CONSULTING

1. Ponencia sobre Protección de Datos Principios Generales CONSULTING Marbella, 18 de febrero de 2005 Global Factory

2. Orden del día 1º Presentación. 2º Protección de datos: la Ley: sus fundamentos y principios. 3º Preguntas. 5 minutos 20 minutos Resto.

3. Presentación Objetivo de la ponencia: Concienciar sobre las nuevas obligaciones que establece el Derecho Fundamental a la protección de los datos personales.

4. Ley Orgánica de Protección de Datos 1º.- Cronología - Convenio Europeo, 28 enero 1.981 - LORTAD, 5/1992 - Directiva 95/46, 24 octubre - RD 994/1.999, 11 de junio - LOPD, 15/1.999, 13 de diciembre - Constitución Europea. • Tres ideas: • Novedoso • Contradictorio: leyes-reglamento • Posicionamiento. - LSSI-CE, 34/2002 - LAPTV, 41/2002

5. 2º.- Importancia de la LOPD - Es un Derecho Fundamental STC 292/2000. • Impone sanciones de 100.000 a 100.000.000 de pesetas.(de 601,01 Euros a 601.012,1 Euros) Leves Graves Muy Graves - Establece unos plazos de cumplimiento. 26 de marzo 2.000 26 de junio 2.000 26 de junio 2.002 AEPD -Crea un órgano de Control:

6. 3º.- ¿Estoy sujeto a la ley? - Concepto de Dato personal. Cualquier información concerniente a personas físicas identificadas o identificables. Ámbito Propiedad del Dato. Ley 41/2002 Información clínica:todo dato, cualquiera que sea su forma, clase o tipo, que permite adquirir o ampliar conocimientos sobre el estado físico y la salud de una persona, o la forma de preservarla, cuidarla, mejorarla o recuperarla.

7. 3º.- ¿Estoy sujeto a la ley? - Concepto de Fichero. Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.

8. 3º.- ¿Estoy sujeto a la ley? - Deber de secreto. Quien intervenga en cualquier fase del tratamiento está obligado al secreto profesional, obligación que subsistirá aun después de finalizar sus relaciones con el titular del fichero. Ley 41/2002 Usos de la historia clínica: El personal que accede a los datos de la historia clínica en el ejercicio de susfunciones queda sujeto al deber de secreto.

9. La multa de la Agencia de Protección de Datos al Consejo General de Colegios de Médicos hace reflexionar a los Colegios Provinciales. La cesión a empresas y otras organizaciones de listados con datos personales de los colegiados es una práctica que no se ciñe al Consejo General de Colegios de Médicos, sino que también se ha producido en el ámbito local. El propio Colegio de La Coruña ha sido sancionado por la Agencia de Protección de Datos con una multa de 60 millones de pesetas, mientras que presidentes de otros colegios han admitido que la situación de todos ellos es similar. Desde esta institución se alega que: “ Es habitual dar las direcciones de los médicos para que reciban información sobre actividades y productos, pero se hace porque se cree que es algo beneficioso. Para alguien neófito en el tema es fácil incurrir en alguna falta, ya que la actual legislación no estaba en vigor desde hace 11 años, y no es posible estar al día en todas las leyes, decretos, … que aparecen”. Historiales psiquiátricos encontrados en una calle de Teruel La Administración especialmente preocupada por la gravedad de los documentos extraviados. Al parecer los documentos, con membrete oficial, provienen del Hospital Psiquiátrico San Juan de Dios y contienen información confidencial como historias clínicas de menores, intentos de suicidio, o correspondencia administrativa mantenida con la Diputación Provincial. Desde el Departamento de Sanidad del Gobierno de Aragón se ordenó la retirada de los papeles que habían permanecido a la intemperie durante dos días, afirmando que se trataba de anotaciones de un solo médico y que se había procedido a la apertura de la correspondiente investigación en aras a la depuración de responsabilidades. 12.000 expedientes médicos son publicados en Internet, por un informático al que habían despedido. En Sevilla, un informático ha colgado en Internet 12.000 expedientes médicos, aunque sin datos médicos, de la empresa para la que trabajaba. Al despedirle, se adjudicó parte de la base de datos de la compañía y decidió vengarse haciendo pública parte de la información en una página que confeccionó con una identidad falsa. En la página, se podían ver los nombres de pila y los números de expediente de los pacientes sin el contenido de sus datos médicos, además de un juego sátiro sobre sus empleados..  La Agencia de Protección de Datos detecta deficiencias en el tratamiento de datos de salud (año 2002-2003) Conforme se desprende de la comparecencia del Director de la Agencia de Protección de Datos en el Congreso de los Diputados, el director de la AEPD, informó de que, en general, las inspecciones iniciadas y concluidas en ese período aumentaron un 44 por ciento; los procedimientos de infracción abiertos a responsables de ficheros privados aumentaron un 18 por ciento, y los terminados, un 14 por ciento. La Agencia Española de Protección de Datos (AEPD) dictó varias resoluciones en 2002 y 2003 sobre importantes deficiencias en el tratamiento de la información médica de los pacientes por las instituciones sanitarias, principalmente las públicas, y la escasa implantación de normas de seguridad mínima. Un centro de salud de Málaga tira a la basura 7.000 partes confidenciales. Autoridades administrativas abren una investigación para depurar responsabilidades. Por razones de limpieza, se tiraron a la basura impresos P 10 que los médicos de cabecera usan para desviar enfermos hacia los especialistas, en estos documentos figura el nombre, dirección, teléfono y número del DNI, así como una orientación diagnóstica del médico. Datos todos ellos de gran relevancia y especialmente protegidos por la LOPD aun siendo archivos papel y que deberían haberse destruido conforme a lo establecido en los preceptos de dicha ley. La Agencia de Protección de Datos inspecciona Centros médicos bajo denuncias de los propios médicos. Conforme se desprende de la comparecencia del Director de la Agencia de Protección de Datos en el Congreso de los Diputados, recogida en la Memoria de la Agencia de Protección de datos de año 2001, hay sectores médicos que ya se han puesto en contacto con la APD, denunciando falta de medidas de seguridad por seguir existiendo Internet en los centros de salud y no proveerse un control sobre el mismo. En concreto mencionó al Centro de salud de Albacete. En esta misma comparecencia el Director indicó que “quiero resaltar a SS.SS que la APD tiene una especial sensibilidad en el tratamiento de datos especialmente protegidos, como son los relativos a la Salud, y de ahí la preocupación y seguimiento constante que se hace de los mismos por la Agencia.". Se investiga la aparición de partes médicos de menores en Málaga. Se repite la situación vivida en la misma provincia en el año 2002. La AEPD abrirá la oportuna investigación. Por motivos que se desconocen, aparecieron cientos de partes de niños asistidos en el hospital Materno Infantil -considerados confidenciales- esparcidos por el suelo en un polígono Malagueño. Estos partes médicos contienen los nombres y apellidos de los menores, el número de historia clínica, el día y la hora, así como el motivo de la consulta, los síntomas, el resultado de la exploración, las pruebas complementarias, la sospecha de diagnóstico y el tratamiento en cada caso. Incendio en el Pabellón donde se custodian las Historias Clínicas del SERGAS. El incendio arrasó la nave de Pontevedra en la que el Sergas custodiaba medio millón de historiales clínicos fue accidental y se originó en la nave contigua. Así se recoge en las conclusiones de la investigación policial, que cita como posible foco del incendio la conexión de un ordenador que, al parecer, se dejaba encendido durante toda la noche. La Agencia Española de Protección de Datosmantiene abierta una investigación para determinar si la Administración sanitaria o la empresa que custodiaba los archivos clínicos obviaron la normativa relativa a la protección de datos sensibles. La Agencia de Protección de Datos realizó en el año 2.000 inspecciones en diversos Centros Sanitarios La Agencia en sus actuaciones de oficio inspeccionó el Hospital General Gómez Ulla, el Hospital Psiquiátrico Penitenciario de Foncalent de Alicante, en el Centro de Epidemiología, el Registro Nacional del Sida y evacuó un informe sobre Insalud. En este sentido, el Servicio Canario de Salud se le ha sancionado por no notificar los ficheros que es responsable ante la APD. P. 9

10. 4º.- Conceptos Básicos: Responsable de Fichero: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.

11. 4º.- Conceptos Básicos: Encargado de Tratamiento: Persona física o jurídica, autoridad pública o privada, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. Debe existir: Contrato Escrito.

12. 4º.- Conceptos Básicos: Encargado de Tratamiento: Asesoría Consultoría Informática Selección Formación Laboratorios Etiquetados,... Responsable del Fichero

13. 5º.- Principios y Fundamentos. -Principio de consentimiento. El tratamiento de todo DCP requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga de otra cosa. • Relación jurídica • Ejercicio de la Admón. • Interés vital • Fuentes Accesibles

14. 5º.- Principios y Fundamentos. -Principio de consentimiento. El tratamiento de datos de salud requerirá siempre el consentimiento expreso del interesado, salvo; Cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto.

15. 5º.- Principios y Fundamentos. - Derecho de información. Todo interesado tiene derecho a que le informen sobre: • La existencia de un fichero y su finalidad • Del carácter facultativo u obligatorio de las respuestas • De las consecuencias de la negativa • De la posibilidad de ejercitar los derechos de acceso, cancelación, oposición y rectificación. • De la identidad del Responsable

16. 5º.- Principios y Fundamentos. -Comunicación de datos conforme a la ley. Los DCP sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones del cedente y cesionario y con el PREVIO CONSENTIMIENTO del interesado.

17. Plan de Inspección de Oficio en Laboratorios hospitalarios -Recomendaciones: • Medidas de Seguridad: • Disponer de un Documento de Seguridad • Implantar la normativa de seguridad • Funciones y obligaciones del personal deben ser difundidas, documentadas y conocidas • Disponer de un Registro de Incidencias • Controles de acceso-identificación y autenticación • Realizar copias de respaldo y recuperación

18. Plan de Inspección de Oficio en Laboratorios hospitalarios -Recomendaciones: • Medidas de Seguridad: • Nombrar un responsable de seguridad • Realizar Auditorías • Controlar el acceso físico a los locales • Cifrado de soportes • Registro de acceso (log) • Telecomunicaciones cifradas • Firma del personal de una cláusula de confidencialidad.

19. Plan de Inspección de Oficio en Laboratorios hospitalarios -Recomendaciones: • Acceso por Terceros: • Firmar contratos con las especificaciones legales. • Derechos de las personas: ARCO • Facilitar los procedimientos para que los ciudadanos accedan a sus datos personales. • Notificaciones Registrales: • Crear, modificar o suprimir los correspondientes ficheros.

20. 6º.- Ideas a Recordar: 1º.- Protección de DCP es un derecho FUNDAMENTAL 2º.- Los DCP son SIEMPRE de su titular. 3º.- La Ley no prohíbe manejar datos, prohíbe su tratamiento SIN GARANTÍAS. 4º.- Todo tratamiento debe estar CONSENTIDO 5º.- Todo tratamiento debe ser INFORMADO 6º.- No se puede CEDER datos. 7º.- El sector sanitario se encuentra obligado a este régimen

21. In veritate Securitas 7º.- Dudas y Preguntas.