En APDTIC hemos tenido el placer de participar en el episodio 43 del podcast GDentalk que organizan Gaceta Dental y el doctor Simón Pardiñas y que conduce la periodista Patricia Merino. En este capítulo, nuestro socio director, André Castelo, habló sobre los principales retos que plantea la protección de datos en el día a día de las clínicas dentales.
Entre otras cuestiones, nuestro compañero analizó las obligaciones legales que para estos casos establece el Reglamento General de Protección de Datos (RGPD), los errores más frecuentes en las consultas odontológicas y la necesidad de gestionar correctamente la información sanitaria de los pacientes. ¡Vamos a verlo más en detalle!
La importancia de proteger los datos personales relacionados con la salud
En una clínica dental se manejan datos especialmente sensibles, ya que no hablamos solo de datos identificativos, sino de datos de salud, que tienen un nivel de protección mucho mayor dentro del RGPD. Estos datos incluyen historias clínicas, pruebas diagnósticas, radiografías, fotografías clínicas o comunicaciones con los pacientes.
Por este motivo, Castelo comienza haciendo hincapié en la importancia que tiene proteger estos datos y en la escasa concienciación que existe al respecto, tanto en la sociedad en general como en las empresas en particular.
La ley de protección de datos y el consentimiento informado en las clínicas
Todas las clínicas tienen la obligación de informar al paciente sobre el tratamiento que se hace de sus datos, y esa información debe plasmarse de forma clara y legible por escrito, e incluir todos estos puntos clave:
- Quién es el responsable del tratamiento.
- Para qué se utilizan los datos.
- La base jurídica del tratamiento.
- Cuánto tiempo se conservarán sus datos.
- Qué derechos puede ejercer el paciente.
Además, las clínicas deben aplicar las medidas de seguridad adecuadas y garantizar en todo momento la confidencialidad de la información sanitaria de los pacientes.
Por otro lado, y aunque a menudo se suele confundir con la protección de datos, los responsables de las clínicas también son los encargados de gestionar otro concepto clave en este campo: el consentimiento informado.
Consiste en que el paciente acepta una intervención sanitaria después de haber recibido información suficiente sobre el procedimiento y sus riesgos. En otras palabras, no se trata solo de firmar un documento, sino que implica un proceso de información y comprensión completo.
Aunque la protección de datos y el consentimiento informado se regulan en normas distintas (el RGPD y la ley de autonomía del paciente), ambos conceptos están estrechamente relacionados en la práctica clínica. En conjunto, estas normas establecen un marco jurídico destinado a proteger dos elementos esenciales de la atención sanitaria, que son la privacidad del paciente y su derecho a decidir sobre su propia salud.
Más allá del cumplimiento normativo: una ventaja competitiva
Como usuarios, estamos cansados de las llamadas comerciales y de los mensajes de spam, que nos ponen en alerta y nos hacen percibir, muchas veces, cualquier comunicación con una empresa como algo incómodo que queremos evitar. En este sentido, Castelo anima a las clínicas a darle la vuelta a la cuestión y plantear esta obligación que todas tienen como una oportunidad para presentarse como una empresa más transparente, moderna y cercana al paciente. Y así lo pueden conseguir:
- Explicando al paciente la información de forma sencilla y ágil, recurriendo por ejemplo a un sistema de información por capas (primero se comunica lo básico de forma muy resumida y luego lo demás en una capa más ampliada).
- Dando soluciones adicionales para proteger aún más su información personal.
- Ofreciendo la posibilidad de acceder y firmar la documentación en formato digital, de forma que después quede siempre accesible y visible.
- Apostando por plataformas que cumplan los estándares de seguridad, como la ISO 27001, ENS y Directiva NIS2, alineadas con la Seguridad de la Información.
- Incluyendo datos de contacto para solventar cualquier duda que pueda surgir.
Todo ello va a mejorar la experiencia del paciente y brindará a la empresa una imagen mucho más sólida y confiable.
Los plazos de conservación
Uno de los aspectos que genera más dudas en las clínicas dentales y que también se trató en la conversación es el tiempo que deben conservarse los datos de los pacientes, especialmente la historia clínica. Básicamente, lo que dice el RGPD es que los datos personales no deben conservarse durante más tiempo del estrictamente necesario para que cumplan su finalidad, aunque en el ámbito sanitario es cierto que existen obligaciones legales específicas que obligan a guardar la documentación clínica durante al menos 5 años.
En concreto, la recomendación que hace APDTIC es conservar las historias clínicas durante unos 10 años, sobre todo por estas razones:
- La posible necesidad de continuidad asistencial.
- La defensa frente a posibles reclamaciones legales.
- La normativa autonómica, que en algunos puede ampliar los plazos mínimos.
La figura del delegado de protección de datos (DPD)
Todas las clínicas dentales deben contar con un Delegado de Protección de Datos, con la única excepción de los profesionales de la salud que ejerzan su actividad a título individual y que aún así, es altamente recomendable que tengan un DPD.
Estas son algunas de las funciones de esta figura, que actúa de manera independiente dentro de la organización:
- Asesorar a la clínica acerca de sus obligaciones relacionadas con la protección de datos.
- Supervisar que se cumple en todo momento el RGPD.
- Promover la adopción de medidas de seguridad adecuadas.
- Actuar como punto de contacto con la Agencia Española de Protección de Datos (AEPD).
- Promover acciones de formación y concienciación en materia de protección de datos y seguridad de la información a todo el personal de la clínica.
- Atender consultas o reclamaciones relacionadas con el tratamiento de datos personales.
En resumen: el Delegado de Protección de Datos no solo cumple una función de supervisión jurídica, sino que también contribuye a mejorar la cultura de privacidad dentro de la organización y a garantizar que la información de los pacientes se gestione con las garantías adecuadas.
Las sanciones y el papel de la AEPD
Durante el episodio también se aborda la preocupación de muchos profesionales por las posibles sanciones por incumplimiento de la normativa. Aunque Castelo explica que el objetivo principal de la ley no es sancionar, sino garantizar la protección de los datos personales, sí que han existido incumplimientos relevantes que la AEPD ha detectado y castigado. Y esto, además del impacto económico que puede tener para la clínica sancionada, afecta gravemente a la reputación.
En cuanto a la cuantía de las multas, pueden llegar a los 20 millones de euros, pero lo más frecuente es que oscilen entre los 5.000 y los 100.000 euros. Y Castelo nos pone dos ejemplos concretos:
- 30.000 euros por fotocopiar el DNI de un paciente como condición para devolverle un pago.
- 20.000 euros por no notificar a tiempo a la AEPD (se disponen de 72 horas) acerca de un ciberataque que afectó a los datos de unos 2.500 pacientes, a los que además tampoco se dio aviso.
La privacidad como parte de la confianza sanitaria
Como conclusión del podcast, se destaca que la protección de datos no debe verse únicamente como una obligación legal. En el ámbito sanitario, la privacidad está directamente relacionada con la confianza del paciente. Cuando una persona comparte información sobre su salud, lo hace con la expectativa de que será tratada con la máxima confidencialidad. Por ello, una gestión adecuada de los datos personales no solo protege a la organización frente a riesgos legales, sino que también refuerza la calidad del servicio sanitario.
