Tema desarrollado para el bloque legislativo de la oposición de Técnico en Cuidados Auxiliares de Enfermería (TCAE). Los datos de salud son la información más sensible de una persona, y el TCAE los maneja a diario. Esta normativa fija cómo deben tratarse y protegerse. Contenido común a todas las convocatorias; datos verificados contra el texto del Reglamento (UE) 2016/679 y de la LO 3/2018. El temario evaluable exacto lo fija tu convocatoria.

Índice

• 0. Los datos de salud: lo más sensible
• 1. El marco normativo: RGPD y LOPDGDD
• 2. Conceptos clave
  • 2.1. Dato personal y categorías especiales
  • 2.2. Responsable, encargado y delegado
• 3. Principios del tratamiento
• 4. Licitud del tratamiento y datos de salud
• 5. Los derechos de las personas
• 6. Seguridad, brechas y autoridad de control
• 7. El deber de confidencialidad del TCAE
• 8. Esquema de repaso (llaves)
• 9. Ideas fuerza para el test

0. Los datos de salud: lo más sensible

La historia clínica de una persona contiene lo más íntimo que existe: sus enfermedades, sus tratamientos, sus hábitos, a veces su salud mental o su vida sexual. Por eso el ordenamiento rodea los datos de salud de una protección especialmente rigurosa. El TCAE, que accede cada día a esa información para poder cuidar, es a la vez uno de los garantes de esa protección: de su cuidado y su discreción depende, en buena medida, que la intimidad del paciente quede a salvo. Este tema explica las reglas que hacen posible esa protección.

El derecho a la protección de datos tiene rango fundamental: deriva del artículo 18.4 de la Constitución, que ordena a la ley limitar el uso de la informática para garantizar el honor, la intimidad y el pleno ejercicio de los derechos. Es un derecho distinto del de la intimidad, aunque emparentado: no protege solo el secreto, sino la capacidad de la persona de controlar sus propios datos (quién los tiene, para qué los usa, a quién se ceden). Para el examen, este tema aporta un vocabulario preciso —responsable, encargado, categorías especiales, brecha de seguridad— y se conecta directamente con el deber de secreto que ya vimos en la Ley 41/2002.

La diferencia entre intimidad y protección de datos es sutil pero importante. El derecho a la intimidad (art. 18.1 CE) protege un ámbito reservado frente a la intromisión ajena: lo que quiero mantener oculto. El derecho a la protección de datos (art. 18.4 CE) va más allá: protege también datos que no son secretos —un nombre, un teléfono— frente a un uso no consentido, y otorga a la persona un poder de disposición y control sobre su información (saber quién la tiene, para qué, y poder rectificarla u oponerse). Por eso se habla de un derecho a la autodeterminación informativa. En la práctica sanitaria ambos se dan la mano: la historia clínica afecta a la vez a la intimidad del paciente y a sus datos personales, y el TCAE los protege con los mismos gestos de discreción y cuidado.

1. El marco normativo: RGPD y LOPDGDD

Dos normas forman hoy el marco de la protección de datos. La primera es el Reglamento General de Protección de Datos, el Reglamento (UE) 2016/679, conocido por sus siglas RGPD, que es directamente aplicable en toda la Unión Europea desde el 25 de mayo de 2018. La segunda es la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que adapta el Derecho español al Reglamento, lo completa en lo que este deja a los Estados y añade un catálogo de derechos digitales. Conviene fijar la relación entre ambas: el RGPD es la norma europea de aplicación directa y prevalente; la LOPDGDD la desarrolla y adapta en España. Ambas sustituyeron a la anterior ley de 1999 (LOPD), hoy derogada.

Conviene situar el cambio. Hasta 2018 rigió en España la Ley Orgánica 15/1999 de Protección de Datos (la «LOPD»), que respondía a una directiva europea de 1995. El RGPD supuso un salto cualitativo: unificó las reglas en toda la Unión, reforzó los derechos de las personas y, sobre todo, cambió la filosofía del sistema. Antes, la protección se basaba en declarar los ficheros ante la autoridad y cumplir requisitos formales; ahora se basa en la responsabilidad proactiva: es la propia organización la que debe analizar sus riesgos, adoptar las medidas adecuadas y estar en condiciones de demostrar que cumple. La LOPDGDD, además de adaptar el Reglamento, incorporó una novedad importante: un título dedicado a los derechos digitales de la ciudadanía, del que hablaremos más adelante. Para los centros sanitarios, este marco implica una gestión mucho más exigente de la información clínica.

2. Conceptos clave

2.1. Dato personal y categorías especiales

Un dato personal es toda información sobre una persona física identificada o identificable (el nombre, el DNI, la dirección, el número de historia, la imagen, la voz…). El tratamiento es cualquier operación realizada sobre datos personales: recogerlos, registrarlos, conservarlos, consultarlos, usarlos, comunicarlos o suprimirlos. Dentro de los datos personales hay una clase especialmente protegida: las categorías especiales de datos (el RGPD las regula en su artículo 9), que comprenden los datos que revelan el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos y biométricos, y —lo que más nos interesa— los datos relativos a la salud y a la vida u orientación sexual. Su tratamiento está, como regla, prohibido, salvo que concurra alguna de las excepciones que la propia norma prevé. En una palabra: los datos de salud son datos de categoría especial, con protección reforzada. La seudonimización (sustituir los identificadores por un código) y la anonimización (eliminar de forma irreversible la posibilidad de identificar) son técnicas para reducir el riesgo. La diferencia entre ambas se pregunta a menudo: en la seudonimización el dato sigue siendo personal, porque con información adicional puede volver a asociarse a la persona; en la anonimización, al no poder revertirse, el dato deja de ser personal y queda fuera del ámbito de la normativa. Esta distinción importa en el ámbito sanitario, porque permite el uso secundario de la información clínica: los datos de las historias clínicas pueden emplearse para investigación, docencia o estadística, pero, como regla, disociando o anonimizando la identidad del paciente, de modo que del estudio no pueda deducirse quién es cada persona. El uso primario —la asistencia directa— es distinto: ahí sí se manejan los datos identificados, pero solo por quienes cuidan al paciente.

2.2. Responsable, encargado y delegado

Tres figuras organizan el tratamiento. El responsable del tratamiento es quien decide los fines y los medios del tratamiento (en la sanidad pública, el servicio de salud o el centro sanitario). El encargado del tratamiento es quien trata los datos por cuenta del responsable (por ejemplo, una empresa que presta un servicio informático), y solo puede hacerlo siguiendo sus instrucciones y con un contrato que regule el encargo. Y el delegado de protección de datos (DPD) —en inglés, Data Protection Officer o DPO— es la persona experta que informa, asesora y supervisa el cumplimiento de la normativa dentro de la organización y actúa como punto de contacto con la autoridad de control. Su designación es obligatoria, entre otros supuestos, cuando se tratan a gran escala categorías especiales de datos, lo que ocurre, precisamente, en los centros sanitarios. El interesado es la persona física titular de los datos.

Vale la pena detenerse en el delegado de protección de datos, porque es una figura clave en los hospitales. Entre sus funciones están informar y asesorar al responsable, al encargado y a los empleados sobre sus obligaciones; supervisar el cumplimiento de la normativa y de las políticas internas; ofrecer asesoramiento sobre las evaluaciones de impacto; y cooperar con la autoridad de control y actuar como punto de contacto con ella. El DPD desempeña sus funciones con autonomía y no puede ser sancionado por ejercerlas. En los servicios de salud, cualquier duda del personal sobre cómo tratar un dato o cómo atender una solicitud de un paciente puede dirigirse a esta figura. La LOPDGDD, por su parte, sustituyó el clásico «deber de secreto» por un deber de confidencialidad que vincula al responsable, al encargado y a todas las personas que intervienen en cualquier fase del tratamiento, y que subsiste aun después de finalizar la relación con el titular de los datos.

3. Principios del tratamiento

El RGPD somete todo tratamiento a una serie de principios (art. 5) que son la columna vertebral de la protección de datos y muy preguntados:

• Licitud, lealtad y transparencia: los datos se tratan de manera lícita, leal y transparente para el interesado.
• Limitación de la finalidad: se recogen con fines determinados, explícitos y legítimos, y no se tratan después de forma incompatible con esos fines.
• Minimización de datos: solo se tratan los datos adecuados, pertinentes y limitados a lo necesario para la finalidad.
• Exactitud: los datos deben ser exactos y estar actualizados; los inexactos se suprimen o rectifican.
• Limitación del plazo de conservación: se conservan solo el tiempo necesario para los fines del tratamiento.
• Integridad y confidencialidad: se tratan de forma que se garantice una seguridad adecuada, incluida la protección contra el acceso no autorizado.
• Responsabilidad proactiva (accountability): el responsable no solo debe cumplir estos principios, sino poder demostrarlo.

Para el TCAE, el principio más tangible es el de minimización: acceder únicamente a los datos que necesita para el cuidado del paciente que atiende, y no a más.

De estos principios derivan dos ideas operativas muy citadas: la protección de datos desde el diseño (privacy by design), que obliga a pensar en la protección de los datos desde el momento de diseñar cualquier sistema o proceso, no como un añadido posterior; y la protección de datos por defecto (privacy by default), según la cual, por defecto, solo deben tratarse los datos estrictamente necesarios para cada finalidad, con la configuración más protectora. Aplicadas a un hospital, significan que los sistemas de historia clínica deben nacer ya con controles de acceso por perfil, con trazabilidad de quién consulta cada dato y con la información justa visible para cada profesional. El principio de responsabilidad proactiva cierra el círculo: no basta con hacerlo bien, hay que poder acreditar que se hace bien, mediante políticas, registros y evaluaciones.

4. Licitud del tratamiento y datos de salud

Para que un tratamiento sea lícito debe apoyarse en una base jurídica (art. 6 RGPD). Las bases más habituales son el consentimiento del interesado, la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el cumplimiento de una misión de interés público y el interés legítimo. Ahora bien, tratándose de datos de salud (categoría especial), la regla es más estricta: su tratamiento está prohibido salvo que concurra una de las excepciones del artículo 9, entre las que destacan el consentimiento explícito del interesado; los fines de medicina preventiva o laboral, diagnóstico médico, prestación de asistencia sanitaria o gestión de los sistemas y servicios de asistencia sanitaria; y las razones de interés público en el ámbito de la salud pública. Por eso el hospital puede tratar tus datos de salud para atenderte sin pedirte un consentimiento específico para cada gesto: la base es la prestación de asistencia sanitaria. Pero ese amparo es solo para cuidar: no autoriza a curiosear ni a usar los datos para otros fines.

Cuando la base del tratamiento sí es el consentimiento, este ha de reunir unos requisitos estrictos: debe ser libre (sin coacción ni condicionamiento), específico (para una finalidad concreta), informado (tras conocer quién trata los datos y para qué) e inequívoco (mediante una acción afirmativa clara; no valen el silencio ni las casillas ya marcadas). Para las categorías especiales, como los datos de salud, el consentimiento, cuando se emplea como base, debe ser además explícito. El interesado puede retirar su consentimiento en cualquier momento, con la misma facilidad con que lo prestó, sin que ello afecte a la licitud del tratamiento anterior a la retirada. Estas exigencias explican por qué los formularios de consentimiento del ámbito sanitario deben ser claros y por qué no basta con una firma rutinaria: se busca una decisión realmente consciente.

5. Los derechos de las personas

El RGPD reconoce a las personas un conjunto de derechos sobre sus datos, que las Administraciones deben facilitar. Son los siguientes:

• Acceso: conocer qué datos suyos se están tratando y obtener información sobre el tratamiento.
• Rectificación: corregir los datos inexactos o incompletos.
• Supresión («derecho al olvido»): obtener la eliminación de los datos cuando ya no sean necesarios o concurran otras causas.
• Limitación del tratamiento: que se marque el tratamiento de ciertos datos para restringir su uso futuro.
• Portabilidad: recibir los datos en un formato estructurado y transmitirlos a otro responsable.
• Oposición: oponerse al tratamiento por motivos relacionados con su situación particular.
• Derecho a no ser objeto de decisiones individuales automatizadas, incluida la elaboración de perfiles, con efectos jurídicos o significativos.

Para ejercer estos derechos, la persona se dirige al responsable del tratamiento (el centro o el servicio de salud), que debe facilitar los medios para ello y responder en el plazo previsto; el delegado de protección de datos actúa como punto de contacto y puede orientar en el ejercicio. Si la persona no obtiene respuesta o no está conforme, puede presentar una reclamación ante la Agencia Española de Protección de Datos. Conviene recordar que, con carácter general, estos derechos son personalísimos: los ejerce el propio interesado o su representante debidamente acreditado, lo que refuerza la cautela ante peticiones de terceros. Para el TCAE, lo esencial es saber que, cuando un paciente pregunta cómo acceder a su historia o corregir un dato, existe un procedimiento y unas personas —el servicio de admisión, el DPD— a quienes derivarle, sin improvisar respuestas.

Estos derechos son, en principio, gratuitos y deben atenderse en plazos tasados (con carácter general, un mes). En el ámbito sanitario, hay que conjugarlos con la normativa de la historia clínica: por ejemplo, el derecho de supresión no permite «borrar» sin más una historia clínica que la ley obliga a conservar por su valor asistencial y legal.

La gran novedad de la LOPDGDD frente a la vieja LOPD es su catálogo de derechos digitales, pensados para la era de internet. Entre ellos figuran el derecho a la neutralidad de internet y al acceso universal a la red; el derecho a la seguridad y a la educación digital; el derecho a la rectificación y a la actualización de informaciones en medios digitales; los derechos al olvido en búsquedas de internet y en redes sociales; el derecho a la portabilidad en servicios de redes; y, en el ámbito laboral, el derecho a la intimidad frente al uso de dispositivos digitales y de sistemas de videovigilancia y geolocalización, y el derecho a la desconexión digital (a no atender comunicaciones fuera del horario de trabajo, para preservar el descanso y la conciliación). Aunque no todos afectan directamente a la asistencia, dibujan el horizonte de derechos de una sociedad digital y son materia habitual de examen.

6. Seguridad, brechas y autoridad de control

Frente a esos derechos, el responsable y el encargado asumen deberes. El primero es el de información (transparencia): informar al interesado, de forma clara, sobre quién trata sus datos, con qué fin y con qué base, y sobre cómo ejercer sus derechos. El segundo es el de seguridad: aplicar medidas técnicas y organizativas apropiadas (control de accesos por perfil, cifrado, trazabilidad, copias de seguridad…) para proteger los datos, con un enfoque de protección de datos desde el diseño y por defecto. Cuando ocurre una violación de la seguridad (una «brecha»: un acceso indebido, una pérdida o una divulgación no autorizada), el responsable debe notificarla a la autoridad de control, con carácter general, en un plazo de 72 horas, y, si el riesgo para los derechos de las personas es alto, comunicarla también a los afectados. Los tratamientos de alto riesgo —como los de datos de salud a gran escala— exigen, además, una evaluación de impacto previa. La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD), que vela por el cumplimiento, atiende reclamaciones y puede sancionar las infracciones, que pueden llevar aparejadas multas muy elevadas. En el sector público, las sanciones a las Administraciones tienen un régimen específico, pero la responsabilidad existe.

Entre los instrumentos de cumplimiento destaca el registro de las actividades de tratamiento, en el que el responsable documenta qué datos trata, con qué fines, con qué base jurídica y con qué medidas de seguridad; es una manifestación de la responsabilidad proactiva. La LOPDGDD gradúa las infracciones en leves, graves y muy graves, con plazos de prescripción distintos, y el RGPD prevé multas administrativas que, para las más graves, pueden alcanzar cifras muy elevadas (hasta decenas de millones de euros o un porcentaje del volumen de negocio anual para las empresas). Aunque esas cuantías se piensan sobre todo para grandes compañías, ilustran la seriedad con que el ordenamiento protege los datos. En el ámbito sanitario, el acceso no autorizado a la historia clínica de un paciente es uno de los incumplimientos más vigilados, precisamente por tratarse de datos de categoría especial.

Un capítulo especialmente delicado es el de las comunicaciones o cesiones de datos a terceros. Ceder datos de salud a otra entidad requiere, como regla, una base jurídica que lo ampare (el consentimiento del interesado, una obligación legal o una de las excepciones del ámbito sanitario). No es lícito, por tanto, facilitar información clínica a una aseguradora, a una empresa o a un particular sin cobertura legal. Dentro del propio Sistema Nacional de Salud, la comunicación de datos entre profesionales que atienden al paciente está amparada por la finalidad asistencial y por la interoperabilidad de la historia clínica; pero incluso ahí rige el principio de necesidad: se comparte lo que hace falta para la continuidad de los cuidados, no todo por sistema. El TCAE debe ser especialmente prudente ante cualquier petición de información que provenga de fuera del equipo asistencial, y derivarla a los cauces adecuados.

7. El deber de confidencialidad del TCAE

Traducido al trabajo diario, todo esto significa para el TCAE un deber de confidencialidad reforzado. Los datos de salud que maneja son de categoría especial, de modo que su cuidado debe ser máximo. En concreto, el TCAE debe: acceder solo a la información necesaria para atender a los pacientes que tiene a su cargo (principio de minimización y de acceso por perfil), sin entrar en historias de personas que no atiende, por conocidas o famosas que sean; no divulgar datos a quien no participe en la asistencia, dentro ni fuera del centro; utilizar de forma correcta las herramientas informáticas —no compartir su usuario y contraseña, cerrar la sesión al ausentarse, no dejar documentación a la vista—; y ser consciente de que cada acceso a la historia queda registrado (trazabilidad) y debe estar justificado por la asistencia. El acceso indebido a datos de salud, o su divulgación, puede constituir una infracción en materia de protección de datos y, además, una falta disciplinaria e incluso un delito de descubrimiento y revelación de secretos. En definitiva, proteger los datos del paciente es una forma más de respetar su dignidad, la misma que se respeta al cuidar su cuerpo con pudor.

Un ejemplo ilustra la regla mejor que cualquier norma. Supongamos que ingresa en la planta una persona conocida del barrio, o incluso un familiar de un compañero. Por muy natural que parezca la curiosidad, consultar su historia clínica sin atenderlo profesionalmente es un acceso indebido, aunque no se cuente a nadie lo que se ha visto: el mero acceso injustificado ya vulnera la normativa, y el sistema lo registra. Del mismo modo, comentar «de pasada» el caso de un paciente con quien no debe, hacer una fotografía de una pantalla con datos clínicos o llevarse documentación a casa son conductas prohibidas. La regla de oro es sencilla: a la información de un paciente solo se accede para cuidarlo, y solo a lo que se necesita para ello. Interiorizar este principio es una de las señas del buen profesional y evita problemas serios, porque en materia de datos de salud la línea entre lo correcto y la infracción es muy nítida.

8. Esquema de repaso (llaves)

PROTECCIÓN DE DATOS — RGPD (Reglamento UE 2016/679) + LOPDGDD (LO 3/2018)
 = RGPD: norma europea de aplicación DIRECTA desde el 25-may-2018 · LOPDGDD: la adapta en España + derechos digitales
 = Base constitucional: art. 18.4 CE · derecho fundamental a controlar los propios datos

CONCEPTOS
 = Dato personal: info de persona física identificada o identificable · Tratamiento: cualquier operación sobre datos
 = CATEGORÍAS ESPECIALES (art. 9): salud, genéticos, biométricos, ideología, religión, vida sexual... → tratamiento PROHIBIDO salvo excepciones
 = DATOS DE SALUD = categoría especial (protección reforzada)
 = Responsable (decide fines y medios) · Encargado (trata por cuenta del responsable) · DPD/DPO (asesora y supervisa; OBLIGATORIO si categorías especiales a gran escala) · Interesado (titular)

PRINCIPIOS (art. 5)
 = Licitud, lealtad y transparencia · limitación de la finalidad · MINIMIZACIÓN · exactitud · limitación de la conservación · integridad y confidencialidad (SEGURIDAD) · RESPONSABILIDAD PROACTIVA (poder demostrarlo)

LICITUD
 = Bases (art. 6): consentimiento, contrato, obligación legal, interés vital, misión de interés público, interés legítimo
 = Datos de salud (art. 9): consentimiento explícito · asistencia sanitaria / medicina preventiva o laboral · interés público en salud pública
 = El hospital trata tus datos para CUIDAR (no para curiosear)

DERECHOS DE LAS PERSONAS
 = Acceso · Rectificación · Supresión (olvido) · Limitación · Portabilidad · Oposición · no decisiones automatizadas
 = Gratuitos · plazo general de 1 mes · límite: no borrar la historia clínica que la ley obliga a conservar

DEBERES Y CONTROL
 = Información (transparencia) · Seguridad (protección desde el diseño y por defecto)
 = BRECHA de seguridad → notificar a la AEPD en 72 h (y a los afectados si alto riesgo) · evaluación de impacto en alto riesgo
 = Autoridad de control: AEPD (Agencia Española de Protección de Datos) · sanciones

TCAE
 = Deber de CONFIDENCIALIDAD reforzado · acceso por PERFIL y MÍNIMO necesario · no compartir usuario/contraseña · cerrar sesión · TRAZABILIDAD
 = Acceso indebido/divulgación → infracción + falta disciplinaria + posible delito

9. Ideas fuerza para el test

• El marco lo forman el RGPD (Reglamento UE 2016/679, aplicable desde el 25 de mayo de 2018) y la LOPDGDD (LO 3/2018), que lo adapta en España.
• El derecho a la protección de datos es fundamental y deriva del art. 18.4 CE; no es lo mismo que la intimidad: protege el control sobre los propios datos.
• Los datos de salud son categoría especial (art. 9 RGPD): su tratamiento está prohibido salvo excepciones (asistencia sanitaria, consentimiento explícito, salud pública).
• Principios del tratamiento: licitud y transparencia, limitación de la finalidad, minimización, exactitud, limitación de la conservación, integridad y confidencialidad y responsabilidad proactiva.
• Derechos de las personas: acceso, rectificación, supresión, limitación, portabilidad y oposición; el «olvido» no permite borrar una historia clínica que debe conservarse.
• Figuras: responsable (decide fines y medios), encargado (trata por cuenta del responsable) y delegado de protección de datos (obligatorio con datos de salud a gran escala).
• Una brecha de seguridad se notifica a la AEPD en un plazo general de 72 horas; la autoridad de control española es la Agencia Española de Protección de Datos.
• El TCAE accede a los datos por perfil y al mínimo necesario, con trazabilidad de cada acceso; el acceso indebido puede ser infracción, falta disciplinaria y delito.
• Diferencia clave: la seudonimización mantiene el dato como personal (reversible); la anonimización es irreversible y saca el dato de la normativa. El uso secundario (investigación, docencia) exige disociar la identidad.
• La LOPDGDD aporta el catálogo de derechos digitales (educación digital, olvido en internet, desconexión digital…) y sustituye el «deber de secreto» por el deber de confidencialidad.