Tema desarrollado para el bloque de materias comunes de la oposición de Técnico/a en Cuidados Auxiliares de Enfermería del Servicio Andaluz de Salud (SAS). Reúne dos normas que el programa oficial (Resolución de 30 de julio de 2024, BOJA núm. 151) agrupa en un mismo tema: la protección de datos personales (Reglamento europeo y Ley Orgánica 3/2018) y la transparencia pública de Andalucía (Ley 1/2014). Ambas comparten un fondo común: el equilibrio entre el derecho de la ciudadanía a saber lo que hacen las Administraciones y el derecho de cada persona a que sus datos —muy especialmente los de salud— estén protegidos. La información está verificada contra el texto de las normas citadas; el contenido evaluable exacto lo fija tu convocatoria.

Índice

• 0. Por qué el TCAE andaluz estudia estas dos leyes
• 1. Conceptos básicos de protección de datos
• 2. El marco normativo: RGPD y LOPDGDD
• 3. Los principios del tratamiento
• 4. Los datos de salud: categoría especial
• 5. Los derechos de las personas
• 6. Responsable, encargado y delegado de protección de datos
• 7. Los deberes del personal y la seguridad
• 8. La Ley 1/2014 de Transparencia Pública de Andalucía
• 9. Esquema resumen
• 10. Ideas fuerza para el test

0. Por qué el TCAE andaluz estudia estas dos leyes

El auxiliar de enfermería maneja a diario la información más sensible que existe: los datos de salud de las personas. Cada vez que consulta la historia clínica, anota una constante, recoge una muestra o comenta un caso con el equipo está tratando datos personales especialmente protegidos. Conocer las reglas de la protección de datos no es, por tanto, un asunto teórico, sino una parte esencial de un trabajo bien hecho y de la confianza del paciente. A la vez, el TCAE trabaja en una Administración pública —el SAS— sometida al principio de transparencia: la ciudadanía tiene derecho a saber cómo se organiza y gasta lo público. Ambas materias, protección de datos y transparencia, delimitan lo que se puede y lo que no se puede hacer con la información, y por eso el programa oficial las reúne en un mismo tema.

1. Conceptos básicos de protección de datos

La protección de datos es el derecho fundamental de toda persona a controlar el uso que se hace de su información personal. La Constitución lo reconoce a través del artículo 18.4, que ordena a la ley limitar el uso de la informática para garantizar el honor y la intimidad de los ciudadanos. Desde entonces se ha desarrollado en normas cada vez más completas. Conviene fijar unos conceptos clave:

• Dato personal: toda información sobre una persona física identificada o identificable (nombre, DNI, dirección, teléfono, imagen, número de historia, datos de salud…). No se consideran datos personales protegidos por esta normativa los de las personas fallecidas ni los de las personas jurídicas.
• Tratamiento: cualquier operación realizada sobre los datos: recogerlos, registrarlos, conservarlos, consultarlos, modificarlos, comunicarlos, suprimirlos… Prácticamente todo lo que se hace con la información es «tratamiento».
• Categorías especiales de datos: los datos especialmente sensibles, que gozan de una protección reforzada: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos, de salud y los relativos a la vida u orientación sexual. Su tratamiento está, en principio, prohibido salvo excepciones tasadas (una de ellas, la asistencia sanitaria).
• Interesado o afectado: la persona física a la que se refieren los datos.

2. El marco normativo: RGPD y LOPDGDD

El marco actual descansa en dos normas que se complementan:

• El Reglamento General de Protección de Datos (RGPD), Reglamento (UE) 2016/679, es la norma europea directamente aplicable en todos los Estados miembros. Estableció un modelo homogéneo en toda la Unión basado en la responsabilidad proactiva (rendición de cuentas) y reforzó los derechos de las personas.
• La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), es la norma española que adapta y complementa el RGPD. Además de la protección de datos, incorpora en su título final un catálogo de derechos digitales (a la neutralidad de la red, al acceso universal a internet, a la desconexión digital, a la intimidad frente a los dispositivos y en el trabajo, etc.).

La autoridad de control estatal es la Agencia Española de Protección de Datos (AEPD), encargada de velar por el cumplimiento, atender reclamaciones e imponer sanciones. En el ámbito de la Junta de Andalucía existe además el Consejo de Transparencia y Protección de Datos de Andalucía, que asume funciones en ambas materias en el sector público andaluz.

Conviene situar estas normas en su evolución. En España, la primera ley de la materia fue la LORTAD de 1992, sustituida por la LOPD de 1999; ambas giraban en torno a los llamados «ficheros» y a su inscripción en un registro. El RGPD, aplicable desde mayo de 2018, cambió el enfoque: ya no se trata de declarar ficheros, sino de que cada organización asuma la responsabilidad de proteger los datos y pueda demostrarlo. La LOPDGDD de 2018 adaptó el ordenamiento español a ese nuevo modelo. Dos ideas nuevas del RGPD son especialmente importantes: la protección de datos desde el diseño y por defecto (pensar en la privacidad al construir cualquier sistema o proceso, y activar de partida la configuración más protectora) y la evaluación de impacto relativa a la protección de datos (EIPD), un análisis previo obligatorio cuando un tratamiento entraña un alto riesgo para los derechos de las personas, como ocurre con los grandes sistemas de datos de salud. El TCAE no realiza estos análisis, pero se beneficia de ellos: los sistemas que usa (como la historia digital) están diseñados con esas garantías.

3. Los principios del tratamiento

El RGPD fija unos principios que deben cumplirse siempre que se traten datos. Son la columna vertebral de toda la materia:

• Licitud, lealtad y transparencia: los datos se tratan de forma lícita, leal y transparente para la persona.
• Limitación de la finalidad: se recogen para fines determinados, explícitos y legítimos, y no se usan luego para fines incompatibles. Los datos recogidos para asistir a un paciente no pueden usarse para otra cosa.
• Minimización de datos: solo se tratan los datos adecuados, pertinentes y limitados a lo necesario. No se recoge ni se consulta más de lo que hace falta.
• Exactitud: los datos deben ser exactos y estar actualizados; los inexactos se rectifican o suprimen sin dilación.
• Limitación del plazo de conservación: se conservan solo el tiempo necesario para su fin (la historia clínica, por ejemplo, según sus plazos legales).
• Integridad y confidencialidad: se garantiza su seguridad, protegiéndolos de accesos no autorizados, pérdida o destrucción.
• Responsabilidad proactiva: el responsable no solo debe cumplir, sino poder demostrar que cumple (registros de actividades, medidas de seguridad, evaluaciones de impacto…).

Para tratar datos hace falta una base de legitimación: el consentimiento del interesado, el cumplimiento de una obligación legal, la ejecución de un contrato, el interés público, el interés vital o el interés legítimo. En la asistencia sanitaria pública, la base habitual no es un consentimiento genérico, sino el cumplimiento de una misión de interés público y la finalidad de asistencia sanitaria prevista en la ley; el consentimiento sí es la base de otros tratamientos concretos (una investigación, la cesión a un tercero no prevista legalmente…).

4. Los datos de salud: categoría especial

Los datos de salud son toda información relativa al estado físico o mental de una persona, presente, pasado o futuro, incluida la información sobre la prestación de servicios de asistencia. Son una categoría especial y, por su sensibilidad, tienen una protección reforzada: su tratamiento está en principio prohibido, salvo las excepciones que la propia norma prevé. La más importante para el TCAE es que se permite su tratamiento cuando es necesario para la asistencia sanitaria, por parte de un profesional sujeto al deber de secreto, o para la gestión de los sistemas y servicios de salud.

Esto significa que el auxiliar puede acceder a los datos de salud del paciente que atiende y en la medida necesaria para su trabajo, pero no a cualquier historia por curiosidad. El fundamento no es un permiso general e ilimitado, sino la vinculación con la asistencia y el secreto profesional. Por eso todo acceso a la historia digital queda registrado y puede auditarse: acceder sin motivo asistencial deja rastro y constituye una infracción grave, con posibles consecuencias disciplinarias y legales.

La protección de los datos de salud enlaza directamente con otras normas que el TCAE estudia en su temario: la Ley 41/2002, de autonomía del paciente, que regula la historia clínica, el derecho a la intimidad y la confidencialidad; y la Ley 14/1986, General de Sanidad, que ya proclamaba el respeto a la personalidad, la dignidad y la intimidad del enfermo. La protección de datos, la autonomía del paciente y el secreto profesional forman así un mismo tejido de garantías en torno a la información sensible. En el ámbito andaluz, la Carta de derechos y deberes de la ciudadanía en los servicios sanitarios recoge igualmente el derecho a la confidencialidad de toda la información relacionada con el proceso asistencial. El auxiliar es, en la práctica, uno de los principales guardianes de este derecho, porque su cercanía al paciente le da acceso a mucha información y muchas ocasiones de protegerla —o de comprometerla— cada día.

5. Los derechos de las personas

El RGPD reconoce a las personas una serie de derechos que pueden ejercer ante el responsable del tratamiento. Se recuerdan con la ampliación de los clásicos «ARCO»:

• Acceso: saber si se tratan sus datos y obtener información y copia de ellos (por ejemplo, acceder a su historia clínica).
• Rectificación: corregir los datos inexactos o completar los incompletos.
• Supresión («derecho al olvido»): que se borren sus datos cuando ya no son necesarios o el tratamiento es ilícito, con los límites legales (la historia clínica no se borra a voluntad del paciente, por sus plazos de conservación y su valor asistencial y legal).
• Oposición: oponerse al tratamiento en determinadas circunstancias.
• Limitación del tratamiento: que se marquen los datos para restringir su uso mientras se resuelve una controversia.
• Portabilidad: recibir sus datos en un formato estructurado y de uso común y transmitirlos a otro responsable.

Para ejercer estos derechos, la persona presenta una solicitud ante el responsable, que debe responder en los plazos legales (por regla general, un mes, prorrogable en casos complejos), de forma gratuita salvo peticiones manifiestamente infundadas o excesivas. El responsable debe identificar debidamente a quien solicita, para no facilitar los datos a un tercero. Existen, además, garantías cuando el ejercicio de un derecho se deniega o no se atiende: la persona puede reclamar ante la autoridad de control. El TCAE no resuelve estas solicitudes, pero debe conocer que existen y, si un paciente le pregunta cómo acceder a su historia, orientarlo hacia el cauce adecuado (los servicios de atención a la ciudadanía del centro), sin facilitar por su cuenta información o documentación que no le corresponda gestionar. Esta orientación, hecha con amabilidad, forma parte de una buena atención.

6. Responsable, encargado y delegado de protección de datos

La normativa distingue varias figuras:

• El responsable del tratamiento es quien decide los fines y los medios del tratamiento (en el ámbito sanitario público, el propio SAS o la Consejería competente).
• El encargado del tratamiento es quien trata los datos por cuenta del responsable (por ejemplo, una empresa que presta un servicio informático), regulado por un contrato con garantías.
• El delegado de protección de datos (DPD) es una figura obligatoria en las Administraciones públicas: asesora, supervisa el cumplimiento de la normativa, coopera con la autoridad de control y actúa como punto de contacto tanto para esa autoridad como para los ciudadanos que quieran ejercer sus derechos. Debe ejercer sus funciones con independencia y no puede ser sancionado por cumplirlas. En el SAS existe esta figura para velar por el buen uso de los datos de toda la organización.

El responsable debe llevar un registro de las actividades de tratamiento (qué datos trata, con qué fin, quién accede, cuánto se conservan) y aplicar medidas de seguridad técnicas y organizativas proporcionadas al riesgo. Estas obligaciones son la cara «de fondo» de la responsabilidad proactiva: la organización debe estar en condiciones de demostrar que protege bien los datos, no solo de afirmarlo.

Cuando se produce una violación de la seguridad de los datos (una «brecha»), el responsable debe notificarla a la autoridad de control en un plazo breve (por regla general, 72 horas) y, si hay alto riesgo para los derechos de las personas, también a los afectados. Por eso, si el auxiliar detecta un posible fallo de seguridad (un documento con datos extraviado, un acceso indebido, un envío erróneo), debe comunicarlo de inmediato por los cauces internos.

7. Los deberes del personal y la seguridad

Para el TCAE, la protección de datos se traduce en unos deberes muy concretos:

• Deber de secreto y confidencialidad: no revelar la información de salud a la que se accede por razón del trabajo. Este deber subsiste incluso tras finalizar la relación de servicio y también respecto a los pacientes fallecidos.
• Acceso por perfil y credenciales personales: cada profesional accede a los sistemas (como Diraya) con su usuario y contraseña personales y solo a la información propia de su perfil (principio de mínimo necesario). No se comparten las claves.
• Custodia: no dejar historias en papel ni pantallas con datos a la vista, cerrar la sesión al ausentarse y proteger la documentación.
• Uso responsable: no comentar información fuera del ámbito asistencial (pasillos, ascensor, cafetería, redes sociales), no fotografiar ni difundir datos ni imágenes de pacientes.

La seguridad de la información se apoya en la tríada confidencialidad, integridad y disponibilidad, y en el sector público en el Esquema Nacional de Seguridad. El incumplimiento puede acarrear responsabilidad disciplinaria, administrativa e incluso penal. La discreción, en definitiva, es una seña de identidad del buen profesional sanitario y una parte esencial del respeto a la dignidad del paciente.

Ayuda a interiorizar estos deberes pensar en situaciones cotidianas del auxiliar. Consultar la historia de un vecino, un familiar o un compañero ingresado, sin que forme parte de nuestro trabajo, es un acceso indebido que queda registrado y se sanciona, por mucho que la intención sea «interesarse por él». Comentar en la cafetería o en un grupo de mensajería «el caso del paciente de la 210» es una filtración, aunque no se cite el nombre, si el dato permite identificarlo. Fotografiar una lesión llamativa «para enseñarla» o publicar en redes cualquier imagen tomada en el centro vulnera la intimidad del paciente. Facilitar información por teléfono a quien dice ser familiar, sin poder verificar su identidad ni su autorización, también está prohibido. En todos estos casos la regla es la misma: la información del paciente no pertenece al profesional; este solo la custodia para cuidarlo y únicamente puede usarla y compartirla dentro del equipo asistencial y para la finalidad de la asistencia. Ante la duda sobre si se puede facilitar un dato, la respuesta prudente es no hacerlo y consultar.

El régimen sancionador respalda todo lo anterior. La normativa de protección de datos clasifica las infracciones (leves, graves y muy graves) y prevé multas cuantiosas para las entidades, además de las responsabilidades personales del empleado público, que pueden ser disciplinarias (según el régimen del Estatuto Marco y de la función pública) y, en los casos más graves, penales (el Código Penal castiga el descubrimiento y la revelación de secretos y el acceso ilícito a datos reservados). Este marco no busca atemorizar, sino subrayar que la protección de datos es un derecho fundamental cuya vulneración tiene consecuencias reales. Para el auxiliar, cumplirlo es tan importante como cualquier técnica de cuidado: proteger la información del paciente forma parte de cuidarlo.

8. La Ley 1/2014 de Transparencia Pública de Andalucía

La otra mitad del tema es la Ley 1/2014, de 24 de junio, de Transparencia Pública de Andalucía, que desarrolla en la Comunidad Autónoma los principios de la ley estatal (Ley 19/2013, de transparencia, acceso a la información pública y buen gobierno). Su objetivo es que la actuación de las Administraciones andaluzas sea abierta, comprensible y controlable por la ciudadanía. Se apoya en tres pilares:

• Publicidad activa: la obligación de las Administraciones de publicar por iniciativa propia, sin que nadie lo pida, la información relevante sobre su organización, su funcionamiento, sus decisiones, sus contratos, subvenciones, convenios, presupuestos y retribuciones. Esta información se difunde a través del Portal de la Transparencia de la Junta de Andalucía.
• Derecho de acceso a la información pública: cualquier persona puede solicitar el acceso a la información que obra en poder de las Administraciones, sin necesidad de justificar el porqué, salvo los límites legales (entre ellos, la protección de datos personales, que puede obligar a anonimizar o a denegar el acceso). La resolución debe motivarse y existe un régimen de reclamaciones.
• Buen gobierno: un conjunto de principios y obligaciones éticas y de conducta para los cargos públicos (actuar con transparencia, austeridad, imparcialidad, dedicación al servicio público y responsabilidad), con su propio régimen de infracciones y sanciones.

El derecho de acceso a la información pública se ejerce mediante una solicitud a la Administración, que puede presentarse por medios electrónicos y que no exige motivar la petición (aunque la persona puede exponer los motivos, que se tendrán en cuenta). La Administración debe resolver en un plazo (con carácter general, un mes, ampliable), y su silencio tiene efectos regulados por la ley. El acceso puede denegarse o limitarse solo por las causas tasadas que la norma prevé: la seguridad, la defensa, la investigación de delitos, los intereses económicos, la confidencialidad de ciertos procedimientos y, muy especialmente, la protección de los datos personales. Cuando la información contiene datos personales, se pondera el interés público en conocerla frente al derecho a la intimidad; a menudo la solución es facilitar la información anonimizada (borrando lo que identifica a las personas). Frente a una denegación, la persona puede presentar una reclamación ante el Consejo de Transparencia y Protección de Datos de Andalucía, alternativa al recurso contencioso-administrativo. Todo este engranaje persigue un objetivo sencillo de enunciar: que la información pública sea, de verdad, de la ciudadanía.

La publicidad activa merece un poco más de detalle, porque es el pilar que más afecta al día a día de una gran organización como el SAS. Las Administraciones deben mantener actualizada y accesible, sin que nadie la pida, información institucional y organizativa (estructura, funciones, organigrama, sedes), de relevancia jurídica (normas, planes), económica y presupuestaria (presupuestos, cuentas, retribuciones de altos cargos) y sobre contratación (contratos, convenios y subvenciones). El objetivo es que la ciudadanía pueda conocer y controlar cómo se gestiona lo público sin tener que solicitarlo. Esta información se publica de forma clara, estructurada y reutilizable en el Portal de la Transparencia. La transparencia, además, es un instrumento de prevención de la corrupción y de rendición de cuentas: una Administración que muestra lo que hace es más difícil de manipular y genera más confianza.

El Consejo de Transparencia y Protección de Datos de Andalucía es la autoridad independiente que vela por el cumplimiento de la transparencia (y de la protección de datos en el sector público andaluz) y resuelve las reclamaciones frente a las denegaciones de acceso. La relación entre transparencia y protección de datos es de equilibrio: se favorece el acceso a la información pública, pero no a costa de los datos personales, que se protegen anonimizando o limitando lo que se publica. Un dato de gestión (cuánto se ha gastado en un contrato) es público; un dato de salud de una persona identificable, no. Para el TCAE, la transparencia se traduce en trabajar en una organización cuyos datos de gestión son públicos y en entender que el acceso a la información tiene siempre como límite la intimidad de las personas. Ambas leyes, la de protección de datos y la de transparencia, lejos de contradecirse, se complementan: una protege a la persona; la otra, a la ciudadanía frente al poder. El buen profesional sabe moverse en ese equilibrio con naturalidad, siendo a la vez discreto con lo íntimo y respetuoso con lo público.

9. Esquema resumen

PROTECCIÓN DE DATOS Y TRANSPARENCIA (TCAE · SAS)
│
├─ PROTECCIÓN DE DATOS
│   · Marco: RGPD (UE 2016/679) + LOPDGDD (LO 3/2018) · autoridad estatal: AEPD
│   · Dato personal = persona identificable · SALUD = categoría ESPECIAL (protección reforzada)
│   · Principios: licitud · finalidad · MINIMIZACIÓN · exactitud · plazo · integridad/confidencialidad · responsabilidad proactiva
│   · Base en sanidad pública = interés público + asistencia (profesional con deber de secreto)
│   · Derechos: Acceso, Rectificación, Supresión, Oposición, Limitación, Portabilidad
│   · Figuras: responsable · encargado · DELEGADO de protección de datos (DPD, obligatorio en AAPP)
│   · Deberes TCAE: SECRETO (subsiste tras el cese) · acceso por PERFIL con clave personal · custodia · uso responsable
│   · Acceso a Diraya queda REGISTRADO → curiosear = infracción grave · brecha = notificar (72 h)
│
└─ TRANSPARENCIA (Ley 1/2014 de Andalucía; estatal Ley 19/2013)
    · PUBLICIDAD ACTIVA (publicar de oficio) → Portal de la Transparencia
    · DERECHO DE ACCESO a la información pública (sin justificar; límite = protección de datos)
    · BUEN GOBIERNO (conducta de cargos públicos)
    · Consejo de Transparencia y Protección de Datos de Andalucía (autoridad; resuelve reclamaciones)

10. Ideas fuerza para el test

• El marco de la protección de datos son el RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018); la autoridad estatal es la AEPD.
• Los datos de salud son una categoría especial con protección reforzada; se pueden tratar para la asistencia sanitaria por profesionales sujetos al deber de secreto.
• Principios clave: licitud, limitación de la finalidad, minimización, exactitud, limitación del plazo, integridad y confidencialidad, y responsabilidad proactiva.
• Derechos de las personas: Acceso, Rectificación, Supresión, Oposición, Limitación y Portabilidad.
• El delegado de protección de datos (DPD) es obligatorio en las Administraciones públicas.
• El TCAE accede a los sistemas con clave personal y solo a lo necesario para su trabajo (mínimo necesario); acceder por curiosidad deja rastro y es infracción grave.
• El deber de secreto subsiste tras finalizar la relación de servicio y respecto a los pacientes fallecidos.
• Una brecha de seguridad se notifica a la autoridad de control (por regla general, en 72 horas).
• La Ley 1/2014 regula la Transparencia Pública de Andalucía (la estatal es la Ley 19/2013).
• La transparencia se apoya en la publicidad activa (publicar de oficio, Portal de la Transparencia), el derecho de acceso a la información pública y el buen gobierno.
• El derecho de acceso a la información pública se ejerce sin justificar el motivo, pero tiene como límite la protección de datos personales.
• La autoridad andaluza en ambas materias (sector público) es el Consejo de Transparencia y Protección de Datos de Andalucía.
• La seguridad de la información se resume en la tríada confidencialidad, integridad y disponibilidad.
• El RGPD introdujo la protección de datos desde el diseño y por defecto y la evaluación de impacto (EIPD) para tratamientos de alto riesgo (como los grandes sistemas de datos de salud).
• El acceso a la información pública puede denegarse o limitarse por causas tasadas; cuando hay datos personales, se suele facilitar la información anonimizada.
• La protección de datos enlaza con la Ley 41/2002 (autonomía del paciente, historia clínica y confidencialidad) y con la Carta de derechos y deberes de la ciudadanía del SAS.
• Un dato de gestión (el gasto de un contrato) es público; un dato de salud de una persona identificable, no: ambas leyes se complementan, no se contradicen.
• El responsable lleva un registro de las actividades de tratamiento y aplica medidas de seguridad proporcionadas al riesgo; el DPD actúa con independencia y es el punto de contacto para la autoridad y para los ciudadanos.