INTRODUCCION
La Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal (LORTAD), tiene por objeto limitar el uso de la informática y otras técnicas y medios de tratamiento automatizado de los datos de carácter personal para garantizar el honor, la intimidad personal y familiar de las personas físicas y el pleno ejercicio de sus derechos.
Se define dato de carácter personal, cualquier información concerniente a personas físicas identificadas o identificables.
Dentro de los datos de carácter personal existe un grupo llamado Datos Especialmente Protegidos que incluye:
Ideología, Religión, Creencias.
Origen racial, Salud y Vía Sexual.
Por entender que el sector sanitario puede disponer de cualquier tipo de datos de carácter personal y sobre todo de alguno de los datos especialmente protegidos, en concreto los relativos a Salud (mencionados en los artículos 7 y 8 de la Ley Orgánica 5/92) y dada la preocupación de la Agencia de Protección de Datos de comprobar la forma en la que son tratados los mismos en cuanto a Seguridad, Privacidad y Confidencialidad, es por lo que se ha elaborado un Plan de Inspección de Hospitales como primera fase de lo que será un Plan de Inspección en el Sector Sanitario.
Ya en la Ley General de Sanidad se garantiza que "todos tienen derecho, con respecto a las distintas administraciones públicas sanitarias:" a "la confidencialidad de toda información relacionada con su proceso y con su estancia en instituciones sanitarias públicas y privadas que colaboren con el sistema público". Art. 10.3.
El Convenio 108 del Consejo de Europa, de 1981, y el Proyecto de Recomendación que sobre datos médicos se halla preparando dicho Organismo también reconocen la protección específica de esta clase de datos (el artículo 6 del Convenio dice que los datos relativos a salud no podrán tratarse a menos que el derecho interno prevea garantías apropiadas; el principio 3.1. del Proyecto de Recomendación exige para la recogida y tratamiento de los datos médicos no sólo que el respeto a la vida privada esté garantizado sino igualmente a los derechos y libertades fundamentales que puedan estar amenazados).
El Plan de Inspección hospitalario afecta tanto a Hospitales públicos como privados. Están incluidos hospitales públicos tanto de INSALUD como de Comunidades Autónomas con competencias transferidas o no, en materia de Sanidad, al igual que Hospitales de Municipios, Diputaciones o Cabildos, Ministerio de Justicia o de Defensa. Dentro de los Hospitales privados, el muestreo afecta indistintamente a Hospitales de beneficencia o no y Mutuas.
Dicho Plan de Inspección habrá de encontrar su justificación no en el ejercicio de la potestad sancionadora que tiene atribuida la Agencia de Protección de Datos, sino en acumular información suficiente que permita averiguar cuál es la realidad del tratamiento del dato médico con vistas a una mejor regulación del mismo a efectuar con posterioridad.
Para facilitar las tareas de la inspección es por lo que se ha confeccionado un formulario en el que se solicita información respecto al hardware y software existente en el Centro, tanto a nivel central como departamental. La necesidad de este formulario es debida a que las inscripciones de Hospitales públicos, en muchos casos se han realizado de forma estándar por un organismo común y es necesario ampliar la información en cuanto a:
- Sistema físico:
- Tipo de equipamiento informático (Mainframe, Miniordenadores, Redes Locales y Ordenadores personales).
- Características.
- Sistema lógico:
- Descripción de aplicaciones.
- Soporte.
- Ficheros con datos personales utilizados.
- Tipos de salidas (listados, disquetes, streamer, transmisión por línea, etc).
- Accesos posibles a cada aplicación.
En estos cuestionarios se ha indicado la necesidad de que los datos que se incluyan sean exactos, independientemente de las posibles inscripciones de ficheros en el registro General de Protección de Datos de esta Agencia, realizadas desde el Centro tratado o desde el Organismo del que dependa.
Los objetivos principales en la inspección de Hospitales son:
- Cumplimiento de la normativa de protección de datos en cuanto a principios de la Ley y a derechos de las personas: Calidad de Datos, Derecho de información en la recogida y posterior, Consentimiento del afectado en Cesiones, Derecho de acceso, rectificación y cancelación.
- Comprobar las medidas de seguridad existentes para garantizar la confidencialidad e integridad de los datos contenidos en los ficheros.
- Verificar si las inscripciones de los ficheros realizadas, se ajustan a la realidad existente en los hospitales.
Respecto al principio de calidad, los datos que se recojan deben ser correctos, adecuados, pertinentes y no excesivos en relación al tema tratado (artículo 4).
En principio, la recogida del dato de sanidad exige, conforme al artículo 7.3 de la LORTAD, la previa existencia de una Ley que así lo autorice o el consentimiento expreso del interesado. Ahora bien, si se trata de una recogida con fines exclusivos de salud, una interpretación conjunta del artículo 8 de la LORTAD y de la Ley General de Sanidad parece eximir del consentimiento del paciente, consentimiento que deberá existir previamente cuando el dato médico se vaya a utilizar con otra finalidad distinta (artículo 7.3). en el mismo sentido el Proyecto de recomendación (Principio 6.2) admite que el consentimiento puede sin embargo presumirse cuando los datos médicos sean recogidos del mismo afectado con una finalidad preventiva, de diagnóstico o terapéutica y con la condición de que los mismos no sean tratados para otra finalidad distinta a la de la salud del afectado y en su interés directo.
No obstante lo anterior, el artículo 5 de la LORTAD obliga a dar información sobre:
- Existencia de fichero automatizado, finalidad y destinatarios de la información.
- Carácter obligatorio o facultativo de sus respuestas.
- Consecuencias de la obtención de datos o negativa a suministrarlos.
- Posibilidad de ejercitar los derechos de acceso, rectificación y cancelación.
- Identidad y dirección del responsable del fichero.
Si los datos se recogieran sobre formularios, éstos deberán llevar impresa la información indicada.
Igualmente, aunque en la recogida no es necesario el consentimiento, sí lo es en todo lo que se refiere a Cesiones de datos. Por tanto en los Hospitales, además de información, se debe pedir un consentimiento si se prevé que se puede hacer entrega a otras entidades, aunque sea por necesidades diagnósticas, al igual que si se van a transferir datos a organismos internacionales (O.M.S., Registros de Tumores internacionales, etc.)
Por otra parte, a la hora de aplicar seguridad en cualquier Hospital lo mismo que en cualquier empresa, es necesario comenzar la elaboración de un Plan de Seguridad.
Un Plan de Seguridad debe constar de:
- Un plan de mentalización de todo el personal implicado, tanto informático como usuario, comenzando por los responsables de cada área y siguiendo esa labor en cascada.
- Análisis de Riesgos, esto es, examinar las posibilidades que existan de que ocurra un desastre.
- Plan de Contingencias: medidas a aplicar en dos sentidos:
- para prevenir el desastre
- para reparar el desastre una vez ocurrido
Es necesario que el personal adscrito a Instituciones Hospitalarias sea consciente de la delicadeza de los datos que se manejan. Por esto hay que restringir el acceso a los mismos, tratando de evitar la posible consulta o sustracción de información partiendo de los medios más elementales, como poner "palabras clave" para el acceso a los equipos, que éstos estén en despachos cerrados con llaves, no identificación con nombre y apellidos en los listados o ficheros que no sea imprescindible, hasta llegar a medios más sofisticados como la encriptación de datos o la definición, puesta en marcha y seguimiento de rastros de auditoría para detección de operaciones anómalas.
Por último se deberá comprobar si la inscripción de los ficheros que se han registrado en el Registro General de protección de Datos se ajusta a la realidad en el sentido que los Hospitales pueden ser Centros grandes con gran afluencia de personas y por tanto de gran generación de datos, y es posible que no estén claros los ficheros definidos así como sus fines.
SEGURIDAD INFORMATICA EN EL TRATAMIENTO DEL DATO SANITARIO
Hasta la fecha se han realizado inspecciones en cuatro Centros o Complejos Hospitalarios.
Cada inspección ha constado de una entrevista con la Dirección del Centro (normalmente el Gerente) y de visitas a diversos Servicios hospitalarios como: Informática, Admisión de Pacientes, Archivo Central de Historias Clínicas, Laboratorios de Bioquímica, Microbiología y Hematología, Farmacia, Atención al Paciente, Cirugía General, Anatomía Patológica, Nefrología, Oncología.
Como resumen de las inspecciones realizadas, se puede decir que:
Respecto al derecho de información en la recogida:
En ningún caso se informa al afectado de los puntos expresados en el artículo 5 de la Ley, ni de forma oral ni escrita.
Respecto a las Cesiones de datos sanitarios:
- Se han detectado las siguientes cesiones de datos sanitarios no declaradas que se realizan siempre sin información ni consentimiento del afectado:
- Compañías de Seguros y Mutuas, por motivos relacionados con la facturación.
- Laboratorios externos al propio hospital para la realización de determinadas analíticas.
- Transferencias a Organismos Internacionales relacionados con la salud como la O.M.S., Registro Nefrológico de Londres y datos de tumores a la EORTC (Agencia Europea para el Tratamiento del Cáncer) con sede en Bruselas.
Respecto a la Seguridad:
- No existe ningún Plan de Seguridad, ni tan siquiera un Análisis de Riesgos.
- Las puertas de acceso de los hospitales n ose vigilan, permitiendo la entrada y salida de cualquier soporte informático que contenga información sanitaria. Algunos miembros de los hospitales se llevan datos en disquetes a sus casas para hacer algún tipo de trabajo o estudio determinado.
- No existen productos que ayuden a gestionar la seguridad de los diversos sistemas existentes en los hospitales (el mercado de productos de seguridad es cada vez más amplio en gama y precios).
En la mayoría de los casos no existen armarios ignífugos.
- No existe mentalización de seguridad por parte de la Dirección del centro, excepto en datos referentes a nómina. No se ha divulgado la LORTAD dentro de los hospitales ni existe ninguna documentación informativa a los empleados respecto al deber de secreto de los datos que se manejan.
- En la mayoría de los casos el acceso a las aplicaciones desde los terminales, lleva una identificación de usuario, pero no lleva password, lo cual permite el acceso a cualquier persona ya que el identificador de usuario es visible, no quedando oculto.
- En gran parte de los ordenadores personales no hay password de entrada y/o no se guardan en despachos con llave, lo cual permite el acceso a cualquier persona dentro o fuera del horario de trabajo.
- Existen muchas conexiones vía modem con las empresas suministradoras de las aplicaciones, sin compromiso de confidencialidad en la mayoría de los casos, que permiten en un momento dado sustraer un dato o incluso un fichero o ficheros completos sin que el propio dueño se percate de ello.
- En general o no se guardan pistas de auditoría, o si se guardan éstas son escasas, que permitan rastrear posibles anomalías al consultar o actualizar cualquier dato.
- Los listados, conteniendo muchos de ellos datos relativos a la salud perfectamente identificados, se reparten dentro de los centros sin ningún tipo de confidencialidad, llegando incluso en algún caso, a estar en cajetines en pasillos accesibles por cualquier persona, sea o no empleado del hospital.
Todas las deficiencias anteriormente expuestas deben de ser corregidas en la medida posible, bien, en el supuesto de las cesiones, mediante el anonimato de los datos cuando no sea imprescindible su conocimiento o divulgación, bien mediante su sustitución por números de expedientes. En el supuesto de transferencias internacionales mediante igualmente el establecimiento de carácter anónimo de los datos.
Más grave -y a la vez difícil- se presenta la corrección de la omisión de medidas de seguridad ante los numerosos incumplimientos detectados. Como criterios de aplicación, siguiendo el Proyecto de Resolución que venimos manejando, podrían especificarse los siguientes:
- Un control de entrada o acceso a las instalaciones que impide el acceso a las instalaciones utilizadas para el tratamiento de datos de carácter personal.
- Un control de los soportes de datos dirigidos a impedir que aquéllos puedan ser leídos, copiados, modificados o trasladados sin autorización.
- Un control de memoria dirigido a impedir la entrada no autorizada en el sistema de información, así como el conocimiento, modificación o borrado de datos de carácter personal.
- Un control de utilización que impida que los sistemas de tratamiento de datos puedan ser utilizados por personas no autorizadas.
- Un control de la comunicación dirigido a garantizar que verifique y constate qué personas y organismos pueden comunicarse a través de instalaciones de transmisión de datos.
- Un control de introducción que permita verificar a posteriori quién ha tenido acceso al sistema y qué datos de carácter personal han sido introducidos en qué momento y por qué persona.
- Un control de transporte que evita lectura, copias o alteraciones durante el transporte de datos personales.
- Un control de disponibilidad mediante la realización de las correspondientes copias.
- En definitiva, se aconseja la creación de un reglamento interno que respete los principios antes enunciados que será desarrollado por el responsable del fichero al que se le atribuye la facultad de designar a una tercera persona independiente que ejercerá las funciones de responsable de seguridad.
volver al congreso
|
