la información de sus pacientes. Un porcentaje que trasladado al total de historias clínicas posibles nos daría una cifra aproximada de 15 millones de expedientes sanitarios con lagunas de seguridad.
Según los datos que aporta este informe, la implantación de algunas de las medidas de seguridad exigidas en el RLOPD para los datos de nivel alto es inferior al porcentaje que declara haberlas previsto en el documento de seguridad. Así, el porcentaje de hospitales que dispone de un registro de accesos a toda la información es del 74,6%, mientras que el nivel de hospitales en los que se guarda la información exigida por el RLOPD de cada acceso realizado a los datos (identificación del usuario, fecha y hora del acceso, fichero accedidos, tipo de acceso e indicación de acceso autorizado o denegado) es ligeramente inferior, alcanzando el 70,5%. Es reseñable igualmente el hecho de que un 31% de los centros no almacena el registro de acceso durante el periodo mínimo preceptivo de dos años.
En cuanto a los ficheros manuales (no informatizados) un 22,1% de los centros no cuenta con dispositivos de almacenamiento de historias clínicas dotados de mecanismos que obstaculicen su apertura (por ejemplo, archivadores con cerradura).
La implantación de la Historia Clínica Electrónica alcanza al 55% de los hospitales requeridos, siendo mayor en los centros públicos que en los privados (67% frente a 44%).
Todo el personal que trata con los datos de carácter personal de los pacientes (ficheros de cualquier tipo) o que mantiene relación laboral con ellos, y por tanto, tiene acceso a información confidencial está obligado a mantener el secreto de la información conocida. No sólo está obligado por el Código Deontológico de su profesión (en el caso de médicos y enfermeras), sino también por la legislación en materia de protección de datos y por la legislación penal.
El secreto profesional alcanza a facultativos, psicólogos, enfermería, fisioterapeutas, terapeutas ocupacionales, auxiliares de enfermería, podólogos, celadores y personal administrativo, así como al personal auxiliar del hospital. El mantenimiento de la confidencialidad y privacidad de los pacientes implica principalmente a la historia clínica, que debe ser custodiada de forma cuidada, permaneciendo accesible únicamente al personal autorizado.
Preceptos de privacidad que deben ser preservados en todos los campos de la vida hospitalaria: la privacidad en el momento de la realización de exploraciones físicas, cuando se informa a los familiares, en las conversaciones entre sanitarios en los pasillos, manteniendo la reserva adecuada de los datos de los pacientes en los controles de enfermería de las plantas de hospitalización (tablones, pizarras, etc.), las conversaciones telefónicas, los interfonos abiertos y un largo etcétera.
Alcatraz-Solutions
