Informe de cumplimiento de la LOPD en Hospitales

2. Informe de cumplimiento de la LOPD en Hospitales 13 de octubre de 2010

3. Informe de cumplimiento de la LOPD en HospitalesMotivación Los tratamientos de datos de carácter personal que se realizan en el ámbito hospitalario y, en particular, los relacionados con la gestión de las historias clínicas o la investigación clínica, incluyen datos de salud,considerados datos sensibles o especialmente protegidos y, como tales, tienen un régimen de garantías más reforzado. En este sentido, conforme a lo dispuesto en los artículos 7.3 y 44.4 de la LOPD y el artículo 81 del RLOPD, este mayor nivel de garantías se concreta en: La exigencia de un consentimiento reforzado, La cualificación de las infracciones como muy graves y La aplicación de las medidas de seguridad de nivel alto especificadas en el propio reglamento

4. Informe de cumplimiento de la LOPD en HospitalesMotivación La iniciativa de evaluar el nivel de cumplimiento de los centros hospitalarios se debe a la constatación de alarmantes casos y procedimientos tramitados por la Agencia vinculados principalmente a la vulneración de los deberes de seguridad y secreto por parte de centros sanitarios. Los casos más destacados: 1. Difusión de datos de pacientes a través de redes de intercambio de archivos P2P 2. Datos de salud abandonados en contenedores de la vía pública 3. Almacenamiento de documentación clínica en áreas no restringidas al público y en dependencias al alcance de cualquiera 4. Pérdida de historiales clínicos al proceder a la automatización de las historias y no adoptar medidas de seguridad 5. Utilización de los datos sanitarios para finalidades no autorizadas y comunicación indebida a terceros.

5. Informe de cumplimiento de la LOPD en HospitalesAlcance y metodolgía • Envío de un requerimiento de información a los 654 centros sanitarios registrados en el Catálogo Nacional de Hospitales que son competencia de la AEPD. (Envío realizado a todas las comunidades excepto centros públicos y privados de Cataluña, y centros públicos de Madrid y el País Vasco). • Tras hacer el filtrado y la comprobación de que había centros que habían cesado su actividad o que se encontraban duplicados a efectos de este estudio, la cifra se redujo a 605 hospitales. • De los 605 hospitales, la AEPD recibió la contestación de 562 centros, un 92% del total. 605 centros tras el filtrado 654 centros del CNH 562 centros contestaron

6. Informe de cumplimiento de la LOPD en HospitalesAlcance y metodolgía Datos por comunidades autónomas

7. Informe de cumplimiento de la LOPD en HospitalesAlcance y metodolgía Datos por titularidad del centro Desglose de los centros que han sido requeridos para realizar el informe de cumplimiento en función de la titularidad, así como el número de centros, por titularidad, que han atendido dicho requerimiento y el resultado numérico de centros que presentan deficiencias en el cumplimiento de la LOPD.

8. Informe de cumplimiento de la LOPD en HospitalesAlcance y metodolgía En el requerimiento de información enviado se preguntaba sobre el nivel de cumplimiento de la LOPD en lo relativo a: ► Medidas de seguridad y documento de seguridad; obligaciones del personal; control y registro de acceso; comunicación de datos; gestión de incidencias; gestión de soportes y documentos; copias de respaldo; y documentación en papel. ► Auditoría de medidas de seguridad ► Deber de información y atención al ejercicio de derechos ARCO ► Inscripción de ficheros en el RGPD ► Contratación de servicios de tratamiento de datos personales

9. Informe de cumplimiento de la LOPD en HospitalesImplantación de medidas de seguridad La evaluación realizada a los centros sanitarios ha puesto de manifiesto que, pese a que un 98% de los centros privados y un 83% de los centros públicos han elaborado el Documento de Seguridad previsto en el Reglamento de la LOPD, existen centros sanitarios, principalmente públicos, en los que se constatan importantes deficiencias en la implantación de medidas para que los datos personales e información sanitaria de los pacientes sean adecuadamente custodiados y no puedan ser conocidos por terceros no autorizados

10. Preguntas C. Públicos C. Privados Informe de cumplimiento de la LOPD en HospitalesImplantación de medidas de seguridad

11. Preguntas C. Públicos C. Privados Informe de cumplimiento de la LOPD en HospitalesDeber de información y ejercicio de derechos ARCO • En los últimos dos años se ha constatado un incremento significativo en el número de las solicitudes de tutela de derecho relacionadas con el ámbito de la salud , principalmente vinculadas al acceso a la propia historia clínica, al considerar que se había suministrado de forma incompleta, así como por ser denegado el acceso al historial clínico de un familiar fallecido.

12. Preguntas C. Públicos C. Privados Informe de cumplimiento de la LOPD en HospitalesInscripción de ficheros en el RGPD La inscripción de ficheros en el Registro General de Protección de Datos es uno de los indicadores auditados en los que se constata un elevado nivel de cumplimiento en centros públicos y privados. Los centros hospitalarios de Aragón (66,67%) y Cantabria (75%) son los que presentan un menor porcentaje de inscripción de ficheros. En el resto de comunidades el promedio de inscripción supera el 87%.

13. Informe de cumplimiento de la LOPD en HospitalesExternalización de servicios que implican tratamiento de datos El 86% de los centros hospitalarios, tanto públicos como privados, ha externalizado servicios que implican el tratamiento de datos personales por entidades distintas al propio centro En la mayoría de los casos, los centros han cumplido con la exigencia normativa – recogida en el artículo 12 de la LOPD- sobre las garantías de acceso a los datos por cuenta de terceros en el que se establece la necesidad de delimitar mediante contrato escrito: Las finalidades y accesos permitidos Las medidas de seguridad aplicables Las responsabilidades en caso de incumplimiento Se constata un porcentaje bajo de centros que aplican procedimientos de disociación de los datos de carácter personal (34%). (Procedimiento no exigido en la LOPD // Sí recomendable)

14. Informe de cumplimiento de la LOPD en HospitalesAcciones a desarrollar Remisión a la Subdirección General de Inspección de los 43 centros que no han atendido el requerimiento, dado que podrían haber incurrido en una infracción de la LOPD. Remisión del informe a todos los centros con recomendaciones a todos los centros. Requerimiento a 202 centros la adopción de medidas correctoras y la comunicación de las mismas a la AEPD en un plazo de 6 meses Informar a las Consejerías y al Ministerio

15. Informe de cumplimiento de la LOPD en HospitalesRecomendaciones Mantener actualizada la inscripción de ficheros. Incluir cláusulas informativas en los impresos y adaptarlas en función del fichero en el que se van a incluir los datos. Colocar carteles informativos sobre el derecho a la protección de datos. Informar al personal de limpieza sobre la necesidad de garantizar la confidencialidad de los datos. Aplicar procedimientos de disociación de los datos de carácter personal en los tratamientos de datos que hayan sido externalizados. Registrar todos los accesos realizados a los historiales clínicos.

16. Informe de cumplimiento de la LOPD en HospitalesRecomendaciones Realizar auditorias que verifiquen si el personal utiliza los datos para la finalidad que justificó el acceso. Almacenar los archivos físicos de historias clínicas en áreas con acceso protegido mediante llave o dispositivo equivalente y en archivadores que dispongan de mecanismos que obstaculicen su apertura. Custodiar la documentación clínica de pacientes cuando ésta no se encuentre archivada impidiendo que pueda ser accedida por terceros. Adoptar medidas para evitar la pérdida o sustracción de la documentación durante su transporte. Realizar la auditoría bienal de seguridad del fichero de historias clínicas y de otros que puedan contener datos relativos a la salud de las personas.