Una receta electrónica contiene datos personales del paciente, incluidos datos relacionados con su salud: qué medicamentos tiene prescritos, qué tratamiento sigue o, en determinados casos, qué problema de salud puede estar detrás de esa prescripción.
Pasar de la receta en papel a la prescripción digital no consiste solo en cambiar el formato. También hay que tener en cuenta dónde se guarda la información, quién puede acceder a ella y cómo se protege.
Al utilizar una plataforma de prescripción electrónica, es importante conocer cómo se recoge, almacena y protege la información del paciente, quién puede acceder a ella y qué responsabilidades corresponden a cada una de las partes.
El RGPD establece un marco para el tratamiento de estos datos. Conocer sus principales implicaciones ayuda a los profesionales y centros sanitarios a valorar las herramientas que utilizan y la forma en que gestionan la información.
1. Los datos de salud necesitan una protección especial
Los datos relacionados con la salud forman parte de las categorías especiales de datos personales que recoge el artículo 9 del RGPD. Esto significa que no se pueden tratar como cualquier otro dato personal. Para utilizarlos, hay que cumplir los requisitos que establece el RGPD.
Si esta información llega a manos de personas que no deberían tener acceso a ella, puede quedar expuesta una parte muy privada de la vida del paciente.
Por eso, utilizar una plataforma de prescripción electrónica también exige prestar atención a cómo se almacena y se protege la información del paciente.
2. Controlar quién puede acceder a la información
No todo el personal de un centro sanitario debe poder consultar los datos de cualquier paciente. Cada persona debe acceder únicamente a la información que necesita para realizar su trabajo.
Para evitar accesos innecesarios, hay algunas cuestiones que la consulta o clínica debería revisar:
● Cada usuario debe disponer de sus propias credenciales. No es recomendable compartir nombres de usuario ni contraseñas.
● Los permisos deben adaptarse a las funciones de cada persona. Por ejemplo, el personal que gestiona las citas no necesita tener acceso a toda la información clínica.
● Cuando alguien cambia de puesto o deja de trabajar en el centro, hay que revisar sus permisos y retirar los accesos que ya no necesita.
● La plataforma debería permitir consultar quién ha accedido a la información y qué acciones ha realizado. Esto facilita la revisión de posibles incidencias.
3. Garantizar la seguridad de la información
El RGPD no establece una única solución tecnológica para proteger los datos, sino que exige adoptar medidas de seguridad adecuadas a los riesgos de cada tratamiento. En el ámbito sanitario, esto implica prestar atención tanto a las herramientas que se utilizan como a la forma de trabajar con la información.
Entre las medidas que conviene aplicar están:
● Medidas técnicas: utilizar contraseñas seguras, activar la doble verificación cuando esté disponible, mantener los equipos y programas actualizados y realizar copias de seguridad.
● Medidas organizativas: formar al personal en el manejo de datos personales, establecer normas claras sobre el acceso y uso de la información y definir cómo actuar ante posibles incidencias.
También es importante disponer de un procedimiento para gestionar posibles brechas de seguridad. El RGPD establece que, cuando una brecha pueda entrañar un riesgo para los derechos y libertades de las personas, el responsable del tratamiento debe notificarla a la autoridad de control competente sin dilación indebida y, siempre que sea posible, en un plazo máximo de 72 horas desde que tenga conocimiento de ella.
4. Saber quién es responsable del tratamiento y cuánto tiempo se conservan los datos
Al contratar una plataforma de prescripción electrónica, es importante tener claro quién es el responsable del tratamiento de los datos de los pacientes y qué papel desempeña el proveedor.
Lo habitual es que quien presta la asistencia sanitaria decida para qué se utilizan los datos de los pacientes y cómo se gestionan. En ese caso, será el responsable del tratamiento. El proveedor de la plataforma puede actuar como encargado cuando trata esos datos por cuenta del responsable y siguiendo sus instrucciones.
La responsabilidad dependerá de quién tome realmente las decisiones sobre el tratamiento de los datos, no únicamente del tipo de contrato que se firme.
Cuando el proveedor actúa como encargado del tratamiento, debe existir un contrato que establezca las condiciones en las que puede acceder a los datos y las obligaciones que debe cumplir. Así lo recoge el artículo 28 del RGPD.
La documentación clínica tampoco puede conservarse sin límite ni eliminarse antes de tiempo. La consulta o clínica debe respetar los plazos que marca la normativa.
La Ley 41/2002 establece que los centros sanitarios deben conservar la documentación clínica durante el tiempo adecuado para garantizar la asistencia al paciente y, como mínimo, durante cinco años desde el alta de cada proceso asistencial. Algunas comunidades autónomas establecen plazos de conservación mayores.
Esto no significa que, una vez transcurridos esos cinco años, haya que eliminar automáticamente toda la documentación. Antes de hacerlo, hay que comprobar si existe alguna otra obligación legal que exija conservarla durante más tiempo.
Por eso, conviene conocer los plazos de conservación aplicables, dónde se almacena la documentación y qué procedimiento se sigue para su eliminación cuando ya no existe obligación de conservarla.
5. Respetar los derechos de los pacientes
El paciente tiene derecho a saber qué se hace con sus datos personales y a ejercer los derechos que le reconoce el RGPD. El responsable del tratamiento debe saber cómo recibir y atender estas solicitudes.
● Acceso: saber si se están tratando sus datos y obtener una copia de ellos.
● Rectificación: corregir los datos personales que sean inexactos o estén incompletos.
● Supresión: solicitar que se eliminen sus datos, siempre que no exista una obligación legal que exija conservarlos.
● Limitación, oposición y portabilidad: ejercer estos derechos cuando se cumplan las condiciones previstas en el RGPD.
El derecho de supresión tiene particularidades en el ámbito sanitario. Si un paciente solicita eliminar información que forma parte de su historia clínica, no siempre será posible hacerlo. Hay que valorar si esos datos siguen siendo necesarios para la asistencia o si existe una obligación legal de conservarlos. La AEPD señala que corresponde al profesional sanitario valorar la relevancia clínica de la información antes de decidir si puede suprimirse.
También debe existir un canal para que los pacientes puedan ejercer sus derechos y un procedimiento para atender sus solicitudes dentro del plazo que marca el RGPD.
6. Qué revisar sobre protección de datos antes de elegir una plataforma de receta electrónica
Cada plataforma puede ofrecer distintas funcionalidades y medidas de seguridad. Por eso, antes de contratarla, conviene conocer qué garantías ofrece el proveedor y cómo se distribuyen las responsabilidades. Estas son algunas cuestiones que puedes revisar:
● Control de accesos: ¿cada persona del equipo puede acceder únicamente a la información que necesita para su trabajo?
● Registro de actividad: ¿se puede consultar quién ha accedido a la información y qué acciones ha realizado?
● Contrato de encargo del tratamiento: ¿el proveedor facilita este contrato cuando actúa como encargado del tratamiento?
● Medidas de seguridad: ¿qué medidas aplica para proteger los datos y realizar copias de seguridad?
● Gestión de incidencias: ¿cómo comunica al centro una brecha de seguridad y qué procedimiento sigue para gestionarla?
● Conservación y eliminación: ¿dónde se almacenan los datos y qué ocurre con ellos cuando termina el servicio?
Además de las garantías del proveedor, la consulta o clínica debe tener cubiertos otros aspectos:
● Cada usuario dispone de sus propias credenciales y el personal conoce las normas para manejar los datos.
● Están definidos los plazos de conservación y los procedimientos para eliminar la información cuando ya no sea necesario mantenerla.
● Los pacientes reciben información sobre el tratamiento de sus datos y saben cómo ejercer sus derechos.
● Se ha comprobado si es necesario realizar una evaluación de impacto y si la consulta o clínica está obligada a designar un delegado de protección de datos.
Puede ser necesario realizar una evaluación de impacto cuando el tratamiento de los datos pueda suponer un riesgo elevado para los derechos y libertades de los pacientes. También hay que comprobar si existe obligación de contar con un delegado de protección de datos. Los centros sanitarios obligados a mantener historias clínicas deben designarlo, aunque esta obligación no se aplica a los profesionales sanitarios que ejercen su actividad privada a título individual. Puedes consultar más detalles en la guía de la AEPD para profesionales del sector sanitario.
Si quieres profundizar en otros aspectos que conviene valorar antes de contratar este tipo de herramientas, puedes consultar el artículo Qué mirar antes de elegir una plataforma de receta electrónica privada.
Proteger los datos también forma parte de una buena gestión de la información sanitaria
La receta electrónica implica gestionar información personal y sanitaria que requiere medidas específicas de protección. Por eso, al utilizar una plataforma de prescripción electrónica, es importante conocer cómo funciona, qué medidas de seguridad incorpora y qué responsabilidades corresponden a cada una de las partes.
Elegir una herramienta adecuada también implica valorar estos aspectos y contar con información clara sobre su funcionamiento.
En REMPe trabajamos para facilitar la gestión de la receta electrónica privada a los profesionales sanitarios. Conocer cómo funciona la plataforma y las herramientas que ofrece es también parte de una utilización responsable de la tecnología en el ámbito sanitario.
Este artículo tiene carácter informativo y no sustituye el asesoramiento de un especialista en protección de datos.
¿Buscas una forma de gestionar tus recetas electrónicas?
Conoce REMPe, la plataforma de receta electrónica privada para profesionales sanitarios. Descubre cómo funciona y qué herramientas ofrece para gestionar tus prescripciones.
Descubre REMPe
