Newsletter

El nuevo reglamento implica que se tienen que tratar datos incorporando un elemento central: la llamada responsabilidad "proactiva" o responsabilidad "demostrada" (accountability). ¿Qué significa esto? Pues que venimos de un modelo reactivo donde la norma legal indicaba una "carta" de medidas a adoptar para proteger los datos -medidas de seguridad-, obligaciones documentales -documento de seguridad- y obligaciones de comunicación -registro de ficheros- sin evaluar la eficiencia del sistema, para pasar a un modelo en el que se tienen que valorar los tratamientos de datos y decidir como ejecutarlos.

Un ejemplo gráfico sería sustituir los carteles en un parque público donde se indica "Perros no" por unos nuevos que indiquen "que tu perro no moleste". Estos carteles implican que el propietario de un perro debe valorar el perfil de la mascota, si es necesario llevarlo atado, si ladra mucho, si puede evitar que ensucie, etc. y actuar en consecuencia, habiendo, eso sí, de argumentar y justificar la corrección de su comportamiento en caso de ser requerido.

Pero esta actitud de responsabilidad proactiva se debe poder acreditar, por eso se tiene que abordar la gestión de la protección de datos a partir del diseño de procesos, documentarlos, implantarlos y mantenerlos.

A diferencia de 1999, cuando se promulgó la LOPD, ahora, con la aplicación del RGPD no se parte de cero ni hay que hablar de un nuevo régimen legal, sino que se tiene que afrontar el momento como un cambio evolutivo. Por lo tanto, la primera y muy necesaria premisa es que no se tiene que dejar de hacer nada de lo que se esté haciendo correctamente en materia de protección de datos. Si hay aspectos de mejora con el régimen todavía vigente de la LOPD, estos aspectos se deben de seguir abordando y mejorando: la desaparición de la actual LOPD no significa que se tengan que abandonar las áreas de mejora detectadas.

Buena parte de la metodología de responsabilidad proactiva antes comentada se construirá sobre el que ya se tiene y lo que ya se está haciendo. En este sentido, el contenido de las obligaciones hasta ahora asumidas son el punto de partida para ir confeccionando las nuevas: registro de ficheros, documentos de seguridad, resultados de las auditorías, consultas al Código Tipo, registros de incidencias, resultados de los controles de accesos, etc.

Desde el Código Tipo de La Unió se ha elaborado un decálogo que resume los aspectos clave y que hay que abordar. Estos aspectos serán tratados en una sucesión de newsletters. Para encontrar más información detallada sobre los diferentes aspectos a implementar, también es recomendable consultar la guía desarrollada por la APDCAT.

 

El RGPD ha sido muy comentado por la incorporación de novedades alrededor de la figura del consentimiento del interesado para tratar sus datos. El consentimiento, cuando es la base que legitima el tratamiento de los datos (o, dicho de manera más sencilla, cuando es la base legal que permite que tratamos datos personales) se convierte en un acto que debe ser expreso y, por lo tanto, decaen todos aquellos tratamientos de datos que se han fundamentado en un consentimiento implícito o tácito.

En cuanto a los datos de salud, así como muchas otras categorías especiales de datos personales que a menudo se tratan en los centros sanitarios (origen étnico o racial, convicciones religiosas o filosóficas, genéticas, vida sexual) el RGPD parte de la idea de que está prohibido tratarlos. Sin embargo, establece circunstancias que hacen decaer esta prohibición, entre las que destacan el tratamiento necesario para el diagnóstico médico, la prestación de asistencia o tratamiento de tipo sanitario o social, o la gestión de sistemas y servicios de asistencia sanitaria y social.

Por lo tanto, hay que decir que el nuevo RGPD no genera un cambio de escenario en el sector sanitario en lo que hace referencia a la base jurídica del tratamiento de datos personales, sino lo contrario, su redactado es más claro e incorpora de manera inequívoca la prestación de asistencia y gestión de servicios sociales junto con los sanitarios. Así pues, no es necesario el consentimiento del interesado para tratar sus datos a los efectos de prestar asistencia o gestionar los sistemas sanitarios y / o sociales.