946 522 986  |  692 063 088 9 h. a 17 h.
  1. Inicio
  2. Material didáctico
  3. APUNTES DE SALUD DIGITAL
  4. TEMA 1. LOS DATOS DE SALUD Y SU TRATAMIENTO

TEMA 1. LOS DATOS DE SALUD Y SU TRATAMIENTO

Se define dato personal como cualquier información que pueda llevar a la identificación de una persona. Hay determinados datos personales que por su relevancia deben ser tratados de una manera cuidadosa y cumpliendo una serie de requisitos. Los datos relativos a la salud de la persona se incluyen en este grupo de datos llamados sensibles o especialmente protegidos.

El tratamiento de los datos de salud se incluye dentro de la categoría especial de tratamiento de datos personales y tiene una regulación específica.

El Reglamento General de Protección de Datos (RGPD) recoge las categorías especiales en su artículo 9 y en el art. 9.1, se prohíbe el tratamiento de datos personales de las llamadas categorías especiales, “salvo que medie el expreso consentimiento del interesado o existan algunas de las excepciones que establece la ley para su tratamiento”.

A nivel europeo, se regula por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, del 27 de abril de 2016.

El conocimiento de las características de estos datos de salud y su tratamiento es necesario para las enfermeras, en especial, el conocimiento de las implicaciones legales y éticas derivadas de dicho tratamiento. 

1. LOS DATOS DE SALUD

Los datos de salud se refieren a la información sobre la salud mental o física de una persona. Revelan información sobre su estado de salud.

En el RGPD se definen los datos de carácter personal relacionados con la salud como “las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética”.

No solo los datos de salud que indiquen una enfermedad o una anomalía son datos de salud, también lo serán aquellos que indican un buen estado de salud. 

Los datos de salud son datos especialmente sensibles y de tratamiento complejo. As enfermeras deben conocer este tratamiento necesario para poder velar por su cumplimiento, conocer la legislación sobre el tema es necesario para el profesional de la salud que trabaja con los mismos.

También son datos personales relativos a la salud toda información que se recoja debido a una asistencia sanitaria, conforme a la Directiva 2011/24/UE del Parlamento Europeo: “todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” 

1.1. Características de los datos de salud

Los datos personales relativos a la salud poseen una serie de características que los hacen diferentes a otro tipo de dato personal. Los datos personales que se refieren a la salud:

  • Están especialmente protegidos.
  • Requieren de un consentimiento explícito y por escrito.
  • Los datos requieren de una cierta calidad.
  • Se debe informar al paciente del tratamiento de estos datos.
  • Son datos confidenciales.
  • Y se incorporan a la historia clínica del paciente.

Ya hemos mencionado que este tipo de datos son especialmente sensibles y requieren de un tratamiento especial, por lo que están protegidos.

El tratamiento de los datos personales de salud requiere de un consentimiento explícito por parte del interesado o tutor legal. El consentimiento es un documento que deben firmar las personas o sus tutores legales que accedan a un centro sanitario, para aceptar que sus datos personales sean tratados y almacenados en ficheros.

Existen excepciones al hecho de solicitar un consentimiento. Según un informe de la agencia española de protección de datos (AEPD), no es necesario que el profesional o el centro sanitario solicite el consentimiento a los pacientes para la recogida y utilización de datos personales y de salud si se van a utilizar para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social (la base de legitimación para este tratamiento de datos está establecida en el artículo 6.1.b del RGPD para las entidades aseguradoras de salud privadas, y en el artículo 6.1.c del mismo Reglamento para la sanidad pública). Tampoco es necesario si el tratamiento de datos se efectúa por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios o la inspección de reclamaciones de los ciudadanos.

Aunque no sea obligado en todos los casos solicitar un consentimiento, lo que sí se debe es informar al usuario acerca del tratamiento de sus datos, de lo siguiente:

  • Identidad y datos de contacto del responsable de los datos.
  • Datos de contacto del delegado de protección de datos.
  • Finalidad del tratamiento a que se destinarán los datos y la base jurídica de dicho tratamiento.
  • Destinatarios de los datos personales.
  • Si los datos se transferirán a otro país u organización internacional.
  • Duración de conservación de los datos o los criterios para determinar ese plazo.
  • Derecho a solicitar al responsable del tratamiento de los datos el acceso, rectificación, supresión, limitación, oposición, así como el derecho a la portabilidad de los datos. Estos derechos pueden tener limitaciones por razones de interés público relacionadas con la salud o por el cumplimiento de obligaciones legales.
  • Derecho a retirar el consentimiento en cualquier momento.
  • Derecho a presentar una reclamación ante una autoridad de control, en la Agencia Española de Protección de Datos, o en las autoridades de protección de datos vasca, catalana o andaluza.
  • Derecho a saber si la comunicación de datos personales es un requisito legal o por contrato.
  • Derecho a saber acerca de la existencia de decisiones automatizadas.

Cuando los datos personales se obtengan de un tercero, se debe informar al titular de los datos o a su representante legal a la mayor brevedad posible.

Los datos relativos a la salud deben ser recogidos con una cierta calidad, ya que, una de las finalidades de la recogida de datos y sus registros es la obtención de información y su análisis, que pueden ayudar en la mejora de la atención a los pacientes.

De especial relevancia es el registro enfermero, el registro clínico de enfermería es un documento clínico y legal, requiere ser realizado siguiendo metodología científica y protocolos de actuación y se incorpora a la historia clínica del paciente.

La confidencialidad es un derecho que tiene la persona a que todos aquellos que tengan acceso a sus datos de salud, respeten su intimidad y cumplan con el deber de secreto. 

1.2. Protección de los datos de salud

La Ley Orgánica 3/2018 de 5 de diciembre de protección de datos personales y garantía de los derechos digitales (LOPDGDD), se ocupa de los datos personales, no específicamente de los datos de salud, aunque hace referencia a los mismos en su disposición adicional decimoséptima y la disposición final novena.

Uno de los puntos principales en el Reglamento General de Protección de Datos (RGDP) es el consentimiento del tratamiento de los datos personales.

Los centros sanitarios deben velar por la cumplimentación de los consentimientos acerca del tratamiento de los datos personales de sus pacientes.

Las organizaciones sanitarias están obligadas a proteger los datos de salud en las organizaciones sanitarias. Como medidas de seguridad de las historias clínicas y de la información sanitaria, a nivel general:

  • Control de acceso a las historias clínicas.
  • Confidencialidad de los datos.
  • Seguridad en acceso informático, acceso con clave personal o biométrica.
  • No se debe tirar documentación personal sin destruirla con seguridad.
  • No se debe enviar información personal por correo electrónico no cifrado.
  • Las historias clínicas no se deben dejar a la vista sin supervisión.
  • No se deben crear ficheros por nuestra cuenta. 

Consentimiento

La principal base legal se encuentra en el artículo 9 del RGPD y es el consentimiento que deberá ser explícito y recogido por escrito.

Habíamos hablado de que existían algunas excepciones para el tratamiento de datos de salud fuera del consentimiento:

  • Cuando el tratamiento de los datos sea necesario para proteger intereses vitales de la persona interesada.
  • Cuando el tratamiento sea necesario para fines de salud laboral o preventiva.
  • Cuando el tratamiento de los datos sea necesario por razones de salud pública.

Calidad de los datos

Los datos que se recojan de los pacientes deben ser adecuados, veraces y pertinentes.

La recogida y el tratamiento de los datos de salud tienen como finalidad principal el garantizar la asistencia sanitaria adecuada al paciente.

En el apartado de la historia clínica ampliaremos acerca de la importancia de la calidad de estos datos.

Información

Los centros sanitarios están obligados a disponer de una hoja de información para los pacientes en la que se solicita su autorización para el tratamiento de sus datos.

Todos los usuarios de centro u organización sanitarios deben recibir información acerca del tratamiento de sus datos, de la existencia de ficheros, la finalidad de este, los posibles destinatarios de la información, la identidad y dirección del responsable del mantenimiento y la posibilidad del ejercicio de sus derechos.

Confidencialidad

Volveremos a este punto al hablar del secreto profesional. Es de obligado cumplimiento para los centros y organizaciones sanitarias adoptar las medidas necesarias para garantizar la confidencialidad acerca de los datos personales de sus usuarios.

Si los datos se comunican con otras entidades, el interesado deberá tener conocimiento de ello y permitir esa transmisión. 

Delegado de protección de datos

El delegado de protección de datos garantiza el cumplimiento de la normativa de protección de datos en las organizaciones sanitarias.

Tanto el RGPD como la Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos personales y garantía de los derechos digitales (LOPDGDD) regulan las funciones del delegado de protección de datos.

El delegado de protección de datos se deberá asignar de manera obligatoria cuando:

  • El tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial.
  • Las actividades principales del responsable o encargado consistan en operaciones de tratamiento que, a razón de su naturaleza requieran una observación habitual y sistemática de interesados a gran escala, o las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales y de datos relativos a condenas e infracciones penales. 

Medidas de seguridad y organizativas

No solo disponer de medidas de seguridad y organizativas, también revisarlas de manera periódica. Medidas de seguridad como:

  • Cifrado de la información y de las comunicaciones.
  • Credenciales de acceso únicas e intransferibles.
  • Mecanismos de control de acceso a la información.
  • Empleo de antivirus y cortafuegos.
  • Protocolo de respuesta ante brechas de seguridad.
  • Pseudonimización de la información.
  • Política de protección de seguridad de la red.
  • Copias de seguridad.
  • Clasificación, conservación y recuperación de la información.
  • Medidas de seguridad en los locales (alarmas, sistema de videovigilancia…). 

Evaluación de impacto

Esta evaluación de impacto la deben realizar en los centros y organizaciones sanitarias responsables del tratamiento de los datos. La evaluación de impacto es una evaluación de riesgos con el objetivo de tomar medidas adecuadas para reducirlos.

El reglamento General de protección de Datos (RGPD) introduce el concepto de evaluación de impacto relativa a la protección de datos en su artículo 35.

Una evaluación de impacto es un proceso ligado a los principios de protección de datos desde el diseño, concebido para describir de manera anticipada y preventiva, un tratamiento de datos personales, evaluar su necesidad y proporcionalidad y gestionar los riesgos para los derechos y libertades a los que estarán expuestos los datos personales en función de las actividades de tratamiento que se lleven a cabo y determinando las medidas para reducir estos riesgos. 

Registro de las actividades de tratamiento

Existe la obligación de mantener un registro de las actividades de tratamiento de los datos personales que se realice en la organización sanitaria.

Dicho registro deberá contener la siguiente información:

  • Nombre y datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos.
  • Fines del tratamiento.
  • Descripción de las categorías de interesados y de las categorías de datos personales.
  • Categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales.
  • Transferencias de datos personales a un tercer país u organización internacional, si las hubiera, incluida la identificación de dicho país u organización internacional.
  • Plazos previstos para la supresión de las diferentes categorías de datos, en el caso que sea posible.
  • Descripción general de las medidas técnicas y organizativas de seguridad, cuando sea posible.

Facilitar los derechos

Se deberán facilitar los derechos de acceso, rectificación, cancelación, oposición, limitación y portabilidad de sus datos de salud e historia clínica. Son los llamados derechos ARCO, de los que hablaremos más adelante.

El Sistema de Emergencias Médicas de Cataluña, el SEM, publicó un decálogo acerca del tratamiento de los datos de los pacientes:

  • Ponte en el lugar del paciente.
  • Accede solo si es necesario.
  • Cotillear deja rastro.
  • El paciente puede saber cuántos accesos ha tenido a su historia.
  • No facilites datos de pacientes.
  • Controla tus credenciales.
  • Acceso solo a historia de pacientes que estemos atendiendo.
  • Tutela también el papel.
  • Asegura y cifra los datos.
  • No crees archivos con datos de pacientes.

En definitiva, el decálogo es una herramienta esencial para que los profesionales conozcamos cuál debe ser el manejo de los datos de las personas asistidas, cómo tratar la información y cuando hay que hacer un buen uso. 

1.3. Legislación acerca de la protección de datos

La protección de datos es un derecho fundamental reconocido en el artículo 8.1 de la carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16.1 del Tratado de Funcionamiento de la Unión Europea, donde se establece que toda persona tiene el derecho a la protección de datos personales.

En España, este derecho fundamental lo recoge la Constitución, mencionando el derecho al honor, intimidad, familiar y propia imagen.

En la Unión Europea está vigente el RGPD y en España, la Ley Orgánica 3/2018 de 5 de diciembre de protección de datos personales y garantía de derechos digitales (LOPDGDDD).

El Reglamento UE 2016/679 del Parlamento Europeo y del Consejo, del 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que deroga la Directiva 95/46/CE de Protección de Datos.

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGPDD) adaptó la normativa española a la de la Unión Europea.

El artículo 9 del RGPD regula el tratamiento de las llamadas categorías especiales de datos personales y establece la prohibición de tratar ese tipo de datos excepto en determinadas circunstancias que se establece en el mismo artículo.

En el apartado 1º del artículo 9 se indica que queda prohibido el tratamiento de datos personales acerca de origen étnico, opiniones políticas, creencias religiosas, afiliación sindical, datos genéticos o biométricos, relativos a la salud o vida u orientación sexuales.

El RGPD incluye dos nuevas categorías especiales de datos, los genéticos y los biométricos.

  • Los datos genéticos: son datos personales relativos a las características genéticas que proporcionan información única sobre la fisiología o salud de la persona.
  • Los datos biométricos: son datos personales que se obtienen a través de un tratamiento técnico y que hacen referencia a las características físicas, fisiológicas o de conducta de una persona que permitan su identificación.

La Ley Orgánica 3/2018 de 5 de diciembre de protección de datos personales y garantía de derechos digitales (LOPDGDDD) otorga a los datos de salud una regulación legal propia y específica, pese a que esta ley se debe completar con el Reglamento UE 2016/679 de 27 de abril. En especial, en los artículos 8 y 9 de la LOPDGDDD. La finalidad de esta ley es proteger la intimidad y privacidad de las personas, en cumplimiento con el artículo 18.4 de la Constitución española, dicha ley también regula el tratamiento de los datos y su transferencia.

Más adelante abordaremos la legislación y normativa específica de los datos de salud contenidos en la historia clínica.

 

BIBLIOGRAFÍA 

© 2026 SalusPlay
Aviso legal | Política de privacidad | Política de cookies