ÍNDICE

Estudio sobre la privacidad y la seguridad de los

datos personales en el sector sanitario español

INSTITUTO NACIONAL DE TECNOLOGÍAS DE LA COMUNICACIÓN

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
AGENCIA DE PROTECCIÓN DE DATOS DE LA COMUNIDAD DE MADRID
 ÍNDICE

Edición Octubre 2010

El “Estudio sobre la protección y seguridad de los datos de carácter personal en el ámbito del sector sanitario español”
ha sido elaborado conjuntamente por el Instituto Nacional de Tecnologías de la Comunicación (INTECO) a través del Observatorio
de la Seguridad de la Información y la Agencia de Protección de Datos de la Comunidad de Madrid (APDCM).
Pablo Pérez San-José (INTECO) - Coordinador
Susana de la Fuente Rodríguez (INTECO)
Laura García Pérez (INTECO)
Cristina Gutiérrez Borge (INTECO)
Emilio Aced Felez (APDCM) - Coordinador
Ángel Igualada Menor (APDCM)
Javier Sempere Samaniego (APDCM)

La presente publicación pertenece al Instituto Nacional de Tecnologías de la Comunicación (INTECO) y a la Agencia de Protección
de Datos de la Comunidad de Madrid y está bajo una licencia Reconocimiento-No comercial 2.5 España de Creative Commons, y por
ello está permitido copiar, distribuir y comunicar públicamente esta obra bajo las condiciones siguientes:
• Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su procedencia y
haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho reconocimiento no podrá en ningún
caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace de su obra.
• Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos mientras su uso
no tenga fines comerciales.
Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas condiciones puede no
aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta licencia menoscaba o restringe los
derechos morales de INTECO. http://creativecommons.org/licenses/by-nc/2.5/es/

El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable Document Format). Así, se trata de
un documento estructurado y etiquetado, provisto de alternativas a todo elemento no textual, marcado de idioma y orden de lectura
adecuado. 2

Para ampliar información sobre la construcción de documentos PDF accesibles puede consultar la guía disponible en la sección
Accesibilidad > Formación > Manuales y Guías de la página http://www.inteco.es

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

* Puntos clave.......................................................6 4.3 Normativa sectorial............................................31

I. Aspectos generales de la normativa sobre 4.4 Normativa autonómica......................................35
protección de datos.............................................7
4.5 Normativa de Administración Electrónica..........36
II. Derecho de información (art. 5 LOPD)................8
III. Consentimiento (art. 6 al 8 LOPD).......................8
5 Análisis de los resultados del estudio............40
IV. Calidad (art. 4 LOPD)..........................................8
5.1 Aspectos generales de la normativa
V. Ejercicio de derechos (Título III LOPD)...............9 sobre protección de datos.................................41
VI. Deber de secreto (art. 10 LOPD).........................9 5.2 Derecho de información (art. 5 LOPD)..............60
VII. Seguridad (art. 9 LOPD)....................................10 5.3 Consentimiento (art. 6 al 8 LOPD)....................72
VIII. Comunicación de datos (art. 11 LOPD).............12 5.4 Calidad (art. 4 LOPD)........................................94
5.5 Ejercicio de derechos (Título III LOPD)...........103
1 Introducción y objetivos.................................13 5.6 Deber de secreto (art. 10 LOPD)....................118
1.1 Presentación.....................................................14 5.7 Seguridad (art. 9 LOPD)..................................121
1.2 Estudio sobre la protección y seguridad 5.8 Comunicación de datos (art. 11 LOPD)...........172
de los datos de carácter personal en el
5.9 Inspecciones de la Agencia de
sector sanitario español....................................18
Protección de Datos........................................177
2 Contexto: el sector sanitario
y el Sistema Nacional de Salud (SNS)........... 20
2.1 Centros de Atención Primaria............................21
6 Buenas prácticas...........................................185
6.1 Adecuación a la LOPD del Hospital
2.2 Hospitales..........................................................22
General Universitario Reina Sofía (Murcia)......186
6.2 Eliminación de archivos incontrolados
3 Diseño metodológico......................................23 con datos de nivel alto en el Hospital
Carlos III (Madrid)............................................188
3.1 Búsqueda y análisis documental.......................24

Índice
6.3 Normas de uso de los Sistemas
3.2 Investigación cuantitativa..................................25
de Información (Hospital Universitario
Fundación Alcorcón, Madrid)...........................189
4 Normativa sobre protección de datos que 6.4 Gestión eficiente y segura del acceso 3
aplica al sector sanitario.................................29 a datos clínicos para profesionales
del área y de otros centros sanitarios
4.1 Normativa europea............................................30
(Hospital Universitario Doce de Octubre,
4.2 Normativa estatal..............................................30 Madrid)............................................................190

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

6.5 El Tercero de confianza
(Servicio Andaluz de Salud)............................191
6.6 Plan estratégico de comunicación
en Protección de Datos para Profesionales
Sanitarios y Ciudadanos (Dirección
General de Sistemas de Información
Sanitaria de la Comunidad de Madrid)............192
6.7 Asegurar la utilización adecuada
de la información disponible en materia
de seguridad y confidencialidad de los
datos de carácter personal (Gerencia del
Área 10 de atención primaria del Servicio
Madrileño de Salud)........................................194
6.8 Protección online de datos personales
(Oficina del Defensor del Paciente
de la Consejería de Sanidad y Consumo
de la Comunidad de Madrid)...........................195
6.9 Documentación clínica en Atención
Primaria: procedimiento de acceso para
uso no asistencial (Osakidetza - Servicio
Vasco de Salud)..............................................196
6.10 Percepciones y realidades de los
profesionales sanitarios sobre la
Protección de Datos. Gestión de Identidad.
HUser (Hospitales Universitarios Virgen
del Rocío – Servicio Andaluz de Salud)..........198
6.11 Mejora del tratamiento del fichero de
datos de carácter personal de alta
seguridad Pacientes CMD, pacientes
y deportistas que acuden al Centro
(Centro de Medicina Deportiva de la
Comunidad de Madrid)....................................200
6.12 La Comisión de Seguridad en la
Información del Hospital Universitario
Virgen de la Arrixaca como garante de
la Protección de Datos de Carácter
Personal (Hospital Virgen de la Arrixaca,
Murcia).............................................................201
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
6.13 Recomendaciones sobre la normativa
de Protección de Datos de carácter
personal y las Historias Clínicas
(Colegio de Médicos de Madrid).....................202
6.14 Diseño y estrategia de implantación
de un sistema integrado de información
con datos de seguridad alta en Salud
Pública (Instituto de Salud Pública
de la Comunidad de Madrid)...........................203
6.15 Seguridad en el desarrollo y
preproducción con datos reales en un
sistema de información centralizado de
gestión de Historias Clínicas (Dirección
General de Informática, Comunicaciones
e Innovación Tecnológica, Consejería
de Sanidad y Consumo de la Comunidad
de Madrid).......................................................204
6.16 Proyecto de Historia clínica compartida
(Generalitat Catalunya, Department
de Salut)..........................................................205
6.17 Adecuación a la LOPD de SaCyL:
El reto hacia la seguridad (Gerencia
Regional de Salud de Castilla y León)............206
6.18 Procedimiento de anonimización de
pacientes al ingreso (Hospital Virgen
del Camino, Pamplona)...................................208
6.19 Reglamento de uso de la Historia
Clínica en el Hospital (Hospital de
Cruces, Bilbao)................................................209
Índice
6.20 Protocolo de destrucción de documentos
en soporte papel (Hospital Central de la
Cruz Roja San José y Santa Adela, Madrid)...210
6.21 Sistema de actuación a seguir en
el Hospital ante la solicitud de 4
documentación clínica por parte de los
ciudadanos y responsabilidades
del Hospital (Hospital Clínico San Carlos,
Madrid)............................................................211
 ÍNDICE

7 Conclusiones y reflexiones finales.............. 212 8.5 Recomendaciones a organismos

reguladores.....................................................218

8 Recomendaciones.........................................216
Anexo I: Bibliografía..............................................219
8.1 Recomendaciones a usuarios pacientes.........217
8.2 Recomendaciones a profesionales
de la salud.......................................................217 Anexo II: Índices....................................................221
1. Índice de gráficos............................................222
8.3 Recomendaciones a centros sanitarios..........217
2. Índice de tablas...............................................228
8.4 Recomendaciones a Administraciones
Públicas...........................................................218 3. Índice de ilustraciones.....................................229

Índice
5

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

Puntos clave

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

El sector sanitario español, formado por hospitales,
centros de salud y consultorios locales, maneja de manera
habitual datos de salud de los pacientes. Se trata de
datos muy sensibles, que tienen la consideración de datos
especialmente protegidos.
En el manejo de esta información las instituciones tienen que
conjugar, de un lado, la intimidad del sujeto cuyos datos están
siendo manejados y, de otro, el interés público, entendiendo
por ello la garantía de una adecuada prestación del servicio
de salud.
Estas circunstancias exigen que se preste una atención
particularizada al asunto, y por ello este informe constituye
un diagnóstico sobre la situación de las instituciones
sanitarias españolas en lo referente a la protección de datos
personales.
Para la elaboración del estudio se ha llevado a cabo un
sondeo de opinión consistente en la realización de encuestas
a los responsables de protección de datos / seguridad,
administradores o gerentes de 700 hospitales, centros de
salud o consultorios locales. El trabajo de campo se ha
realizado en marzo de 2010.
Se exponen a continuación los puntos clave del análisis.
I Aspectos generales de la normativa sobre protección
de datos
• Soporte de los ficheros. En el sector sanitario
español prevalecen los ficheros de carácter mixto,
tanto si en ellos predomina el soporte papel (42,4%)
como si prevalece el electrónico (35,5%). Un 16,6% de
los centros afirma que se encuentran exclusivamente
en soporte electrónico. Son una minoría los centros
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
que admiten que sus ficheros se encuentran
exclusivamente en formato no automatizado (5,5%).
• Declaración de ficheros. Una mayoría de los centros
encuestados admiten haber declarado sus ficheros
con datos de carácter personal ante la autoridad
competente en materia de protección de datos, ya
sea la Agencia Española (15,6%) o autonómica
(38,5%). Sólo un 8,6% reconoce no tener inscritos
sus ficheros, y sorprende el elevado 37,3% que no
proporciona respuesta.
• Inventariado de ficheros. El 73,5% de los centros
sanitarios participantes en el estudio afirman tener
inventariados los ficheros con datos de carácter
personal, frente a un 14,1% que reconocen no
tenerlos inventariados, y un 12,4% adicional que no
se posiciona.
• Formación del personal. El nivel de formación
entre los centros sanitarios españoles en materia
de protección de datos es correcto. Ya sea un
conocimiento general (64,9%) o profundo (26,7%),
lo cierto es que la inmensa mayoría del personal
de atención al público de los centros sanitarios
Puntos clave
españoles dispone de formación específica sobre
protección de datos.
• Coordinador de Protección de Datos. Hay un
52,2% de centros sanitarios que reconocen disponer
de coordinador de protección de datos. En el análisis
por tipo de centro, los hospitales, con un 80,7% de
ellos que afirman contar con uno, muestran un mayor
7
compromiso con la protección de datos que los
centros de salud (58,4%) y los consultorios locales
(47%).

II Derecho de información (art. 5 LOPD)
• Cláusulas en formularios de recogida de datos.
A nivel global, un 47,9% de los centros encuestados
reconocen incorporar una cláusula informativa en
los formularios de pacientes.
El análisis segmentado revela un escenario
diferente para cada uno de los tres tipos de centros
analizados. Los hospitales, con un 87,3% de
implantación, cumplen con el deber de información
al incluir en los formularios de recogida de datos
personales una cláusula específica sobre protección
de datos. La situación de los hospitales difiere de la
realidad existente en centros de salud y consultorios
locales. En estos centros, con un 50,9% y 42,5%
respectivamente de nivel de adopción de la medida,
todavía queda área de mejora.
• Carteles informativos. Para dar cumplimiento
al deber de información, una parte de los centros
sanitarios dispone de carteles informativos sobre los
tratamientos de datos personales que se realizan
con los datos que se recaban de los pacientes.
Se trata, en cualquier caso, de una práctica no
adoptada de manera habitual. Sólo un 27,7% de los
centros entrevistados reconoce tener este tipo de
carteles, frente a un mayoritario 70,7% que afirma
no utilizar este método.
III Consentimiento (art. 6 al 8 LOPD)
• Solicitud del consentimiento. A nivel global, el 52,8%
de los centros encuestados afirma que siempre solicita
el consentimiento de los titulares con anterioridad a
la recogida de sus datos de carácter personal, y un
13,2% adicional dice hacerlo a menudo.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
Un 78,5% de los hospitales siempre solicita el
consentimiento de los titulares de los datos antes
de su recogida. Este porcentaje es del 52,1% en el
caso de los centros de salud y de 50,2% entre los
consultorios locales.
• Revocación del consentimiento. En el sector
sanitario español, un mayoritario 69,3% de los
centros entrevistados afirman que disponen de
un procedimiento específico para que el paciente
titular de los datos pueda revocar el consentimiento
otorgado. Sólo un 20,5% reconoce no disponer de
un procedimiento de revocación.
• Consentimiento en caso de investigaciones
clínicas. En el ámbito sanitario, es frecuente
que los datos clínicos de los pacientes se utilicen
en alguna labor de investigación. La mayoría de
los centros sanitarios españoles (un 74,6%) han
elaborado un procedimiento específico que regula
la solicitud del consentimiento del paciente en los
casos particulares de investigaciones clínicas.
IV Calidad (art. 4 LOPD)
Puntos clave
• Finalidad. El principio de calidad y su derivado,
el de finalidad, son ampliamente observados por
los centros sanitarios españoles. Un 89,3% de los
encuestados indican que los datos recogidos son
los estrictamente necesarios para la finalidad de
uso que justificó su recogida, frente a un 7,9% que
manifiesta lo contrario.
8
En el análisis por zonas destaca especialmente la
Comunidad de Madrid. Allí, un 95,1% de los centros
sanitarios encuestados cumplen con el principio de

finalidad, al admitir que recogen sólo los datos que
son estrictamente necesarios para su finalidad de
uso.
• Actualización. Los centros son cuidadosos con la
actualización de los datos personales que manejan,
ya sea a través de un procedimiento específico de
actualización y depuración de las bases de datos
(34,1%), ya sea de manera no procedimentada,
actualizando los registros a medida que se detectan
incorrecciones (61,3%). Sólo el 4,6% de los centros
españoles afirman que no se verifica la exactitud y
actualización de los datos personales con los que
trabajan.
V Ejercicio de derechos (Título III LOPD)
• Derechos ARCO. El 56,1% de los centros sanitarios
españoles afirma disponer de un procedimiento
específico para que los interesados ejerciten sus
derechos de oposición, acceso, rectificación o
cancelación de sus datos personales (derechos
ARCO). Sorprende que haya un 37,6% que no ha
adoptado un procedimiento en este sentido, y un
6,3% que no proporciona respuesta.
VI Deber de secreto (art. 10 LOPD)
Se aprecian diferencias importantes en función
del centro de que se trate. Así, en los hospitales
está ampliamente extendida la adopción de
procedimientos para facilitar al ciudadano el ejercicio
de sus derechos ARCO: un 83,1% de los hospitales
así lo manifiesta. La práctica es más infrecuente
entre centros de salud (60,3%), y aún más entre los
consultorios locales, donde sólo el 51,7% confirma
haber adoptado un procedimiento específico para
el ejercicio de los derechos de acceso, rectificación,
cancelación u oposición de los datos.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
Cataluña (75,6%) y la Comunidad de Madrid
(65,8%) son las dos regiones españolas donde
en mayor medida las instituciones sanitarias han
adoptado procedimientos para facilitar el ejercicio
de los derechos ARCO a los ciudadanos que lo
soliciten.
• Acceso del paciente a la historia clínica (HC).
El 70,3% de los centros entrevistados reconocen
que disponen de un procedimiento específico que
regula el acceso al historial clínico por parte del
titular de los datos.
El nivel de observación de la disposición es más
elevado entre hospitales (84,2%) que entre centros
de salud (73,4%) y consultorios locales (67,8%).
El análisis geográfico confirma una vez más a
Cataluña y la Comunidad Autónoma de Madrid
como las áreas con mayor índice de adopción
de procedimientos de acceso a la HC por el
paciente, con un 81,2% y 75% de los centros,
respectivamente, que afirman haberlos instaurado.
Puntos clave
• El deber de secreto sobre los datos personales
que manejan es de sobra conocido por el personal
de los centros sanitarios españoles (no sólo
profesionales de la salud, sino el resto del personal
del centro). Así, sólo un 0,4% de los encuestados
afirma que los empleados de la institución no han
sido informados al respecto. Lo más habitual,
9
en un 59,7% de las ocasiones, es que los
profesionales conozcan el deber de secreto o que,
incluso, se les haya pedido firmar un compromiso
de confidencialidad (39,9%).

La firma del compromiso de confidencialidad por
parte de los profesionales es más frecuente entre
hospitales (67,9%) que entre centros de salud
(35,5%) y consultorios locales (38,4%).
VII Seguridad (art. 9 LOPD)
• Limitación de accesos. La práctica totalidad de
los centros sanitarios españoles controlan de algún
modo los accesos que los empleados realizan a los
datos y recursos de la institución en cuestión. Sólo
un 2,3% de los encuestados afirma que no existe
ningún tipo de limitación de accesos y que los
profesionales pueden acceder a datos y recursos
ajenos. En el resto de los casos existe una política
de accesos, y en la mayoría de las situaciones
(68,9%) el centro cuenta, además, con controles
para evitar accesos no autorizados.
• Procedimiento de gestión de contraseñas. El
87,4% de los centros sanitarios españoles disponen
de procedimientos específicos de gestión de las
contraseñas del personal empleado.
• Gestión del acceso de los profesionales a la
Historia Clínica Electrónica (HCE). En el 52,9%
de los centros participantes en el estudio las
historias clínicas de la institución son accesibles
por todos los profesionales. En un 39,4%de
los casos el acceso a las HC está limitado, de
manera que cada profesional sólo puede acceder
a las de los pacientes con quienes tiene relación
asistencial.
Los hospitales son más cuidadosos que los centros
de salud y los consultorios. Así, en un 54,1% de
los hospitales el acceso de los profesionales a las
historias clínicas está limitado a los pacientes con
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
quienes tiene relación asistencial. En el caso de
centros de salud el porcentaje es de 42,2%, y de
un 36,8% cuando se trata de consultorios locales.
• Control de acceso físico a las instalaciones
donde se encuentran los sistemas de
información. En la inmensa mayoría de los casos,
el acceso está restringido (sólo existe un 6,9% que
afirma que es posible acceder al lugar donde se
almacenan los datos). En el resto de las situaciones
existe un control de acceso e incluso, en el 44,2%
de las ocasiones, existen además herramientas de
control de accesos.
• Documento de Seguridad. Un 43,5% de los
centros sanitarios españoles reconoce que dispone
de Documento de Seguridad específico que
contemple una política para los tratamientos de
datos personales.
La situación no es homogénea entre los tres tipos
de instituciones: en hospitales, un 79,9% dispone
de documento de seguridad, en centros de salud el
porcentaje es de 49,2% y en consultorios, sólo un
37,5% así lo declara.
Puntos clave
A nivel nacional la realidad es heterogénea y
diversa. Coexisten regiones como Cataluña o
Madrid, donde un 63,8% y 56,4%, respectivamente,
de instituciones afirman tener documento de
seguridad, con otras zonas donde el cumplimiento
no supera el 40%.
10
• Responsable de seguridad. En un 40,1% de los
centros participantes en el estudio existe la figura
específica del responsable de seguridad y se han
definido funciones específicas para dicho puesto.

Mientras mayor es el tamaño del centro, aumenta la
tendencia a disponer de responsable de seguridad:
son un 79,4% de los hospitales, un 46,2% de los
centros de salud y un 33,6% de los consultorios
locales quienes afirman contar con una figura
específica de responsable de seguridad.
• Procedimiento de realización de copias de
respaldo y recuperación. El 58,3% de los centros
sanitarios participantes en el estudio afirman
disponer de un procedimiento específico para la
realización de copias de respaldo y recuperación.
Una vez más, el nivel de cumplimiento de la
normativa es mayor entre hospitales que entre
centros de menor tamaño. Un 91,6% de los
hospitales tiene un procedimiento de realización de
copias de respaldo de los datos, frente a un 63,2%
en el caso de centros de salud y un 52,9% en el de
los consultorios locales.
• Procedimiento para la destrucción de
documentos con datos de carácter personal.
Conscientes de la especial sensibilidad de la
materia, y de la existencia de precedentes en
el sector sanitario que han terminado en un
procedimiento sancionador, los centros sanitarios
españoles han adoptado procedimientos para la
destrucción de documentos con datos de carácter
personal (un 75,5% lo ha hecho).
Los hospitales son los centros que más se han
esforzado en regular el modo de destruir documentos
con datos personales de sus pacientes. Un 92,2% de
los hospitales españoles lo ha llevado a cabo. Por
detrás de ellos, un 83,3% de los centros de salud y
un 70,9% de los consultorios locales disponen de
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
procedimientos específicos para eliminar los soportes
donde se almacenan datos de carácter personal.
• Procedimiento de notificación, gestión y
respuesta a incidencias. El 76% de los centros
sanitarios participantes en el estudio disponen de
un procedimiento específico para la gestión de las
incidencias.
• Sistema de Gestión de la Seguridad de la
Información (SGSI). En el sector sanitario español
el nivel de adopción de Sistemas de Gestión de
Seguridad de la Información es considerable.
De acuerdo con las respuestas facilitadas por
los responsables de seguridad participantes en
el estudio, un 53,2% de los centros disponen de
SGSI, frente a un 29% que reconocen no tenerlo y
un 17,8% que no se pronuncian.
• Plan de Continuidad de Negocio. En el sector
sanitario español, un 41,6% de los centros disponen
de un Plan de Continuidad de Negocio, un 35,5%
reconocen no tenerlo y un 22,7% lo desconoce.
• Auditorías de seguridad. En el sector sanitario
Puntos clave
español la realidad, a partir de las respuestas
proporcionadas por los centros participantes en
el estudio, es que hay un 20,8% de instituciones
que realizan auditorías anualmente y un 12,4%
adicional que las lleva a cabo con una periodicidad
bienal. Es decir, un 33,2% de los centros sanitarios
españoles estaría cumpliendo con el precepto.
Existe, por otra parte, un 6,1% que reconoce llevar
11
a cabo auditorías, pero lo hace cada más de 2 años.
Sorprende el 50,8% de centros que reconoce nunca
haber realizado una auditoría de seguridad.
 ÍNDICE

VIII Comunicación de datos (art. 11 LOPD)

• Control de los envíos de datos de pacientes control de los envíos de datos de pacientes que se
a terceros. El 66,7% de los centros sanitarios realizan a terceros. Existe un 24,4% de instituciones
españoles participantes en el estudio manifiesta que que reconocen que no existe tal control, y un 8,9%
existe en el ámbito de su organización un sistema de adicional que no se manifiesta al respecto.

Puntos clave
12

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

Introducción
y objetivos
1
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

1.1 Presentación
1.1.1 Instituto Nacional de Tecnologías de la Comunicación
El Instituto Nacional de Tecnologías de la Comunicación,
S.A. (INTECO), es una sociedad estatal adscrita al Ministerio
de Industria, Turismo y Comercio a través de la Secretaría
de Estado de Telecomunicaciones y para la Sociedad de la
Información.
INTECO tiene la vocación de ser un centro de desarrollo de
carácter innovador y de interés público a nivel nacional que
constituye una iniciativa enriquecedora y difusora de las nue-
vas tecnologías en España en clara sintonía con Europa.
Su objetivo fundamental es servir como instrumento para
desarrollar la Sociedad de la Información, con actividades
propias en el ámbito de la innovación y el desarrollo de pro-
yectos asociados a las Tecnologías de la Información y la
Comunicación (TIC), basándose en tres pilares fundamen-
tales: la investigación aplicada, la prestación de servicios y
la formación.
La misión de INTECO es aportar valor e innovación a los
ciudadanos, a las PYMES, a las Administraciones Públicas
y al sector de las tecnologías de la información, a través del
desarrollo de proyectos que contribuyan a reforzar la con-
fianza en los servicios de la Sociedad de la Información en
nuestro país, promoviendo además una línea de participa-
ción internacional.
Para ello, INTECO desarrolla actuaciones en las siguientes
líneas:
• Seguridad Tecnológica: INTECO está compro-
metido con la promoción de servicios de la Socie-
dad de la Información cada vez más seguros, que
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
1
ÍNDICE
protejan los datos personales de los interesados,
su intimidad, la integridad de su información y evi-
ten ataques que pongan en riesgo los servicios
prestados. Y por supuesto que garanticen un cum-
plimiento estricto de la normativa legal en mate-
ria de TIC. Para ello coordina distintas iniciativas
públicas en torno a la seguridad de las TIC, que
se materializan en la prestación de servicios por
parte del Observatorio de la Seguridad de la Infor-
mación, el Centro Demostrador de Tecnologías de
Seguridad, el Centro de Respuesta a Incidentes de
Seguridad en Tecnologías de la Información (IN-
TECO-CERT) y la Oficina de Seguridad del Inter-
nauta (OSI), de los que se benefician ciudadanos,
PYMES, Administraciones Públicas y el sector tec-
nológico.
Introducción y objetivos
• Accesibilidad: INTECO promueve servicios de la
Sociedad de la Información más accesibles, que
supriman las barreras de exclusión, cualquiera que
sea la dificultad o carencia técnica, formativa, etc.,
incluso discapacidad, que tengan sus usuarios. Y
que faciliten la integración progresiva de todos los
colectivos de usuarios, de modo que todos ellos
puedan beneficiarse de las oportunidades que ofre-
ce la Sociedad de la Información. Asimismo desarro-
lla proyectos en el ámbito de la accesibilidad orienta-
dos a garantizar el derecho de ciudadanos y empre-
sas a relacionarse electrónicamente con las AA.PP.
14
• Calidad TIC: INTECO promueve unos servicios de
la Sociedad de la Información que cada vez sean
de mayor calidad, que garanticen unos adecuados

niveles de servicio, lo cual se traduce en una ma-
yor robustez de aplicaciones y sistemas, un com-
promiso en la disponibilidad y los tiempos de res-
puesta, un adecuado soporte para los usuarios, una
información precisa y clara sobre la evolución de
las funcionalidades de los servicios, y en resumen,
servicios cada vez mejores. En esta línea impulsa
la competitividad de la industria del Software a tra-
vés de la promoción de la mejora de la calidad y la
certificación de las empresas y profesionales de la
ingeniería del software.
• Formación: la formación es un factor determinante
para la atracción de talento y para la mejora
de la competitividad de las empresas. Por ello,
INTECO impulsa la formación de universitarios y
profesionales en las tecnologías más demandadas
por la industria.
El Observatorio de la Seguridad de la Información
se inserta dentro de la línea estratégica de actuación de
INTECO en materia de Seguridad Tecnológica.
El Observatorio nace con el objetivo de describir de
manera detallada y sistemática el nivel de seguridad y
confianza en la Sociedad de la Información y de generar
conocimiento especializado en la materia. De este modo,
se encuentra al servicio de los ciudadanos, las empresas
y las administraciones públicas españolas para describir,
analizar, asesorar y difundir la cultura de la seguridad de la
información y la e-confianza.
El Observatorio ha diseñado un Plan de Actividades y Estudios
con el objeto de producir conocimiento especializado y útil
en materia de seguridad por parte de INTECO, así como
de elaborar recomendaciones y propuestas que definan
tendencias válidas para la toma de decisiones futuras por
parte de los poderes públicos.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
1
ÍNDICE
Dentro de este plan de acción se realizan labores de
investigación, análisis, estudio, asesoramiento y divulgación
que atenderán, entre otras, a las siguientes estrategias:
• Elaboración de estudios e informes propios en
materia de seguridad de las Tecnologías de la
Información y la Comunicación, con especial énfasis
en la Seguridad en Internet.
• Seguimiento de los principales indicadores y
políticas públicas relacionadas con la seguridad de
la información y la confianza en el ámbito nacional
e internacional.
• Generación de una base de datos que permita el
análisis y evaluación de la seguridad y la confianza
con una perspectiva temporal.
• Impulso de proyectos de investigación en materia
de seguridad TIC.
Introducción y objetivos
• Difusión de estudios e informes publicados
por otras entidades y organismos nacionales e
internacionales, así como de información sobre
la actualidad nacional y europea en materia de
la seguridad y confianza en la Sociedad de la
Información.
• Asesoramiento a las Administraciones Públicas en
materia de seguridad de la información y confianza,
así como el apoyo a la elaboración, seguimiento y
evaluación de políticas públicas en este ámbito.
15

1.1.2 Agencia de Protección de Datos de la Comunidad de Madrid (APDCM)
La Agencia de Protección de Datos de la Comunidad
de Madrid (APDCM) es una autoridad independiente de
control que garantiza y protege el derecho fundamental
a la protección de datos personales. Sus competencias
versan sobre los ficheros de titularidad pública creados o
gestionados por la Comunidad Autónoma de Madrid, Entes
que integran la Administración Local de su ámbito territorial,
Universidades públicas y Corporaciones de derecho público
representativas de intereses económicos y profesionales
de la misma, en este último caso, siempre y cuando dichos
ficheros sean creados o gestionados para el ejercicio de
potestades de derecho público.
Es un Ente de Derecho Público de los previstos en el artículo
6 de la Ley 9/1990, de 8 de noviembre, Reguladora de la
Hacienda de la Comunidad de Madrid, con personalidad
jurídica propia y plena capacidad de obrar, y se configura
como una autoridad de control que actúa con objetividad
y total independencia de las Administraciones Públicas de
la Comunidad de Madrid en el ejercicio de sus funciones,
relacionándose con el Gobierno de la Comunidad de Madrid
a través de la Consejería que, en su caso, se determine.
Sin perjuicio de la capacidad de control e inspección sobre
los ficheros de datos de carácter personal sobre los que
la APDCM ejerce su competencia, ésta desarrolla una
laboriosa función de promoción y conocimiento del derecho
fundamental a la protección de datos personales. Esta
promoción se realiza a través de diferentes actuaciones y
actividades:
• Formación a empleados públicos (desde la fecha de
creación de la APDCM, 1997, se ha dado formación
a más de 40.000 personas).
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
1
ÍNDICE
• Las revistas digitales www.datospersonales.org y
www.dataprotectionreview.eu, así como la Revista
Española de Protección de Datos.
• La herramienta de formación virtual, que permite
que los empleados públicos se puedan formar
en esta materia utilizando este programa usando
Internet.
• La celebración de Jornadas dirigidas a ámbitos
específicos, como pueden ser Sanidad, Educación,
Servicios Sociales, Universidades, Colegios
Profesionales y Seguridad.
• La publicación de los manuales sectoriales
Protección de datos personales para Servicios
Sanitarios Públicos, Protección de datos personales
para Administraciones Locales, Protección de
datos personales para Universidades Públicas,
Introducción y objetivos
Protección de datos personales para Servicios
Sociales Públicos, Protección de datos personales
en Corporaciones de Derecho Público, y Protección
de datos personales en Centros Educativos
Públicos, Seguridad y Protección de Datos, así
como la publicación de la Guía de Protección de
datos personales para Empleados Públicos.
• La distribución de dípticos para concienciar a los
ciudadanos que utilizan los servicios públicos.
Concretamente, estos dípticos están orientados a
los usuarios de los servicios sociales y servicios
sanitarios. 16
Otras de las actividades de la APDCM que destacan son las
referentes al apoyo al responsable de ficheros, no sólo de

manera presencial sino mediante el uso de la herramienta
online CUMPLE; la solicitud y evaluación de las auditorías
bienales sobre los ficheros de datos de carácter personal con
nivel de seguridad medio y alto; el Plan de Concienciación
a menores que ha tenido lugar los pasados 28 de enero
de 2009 y 2010 con la impartición de una charla sobre
los riesgos de Internet en los 404 Institutos de Educación
Secundaria (I.E.S.) de la Comunidad de Madrid; la posibilidad
que tienen los ciudadanos de ejercitar online los derechos
ARCO así como interponer, también por Internet, denuncia y
procedimiento de tutela de derechos; los Planes sectoriales
dirigidos a videovigilancia, publicación de datos personales
en Internet y administración electrónica, y la elaboración
de recomendaciones e instrucciones que suponen una
interpretación de la normativa existente.
Entre estas recomendaciones e instrucciones, además de
las que se van a citar en la parte de normativa de este estu-
dio, destacan:
• Recomendación 1/2004, de 14 abril, de la Agencia
de Protección de Datos de la Comunidad de Ma-
drid, sobre la utilización y tratamiento de datos del
padrón municipal por los Ayuntamientos de esta
Comunidad Autónoma.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
1
ÍNDICE
• Instrucción 1/2007, de 16 de mayo, de la Agencia
de Protección de Datos de la Comunidad de Ma-
drid, sobre el tratamiento de datos personales a tra-
vés de sistemas de cámaras o videocámaras en el
ámbito de los órganos y Administraciones Públicas
de la Comunidad de Madrid.
• Recomendación 1/2008, de 14 de abril, de la Agencia
de Protección de Datos de la Comunidad de Madrid,
sobre el Tratamiento de datos personales en los Ser-
vicios Sociales de la Administración de la Comunidad
de Madrid y en los Servicios Sociales de los Entes
Locales de la Comunidad de Madrid.
• Recomendación 2/2008, de 25 de abril, de la Agen-
cia de Protección de Datos de la Comunidad de
Madrid, sobre publicación de datos personales en
boletines y diarios oficiales en Internet, en sitios
webs institucionales y en otros medios electrónicos
y telemáticos.
Introducción y objetivos
• Recomendación 3/2008, de 30 de abril, de la Agen-
cia de Protección de Datos de la Comunidad de Ma-
drid, sobre tratamiento de datos de carácter perso-
nal en servicios de administración electrónica.
17

1.2 Estudio sobre la protección y seguridad de los datos de carácter personal en el sector sanitario
español
1.2.1 Contexto y oportunidad del estudio
En España, el sector sanitario muestra una dimensión
considerable en términos cuantitativos: un total de 803
hospitales, 2.929 centros de salud y 10.201 consultorios locales
y conforman el sector de instituciones sanitarias españolas.
Estas instituciones manejan datos especialmente sensibles,
ya que se refieren a la salud de los pacientes. Se entiende
por dato de salud toda información concerniente a la salud
pasada, presente y futura, física o mental, de un individuo.
En particular, se considerarán datos relacionados con la sa-
lud de las personas los referidos a su porcentaje de discapa-
cidad y a su información genética. La Ley Orgánica 15/1999,
de 13 de diciembre, de Protección de Datos de Carácter Per-
sonal (en adelante, LOPD) reconoce un tratamiento especial
para este tipo de datos. Así, el artículo 7 menciona los datos
de salud al tratar los datos especialmente protegidos.
Todos aquellos ficheros que contengan datos de salud (por
ejemplo historias clínicas, grado de discapacidad) deberán
observar medidas de seguridad de nivel alto. Así lo dispone
el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de
13 de diciembre, de Protección de Datos de Carácter Personal
(RDLOPD).
En el manejo de esta información las instituciones tienen
que conjugar, de un lado, la intimidad del sujeto cuyos datos
están siendo manejados y, de otro, el interés público, enten-
diendo por ello la garantía de una adecuada prestación del
servicio de salud.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
1
ÍNDICE
Los servicios sanitarios, al igual que el resto de organizacio-
nes, están sujetos a la actual legislación española y europea
sobre privacidad y protección de datos. Así, están obligados
a garantizar el derecho a la información de los ciudadanos
cuando se recogen sus datos personales; a asegurar los re-
quisitos de calidad de la información, incluyendo la recogida
de los datos adecuados y no excesivos para las finalidades
legítimas para las que se van a utilizar; la actualización de los
mismos; las garantías especiales para los datos más sensi-
bles como los de ideología, vida sexual o salud; las obliga-
ciones en materia de seguridad de los datos y la confiden-
cialidad y el deber de secreto en el tratamiento de los datos
personales.
Del mismo modo, los ciudadanos tienen una serie de dere-
chos que pueden ejercer para controlar el uso de sus datos
Introducción y objetivos
de carácter personal y, específicamente, el de acceder y co-
nocer la información que sobre ellos tienen los responsables
de tratamientos y rectificar y cancelar la información inexac-
ta, incompleta, inadecuada o excesiva que obre en poder de
dichos responsables.
Estas circunstancias exigen que se preste una atención
particularizada al asunto, y que se formule un diagnóstico
sobre la situación concreta de las instituciones sanitarias en
lo referente a la protección de datos personales.
18

1.3.1 Objetivo
El objetivo general del estudio es la realización de un diag-
nóstico del cumplimiento efectivo de la normativa vigente en
materia de protección de datos personales por parte del sec-
tor sanitario español.
Este objetivo general de diagnóstico se desglosa operativa-
mente en los siguientes objetivos específicos:
• Identificar el nivel de adecuación del sector sanita-
rio español a la normativa en materia de protección
de datos y, en concreto, analizar si existen diferen-
tes grados de cumplimiento en función del tipo de
centro, de su adscripción patrimonial o del área
geográfica de ubicación.
• Identificar posibles frenos y barreras que pueden
estar encontrando las instituciones de salud. Del
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
1
ÍNDICE
mismo modo, destacar cuáles son los beneficios y
el valor añadido que la normativa sobre protección
de datos aporta a la gestión de los centros y aportar
pautas para eliminar o minimizar los frenos.
• Destacar casos reales de éxito en la implemen-
tación de la normativa sobre protección de datos
identificados en el sector sanitario español.
• Formular recomendaciones a usuarios pacientes, a
profesionales de la salud, al sector sanitario, a las
Administraciones Públicas y a los organismos regu-
ladores, con objeto de incrementar el nivel de cum-
plimiento, en base a los resultados del estudio y a
la propia experiencia de los agentes colaboradores.
Introducción y objetivos
19
 ÍNDICE

2
Contexto: el sector sanitario y
el Sistema Nacional de Salud (SNS)

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 2
ÍNDICE

La Ley General de Sanidad atribuye al Estado, entre sus actuaciones, “El Catálogo y Registro General de centros, servicios y
establecimientos sanitarios que recogerán las decisiones, comunicaciones y autorizaciones de las Comunidades Autónomas, de
acuerdo con sus competencias” (art. 40.9).

Contexto: el sector sanitario y el Sistema Nacional de Salud

Según el Ministerio de Sanidad y Política Social los Centros del Sistema Nacional de Salud (SNS) se dividen en centros sanitarios
y centros de vacunación internacional. Los centros sanitarios, donde a su vez se engloban los Centros de Atención Primaria y el
Catálogo Nacional de Hospitales, son los que constituyen el objeto del estudio 1.

2.1 Centros de Atención Primaria

Los Centros de Atención Primaria a su vez se dividen en Centros de Salud y Consultorios.

2.1.1 Centros de Salud

Se utiliza la definición incluida en el Real Decreto de auto- globalmente, integral, permanente y continuada, y con base
rización de centros, servicios y establecimientos sanitarios, en el trabajo en equipo de los profesionales sanitarios y no
que dice: Estructuras físicas y funcionales que posibilitan sanitarios que actúan en el mismo. En ellos desarrollan sus
el desarrollo de una atención primaria de salud coordinada, actividades y funciones los Equipos de Atención Primaria.

2.1.2 Consultorios

Igualmente, se utiliza la definición que consta en el Real De-
creto antes mencionado, que dice Centros sanitarios que, sin
tener la consideración de Centros de Salud, proporcionan
atención sanitaria no especializada en el ámbito de la aten-
ción primaria de salud).
Se incluyen bajo esta denominación, exclusivamente a los
consultorios rurales, consultorios locales, consultorios peri-
féricos, o cualquier otra denominación que haga referencia a
centros asistenciales mayoritariamente dependientes o rela-
cionados funcionalmente con un centro de salud.
Así pues, en caso de que en alguna Comunidad permanezca
algún centro urbano de modalidad de atención no reforma-
da (modelo tradicional) bajo la denominación de consultorio,
este centro deberá ser tratado, a estos efectos, como un cen-
tro de salud.

1
Según el Instituto Nacional de Estadística (INE), en su metodología de Estadística de Indicadores Hospitalarios, los establecimientos sanitarios se clasifican, según la dependen- 21
cia funcional, en establecimientos Públicos: Sistema Nacional de Salud y Otros públicos (Defensa, Comunidades Autónomas, Diputaciones, Cabildos y Municipios y Otros) y No
públicos: Privados sin fin de lucro (Cruz Roja, Iglesia y Benéfico-Privado) y Privados con fin de lucro; y según su finalidad en: Generales, Especiales de corta estancia (Médico-
quirúrgicos y Quirúrgicos, Infantiles, Maternales y Materno-infantiles y Otros), Especiales de larga estancia (Geriátricos y crónicos y Otros) y Psiquiátricos.

Para cada clase o combinación de clases se elaboran posteriormente una serie de grupos de indicadores. (http://www.ine.es/metodologia/t15/t1530415.htm)

Sin embargo, el cómputo estadístico de centros pasó en 2005 a depender del Ministerio de Sanidad y Política Social, con lo que no existen datos actualizados segmentados según
estas dos clasificaciones.

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

2.2 Hospitales
El Catálogo Nacional de Hospitales es fruto de la colaboración
entre el Ministerio de Sanidad y Política Social y las
Consejerías de Sanidad de las Comunidades Autónomas,
el Ministerio de Defensa, los órganos competentes de
las Ciudades Autónomas de Ceuta y Melilla y los propios
Hospitales.
El Catálogo recoge información de los centros sanitarios
destinados a la asistencia especializada y continuada de
pacientes en régimen de internado, cuya finalidad principal
es el diagnóstico y/o tratamiento de los enfermos ingresados
en el mismo, así como la atención a pacientes de forma
ambulatoria.
No obstante, el concepto tradicional de hospital, considerado
como institución o centro sanitario que, al margen de su
denominación, tiene como finalidad fundamental la prestación
de asistencia sanitaria en régimen de internado, se ha visto
superada por las nuevas formas de organización de la
asistencia sanitaria especializada que tienen su fundamento
en la Ley General de Sanidad:
1. Art. 56.2.b: “En el nivel de asistencia especializada, a
realizar en los hospitales y centros de especialidades
dependientes funcionalmente de aquellos se
prestará la atención de mayor complejidad a los
problemas de salud y se desarrollarán las demás
funciones propias de los hospitales”
2. Art. 65.2: “El hospital es el establecimiento encarga-
do tanto del internamiento clínico como de la asis-
tencia especializada y complementaria que requie-
ra su zona de influencia.”
Por otra parte, un hospital puede estar constituido por un
único centro hospitalario o por dos o más que se organizan
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
2
ÍNDICE
e integran en el complejo hospitalario. En estos casos
es la unidad de dirección y gestión la que sirve para su
Contexto: el sector sanitario y el Sistema Nacional de Salud
identificación. De esta forma, un complejo hospitalario puede
estar constituido por dos o más hospitales, incluso distantes
entre sí y uno o varios centros de especialidades.
Los complejos hospitalarios se consideran, y como tal se
contabilizan dentro del catálogo, como un único hospital,
aunque para una más completa información, se relacionan,
siempre que es posible, los hospitales que forman parte de
dicho complejo.
• Dependencia patrimonial: La dependencia
patrimonial se refiere a la persona física o jurídica
propietaria, al menos, del inmueble ocupado por el
centro sanitario.
• Dependencia funcional: Es el organismo o
entidad jurídica de quien depende, es decir, la
persona física o jurídica que ejerce dominio o
jurisdicción, jerárquica o funcional, más inmediata
sobre el establecimiento sanitario. La clasificación
de dependencia funcional de los hospitales con
formas jurídicas de gestión contempladas en la
Ley 15/1997, de 25 de abril, sobre habilitación de
nuevas formas de gestión en el Sistema Nacional
de Salud, y de acuerdo con desarrollos legislativos
autonómicos, ha sido asignada a la de los
correspondientes Servicios de Salud.
22
 ÍNDICE

Diseño
metodológico
3
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 3
ÍNDICE

Para conseguir los objetivos planteados, la ejecución del proyecto ha combinado diferentes metodologías, abordadas de forma
secuencial en las siguientes fases de trabajo:

• Fase 1. Búsqueda y análisis documental de legislación, informes, estudios e indicadores que pueden enriquecer el
contenido del proyecto y contribuyen a la consecución de los objetivos perseguidos. En esta fase, cobra especial
relevancia el informe de la Agencia de Protección de Datos de la Comunidad de Madrid (APDCM): Protección de datos
personales para Servicios Sanitarios Públicos.

• Fase 2. Investigación cuantitativa: encuesta a los responsables de protección de datos / seguridad, administradores o
gerentes de los centros sanitarios.

• Fase 3. Elaboración del presente informe con el análisis y conclusiones extraídos de las fases anteriores.

3.1 Búsqueda y análisis documental

Esta fase tiene como objetivo analizar contenidos publicados
en la materia que puedan enriquecer y orientar el proyecto
de investigación. Así, se han analizado fuentes secundarias
para enriquecer y orientar el estudio. Se entiende por fuen-
te secundaria todo documento que, habiéndose producido
• Estadísticas oficiales: Estudios y estadísticas que
elaboran diferentes agencias oficiales (Ministerio
de Sanidad y Política Social, INE, Agencias
estadísticas de las Comunidades Autónomas, etc.)

Diseño metodológico
con anterioridad a la investigación actual, contiene datos que • Autoridades estatales y autonómicas responsables
pueden ser explotados en un contexto distinto al existente en en materia de protección de datos.
su producción.
• Universidades, fundaciones, asociaciones y entida-
En esta fase de documentación y recopilación de datos se des privadas relacionadas con la protección de da-
han revisado diversas fuentes, cuya relevancia se basa en la tos o que realizan estudios sobre la materia, tanto
metodología empleada, el contenido, las conclusiones o los nacionales como extranjeras.
objetivos perseguidos:
En el Anexo I: Bibliografía se incluye una relación de las
publicaciones consideradas en la realización del informe.

24

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 3
ÍNDICE

3.2 Investigación cuantitativa

Siguiendo las pautas facilitadas por INTECO y la Agencia de Protección de Datos de la Comunidad de Madrid, la empresa
Telecyl realizó, durante el mes de marzo de 2010, un sondeo de opinión que consistió en la realización de 700 encuestas a los
responsables de la seguridad de la protección de datos de carácter personal en cada el centro sanitario.

En los siguientes apartados se profundiza en los detalles correspondientes a esta fase.

3.2.1 Universo

El universo objeto de estudio son los centros sanitarios del
Servicio Sanitario de Salud (SNS) existentes en todo el terri-
torio nacional.
El ámbito temporal son los centros de atención primaria y
hospitales en funcionamiento a 31 de diciembre de 2009, con
independencia de que a esa fecha estuviesen provisional-
mente cerrados por realización de obras de reforma o am-
pliación de los mismos.
Los datos han sido extraídos del Ministerio de Sanidad y Po-
lítica Social, que ofrece dos catálogos:
las Consejerías de Sanidad de las Comunidades
Autónomas, el Ministerio de Defensa, los órganos
competentes de las Ciudades Autónomas de Ceuta
y Melilla y los propios Hospitales.
• Un catálogo de Centros de Atención Primaria del Sis-
tema Nacional de Salud 2009 que engloba a los Cen-
tros de salud y Consultorios locales que es fruto de la
colaboración entre el Ministerio de Sanidad y Política
Social y los órganos competentes de las Comunida-
des Autónomas que han colaborado en la validación
y/o rectificación de los datos presentados.

Diseño metodológico
• Un catálogo de Hospitales fruto de la colaboración En la Tabla 1 se muestra el número total de Hospitales,
entre el Ministerio de Sanidad y Política Social y Centros de salud y Consultorios locales en España.

Tabla 1: Tipos y volumen de los Centros Sanitarios españoles

Tipo de Centro Número

Hospitales 803
Centros de salud 2.929
Consultorios locales 10.201 25
Total 13.933

Fuente: Ministerio de Sanidad y Política Social

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 3
ÍNDICE

La distribución geográfica de los centros sanitarios del SNS es la siguiente:

Tabla 2: Tipos y volumen de centros de atención primaria por CCAA

Id Comunidad Hospitales Centros de salud Consultorios locales

1 ANDALUCÍA 107 383 1.116

2 ASTURIAS (PRINCIPADO DE) 20 71 140
3 ARAGÓN 29 124 913
4 BALEARES (ISLAS) 23 56 103
5 CANARIAS 38 109 141
6 CANTABRIA 9 36 122
7 CASTILLA Y LEÓN 40 247 3.675
8 CASTILLA-LA MANCHA 32 199 1.141
9 CATALUÑA 210 395 807
10 COMUNIDAD VALENCIANA 62 259 588
11 EXTREMADURA 19 104 417

Diseño metodológico
12 GALICIA 42 393 93
13 MADRID (COMUNIDAD DE) 81 257 152
14 MURCIA (REGIÓN DE) 26 77 190
15 NAVARRA (COMUNIDAD FORAL) DE) 13 56 245
16 PAÍS VASCO 44 137 184
17 LA RIOJA 5 19 174
18 CEUTA y MELILLA (INGESA) 3 7 0
TOTALES 803 2.929 10.201
Fuente: Ministerio de Sanidad y Política Social

26

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 3
ÍNDICE

3.2.2 Distribución y error muestral

Se ha extraído una muestra representativa de 700 centros
sanitarios en los que se han realizado encuestas a los res-
ponsables de protección de datos / seguridad, administra-
dores o gerentes. La selección de los Centros Sanitarios ha
sido aleatoria.
El margen de error es del ± 3,68% para p=q=0,5 y para un
nivel de confianza del 95,5%.
La muestra definitiva aplicada en la investigación fue la si-
guiente:

Tabla 3: Distribución de la muestra y error muestral

Tipo de centro Muestra Error muestral

Hospitales 190 ±6,34%

Centros de salud 246 ±6,10%
Consolutorios locales 264 ±6,07%
TOTAL 700 ±3,68%

Fuente: INTECO

Diseño metodológico
En la elaboración del diseño metodológico se ha tenido en • Área 3 (Andalucía): Comunidad Andaluza, Badajoz
cuenta la siguiente premisa: una muestra suficiente para e Islas Canarias
garantizar la extracción de conclusiones a nivel nacional.
• Área 4 (Centro): Teruel, Ciudad Real, Cuenca,
Para enriquecer el análisis de resultados, aun a riesgo de Guadalajara, Toledo, Ávila, Salamanca, Segovia,
obtener un mayor error muestral, se ha segmentado la Soria, Valladolid, Zamora y Cáceres.
muestra por zonas geográficas de todo el territorio nacional,
dividiendo las regiones españolas en 7 áreas diferentes (en • Área 5 (Noroeste): Cantabria, Burgos, León,
este caso, el error es, en cualquier caso, inferior a ±10%): Palencia, Comunidad Gallega, La Rioja, Navarra,
País Vasco y Principado de Asturias.
• Área 1 (Noreste): Huesca, Zaragoza e Islas 27
Baleares. • Área 6 (Cataluña)

• Área 2 (Levante): Albacete, Comunidad Valenciana • Área 7 (Comunidad de Madrid)

y Murcia.

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 3
ÍNDICE

En el análisis estadístico de los datos también se ofrecen A pesar de la consistencia de la muestra, el margen de error
datos segmentados por dependencia funcional de los existente en todo proceso de investigación cuantitativa acon-
centros, distinguiendo entre centro público y centro seja que los resultados sean interpretados de manera global
privado. y más como tendencias que como afirmaciones absolutas.

3.2.3 Realización de las entrevistas

El sujeto de opinión es el responsable de protección de datos La recogida de información se ha realizado a través de

/ seguridad, administrador o gerente del hospital, centro encuesta telefónica asistida por ordenador (CATI), apoyada
de salud o consultorio local. El trabajo de campo ha sido por una encuesta online así como vía fax / correo electrónico
realizado en marzo de 2010. encaminada a fomentar y facilitar la participación de los
responsables seleccionados a participar en el estudio.
La recogida de información se ha realizado sobre un cues-
tionario estructurado elaborado conjuntamente por INTECO
y la Agencia de Protección de Datos de la Comunidad de
Madrid, con una duración estimada de 20 minutos para cada
sujeto de opinión.

Diseño metodológico
28

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

4
Normativa sobre protección de datos
que aplica al sector sanitario

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 4
ÍNDICE

4.1 Normativa europea.

Directiva 1995/46/CE, de 24 de octubre, del Parlamento y del Consejo, sobre Protección de las personas físicas en lo que
respecta al tratamiento de datos personales y a la libre circulación de estos datos

Traspuesta a los respectivos ordenamientos jurídicos de los
Estados miembros, contiene el marco jurídico a nivel euro-
peo sobre el derecho fundamental a la protección de datos
personales.
Regula los principios básicos de la protección de datos per-
sonales, los derechos de las personas (acceso, cancelación,
oposición y rectificación), la obligación de establecer me-
didas de seguridad de carácter técnico y organizativo, así
como las funciones de las Autoridades de Control.
En la actualidad, se han iniciado los trabajos y debates para
revisar y actualizar esta Directiva a la realidad de hoy en
día, puesto que hay dificultades de aplicar la normativa de
protección de datos cuando el responsable del fichero no
se encuentra en la Unión Europea, o también en el caso de
Internet, sobre todo, respecto al tratamiento de datos perso-
nales por parte de las redes sociales. Otra de las cuestiones
que se plantean, es introducir en la futura modificación de
la Directiva el concepto “Privacidad por diseño” (Privacy by
design).

Normativa sobre protección de datos

4.2 Normativa estatal.
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD)

Supone la transposición de la Directiva 1995/46/CE, de 24
de octubre, al ordenamiento jurídico español, de manera que
regula, como no podría ser de otra forma, los principios y
derechos mencionados anteriormente.
Contiene además preceptos específicos sobre los ficheros
de solvencia y crédito patrimonial y marketing, así como el
acceso y el uso de los datos personales por parte de las
Fuerzas y Cuerpos de Seguridad del Estado.
Destaca lo referente al régimen sancionador por las multas
que pueden imponerse a las empresas privadas, ya que las
mismas van desde los 600 euros hasta los 300.000 euros, de-
pendiendo de si el tipo de infracción cometida es leve, grave o
muy grave.
Otra de las cuestiones de relevancia es la regulación sobre
las transferencias internacionales así como la posible adop-
ción, como buenas prácticas, de los Códigos Tipos.
En materia de salud, de acuerdo al artículo 7 de la LOPD,
los datos de salud son considerados datos especialmente
protegidos, de manera que sólo podrán ser recabados, tra-
tados y cedidos cuando, por razones de interés general, así
lo disponga una ley o el afectado consienta expresamente.
Además, el artículo 8 regula específicamente los datos de
salud, disponiendo que, sin perjuicio de lo establecido en el
artículo 11 (cesiones de datos personales), las instituciones y
los centros sanitarios públicos y privados y los profesionales
correspondientes podrán proceder al tratamiento de los da-
30
tos de carácter personal relativos a la salud de las personas
que a ellos acudan o hayan de ser tratados en los mismos,
de acuerdo con lo dispuesto en la legislación estatal o auto-
nómica sobre sanidad.

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica
15/1999, de 13 de diciembre
Como su nombre indica, es la norma que desarrolla la LOPD.
En consecuencia, contiene una regulación más detallada de
muchas de las cuestiones a las que ya se refiere la LOPD.
Entre ellas, podemos destacar cómo se ejercitan los dere-
chos de acceso, cancelación, oposición y rectificación, cues-
tiones relacionadas con el consentimiento y el cumplimiento
del derecho de información, o el procedimiento para la crea-
ción, modificación y supresión de los ficheros de datos de
carácter general.
Entre las novedades, destaca la regulación del consentimien-
to para el tratamiento de los menores de edad, las medidas
4.3 Normativa sectorial
Ley 14/1986, de 25 de Abril, General de Sanidad
Aprobada con anterioridad a la primera Ley Orgánica de Pro-
tección de Datos (LORTAD 1992), reconoce el derecho de
todos los pacientes a que las Administraciones Públicas sani-
Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en
materia de información y documentación clínica
Varios son los aspectos que regula esta ley con incidencia en
el derecho fundamental a la protección de datos personales.
Así, a imagen y semejanza de la anteriormente citada ley
14/1986, de 25 de abril, General de Sanidad, el artículo 7
regula el derecho a la intimidad, debiendo todos los centros
sanitarios, tanto públicos como privados, adoptar las medidas
necesarias para garantizar el respeto y cumplimiento de este
derecho.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
4
ÍNDICE
de seguridad para los ficheros manuales, y la posibilidad de
que el encargado del tratamiento subcontrate.
Respecto a los datos de salud, define éstos como las infor-
maciones concernientes a la salud pasada, presente y futura,
física o mental, de un individuo. En particular, se consideran
datos relacionados con la salud de las personas los referidos
a su porcentaje de discapacidad y a su información genética.
Asimismo, los ficheros de datos de carácter personal, tanto
informatizados como manuales, que almacenen datos de sa-
lud deberán adoptar las medidas de seguridad de nivel alto.
Normativa sobre protección de datos
tarias garanticen la confidencialidad de la información relacio-
nada con su proceso y con su estancia en instituciones sanita-
rias públicas y privadas que colaboren con el sistema público.
Una de las novedades de esta ley es la regulación del
contenido mínimo de la historia clínica, teniendo cada
paciente el derecho a acceder a dicho contenido obteniendo
copia de toda la documentación obrante en su respectiva 31
historia clínica. No obstante, este acceso tiene una serie de
excepciones: no puede ejercitarse en perjuicio del derecho
de terceras personas a la confidencialidad de los datos que
constan en ella recogidos en interés terapéutico del paciente,

ni en perjuicio del derecho de los profesionales participantes
en su elaboración, los cuales pueden oponer al derecho de
acceso la reserva de sus anotaciones subjetivas.
Asimismo, en la actualidad las diferentes Agencias de
Protección de Datos (tanto nacional como autonómicas)
están tutelando el acceso a la historia clínica de los
pacientes, cuando éstos ejercitan dicho acceso y el centro
Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud
Dos son los aspectos más relevantes regulados por esta
ley desde la óptica de protección de datos. En primer lugar,
con una incidencia tecnológica, la creación del sistema de
información sanitaria del Sistema Nacional de Salud que
garantice la disponibilidad de la información y la comunicación
recíprocas entre las Administraciones sanitarias. Esto supone
una cesión de datos entre las citadas Administraciones, que
según esta ley, estará sujeta a la legislación en materia de
protección de datos de carácter personal y a las condiciones
acordadas en el Consejo Interterritorial del Sistema Nacional
de Salud. Igualmente, y con el fin de que los ciudadanos
reciban la mejor atención sanitaria posible en cualquier
centro o servicio del Sistema Nacional de Salud, el Ministerio
de Sanidad y Consumo coordinará los mecanismos de
intercambio electrónico de información clínica y de salud
individual, previamente acordados con las comunidades
autónomas, para permitir tanto al interesado como a los
profesionales que participan en la asistencia sanitaria el
Ley 14/2007, de 3 de julio, de investigación biomédica
Sin lugar a dudas, uno de los temas que genera más debate
en los círculos de expertos de protección de datos es la
utilización de los datos de salud para fines de investigación.
Esta ley garantiza, con carácter general, la protección
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
4
ÍNDICE
sanitario no les facilita copia de la historia clínica, o bien
cuando la documentación que se les ha dado no coincide
con la totalidad de la obrante en la citada historia clínica.
Otros aspectos importantes que regula esta Ley son los
referentes a la definición, uso y conservación de la historia
clínica, el derecho a la información asistencial y el derecho a
la información epidemiológica.
acceso a la historia clínica en los términos estrictamente
necesarios para garantizar la calidad de dicha asistencia y
la confidencialidad e integridad de la información, cualquiera
Normativa sobre protección de datos
que fuese la Administración que la proporcione.
En segundo lugar, esta ley regula la tarjeta sanitaria individual
que permite el acceso de los ciudadanos a las prestaciones de
la atención sanitaria que proporciona el Sistema Nacional de
Salud. Esta tarjeta incluye, de manera normalizada, los datos
básicos de identificación del titular de la tarjeta, del derecho
que le asiste en relación con la prestación farmacéutica y
del servicio de salud o entidad responsable de la asistencia
sanitaria. Los dispositivos que las tarjetas incorporan para
almacenar la información básica y las aplicaciones que la
traten deberán permitir que la lectura y comprobación de
los datos sea técnicamente posible en todo el territorio del
Estado y para todas las Administraciones públicas.
de la intimidad personal y el tratamiento confidencial
32
de los datos personales que resulten de la actividad de
investigación biomédica, conforme a lo dispuesto en la Ley
Orgánica 15/1999, de 13 de diciembre, de Protección de

Datos de Carácter Personal. Las mismas garantías son de
aplicación a las muestras biológicas que sean fuente de
información de carácter personal. Además, la realización
de una investigación sobre una persona requerirá el
consentimiento expreso, específico y escrito de aquélla,
o de su representante legal, de acuerdo con los principios
generales enunciados en el artículo 4 de esta Ley. Este
consentimiento para realizar análisis genéticos también
deberá ser expreso y escrito.
Siguiendo esta línea garantista del derecho fundamental a la
protección de datos personales, se prohíbe la utilización de
datos relativos a la salud de las personas con fines distintos
a aquéllos para los que se prestó el consentimiento.
Además, deberá garantizarse la trazabilidad de las células,
tejidos y cualquier material biológico de origen humano, para
asegurar las normas de calidad y seguridad, respetando el
deber de confidencialidad y lo dispuesto en la Ley Orgánica
15/1999, de 13 de diciembre, de Protección de Datos de
Carácter Personal.
Por otra parte, también destaca el deber de confidencialidad
y el plazo de conservación de los datos. Así, respecto al
Ley 29/2006, de 26 de julio, de garantías y uso racional de los medicamentos y productos sanitarios
Según lo regulado por esta ley, las recetas médicas y órdenes
hospitalarias de dispensación deben contener los datos bási-
cos de identificación de prescriptor, paciente y medicamentos.
El Gobierno determinará con carácter básico los requisitos mí-
nimos que han de cumplir las recetas médicas extendidas y/o
editadas en soporte informático con el fin de asegurar la acce-
sibilidad de todos los ciudadanos, en condiciones de igualdad
efectiva en el conjunto del territorio español, a la prestación
farmacéutica del Sistema Nacional de Salud. No será nece-
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
4
ÍNDICE
primero, el personal que acceda a los datos genéticos en
el ejercicio de sus funciones quedará sujeto al deber de
secreto de forma permanente. Sólo con el consentimiento
expreso y escrito de la persona de quien proceden se podrán
revelar a terceros datos genéticos de carácter personal. Si
no es posible publicar los resultados de una investigación sin
identificar a los sujetos fuente, tales resultados sólo podrán
ser publicados con su consentimiento. En el caso de análisis
genéticos a varios miembros de una familia los resultados
se archivarán y comunicarán a cada uno de ellos de forma
individualizada. En el caso de personas incapacitadas o
menores se informará a sus tutores o representantes legales.
Respecto a la conservación de los datos, los datos genéticos
de carácter personal se conservarán durante un período mí-
Normativa sobre protección de datos
nimo de cinco años desde la fecha en que fueron obtenidos,
transcurrido el cual el interesado podrá solicitar su cance-
lación. Si no mediase solicitud del interesado, los datos se
conservarán durante el plazo que sea necesario para preser-
var la salud de la persona de quien proceden o de terceros
relacionados con ella. Fuera de estos supuestos, los datos
únicamente podrán conservarse, con fines de investigación,
de forma anonimizada, sin que sea posible la identificación
del sujeto fuente.
sario el consentimiento del interesado para el tratamiento y
la cesión de datos que sean consecuencia de la implantación
de sistemas de información basados en receta médica en so-
porte papel o electrónico, de conformidad con lo dispuesto en
los artículos 7, apartados 3 y 6; 8; y 11, apartado 2.a), de la
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de 33
Datos de Carácter Personal. Las citadas actuaciones deberán
tener por finalidad facilitar la asistencia médica y farmacéutica
al paciente y permitir el control de la prestación farmacéutica
del Sistema Nacional de Salud.

También destaca lo relativo a las garantías de trazabilidad,
de manera que la recogida y tratamiento de datos a que se
refiere este artículo deberá adecuarse a la normativa vigente
en materia de seguridad y protección de datos de carácter
personal, en cumplimiento de la Ley Orgánica 15/1999, de
13 de diciembre, de Protección de Datos de Carácter Per-
Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias
En materia de principios generales, esta ley establece que la
relación entre los profesionales sanitarios y de las personas
atendidas por ellos se rige, entre otros, por los siguientes
principios:
• Los profesionales tienen el deber de respetar la per-
sonalidad, dignidad e intimidad de las personas a
su cuidado y deben respetar la participación de los
mismos en las tomas de decisiones que les afec-
ten. En todo caso, deben ofrecer una información
suficiente y adecuada para que aquéllos puedan
ejercer su derecho al consentimiento sobre dichas
decisiones.
• Los profesionales y los responsables de los centros
sanitarios facilitarán a sus pacientes el ejercicio del
derecho a conocer el nombre, la titulación y la es-
pecialidad de los profesionales sanitarios que les
atienden, así como a conocer la categoría y función
de éstos, si así estuvieran definidas en su centro o
institución.
• Los pacientes tienen derecho a recibir información
de acuerdo con lo establecido en la Ley 41/2002,
de 14 de noviembre, básica reguladora de la auto-
nomía del paciente y de los derechos y obligaciones
en materia de información y documentación clínica.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
4
ÍNDICE
sonal, teniendo la consideración de responsables de sus
respectivos ficheros de titularidad pública la Administración
General del Estado, las Administraciones sanitarias compe-
tentes de las Comunidades Autónomas y, en su caso, las
Administraciones corporativas correspondientes.
Para garantizar de forma efectiva y facilitar el ejercicio de los
derechos citados anteriormente, los colegios profesionales,
consejos autonómicos y consejos generales, en sus respec-
tivos ámbitos territoriales, establecerán los registros públicos
de profesionales que, de acuerdo con los requerimientos de
Normativa sobre protección de datos
esta ley, serán accesibles a la población y estarán a dispo-
sición de las Administraciones sanitarias. Los indicados re-
gistros, respetando los principios de confidencialidad de los
datos personales contenidos en la normativa de aplicación,
deberán permitir conocer el nombre, titulación, especialidad,
lugar de ejercicio y los otros datos que en esta ley se deter-
minan como públicos. Asimismo, podrán existir en los cen-
tros sanitarios y en las entidades de seguros que operan en
el ramo de la enfermedad, otros registros de profesionales
de carácter complementario a los anteriores, que sirvan a los
fines indicados en el apartado anterior, conforme a lo previs-
to en los artículos 8.4 y 43 de esa ley. Los criterios generales
y requisitos mínimos de estos registros serán establecidos
por las Administraciones sanitarias dentro de los principios
generales que determine el Consejo Interterritorial del Sis-
tema Nacional de Salud, que podrá acordar la integración
de los mismos al del Sistema de Información Sanitaria del
Sistema Nacional de Salud.
34
 4
ÍNDICE

4.4 Normativa autonómica.

Instrucción 1/2009, de 17 de diciembre, de la Agencia de Protección de Datos de la Comunidad de Madrid sobre el
tratamiento de datos personales de los recién nacidos en centros asistenciales que integran la red sanitaria única de
utilización pública de la Comunidad de Madrid

La finalidad principal de esta Instrucción es mejorar los proce-
dimientos de toma de huellas, tanto del recién nacido como de
la madre, permitiendo realizar una identificación y vinculación
inequívoca de ambos, evitando confusiones y problemas de
intercambio de bebés en los centros asistenciales. La inco-
rrecta identificación de los recién nacidos deja sin sentido la
existencia de una tarjeta de identificación sanitaria, así como
impide su correcta inscripción en el Registro Civil.
avanzados y precisos disponibles, evitando que los posibles
defectos en la toma de las huellas hagan que el Documento
de Identificación carezca de utilidad.
Dada la finalidad para la que se recogen los datos, éstos no
podrán ser objeto de cancelación, al seguir siendo necesa-
rios y pertinentes durante toda la vida del recién nacido y de
la madre. Si los datos recogidos en el Documento de Iden-
tificación Sanitaria Materno-Filial fueran conservados dentro

Normativa sobre protección de datos

En este sentido, la recogida de las huellas dactilares consti-
tuye el sistema que permite una identificación inequívoca de
ambos, así como para establecer la correspondencia entre el
recién nacido y su madre biológica. Tal y como establece la
Ley 6/1995, de 28 de marzo, de Garantías de los Derechos
de la Infancia y la Adolescencia en la Comunidad de Madrid,
deberán utilizarse para la toma de los datos los métodos más
de la historia clínica, éstos no podrán ser objeto de expurgo
ni cancelación, aun transcurridos los plazos de conservación
para la historia clínica que se establecen en la Ley 41/2002,
de 14 de noviembre, Básica Reguladora de la Autonomía del
Paciente y de Derechos y Obligaciones en Materia de Infor-
mación y Documentación Clínica.

Instrucción 2/2009, de 21 de diciembre, de la Agencia de Protección de Datos de la Comunidad de Madrid sobre el trata-
miento de datos personales en la emisión de justificantes médicos

Incide en la necesidad de que no se faciliten a los departa-
mentos de personal más datos de aquellos que realmente
son necesarios para justificar una ausencia al trabajo, evitan-
do que se pueda conocer el diagnóstico o causa concreta de
la enfermedad del trabajador, tal como ya recoge la normati-
va que regula la emisión de los partes de baja.
En este sentido, un aspecto concreto regulado en esta Ins-
trucción es la diferenciación de los supuestos en que el so-
licitante del justificante es el propio trabajador enfermo o
cualquier persona que tenga con él una relación familiar o de
hecho, requiriéndose en este último caso el consentimiento
inequívoco del enfermo o usuario del centro sanitario.

Si bien no es necesario presentar el parte de baja en los
casos de ausencia al trabajo por enfermedad común o acci-
dente no laboral, el trabajador tiene que justificar la ausencia
al trabajo, por lo que los centros sanitarios deben facilitar
al paciente un documento que acredite el servicio prestado.
Además, deben diseñarse procedimientos específicos para
este tratamiento de datos, evitando utilizar documentos crea- 35
dos para la gestión asistencial, como son la propia hoja de ci-
tación, como justificante, dado que en esta se hace mención
al posible problema de salud que pueda existir o a la prueba
diagnóstica a la que haya sido sometido el paciente.

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

4.5 Normativa de Administración Electrónica
Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos
Configura el régimen jurídico de la Administración Electrónica.
En relación a la protección de datos de carácter personal, esta-
blece como finalidad de la propia ley crear las condiciones de
confianza en el uso de los medios electrónicos, estableciendo
las medidas necesarias para la preservación de la integridad
de los derechos fundamentales, y en especial los relacionados
con la intimidad y la protección de datos de carácter personal,
por medio de la garantía de la seguridad de los sistemas, los
datos, las comunicaciones, y los servicios electrónicos.
Asimismo, también se menciona entre los principios gene-
rales de la citada ley el respeto al derecho a la protección
de datos de carácter personal en los términos establecidos
por la Ley Orgánica 15/1999, de Protección de los Datos de
Carácter Personal, en las demás leyes específicas que re-
gulan el tratamiento de la información y en sus normas de
desarrollo, así como a los derechos al honor y a la intimidad
personal y familiar.
Por otra parte, en las transmisiones de datos entre Adminis-
traciones Públicas, cada Administración deberá facilitar el
acceso de las restantes Administraciones Públicas a los da-
Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de ac-
ceso electrónico de los ciudadanos a los servicios públicos
Destaca el desarrollo del artículo 6.2.b) de la Ley 11/2007,
de 22 de junio, de manera que cuando los ciudadanos ejer-
zan el derecho a no aportar datos y documentos que obren
en poder de las Administraciones Públicas se seguirán una
serie de reglas. Entre ellas, cabe mencionar las siguientes:
a. Los interesados serán informados expresamente
de que el ejercicio del derecho implica su
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
4
ÍNDICE
tos relativos a los interesados que obren en su poder y se en-
cuentren en soporte electrónico, especificando las condicio-
nes, protocolos y criterios funcionales o técnicos necesarios
para acceder a dichos datos con las máximas garantías de
seguridad, integridad y disponibilidad, de conformidad con lo
dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre,
de Protección de Datos de Carácter Personal y su normativa
de desarrollo.
La disponibilidad de tales datos estará limitada estrictamen-
te a aquellos que son requeridos a los ciudadanos por las
Normativa sobre protección de datos
restantes Administraciones para la tramitación y resolución
de los procedimientos y actuaciones de su competencia de
acuerdo con la normativa reguladora de los mismos. El ac-
ceso a los datos de carácter personal estará, además, condi-
cionado al cumplimiento de las condiciones establecidas en
el artículo 6.2.b) de la citada ley.
Por último, la ley también regula lo referente a los registros
electrónicos, expedientes administrativos electrónicos y la
tramitación de los procedimientos administrativos electróni-
camente.
consentimiento, en los términos establecidos por
el artículo 6.2b) de la Ley 11/2007, de 22 de junio,
para que el órgano y organismo ante el que se
ejercita pueda recabar los datos o documentos 36
respecto de los que se ejercita el derecho de
los órganos u organismos en que los mismos se
encuentren.

b. El derecho se ejercitará de forma específica e indi-
vidualizada para cada procedimiento concreto, sin
que el ejercicio del derecho ante un órgano u orga-
nismo implique un consentimiento general referido
a todos los procedimientos que aquél tramite en re-
lación con el interesado.
c. En cualquier momento, los interesados podrán
aportar los datos, documentos o certificados nece-
sarios, así como revocar su consentimiento para el
acceso a datos de carácter personal.
d. Cuando el órgano administrativo encargado de la
tramitación del procedimiento no tenga acceso a los
datos, documentos o certificados necesarios, los
pedirá al órgano administrativo correspondiente. Si
se tratara de un órgano administrativo incluido en el
ámbito de aplicación del artículo 1.2.a), deberá ce-
der por medios electrónicos los datos, documentos
y certificados que sean necesarios en el plazo máxi-
mo que establezca la normativa específica, que no
Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el ámbito de la
Administración Electrónica
Su articulación se ha realizado atendiendo a la normativa
nacional sobre acceso electrónico de los ciudadanos a los
servicios públicos, protección de datos de carácter personal,
firma electrónica y documento nacional de identidad electró-
nico, accesibilidad, uso de lenguas oficiales, reutilización de
la información en el sector público y órganos colegiados res-
ponsables de la administración electrónica.
De conformidad con este Real Decreto, las Administraciones
públicas establecerán y publicarán las condiciones de
acceso y utilización de los servicios, datos y documentos
en formato electrónico que pongan a disposición del
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
4
ÍNDICE
podrá exceder de diez días. Dicho plazo máximo
será igualmente aplicable si no está fijado en la nor-
mativa específica.
Sobre este Real Decreto cabe mencionar también la regula-
ción del contenido y servicios de la sede electrónica, que en
el caso de la Administración General del Estado contendrá in-
formación relacionada con la protección de datos de carácter
personal, incluyendo un enlace con la sede electrónica de la
Agencia Española de Protección de Datos, a asociación de
metadatos a los documentos electrónicos aportados por los
ciudadanos o emitidos por la Administración General del Es-
tado o sus organismos públicos que será, en todo caso, reali-
zada por el órgano u organismo actuante, en la forma que en
cada caso se determine, y la destrucción de documentos en
Normativa sobre protección de datos
soporte no electrónico, los documentos originales y las copias
auténticas en papel o cualquier otro soporte no electrónico ad-
mitido por la ley como prueba, de los que se hayan generado
copias electrónicas auténticas, en los términos y condiciones
que se determinen en las correspondientes Resoluciones y
cumpliendo con lo establecido en el citado Real Decreto.
resto de Administraciones especificando las finalidades,
las modalidades de consumo, consulta o interacción, los
requisitos que deben satisfacer los posibles usuarios de
los mismos, los perfiles de los participantes implicados
en la utilización de los servicios, los protocolos y criterios
funcionales o técnicos necesarios para acceder a dichos
servicios, los necesarios mecanismos de gobierno de
los sistemas interoperables, así como las condiciones
37
de seguridad aplicables. Estas condiciones deberán en
todo caso resultar conformes a los principios, derechos y
obligaciones contenidos en la Ley Orgánica 15/1999 de 13
de diciembre, de Protección de Datos de Carácter Personal

y su normativa de desarrollo, así como a lo dispuesto en
el Esquema Nacional de Seguridad, y los instrumentos
jurídicos que deberán suscribir las Administraciones públicas
requeridoras de dichos servicios, datos y documentos.
Asimismo, y de conformidad con su artículo 22, para asegu-
rar la conservación de los documentos electrónicos se apli-
cará lo previsto en el Esquema Nacional de Seguridad en
cuanto al cumplimento de los principios básicos y de los re-
Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Adminis-
tración Electrónica
Su texto ha tenido en cuenta la normativa nacional sobre
Administración electrónica, protección de datos de carácter
personal, firma electrónica y documento nacional de identi-
dad electrónico, Centro Criptológico Nacional, sociedad de la
información, reutilización de la información en el sector públi-
co y órganos colegiados responsables de la Administración
Electrónica; así como la regulación de diferentes instrumen-
tos y servicios de la Administración, las directrices y guías de
la OCDE y disposiciones nacionales e internacionales sobre
normalización.
Este Real Decreto será aplicado por las Administraciones
Públicas para asegurar el acceso, integridad, disponibilidad,
autenticidad, confidencialidad, trazabilidad y conservación
de los datos, informaciones y servicios utilizados en medios
electrónicos que gestionen en el ejercicio de sus competen-
cias.
En este sentido, el análisis y gestión de riesgos será parte
esencial del proceso de seguridad y deberá mantenerse
permanentemente actualizado. La gestión de riesgos permitirá
el mantenimiento de un entorno controlado, minimizando
los riesgos hasta niveles aceptables. La reducción de estos
niveles se realizará mediante el despliegue de medidas de
seguridad, que establecerá un equilibrio entre la naturaleza
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
4
ÍNDICE
quisitos mínimos de seguridad mediante la aplicación de las
medidas de seguridad adecuadas a los medios y soportes
en los que se almacenen los documentos, de acuerdo con la
categorización de los sistemas.
Cuando los citados documentos electrónicos contengan da-
tos de carácter personal les será de aplicación lo dispuesto
en la Ley Orgánica 15/1999, de 13 de diciembre, y normativa
de desarrollo.
de los datos y los tratamientos, los riesgos a los que estén
expuestos y las medidas de seguridad.
Normativa sobre protección de datos
Con la finalidad exclusiva de lograr el cumplimiento del objeto
de este Real Decreto, con plenas garantías del derecho al
honor, a la intimidad personal y familiar y a la propia imagen de
los afectados, y de acuerdo con la normativa sobre protección
de datos personales, de función pública o laboral, y demás
disposiciones que resulten de aplicación, se registrarán
las actividades de los usuarios, reteniendo la información
necesaria para monitorizar, analizar, investigar y documentar
actividades indebidas o no autorizadas, permitiendo identificar
en cada momento a la persona que actúa.
Por otra parte, para dar cumplimiento a los requisitos
mínimos regulados en esta norma, las Administraciones
públicas aplicarán las medidas de seguridad indicadas en su
Anexo II, teniendo en cuenta:
a) Los activos que constituyen el sistema.
38
b) La categoría del sistema, según lo previsto en el
artículo 43.
c) Las decisiones que se adopten para gestionar los
riesgos identificados.

Cuando un sistema al que afecte esta norma maneje datos
de carácter personal le será de aplicación lo dispuesto en la
Ley Orgánica 15/1999, de 13 de diciembre, y normativa de
desarrollo, sin perjuicio de los requisitos establecidos en el
Esquema Nacional de Seguridad.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
4
ÍNDICE
Los medidas tendrán la condición de mínimos exigibles, y
podrán ser ampliados por causa de la concurrencia indicada
o del prudente arbitrio del responsable de la información,
habida cuenta del estado de la tecnología, la naturaleza
de los servicios prestados y la información manejada, y los
riesgos a que están expuestos.
Normativa sobre protección de datos
39
 ÍNDICE

Análisis de los
resultados del estudio
5
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

5.1 Aspectos generales de la normativa sobre protección de datos
5.1.1 Problemática e implicaciones
Las Administraciones Públicas recurren cada vez más a
las nuevas tecnologías para el desarrollo de su actividad.
La utilización de los nuevos sistemas de información y de
comunicación para relacionarse con los ciudadanos y para
mejorar el funcionamiento interno de la Administración es
muy positivo puesto que contribuye a una mejora de la pro-
pia legitimidad social de la Administración Pública. Al mismo
tiempo, el desarrollo de una Administración electrónica y la
consiguiente acumulación por parte de los poderes públicos
de datos personales de los ciudadanos puede suponer una
amenaza al derecho a la intimidad y a otros derechos cons-
titucionales.
La Constitución española, especialmente a partir de la in-
terpretación instituida por la Sentencia del Tribunal Consti-
tucional 292/2000, de 30 de noviembre, ha establecido un
derecho fundamental a la protección de datos personales,
que puede ser definido como el derecho que tiene toda
persona a controlar su información personal, lo que le fa-
culta para decidir quién tiene sus datos y para qué los va
a utilizar.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
Las leyes atribuyen a los ciudadanos un conjunto de garantías
para que ejerzan un control efectivo sobre su información per-
sonal, estableciendo un conjunto de obligaciones que todos los
empleados públicos deben conocer y cumplir. No se trata de
limitar la utilización de la informática en el ámbito público sino
de hacerla compatible con los derechos de los ciudadanos, sin
que esto signifique renunciar al progreso que el uso de los sis-
temas de información y la comunicación traen consigo.
Del ámbito general de aplicación que establece la LOPD
debe destacarse lo siguiente: por una parte, su aplicación a
los datos registrados en cualquier soporte físico susceptible
Resultados / Aspectos generales
de tratamiento; por otra, su aplicación tanto al sector público
como al privado.
Por lo que se refiere al primero, la ley debe entenderse apli-
cable no sólo a datos almacenados en soportes electróni-
cos o informáticos, sino también a los recogidos en papel,
siempre y cuando la información se encuentre estructurada
de acuerdo con criterios relativos a personas identificadas o
identificables.
41
 5
ÍNDICE

5.1.2 Diagnóstico: situación en el sector sanitario español

Soporte de los ficheros que contienen datos personales

El análisis se inicia con el examen de los soportes donde se
encuentran los ficheros con datos personales. Los archivos
pueden encontrarse en soporte electrónico (ficheros de ca-
rácter automatizado), en papel (ficheros de carácter no au-
tomatizado) o mixto, cuando se combinan ambos formatos.
A la luz de los resultados que ofrece el Gráfico 1, la realidad
del sector sanitario español es que prevalecen los ficheros
de carácter mixto, tanto si en ellos predomina el soporte
papel sobre el electrónico (42,4%) como si, por el contrario,
hay más electrónico que papel (35,5%). Un 16,6% de los
centros afirma que se encuentran exclusivamente en soporte
electrónico. Son una minoría los centros que admiten que
sus ficheros se encuentran exclusivamente en formato no
automatizado (5,5%).

Gráfico 1: Soporte de los ficheros con datos personales (%)

Resultados / Aspectos generales

Fuente: INTECO 42

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

El Gráfico 2 profundiza en las diferencias existentes entre hos-
pitales, centros de salud y consultorios locales a la hora de al-
macenar sus ficheros con datos de carácter personal en uno u
otro soporte. Los centros de salud muestran una tendencia a al-
macenar datos en soporte principalmente electrónico: un 21,9%
de los centros de salud dice que sus ficheros se encuentran
exclusivamente en este tipo de formato, y un 39,3% adicional
reconoce que, si bien mantiene archivos automatizados y no
automatizados, predominan los primeros sobre los segundos.
Esta preferencia por el soporte electrónico de los centros de
salud contrasta por la predilección por el papel de los consul-
torios locales: un 7,2% de este tipo de instituciones admite
Gráfico 2: Soporte de los ficheros con datos personales, segmentación por tipo de centro (%)
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
tener sus ficheros exclusivamente en papel (el porcentaje de
hospitales y centros de salud que mantienen sus archivos
únicamente en papel es mínimo, inferior en ambos casos al
2%) y un 44% responde que, aunque dispone de papel y
electrónico, predomina el primero entre sus ficheros con da-
tos de carácter personal.
Es necesario considerar, a la hora del análisis de los datos
expuestos, la existencia de sistemas automatizados de tra-
tamiento centralizados en muchos supuestos, que alcanzan
a los Hospitales y Centros de Salud, mientras que en los
consultorios, en muchos casos, no ha sido posible la implan-
tación de esos sistemas.
Resultados / Aspectos generales
43
Fuente: INTECO
 5
ÍNDICE

Donde no se aprecian diferencias notables es en el análisis
segmentado por dependencia patrimonial del centro. Sólo es
destacable, quizás, una mayor presencia de los ficheros en
soporte exclusivamente electrónico entre centros públicos
que entre sus homólogos privados (16,9% frente a 8,6%).
Sin embargo, de este dato no se puede concluir que el
formato electrónico sea más popular en el sector público
que en el privado ya que, al considerar conjuntamente el
porcentaje de centros que trabajan con papel (exclusiva o
mayoritariamente) y el de aquéllos que trabajan con soporte
electrónico, la proporción está equilibrada. Así, un 52% de
los centros públicos prefieren el soporte electrónico, ya sea
de forma exclusiva o compartida, y en el caso de los centros
privados el porcentaje es de 53,8%.

Gráfico 3: Soporte de los ficheros con datos personales,

segmentación por dependencia patrimonial (%)

Resultados / Aspectos generales

Fuente: INTECO

44

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Declaración de ficheros ante la Agencia de Protección de Datos

Una obligación básica en materia de protección de datos es
la de inscribir los ficheros con datos de carácter personal
ante el Registro General de Protección de Datos.
Una mayoría de los centros encuestados admiten haber de-
clarado sus ficheros con datos de carácter personal ante la
autoridad competente en materia de protección de datos,
ya sea la Agencia Española (15,6%) o autonómica (38,5%).
(Las agencias de protección de datos autonómicas –madrile-
ña, vasca y catalana- tienen competencia sobre ficheros de
titularidad pública.) Sólo un 8,6% reconoce no tener inscritos
sus ficheros, y sorprende el elevado 37,3% que no propor-
ciona respuesta.

Gráfico 4: Declaración de ficheros en la Agencia de Protección de Datos (%)

Resultados / Aspectos generales

Fuente: INTECO

45

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La obligación de declarar los ficheros ante la Agencia de Pro-
tección de Datos es asumida en mucha mayor medida por
los hospitales que por los centros de salud y consultorios
locales (Gráfico 5). Así, el 47,1% de los hospitales ha noti-
ficado la existencia de ficheros ante el Registro General de
Protección de Datos en la Agencia Estatal (en el caso de los
centros de salud, el porcentaje es de 14,6% y si se analizan
los consultorios locales, el dato es de un 12,4%). Cuando
el análisis se centra en la inscripción ante las autoridades
autonómicas, el nivel de cumplimiento entre los tres tipos de
centros es similar: 37,5% en el caso de hospitales frente a un
39,8% en los centros de salud y un 38,1% cuando se trata de
consultorios locales.
En cualquier caso, si se considera de manera global el por-
centaje de los que declaran sus ficheros (ya sea ante la au-
toridad estatal o autonómica) frente a los que no lo hacen
(o no responden), se confirma la mayor implicación de los
hospitales: 84,6%, frente a 54,4% en el caso de los centros
de salud y 50,5% entre los consultorios locales.
Nuevamente debemos considerar la situación de la implanta-
ción de sistemas centralizados en los centros de atención pri-
maria (centros de salud), siendo responsabilidad de órganos
administrativos jerárquicamente superiores (gerencias) la res-
ponsabilidad de inscripción de dichos tratamientos de datos
personales en los Registros de Ficheros correspondientes (es-
tatal o autonómico, según la titularidad del centro).

Resultados / Aspectos generales

Gráfico 5: Declaración de ficheros en la Agencia de Protección de Datos,
segmentación por tipo de centro (%)

46

Fuente: INTECO

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El nivel de inscripción de ficheros presenta diferencias
entre zonas geográficas. La mayor tasa de cumplimiento
se encuentra entre los centros catalanes, donde un
65,6% de los encuestados afirma haber registrado sus
ficheros con datos personales (ya sea a nivel estatal o
autonómico). Por detrás de Cataluña, la franja Norte –
Noroeste muestra un 63,3% de registro, la zona Sur un
55,1% y Levante un 54,1%. En la comunidad de Madrid,
el porcentaje de centros que reconoce tener sus ficheros
declarados es de 45,6%.
Estas diferencias deben matizarse dependiendo del grado
de implantación de sistemas centralizados de tratamiento
de los datos personales en cada Área geográfica, así como
por el diferente criterio interpretativo del nivel de detalle de
la inscripción de cada tratamiento de datos.

Gráfico 6: Declaración de ficheros en la Agencia de Protección de Datos, segmentación geográfica

(suma de Sí, en la Agencia Estatal y Sí, en la Agencia autonómica) (%)

Resultados / Aspectos generales

47
Fuente: INTECO

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Inventariado de ficheros

El 73,5% de los centros sanitarios participantes en el estudio afirman tener inventariados los ficheros con datos de carácter
personal, frente a un 14,1% que reconocen no tenerlos inventariados, y un 12,4% adicional, que no se posiciona (Gráfico 7).

Gráfico 7: Centros Sanitarios con ficheros inventariados (%)

Resultados / Aspectos generales

Fuente: INTECO

48

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En el análisis por tipo de centro, se aprecia una mayor tasa de cumplimiento entre los hospitales (88,9%) que entre centros de
salud (80,4%) y, sobre todo, consultorios locales (69,4%).

Gráfico 8: Centros sanitarios con ficheros inventariados, segmentación por tipo de centro (%)

Resultados / Aspectos generales

Fuente: INTECO

49

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

También se aprecian diferencias en función de la dependencia patrimonial del centro: los centros privados tienen inventariados
los ficheros en mayor medida que los públicos (87,9% frente a 72,9%).

Gráfico 9: Centros sanitarios con ficheros inventariados,

segmentación por dependencia patrimonial (%)

Resultados / Aspectos generales

Fuente: INTECO

50

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Desde un punto de vista geográfico, el mapa refleja las diferencias existentes entre las diferentes áreas (Gráfico 10). Destaca en
positivo el dato de Madrid (donde un 81,7% de los centros participantes en el estudio afirman disponer de sus ficheros inventa-
riados) y Cataluña (también en este caso el nivel de cumplimiento se sitúa en un 81,7%). La franja norte del país, que aglutina
provincias pertenecientes a diferentes comunidades autónomas, también presenta un elevado porcentaje de centros que mantie-
nen inventariados sus archivos 82,6%.

Gráfico 10: Centros sanitarios con ficheros inventariados, segmentación geográfica (%)

Resultados / Aspectos generales

Fuente: INTECO

51

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Formación sobre protección de datos del personal de atención al público

Se analiza a continuación en qué medida el personal de aten-
ción al público del centro dispone de formación específica en
protección de datos.
A partir de los datos del estudio, el nivel de formación entre
los centros sanitarios españoles es correcto (Gráfico 11). Ya
sea un conocimiento general (64,9%) o profundo (26,7%), lo
cierto es que la inmensa mayoría del personal de atención al
público de los centros sanitarios españoles dispone de for-
mación en materia de protección de datos. Sólo un 6,7% de
los encuestados afirman que los empleados de atención al
público del centro sanitario en el que trabajan no tienen nin-
gún conocimiento específico en el tema, y un 2,7% adicional
no se manifiesta al respecto.

Gráfico 11: Formación sobre protección de datos del personal de atención al público (%)

Resultados / Aspectos generales

Fuente: INTECO

52

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El adecuado nivel formativo es una tendencia que se repite en hospitales, centros de salud y consultorios locales. Así, un 97,2%,
95,5% y 88,2%, respectivamente, admiten que el personal de atención al público presenta un conocimiento (ya sea general o
profundo) sobre protección de datos.

Gráfico 12: Formación sobre protección de datos del personal de atención al público,
segmentación por tipo de centro (%)

Resultados / Aspectos generales

Fuente: INTECO

53

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En el análisis por dependencia patrimonial del centro no se aprecian particularidades relevantes. En los centros de titularidad
pública, un 65,2% del personal de atención al público tiene un conocimiento general sobre la normativa de protección de datos,
y un 25,2% dispone de una formación profunda en la materia; en las instituciones de titularidad privada son un 57,8% quienes
muestran un nivel de conocimiento general y un 37,7% los que tienen una formación exhaustiva.

Gráfico 13: Formación sobre protección de datos del personal de atención al público,
segmentación por dependencia patrimonial (%)

Resultados / Aspectos generales

Fuente: INTECO

54

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Siendo elevado el conocimiento sobre protección de datos en los centros sanitarios de todo el territorio español, el Gráfico 14
sugiere una mayor sensibilidad en Cataluña (96,9%), seguida de la zona Sur (94,4%), Levante (94%) y la Comunidad de Madrid
(93,5%).

Gráfico 14: Formación sobre protección de datos del personal de atención al público,
segmentación geográfica (suma de Conoce de forma general los derechos de las personas
cuyos datos se recaban y Dispone de un conocimiento profundo de la normativa
sobre protección de datos) (%)

Resultados / Aspectos generales

Fuente: INTECO

55

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existencia de la figura de coordinador o responsable de protección de datos

El hecho de que el centro sanitario cuente con un profesional que asuma de manera expresa el papel de coordinador o respon-
sable de protección de datos es un indicio de la sensibilidad de la institución hacia la normativa.

En términos generales (Gráfico 15), se encuentra bastante equilibrada la proporción de los centros sanitarios encuestados que
reconocen disponer de coordinador de protección de datos (52,2%) y aquéllos que afirman no contar en plantilla con un respon-
sable de estas características (42,7%). Un 5,1% adicional no se manifiesta al respecto.

Gráfico 15: Existencia de la figura de coordinador o responsable de protección de datos (%)

Resultados / Aspectos generales

Fuente: INTECO

56

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Sin embargo, si se profundiza en las particularidades de los tres tipos de centro analizados, se obtienen diferencias interesantes
(Gráfico 16). Parece que los hospitales, con un 80,7% de ellos que afirman tener un responsable de protección de datos, mues-
tran un mayor compromiso con la protección de datos que los centros de salud (58,4%) y los consultorios locales (47%).

Gráfico 16: Existencia de la figura de coordinador o responsable de protección de datos,

segmentación por tipo de centro (%)

Resultados / Aspectos generales

Fuente: INTECO

57

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los centros privados podrían mostrar una mayor implicación en protección de datos, dado que el 85,6% de ellos dispone de un
coordinador de protección de datos (frente a un 50,8% en el caso de las instituciones de titularidad pública).

Gráfico 17: Existencia de la figura de coordinador o responsable de protección de datos,

segmentación por dependencia patrimonial (%)

Resultados / Aspectos generales

Fuente: INTECO

58

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Por áreas geográficas, los centros catalanes presentan, también en este caso, un porcentaje de disponibilidad de coordinador
de protección de datos superior al resto de zonas: 67,7%. Por detrás de Cataluña, los centros del área de Levante (65,8%) y la
Comunidad de Madrid (59,5%) cuentan con la figura de responsable de protección de datos.

Gráfico 18: Existencia de la figura de coordinador o responsable de protección de datos,

segmentación geográfica (%)

Resultados / Aspectos generales

Fuente: INTECO

59

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

5.2 Derecho de información (art. 5 LOPD)
5.2.1 Problemática e implicaciones
Cuando se lleva a cabo la recogida de datos personales de
un afectado o interesado (ciudadano), el responsable del fi-
chero debe informarle de lo siguiente:
1) Que sus datos van a ser almacenados en un fichero,
la finalidad para la que se recogen y los destinatarios
de la información.
2) Si es obligatoria o no su respuesta a las distintas pre-
guntas que se le planteen.
3) Las consecuencias de la obtención de los datos o de
su negativa a suministrarlos.
4) La posibilidad de ejercitar sus derechos de acceso,
rectificación, cancelación y oposición.
5) La identidad y dirección del responsable del fichero.
Esta comunicación se podrá facilitar al afectado o interesado
(ciudadano) por cualquier medio que permita asegurar que
ha recibido la información que contempla este principio: de
palabra, por escrito en el propio formulario, impreso o en-
cuesta en la que se recojan sus datos, o en documento apar-
te, mediante carteles o anuncios situados en el lugar donde
vayan a recabarse los datos que completen aquella informa-
ción que no se facilite de palabra o en el impreso en que
se recaben los datos, etc. No es admisible una información
genérica que no permita saber quién es el responsable del
fichero y para qué se están recabando los datos.
Se debe cumplir con este Principio de información cualquiera
que sea el procedimiento de recogida de datos. Estos proce-
dimientos pueden ser de diversos tipos: formularios, encues-
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
tas, entrevistas, transmisión electrónica de datos, registros
públicos, directorios electrónicos, currículos, páginas Web o
teléfono.
En todo caso, el deber de información deberá llevarse a cabo
a través de un medio que permita acreditar su cumplimiento,
debiendo conservarse prueba del mismo mientras persista
el tratamiento de datos del afectado. Así, el responsable del
fichero deberá conservar el soporte en el que conste el cum-
Resultados / Derecho de información
plimiento del deber de informar. Para el almacenamiento de
los soportes, el responsable del fichero podrá utilizar medios
informáticos o telemáticos. En particular, podrá proceder al
escaneado de la documentación en soporte papel, siempre
y cuando se garantice que en dicha automatización no ha
mediado alteración alguna de los soportes originales.
Por otra parte, cuando los datos de carácter personal no ha-
yan sido recabados del interesado, éste deberá ser informa-
do de forma expresa, precisa e inequívoca, por el responsa-
ble del fichero o su representante, dentro de los tres meses
siguientes al momento del registro de los datos, salvo que ya
hubiera sido informado con anterioridad, del contenido del
tratamiento, de la procedencia de los datos, así como de lo
previsto en las letras a), d) y e). El supuesto más claro en que
se debe cumplir con este deber de información es cuando se
produce una cesión de datos personales. La obligación de
informar de la cesión, y en consecuencia obtención de los
datos, recae sobre el cesionario.
60
 5
ÍNDICE

5.2.2 Diagnóstico: situación en el sector sanitario español

Existencia de cláusulas informativas en los impresos de recogida de datos de los pacientes

Se analiza a continuación el nivel de cumplimiento del deber de información que afecta a los responsables de ficheros. Se trata
de la inclusión de una cláusula informativa en los impresos de recogida de datos de los pacientes.

Tal y como muestra el Gráfico 19, el nivel de cumplimiento no es absoluto: a nivel global, un 47,9% de los centros encuestados
reconocen incorporar una cláusula informativa en los formularios de pacientes, frente a un 45,4% que no lo hacen.

Gráfico 19: Existencia de cláusulas informativas en los impresos de recogida

de datos de los pacientes (%)

Resultados / Derecho de información

Fuente: INTECO

61

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El análisis segmentado revela un escenario diferente para cada uno de los tres tipos de centros analizados. Los hospitales, con
un 87,3% de cumplimiento, admiten cumplir con el deber de información al incluir en los formularios de recogida de datos perso-
nales una cláusula específica sobre protección de datos. La situación de los hospitales difiere de la realidad existente en centros
de salud y consultorios locales. En estos centros, con un 50,9% y 42,5% respectivamente de nivel de adopción de la medida,
todavía queda área de mejora (Gráfico 20).

Gráfico 20: Existencia de cláusulas informativas en los impresos de recogida de datos de los pacientes,
segmentación por tipo de centro (%)

Resultados / Derecho de información

Fuente: INTECO

62

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los centros privados incorporan cláusulas informativas en los impresos de recogida de datos de los pacientes en mucha mayor
medida que los públicos: 89,5% frente a 46%.

Gráfico 21: Existencia de cláusulas informativas en los impresos de recogida de datos de los
pacientes, segmentación por dependencia patrimonial (%)

Resultados / Derecho de información

Fuente: INTECO

63

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La realidad nacional se configura a partir de situaciones diferentes en las siete áreas geográficas analizadas, tal y como sugiere
el Gráfico 22. La Comunidad de Madrid y Cataluña son, con un 69,6% y 68,1% respectivamente, donde en mayor medida se
cumple con la incorporación de cláusulas informativas en los impresos de recogida de datos de los pacientes. También la zona
Sur, con un 59,2% de cumplimiento, presenta un nivel de adopción importante.

Gráfico 22: Existencia de cláusulas informativas en los impresos de recogida de datos de los
pacientes, segmentación geográfica (%)

Resultados / Derecho de información

Fuente: INTECO

64

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Información de sistema de videovigilancia
Se considera videovigilancia toda aquella actividad que su-
ponga la colocación de una cámara de grabación, fija o mó-
vil, que tenga la finalidad de vigilancia de un espacio o de
personas. No es infrecuente que instituciones de sectores
diversos, tanto de carácter público como privado, incorporen
sistemas de videovigilancia como fórmula para procurar una
mayor seguridad. Los centros sanitarios no escapan a esta
situación, y por este motivo, en tanto en cuanto la imagen
constituye un dato de carácter personal sujeto por tanto a
la normativa, es oportuno realizar un análisis del fenómeno.
El responsable de la cámara deberá informar de modo ex-
preso, preciso e inequívoco respecto a la instalación de la
videocámara, la zona grabada y el Responsable del Fichero.
Por ello, es necesario colocar en un lugar visible de la zona
Gráfico 23: Modo de información sobre el sistema de videovigilancia (%)
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
videovigilada un distintivo informativo. En cualquier caso, la
instalación de videocámaras deberá ser notificada ante la
Agencia de Protección de Datos de forma que sea inscri-
to un nuevo fichero con el contenido de las imágenes. Este
requisito se excluye en el caso de que sólo se reproduzcan
imágenes en tiempo real, y no se proceda a la grabación o
almacenamiento de las imágenes.
En España, la realidad a nivel global sugiere que existe un
mayoritario 78,7% de centros que admiten no tener un siste-
ma de videovigilancia y un 0,9% que no es capaz de dar una
respuesta. El resto de los encuestados se reparten entre un
Resultados / Derecho de información
17,1% que utilizan videovigilancia e informan de ello en un car-
tel informativo o similar, y un 3,3% que, teniendo sistema de
videovigilancia, no informa acerca de la recogida de imágenes.
65
Fuente: INTECO
 5
ÍNDICE

La videovigilancia en el sector sanitario español está mucho más extendida entre los hospitales (sólo un 33,7% de ellos admite
no utilizarla) que entre los centros de salud y consultorios locales (un 77,4% y un 84,2%, respectivamente, reconoce no disponer
de sistema de videovigilancia).

Entre los centros que sí tienen videovigilancia, ya se trate de hospitales, centros de salud o consultorios locales, es mayoritario
el cumplimiento de la obligación de informar del sistema a través de un cartel informativo o similar.

Gráfico 24: Modo de información sobre el sistema de videovigilancia,

segmentación por tipo de centro (%)

Resultados / Derecho de información

Fuente: INTECO

66

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El análisis de la videovigilancia en función de la dependencia patrimonial del centro sugiere, una vez más, diferencias entre centros
públicos y privados (Gráfico 25). Los sistemas de videovigilancia están más extendidos en las instituciones de titularidad privada (un
minoritario 40,3% de ellas dice no tenerlo, frente a un 80,4% en el caso de los centros de carácter público).

En cualquier caso, entre los centros que disponen de sistemas de videovigilancia y con independencia de su carácter público o
privado, es frecuente la información de los mismos al público a través de carteles o similares.

Gráfico 25: Modo de información sobre el sistema de videovigilancia,

segmentación por dependencia patrimonial (%)

Resultados / Derecho de información

Fuente: INTECO

67

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existencia de carteles informativos

Para dar cumplimiento al deber de información, una parte de los centros sanitarios dispone de carteles informativos sobre los
tratamientos de datos personales que se realizan con los datos que se recaban de los pacientes. Se trata, en cualquier caso, de
una práctica no adoptada de manera habitual. Sólo un 27,7% de los centros entrevistados reconoce tener este tipo de carteles,
frente a un mayoritario 70,7% que afirma no utilizar este método.

Gráfico 26: Existencia de carteles informativos (%)

Resultados / Derecho de información

Fuente: INTECO

68

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El dato global admite matizaciones cuando se profundiza en el análisis por tipo de centro. Así, hospitales, centros de salud y consul-
torios locales muestran comportamientos diferentes en lo que se refiere a la disponibilidad de carteles informativos sobre protección
de datos. En el caso de los hospitales, un mayoritario 70,5% reconoce disponer de ellos. En los consultorios locales la tendencia es la
opuesta: sólo un 18,4% de este tipo de centros basa la información sobre protección de datos personales (o, al menos, parte de ella)
en un sistema de cartelería, frente a un abrumador 80,6% que admite no utilizarlos. En un punto medio se encuentran los centros de
salud: el 40,9% dispone de carteles y el 55,9% no.

Gráfico 27: Existencia de carteles informativos, segmentación por tipo de centro (%)

Resultados / Derecho de información

Fuente: INTECO

69

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El análisis del carácter público o privado de la institución también arroja diferencias reveladoras. Son los centros privados los que,
en mayor medida y de manera mayoritaria, reconocen disponer de carteles informativos (81,4%). La proporción, en el caso de
los centros públicos, es de un 25,3%.

Gráfico 28: Existencia de carteles informativos, segmentación por dependencia patrimonial (%)

Resultados / Derecho de información

Fuente: INTECO

70

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La práctica de disponer de carteles informativos en el centro no es homogénea en toda la geografía española. Los centros
madrileños son los más habituados a utilizar carteles para informar sobre los tratamientos de datos personales que se levan
a cabo en la institución (53,5%). También los catalanes (44,3%) y los centros situados en la zona Sur del país (35,3%) han
adoptado esta medida de manera considerable. La franja Norte – Noroeste presenta la tendencia contraria, con sólo un 18,9%
de centros que reconocen emplear carteles informativos.

Gráfico 29: Existencia de carteles informativos, segmentación geográfica (%)

Resultados / Derecho de información

Fuente: INTECO

71

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

5.3 Consentimiento (art. 6 al 8 LOPD)
5.3.1 Problemática e implicaciones
Con carácter general, la LOPD exige la prestación del con-
sentimiento previo e inequívoco del afectado para el trata-
miento de sus datos, recayendo sobre el responsable del
fichero la obligación de obtener el consentimiento del intere-
sado. La solicitud de dicho consentimiento debe ir referida a
un tratamiento o serie de tratamientos concretos, con delimi-
tación de la finalidad para la que se recaba, así como de las
restantes condiciones que concurran en el tratamiento.
El afectado o interesado (ciudadano) debe prestar su consen-
timiento de manera libre, inequívoca, específica e informada,
pudiendo manifestar el consentimiento de forma expresa o
tácita. En ningún caso podrá entenderse prestado de forma
presunta. Además, corresponderá al responsable del fichero
la prueba de la existencia del consentimiento del afectado.
No obstante lo anterior, la LOPD recoge una serie de supues-
tos en los que no es necesario prestar el consentimiento:
a. Cuando una ley así lo dispone. Obsérvese que
se hace referencia a una norma con rango de
Ley, no bastando cualquier otro tipo de norma.
Estamos ante un claro supuesto de reserva legal.
b. Cuando los datos son recogidos para el ejercicio
de las funciones propias de las Administraciones
Públicas en el ámbito de sus competencias.
c. Cuando se refieren a las partes de un contrato
o precontrato de una relación negocial, laboral
o administrativa y los datos personales son
necesarios para el mantenimiento y cumplimiento
de ésta.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
d. Cuando el tratamiento resulte necesario para
la prevención o el diagnóstico médicos, la
prestación de asistencia sanitaria o tratamientos
médicos o la gestión de servicios sanitarios,
siempre que dicho tratamiento de datos se realice
por un profesional sanitario sujeto al secreto
profesional o por otra persona sujeta asimismo a
una obligación equivalente de secreto.
Esta excepción también se aplicará cuando el
tratamiento sea necesario para salvaguardar
el interés vital del afectado o de otra persona,
en el supuesto de que el afectado esté física
o jurídicamente incapacitado para dar su
consentimiento.
Resultados / Consentimiento
e. Cuando los datos figuren en fuentes accesibles
al público. En este punto, conviene recordar
que dichas fuentes están enumeradas de forma
limitativa en la LOPD.
En todo caso, la excepción del consentimiento no exime de la
obligación de informar en los términos expuestos en el pun-
to anterior, relativo al Principio de información, ni permite el
tratamiento de cualquier dato, sino únicamente de aquéllos
que cumplan con el Principio de calidad (datos adecuados,
pertinentes y no excesivos).
En todo caso, el interesado o afectado (ciudadano) puede
revocar su consentimiento cuando exista causa justifica-
da para ello. En este sentido, el Real Decreto 1720/2007,
72
de 21 de diciembre, exige que la revocación pueda pro-
ducirse a través de un medio sencillo, gratuito y que no
implique ingreso alguno para el responsable del fichero o
tratamiento.

Los datos especialmente protegidos son aquéllos que reve-
lan la ideología, afiliación sindical, religión y creencias de una
persona física, y que sólo con el consentimiento expreso y
por escrito del afectado pueden ser objeto de tratamiento.
Son también datos especialmente protegidos los que hacen
referencia al origen racial, a la salud y a la vida sexual, que
sólo podrán ser recabados cuando, por razones de interés
general, así lo disponga una ley o el afectado lo consienta
expresamente.
Sin embargo, existe una excepción en virtud de la cual no será
necesario el consentimiento expreso y por escrito para el tra-
tamiento de los datos especialmente protegidos: cuando se
trate de ficheros mantenidos por partidos políticos, sindicatos,
iglesias, confesiones o comunidades religiosas y asociaciones,
fundaciones y otras entidades sin ánimo de lucro, cuya finalidad
sea política, filosófica, religiosa o sindical, en cuanto a los datos
relativos a sus asociados o miembros. No obstante, también en
estos casos será necesario el consentimiento previo del afecta-
do en caso de que se vayan a ceder este tipo de datos.
Mención aparte merecen los datos de salud que, como ya se ha
indicado anteriormente se encuentran dentro de la categoría de
datos especialmente protegidos, y sólo podrán ser recabados,
tratados y cedidos cuando por razones de interés general así lo
disponga una ley o el afectado consienta expresamente.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
Se define este tipo de datos como las informaciones concer-
nientes a la salud pasada, presente y futura, física y mental, de
un individuo. En particular, se consideran datos relacionados
con la salud de las personas los referidos a su porcentaje de
discapacidad y a su información genética.
No obstante lo anterior, la propia LOPD establece una ex-
cepción en la que no es necesario el consentimiento expre-
so y por escrito del afectado para el tratamiento de datos
que hagan referencia al origen racial, a la salud o a la vida
sexual. Esta excepción tiene lugar cuando el tratamiento de
los datos especialmente protegidos resulte necesario para la
prevención o el diagnóstico médico, la prestación de asisten-
cia sanitaria o tratamientos médicos o la gestión de servicios
sanitarios, siempre que dicho tratamiento se realice por un
profesional sanitario sujeto al secreto profesional o por otra
persona sujeta a una obligación equivalente de secreto.
Resultados / Consentimiento
Esta misma excepción concurrirá cuando el tratamiento de
los datos especialmente protegidos sea necesario para sal-
vaguardar el interés vital del afectado o de otra persona, en
el supuesto de que el afectado esté física o jurídicamente
incapacitado para dar tal consentimiento. Esta circunstancia
deriva de la lógica prevalencia del derecho a la vida sobre el
derecho a la protección de datos.
73
 5
ÍNDICE

5.3.2 Diagnóstico: situación en el sector sanitario español

Solicitud de consentimiento

En aquellos supuestos en que es necesario el consentimiento del interesado, a nivel global, el 52,8% de los centros encuestados
afirma que siempre solicita el consentimiento de los titulares con anterioridad a la recogida de sus datos de carácter personal, y
un 13,2% adicional dice hacerlo a menudo (Gráfico 30).

En el otro extremo, un 19,2% reconoce que nunca solicita el consentimiento de los titulares, y un 12,1% dice que casi nunca lo
hace.

Gráfico 30: Solicitud de consentimiento (%)

Resultados / Consentimiento
Fuente: INTECO

74

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Una vez más, los hospitales muestran una mayor conformidad con la normativa de protección de datos, al registrar niveles de cum-
plimiento de la obligación de solicitud de consentimiento previo considerablemente superiores a los mostrados por centros sanitarios
de menor envergadura (centros de salud y consultorios locales). Los resultados aparecen en el Gráfico 31.

Así, un 78,5% de los hospitales siempre solicita el consentimiento de los titulares de los datos antes de su recogida. Este porcen-
taje es del 52,1% en el caso de los centros de salud y de 50,2% entre los consultorios locales.

Gráfico 31: Solicitud de consentimiento, segmentación por tipo de centro (%)

Resultados / Consentimiento
Fuente: INTECO

75

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los centros de titularidad privada muestran un mayor cuidado a la hora de solicitar el consentimiento: un 83,3% dice hacerlo
siempre, y un 13,1% lo hace a menudo; en el caso de los centros públicos, los porcentajes son de 51,5% y 12,4%. Además, entre
los centros privados no hay ninguno que admita nunca solicitar el consentimiento del titular de los datos, mientras que en el caso
de los públicos, un 20% así lo reconoce.

Gráfico 32: Solicitud de consentimiento, segmentación por dependencia patrimonial (%)

Resultados / Consentimiento
Fuente: INTECO

76

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Considerando de manera conjunta los centros que reconocen solicitar el consentimiento siempre y a menudo, los resultados
dibujan un mapa del país con realidades heterogéneas. Cataluña (76,8%), el área de Levante (72,9%) y la Comunidad de Madrid
(71,8%) son, por este orden, las zonas más sensibles a la solicitud de consentimiento.

Gráfico 33: Solicitud de consentimiento, segmentación geográfica

(suma de Siempre y A menudo) (%)

Resultados / Consentimiento
Fuente: INTECO

77

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existencia de procedimiento para la revocación del consentimiento

Al analizar la problemática intrínseca al deber de solicitud de
consentimiento del titular de los datos (apartado 5.3.1), se
mencionaba expresamente que el interesado puede revocar
su consentimiento cuando exista causa justificada para ello,
y que la revocación debe producirse a través de un medio
sencillo, gratuito y que no implique ingreso alguno para el
responsable del fichero o tratamiento.
En el sector sanitario español, tal y como queda reflejado en
el Gráfico 34, un mayoritario 69,3% de los centros entrevis-
tados afirman que disponen de un procedimiento específico
para que el paciente titular de los datos pueda revocar el
consentimiento otorgado. Sólo un 20,5% reconoce no dispo-
ner de un procedimiento de revocación, y un 10,1% adicional
no se posiciona al respecto.

Gráfico 34: Existencia de procedimiento para la revocación del consentimiento (%)

Resultados / Consentimiento
Fuente: INTECO

78

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La existencia de procedimientos de revocación del consentimiento está extendida en los tres tipos de centros analizados, siendo más
frecuentes en el ámbito hospitalario (78,6%) que en los centros de salud (74,8%) y consultorios locales (66,4%).

Gráfico 35: Existencia de procedimiento para la revocación del consentimiento,

segmentación por tipo de centro (%)

Resultados / Consentimiento
Fuente: INTECO

79

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Entre los centros de carácter privado, la práctica de procedimentar la revocación del consentimiento es llevada a cabo por un
76,6% de instituciones; entre los públicos el porcentaje es ligeramente inferior aunque en cualquier caso mayoritario: 69%.

Gráfico 36: Existencia de procedimiento para la revocación del consentimiento,

segmentación por dependencia patrimonial (%)

Resultados / Consentimiento
Fuente: INTECO

80

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Haciendo referencia a los datos presentados en el Gráfico 41, al analizar la existencia de procedimientos para regular la solicitud
del consentimiento en casos de investigaciones clínicas, Cataluña y el área Norte – Noroeste son las zonas donde se aprecia un
nivel más elevado. De manera coherente, vuelven a ser estas dos zonas las que en mayor medida han adoptado procedimientos
para la revocación del consentimiento: un 78% de los centros catalanes y un 76,1% de los situados en la amplia franja Norte –
Noroeste lo han hecho. Por detrás de ellos, la comunidad de Madrid también muestra un nivel de cumplimiento elevado, con un
72,6% de los encuestados que manifiestan disponer de procedimiento específico para revocar el consentimiento otorgado por el
titular (Gráfico 37).

Gráfico 37: Existencia de procedimiento para la revocación del consentimiento,

segmentación geográfica (%)

Resultados / Consentimiento
Fuente: INTECO

81

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existencia de procedimiento para la solicitud de consentimiento en casos de investigaciones clínicas

En el ámbito sanitario, es frecuente que los datos clínicos de
los pacientes se utilicen en alguna labor de investigación. Se
analiza a continuación la existencia de procedimientos regla-
dos y específicos para solicitar el consentimiento del titular
de los datos en estos casos, en los que los datos de salud
van a ser empleados en una investigación.
El uso de los datos recogidos en la historia clínica en ta-
reas no estrictamente asistenciales, como son las de inves-
tigación, requiere la obtención previa del consentimiento
del interesado y, atendiendo a la naturaleza de datos espe-
cialmente protegidos que tiene la información referente a la
salud, este consentimiento deberá tener la categoría de ex-
preso y recabarse por algún medio que deje constancia y
permita probar la obtención del mismo.
El Gráfico 38 sugiere que la mayoría de los centros sanitarios
españoles (un 74,6%) han elaborado un procedimiento espe-
cífico que regula la solicitud del consentimiento del paciente
en los casos particulares de investigaciones clínicas.

Gráfico 38: Existencia de procedimiento para la solicitud de consentimiento en casos de

investigaciones clínicas (%)

Resultados / Consentimiento
82
Fuente: INTECO

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El elevado nivel de adopción de esta práctica se repite en los tres centros analizados, sin que se aprecien diferencias relevantes
entre hospitales (75,9%), centros de salud (81,5%) y consultorios locales (72,1%).

Gráfico 39: Existencia de procedimiento para la solicitud de consentimiento en casos de

investigaciones clínicas, segmentación por tipo de centro (%)

Resultados / Consentimiento
Fuente: INTECO

83

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Tampoco se aprecian diferencias de comportamiento entre centros de titularidad pública (74,6%) y privada (75,2%).

Gráfico 40: Existencia de procedimiento para la solicitud de consentimiento en casos de

investigaciones clínicas, segmentación por dependencia patrimonial (%)

Resultados / Consentimiento
Fuente: INTECO

84

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El análisis geográfico sí desvela particularidades en las diferentes áreas analizadas (Gráfico 41). Cataluña es, una vez más, la
zona donde en mayor medida se han adoptado procedimientos específicos de solicitud de consentimiento cuando los datos son
destinados a una investigación clínica: un 86% de los centros participantes en el estudio así lo declara.

Por detrás de Cataluña, las heterogéneas zona Norte – Noroeste (79,4%) y zona Centro (78,6%) también presentan niveles de
adopción muy elevados.

Gráfico 41: Existencia de procedimiento para la solicitud de consentimiento en casos de

investigaciones clínicas, segmentación geográfica (%)

Resultados / Consentimiento
Fuente: INTECO

85

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existencia de controles en la recogida de datos de la Historia Clínica en los casos de investigaciones

Como medida complementaria a la necesidad de obtención de
un consentimiento específico del interesado para el tratamien-
to de sus datos con esta finalidad concreta, es recomendable
que los centros sanitarios establezcan algún tipo de control
que discrimine aquellos accesos a la historia clínica en función
del uso que se pretenda dar a los datos accedidos.
En este punto, resulta oportuno realizar un examen sobre los
controles existentes en la recogida de datos de la Historia
Clínica (HC) cuando éstos van a ser utilizados para labores
de investigación.
Un 60,8% de los centros sanitarios participantes en la en-
cuesta reconocen que siempre llevan a cabo un control es-
pecífico, y un 9,1% adicional admite hacerlo a menudo. Sólo
un 5,3% dicen no realizarlo casi nunca, y un 14,6%, nunca.
Por último, un 10,3% de los centros no se posiciona al res-
pecto.

Gráfico 42: Existencia de controles en la recogida de datos de la Historia Clínica

en los casos de investigaciones (%)

Resultados / Consentimiento
Fuente: INTECO
86

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En este caso, son los centros de salud (con un 66% de casos en que siempre realizan controles y un 10,8% en que lo hacen a menudo)
los centros que presentan un mayor índice de adopción de la medida, por encima de hospitales y consultorios.

Gráfico 43: Existencia de controles en la recogida de datos de la Historia Clínica en los casos de
investigaciones, segmentación por tipo de centro (%)

Resultados / Consentimiento
Fuente: INTECO

87

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los centros públicos adoptan este tipo de controles en mayor medida que las instituciones de carácter privado: 61,1% frente a
53,3%.

Gráfico 44: Existencia de controles en la recogida de datos de la Historia Clínica en los casos de
investigaciones, segmentación por dependencia patrimonial (%)

Resultados / Consentimiento
Fuente: INTECO

88

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En el desglose por áreas geográficas, nuevamente Cataluña se muestra como la comunidad autónoma con mayor nivel de adopción
(77,4%) de controles específicos en la recogida de datos de la HC en caso de investigación clínica (Gráfico 45).

Gráfico 45: Existencia de controles en la recogida de datos de la Historia Clínica en los casos de
investigaciones, segmentación geográfica (suma de Siempre y A menudo) (%)

Resultados / Consentimiento
Fuente: INTECO

89

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existencia de herramientas o procedimientos de anonimización de datos

Los datos disociados (aquellos en los que se ha eliminado
cualquier dato que permita identificar al titular de los mis-
mos), a diferencia de los datos de carácter personal, no per-
miten la identificación del sujeto a quien se refieren. En el
ámbito sanitario, la importancia de este tipo de datos radica
en su posible utilidad a efectos estadísticos (por ejemplo,
para medir la prevalencia de dolencias, puede ser suficiente
con conocer el género y edad del paciente, sin ser necesario
ningún dato personal adicional).
Por ello, es oportuno examinar si los sistemas de información
de los centros sanitarios españoles disponen de alguna he-
rramienta o procedimiento que permita obtener datos anoni-
mizados previamente.
En el Gráfico 46 se muestran los datos a nivel global: un 47,2%
de los centros entrevistados dispone de herramientas o proce-
dimientos de anonimización de los datos, frente a un 42,1% que
reconoce no tenerlos. Un 10,7% no se posiciona al respecto.

Gráfico 46: Existencia de herramientas o procedimientos de anonimización de datos (%)

Resultados / Consentimiento
Fuente: INTECO
90

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En el análisis por tipo de centro, una vez más son los hospitales (54,8%) quienes cuentan con herramientas para anonimizar
datos en mayor medida que centros de salud (51,9%) y consultorios (44,7%).

Gráfico 47: Existencia de herramientas o procedimientos de anonimización de datos,

segmentación por tipo de centro (%)

Resultados / Consentimiento
Fuente: INTECO

91

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

No existen diferencias entre centros públicos y privados, tal y como sugiere el Gráfico 48.

Gráfico 48: Existencia de herramientas o procedimientos de anonimización de datos,

segmentación por dependencia patrimonial (%)

Resultados / Consentimiento
Fuente: INTECO

92

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Tampoco a nivel geográfico se aprecian patrones de comportamiento marcadamente diferentes entre las diferentes áreas que
conforman la realidad española, tal y como se aprecia en el Gráfico 49. Es cierto que las zonas de Levante (50,3%) y Cataluña
(49,7%) presentan niveles de adopción de herramientas de anonimización de datos superiores a resto de la geografía nacional,
pero en este caso las diferencias no son muy acusadas.

Gráfico 49: Existencia de herramientas o procedimientos de anonimización de datos,

segmentación geográfica (%)

Resultados / Consentimiento
Fuente: INTECO

93

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

5.4 Calidad (art. 4 LOPD)
5.4.1 Problemática e implicaciones
Este principio, regulado en el artículo 4 de la LOPD, introdu-
ce un criterio de racionalidad y proporcionalidad en el trata-
miento de los datos personales.
En este sentido, y como manifestación de este principio, po-
demos distinguir lo siguiente:
a. Recogida de datos adecuados, pertinentes y no
excesivos. Sólo se podrán solicitar aquellos datos
que sean estrictamente necesarios para la finalidad
para la cual se recogen.
b. Finalidad. Los datos personales recabados sólo po-
drán utilizarse para el fin que motivó su recogida, no
pudiendo utilizarse para una finalidad incompatible.
c. Exactitud, veracidad y rectificación de oficio. La
LOPD exige que los datos de carácter personal
sean exactos y estén puestos al día de forma que
respondan con veracidad a la situación del afectado
o interesado. Si los datos fueron recogidos direc-
tamente del afectado o interesado se considerarán
exactos los facilitados por éste.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
d. Derecho de acceso. La LOPD establece que los
datos de carácter personal deben almacenarse de
forma que permitan el ejercicio del derecho de ac-
ceso de los afectados o interesados. No es posible
alegar como causa para denegar el derecho de ac-
ceso la imposibilidad de realización de mismo como
consecuencia del modo en que los datos están al-
macenados.
e. Cancelación de datos innecesarios. Otra manifes-
tación del Principio de Calidad de Datos regulado
en el Artículo 4 de la LOPD es la cancelación de
los datos cuando hayan dejado de ser necesarios
o pertinentes para la finalidad para la cual hubieran
sido recabados o registrados.
f. Prohibición de recogida fraudulenta de datos. El últi-
Resultados / Calidad
mo requisito que establece el Artículo 4 de la LOPD
respecto al Principio de calidad de los datos es la pro-
hibición de la recogida de datos personales por me-
dios fraudulentos, desleales e ilícitos, tipificando como
infracción muy grave la recogida en dichos términos.
94
 5
ÍNDICE

5.4.2 Diagnóstico: situación en el sistema sanitario español

Recogida de datos estrictamente necesarios para la finalidad de uso

Un principio derivado de la calidad de los datos es el llamado
principio de finalidad, descrito en el apartado b del epígrafe
anterior (5.4.1).
Por ello, se analiza a continuación el nivel de cumplimiento
de este principio por parte del sector sanitario español, pre-
guntando a los encuestados si los datos que se solicitan al
paciente son los estrictamente necesarios para la finalidad
que motivó su recogida.
Parece que el principio de calidad y su derivado, el de fina-
lidad, son ampliamente observados por los centros sanita-
rios españoles. Un 89,3% de los encuestados indican que
los datos recogidos son los estrictamente necesarios para la
finalidad de uso que justificó su recogida, frente a un 7,9%
que manifiesta lo contrario.

Gráfico 50: Recogida de datos estrictamente necesarios para la finalidad de uso (%)

Resultados / Calidad
95
Fuente: INTECO

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

No se aprecian diferencias significativas entre los tipos de centro (Gráfico 51) ni entre el carácter patrimonial de los mismos (Grá-
fico 52). La recogida de datos se ciñe estrictamente a la finalidad de uso prevista en hospitales, centros de salud y consultorios
locales, y con independencia de que se trate de instituciones públicas o privadas.

Gráfico 51: Recogida de datos estrictamente necesarios para la finalidad de uso,

segmentación por tipo de centro (%)

Resultados / Calidad
Fuente: INTECO

96

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Gráfico 52: Recogida de datos estrictamente necesarios para la finalidad de uso, segmentación por
dependencia patrimonial (%)

Resultados / Calidad
Fuente: INTECO

97

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En el análisis por zonas recogido en el mapa del Gráfico 53 destaca especialmente la Comunidad de Madrid. Allí, un 95,1% de los
centros sanitarios encuestados cumplen con el principio de finalidad, al admitir que recogen sólo los datos que son estrictamente
necesarios para su finalidad de uso.

Gráfico 53: Recogida de datos estrictamente necesarios para la finalidad de uso,

segmentación geográfica (%)

Resultados / Calidad
Fuente: INTECO

98

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Verificación de la corrección y actualización de los datos

El apartado 3 del artículo 4 de la Ley Orgánica de Protección
de Datos Personales (LOPD), recoge expresamente: Los datos
de carácter personal serán exactos y puestos al día de forma
que respondan con veracidad a la situación actual del afectado.
Se analiza a continuación el nivel de verificación de la co-
rrección y actualización de los datos por parte de las institu-
ciones sanitarias españolas. Según los datos del Gráfico 54,
los centros son cuidadosos con la actualización de los datos
personales que manejan, ya sea a través de un procedimien-
to específico de actualización y depuración de las bases de
datos (34,1%), ya sea de manera no procedimentada, actua-
lizando los registros a medida que se detectan incorreccio-
nes (61,3%). Sólo el 4,6% de los centros españoles afirman
que no se verifica la exactitud y actualización de los datos
personales con los que trabajan.

Gráfico 54: Verificación de la corrección y actualización de los datos (%)

Resultados / Calidad
Fuente: INTECO
99

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El nivel de adopción de medidas para verificar que los datos se encuentran actualizados es elevado tanto en hospitales como
en centros de salud y consultorios. Quizás los centros de salud muestran una mayor tendencia a disponer de procedimientos
específicos (43,3%) que hospitales (38,4%) y consultorios (30,5%).

Gráfico 55: Verificación de la corrección y actualización de los datos,

segmentación por tipo de centro (%)

Resultados / Calidad
Fuente: INTECO

100

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Centros públicos y privados mantienen actualizados sus datos. Sólo un 4,7% de los primeros y un 1,9% de los segundos dicen no
verificar en absoluto la corrección de sus registros. Los datos sugieren que en los centros privados existen una mayor tendencia
a disponer de procedimientos específicos que en los centros públicos (40,1% frente a 33,9%).

Gráfico 56: Verificación de la corrección y actualización de los datos,

segmentación por dependencia patrimonial (%)

Resultados / Calidad
Fuente: INTECO

101

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El análisis geográfico del Gráfico 57 muestra el nivel de implementación de procedimientos específicos para verificar la correc-
ción y actualización de los datos en las siete áreas analizadas. El Sur de España (42,5%), Cataluña (42%) y la zona de Levante
(39%) son las tres áreas donde está más extendida la práctica. Por detrás de ellas se encuentra la comunidad de Madrid, donde
un 35,5% de los centros afirman disponer de procedimientos para asegurar la actualización de los registros personales de sus
bases de datos.

Gráfico 57: Verificación de la corrección y actualización de los datos, segmentación geográfica

(Sí, existe un procedimiento específico) (%)

Resultados / Calidad
Fuente: INTECO

102

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

5.5 Ejercicio de derechos (Título III LOPD)
5.5.1 Problemática e implicaciones
La LOPD no sólo establece las obligaciones que debe cum-
plir el responsable del fichero, y en su caso, el encargado del
tratamiento, sino que también reconoce una serie de dere-
chos de carácter personal que pueden ser ejercitados por el
interesado o afectado (ciudadano).
Estos derechos son los siguientes:
• Derecho de Acceso.
• Derecho de Rectificación.
• Derecho de Cancelación.
• Derecho de Oposición.
Estos derechos (comúnmente llamados derechos ARCO)
pueden ser ejercitados por:
a. El afectado, acreditando su identidad.
b. Su representante legal, cuando el afectado se en-
cuentre en situación de incapacidad o minoría de
edad que le imposibilite el ejercicio personal de
estos derechos. En este caso será necesario que
acredite tal condición.
c. Un representante voluntario, expresamente desig-
nado para el ejercicio del derecho. En ese caso, de-
berá constar claramente acreditada la identidad del
representado, mediante la aportación de copia de
su Documento Nacional de Identidad o documento
equivalente y la representación conferida por aquél.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
Por otra parte, a la hora de ejercitar estos derechos es impor-
tante tener en cuenta lo siguiente:
• Los derechos de acceso, rectificación, cancelación y
oposición son derechos independientes, de tal forma
que no puede entenderse que el ejercicio de ninguno
de ellos sea requisito previo para el ejercicio de otro.
• El interesado contará con un medio sencillo para el
ejercicio de los derechos de acceso, rectificación,
cancelación y oposición.
Resultados / Ejercicio de derechos
• El ejercicio por el afectado de sus derechos ARCO
no podrá suponer un ingreso adicional para el res-
ponsable del tratamiento ante el que se ejercitan.
• No se considerará conforme a lo dispuesto en la
LOPD que el responsable del fichero establezca
como medio para que el interesado pueda ejerci-
tar sus derechos el envío de cartas certificadas o
semejantes, la utilización de servicios de telecomu-
nicaciones que implique una tarificación adicional
al afectado o cualesquiera otros medios que impli-
quen un coste excesivo para el interesado.
• Cuando el responsable del fichero disponga de ser-
vicios de cualquier índole para la atención al público
o el ejercicio de reclamaciones relacionadas con el
servicio prestado o los productos ofertados al mis-
mo, deberá concederse la posibilidad al afectado
de ejercer sus derechos ARCO a través de dichos 103
servicios. En tal caso, la identidad del interesado se
considerará acreditada por los medios establecidos
para la identificación de los clientes del responsable
en la contratación de sus servicios o productos.

• El responsable del fichero o tratamiento deberá aten-
der la solicitud de acceso, rectificación, cancelación u
oposición ejercida por el afectado aún cuando el mis-
mo no hubiese utilizado el procedimiento establecido
específicamente al efecto por aquél, siempre que el
interesado haya utilizado un medio que permita acre-
ditar el envío y la recepción de la solicitud, y que ésta
contenga los elementos referidos a continuación.
Obligaciones del responsable del fichero cuando recibe la
solicitud de ejercicio de estos derechos:
• Deberá contestar la solicitud que se le dirija en todo
caso, con independencia de que figuren o no datos
personales del afectado en sus ficheros.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
• En el caso de que la solicitud no reúna los requisitos
citados anteriormente, el responsable del fichero
deberá solicitar la subsanación de los mismos.
• Corresponderá al responsable del tratamiento cum-
plir con el deber de respuesta además de conservar
la acreditación del cumplimiento del mencionado
deber.
• El responsable del fichero deberá adoptar las me-
didas oportunas para garantizar que las personas
de su organización que tienen acceso a datos de
carácter personal puedan informar del procedimien-
to a seguir por el afectado para el ejercicio de sus
derechos.
Resultados / Ejercicio de derechos
104
 5
ÍNDICE

5.5.2 Diagnóstico: situación en el sector sanitario español

Procedimiento para el ejercicio de los derechos de acceso, rectificación, cancelación u oposición de los datos (derechos
ARCO)

Para dar respuesta a los derechos de acceso, rectificación, cancelación y oposición a los datos de carácter personal de los pacientes
(usuarios del sistema de salud), los centros deben establecer procedimientos para facilitar el ejercicio de los derechos.

Tal y como queda recogido en el Gráfico 58, el 56,1% de los centros sanitarios españoles afirma disponer de un procedimiento
específico para que los interesados ejerciten sus derechos de oposición, acceso, rectificación o cancelación de sus datos per-
sonales. Sorprende que haya un 37,6% que no ha adoptado un procedimiento en este sentido, y un 6,3% que no proporciona
respuesta.

Resultados / Ejercicio de derechos

Gráfico 58: Procedimiento para el ejercicio de los derechos de acceso, rectificación, cancelación u
oposición de los datos (derechos ARCO) (%)

105
Fuente: INTECO

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En este caso, sí se aprecian diferencias importantes en función del centro de que se trate. Así, tal y como refleja el Gráfico 59, en
los hospitales está ampliamente extendida la adopción de procedimientos para facilitar al ciudadano el ejercicio de sus derechos
ARCO: un 83,1% de los hospitales así lo manifiesta. La práctica es más infrecuente entre centros de salud (60,3%), y aún más
entre los consultorios locales, donde sólo el 51,7% confirma haber adoptado un procedimiento específico para el ejercicio de los
derechos de acceso, rectificación, cancelación u oposición de los datos.

Gráfico 59: Procedimiento para el ejercicio de los derechos de acceso, rectificación,

cancelación u oposición de los datos, segmentación por tipo de centro (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

106

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los datos del estudio sugieren un mayor nivel de cumplimiento entre centros privados (donde un 85,4% dispone de procedimien-
to) que entre los públicos (54,8%).

Gráfico 60: Procedimiento para el ejercicio de los derechos ARCO,

segmentación por dependencia patrimonial (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

107

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Cataluña (75,6%) y la Comunidad de Madrid (65,8%) son las dos regiones españolas donde en mayor medida las instituciones sanitarias
han adoptado procedimientos para facilitar el ejercicio de los derechos ARCO a los ciudadanos que lo soliciten.

Gráfico 61: Procedimiento para el ejercicio de los derechos ARCO, segmentación geográfica (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

108

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Procedimiento de regulación del acceso a los datos del historial clínico (HC) por el titular

La Ley 41/2002, de 14 de noviembre, básica reguladora de la
autonomía del paciente y de derechos y obligaciones en ma-
teria de información y documentación clínica (conocida como
Ley de Autonomía del Paciente), recoge expresamente que el
paciente tiene el derecho de acceso a la documentación de la
historia clínica y añade que los centros sanitarios regularán el
procedimiento que garantice la observancia de estos derechos.
En línea con esta disposición, el 70,3% de los centros en-
trevistados reconocen que disponen de un procedimiento
específico que regula el acceso al historial clínico por parte
del titular de los datos (Gráfico 62). Existe, sin embargo, un
25,6% que no ha adoptado un procedimiento específico en
este sentido, y un 4% adicional que no facilita respuesta.

Gráfico 62: Procedimiento de regulación del acceso a los datos

del historial clínico por el titular (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

109

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El nivel de observación de la disposición es más elevado entre hospitales (84,2%) que entre centros de salud (73,4%) y consul-
torios locales (67,8%).

Gráfico 63: Procedimiento de regulación del acceso a los datos del historial clínico por el titular,
segmentación por tipo de centro (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

110

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

También se aprecia una mayor adopción de procedimientos de acceso a la HC por parte del paciente en centros privados (83,4%)
que en centros públicos (69,8%).

Gráfico 64: Procedimiento de regulación del acceso a los datos del historial clínico por el titular,
segmentación por dependencia patrimonial (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

111

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Por último, el análisis geográfico del Gráfico 65 confirma una vez más a las comunidades autónomas de Cataluña y Madrid como
las áreas con mayor índice de adopción de procedimientos de acceso a la HC por el paciente, con un 81,2% y 75% de los centros,
respectivamente, que afirman haberlos instaurado.

Gráfico 65: Procedimiento de regulación del acceso a los datos del historial clínico por el titular,
segmentación geográfica (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

112

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Anotaciones subjetivas de los médicos en las historias clínicas
La Ley de Autonomía del Paciente, en su artículo 18, no sólo
reconoce el derecho de acceso del paciente a su historia clí-
nica, sino que le confiere, además, el derecho a obtener co-
pia de los datos que figuran en ella. El apartado 3 de este ar-
tículo menciona expresamente que el derecho al acceso del
paciente a la documentación de la historia clínica no puede
ejercitarse en perjuicio (…) del derecho de los profesionales
participantes en su elaboración, los cuales pueden oponer al
derecho de acceso la reserva de sus anotaciones subjetivas.
Es decir, la Ley concede al profesional sanitario la facultad
de limitar el acceso a determinada información de carácter
subjetivo incorporada en la historia clínica del paciente. El
hecho de que la decisión al criterio exclusivo del profesional
puede plantear diferentes interpretaciones, desde posturas
más abiertas (información completa) hasta posturas más
cautelosas (exclusivamente información objetiva).
El Convenio para la protección de los Derechos Humanos y
la dignidad del ser humano con respecto a las aplicaciones
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
de la Biología y la Medicina (Consejo de Europa Oviedo, 4 de
abril de 1997) insiste en el hecho de que toda persona tendrá
derecho a conocer toda información obtenida respecto a su
salud, y añade: De modo excepcional, la ley podrá estable-
cer restricciones, en interés del paciente. Parece, por tanto,
que es el interés del paciente, y no cualquier otra apreciación
subjetiva, lo único que debería justificar la reserva del profe-
sional sobre las anotaciones de carácter subjetivo.
El Gráfico 66 analiza la frecuencia con la que, en los centros
sanitarios españoles, se incluyen anotaciones subjetivas de
los médicos en la copia de la historia clínica que se facili-
ta al paciente. De su lectura se desprende que la postura
Resultados / Ejercicio de derechos
adoptada más ampliamente por el sector sanitario español
es cautelosa, ya que un 44,8% de los centros reconocen que
nunca facilitan sus anotaciones subjetivas a las copias que
facilitan a los titulares de las historias, y un 15,3% no lo hace
casi nunca. Una interpretación más abierta la llevan a cabo
el 27% de los encuestados que las facilitan siempre y el 6,3%
que lo hace a menudo.
113
 5
ÍNDICE

Gráfico 66: Anotaciones subjetivas de los médicos en las historias clínicas

que entrega a los pacientes (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

114

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Aunque igualmente cautelosos a la hora de incorporar anotaciones subjetivas en la historia clínica que facilitan a los clientes, los
consultorios locales son algo más abiertos que hospitales y centros de salud (Gráfico 67). Así, frente al 35,2% de consultorios
que siempre o a menudo facilitan este tipo de información a los pacientes, el porcentaje en el caso de hospitales es de 27,9% y
de 29,5% cuando se refiere a centros de salud.

Gráfico 67: Anotaciones subjetivas de los médicos en las historias clínicas que entrega
a los pacientes, segmentación por tipo de centro (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

115

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La dependencia patrimonial del centro no parece tener influencia sobre la inclusión o no de anotaciones subjetivas de los profe-
sionales en las copias de las historias clínicas que se facilitan a los pacientes.

Gráfico 68: Anotaciones subjetivas de los médicos en las historias clínicas que entrega
a los pacientes, segmentación por dependencia patrimonial (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

116

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

A nivel geográfico se aprecian diferencias notables, tal y como se aprecia en el mapa. Los centros de la zona de Levante (43,6%)
son los que, en mayor medida incluyen las anotaciones subjetivas del médico en la información que se facilita el paciente. Tam-
bién los centros de la amplia y heterogénea zona Centro (37,1%), Sur (35%) y Cataluña (31,6%) presentan niveles considerables.
En este caso, la Comunidad de Madrid, con un 20,4% de centros, es donde menos extendido está el hábito de incorporar anota-
ciones subjetivas del profesional en las historias clínicas que se facilitan a los pacientes.

Gráfico 69: Anotaciones subjetivas de los médicos en las historias clínicas que entrega a los
pacientes, segmentación geográfica (suma de Siempre y A menudo) (%)

Resultados / Ejercicio de derechos

Fuente: INTECO

117

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

5.6 Deber de secreto (art. 10 LOPD)

5.6.1 Problemática e implicaciones

El deber de secreto respecto a los datos personales tratados es una obligación que corresponde al responsable del fichero, al
encargado de tratamiento, si lo hubiera, y a todos aquellos que intervengan en cualquier fase del tratamiento de datos de carácter
personal. Esta obligación se mantiene incluso finalizada la relación que permitió el acceso al fichero.

No debe confundirse este deber de secreto con el secreto profesional al que están sometidas determinadas personas en función
de la profesión que ejercen. Este deber de secreto es un deber genérico que alcanza a cualquier persona que intervenga en el
tratamiento de datos.

5.6.2 Diagnóstico: situación en el sector sanitario español

Conocimiento del deber de secreto por el personal de la organización

Es evidente que el deber de secreto sobre los datos personales que manejan es de sobra conocido por el personal de los
centros sanitarios españoles (no sólo profesionales de la salud, sino el resto del personal del centro). Así, sólo un 0,4% de los

Resultados / Deber de secreto

encuestados afirma que los empleados de la institución no han sido informados al respecto. Lo más habitual, en un 59,7% de las
ocasiones, es que los profesionales conozcan el deber de secreto o que, incluso, se les haya pedido firmar un compromiso de
confidencialidad (39,9%).

Gráfico 70: Conocimiento del deber de secreto sobre los datos personales (%)

118

Fuente: INTECO

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La firma del compromiso de confidencialidad por parte de los profesionales es más frecuente entre hospitales (67,9%) que entre
centros de salud (35,5%) y consultorios locales (38,4%), tal y como se aprecia en el Gráfico 71.

Gráfico 71: Conocimiento del deber de secreto sobre los datos personales,
segmentación por tipo de centro (%)

Resultados / Deber de secreto

Fuente: INTECO

119

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Es en los centros privados donde existe mayor cuidado con el deber de secreto: un 80,2% de las instituciones de titularidad
privada exige a sus profesionales la firma de un compromiso de confidencialidad. En las de carácter público, el porcentaje es de
38,2%.

Gráfico 72: Conocimiento del deber de secreto sobre los datos personales,
segmentación por dependencia patrimonial (%)

Resultados / Deber de secreto

Fuente: INTECO

120

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

5.7 Seguridad (art. 9 LOPD)
5.7.1 Problemática e implicaciones
El responsable del fichero y, en su caso, el encargado del
tratamiento, deberán adoptar las medidas técnicas y organi-
zativas necesarias para garantizar la seguridad de los datos
personales integrados en los ficheros, evitando que éstos
puedan perderse, alterarse, usarse o ser accesibles a per-
sonas no autorizadas.
Las medidas de seguridad se adoptarán tomando en con-
sideración el estado de la tecnología, la naturaleza de los
datos almacenados y los riesgos a que están expuestos, ya
provengan de la acción humana o del medio físico o natural.
Las medidas de seguridad de los ficheros informatizados y
no informatizados (manuales) están reguladas en el Real
Decreto 1720/2007, de 21 de diciembre, que distingue entre
medidas de seguridad de nivel básico, medio y alto.
Las medidas de seguridad incluidas en cada uno de los ni-
veles descritos anteriormente tienen la condición de mínimos
exigibles, sin perjuicio de las disposiciones legales o regla-
mentarias específicas que pudieran resultar de aplicación en
cada caso o las que por propia iniciativa adoptase el respon-
sable del fichero.
En este sentido, el Real Decreto 1720/2007, de 21 de di-
ciembre, establece las medidas de seguridad de los ficheros
informatizados en los siguientes artículos:
• Artículos 89 a 94, regulan las de nivel básico (Docu-
mento de Seguridad; funciones y obligaciones del
personal; registro de incidencias; control de acceso;
gestión de soportes y documentos; identificación y
autentificación; copias de respaldo y recuperación).
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
• Artículos 95 a 100, las de nivel medio (Responsa-
ble de Seguridad; auditoría; gestión de soportes y
documentos; identificación y autentificación; control
de acceso físico; registro de incidencias).
• Artículos 101 a 104, las de nivel alto (gestión y dis-
tribución de soportes, copias de respaldo y recupe-
ración; registro de accesos; telecomunicaciones).
Por otra parte, una de las principales novedades del Real
Decreto 1720/2007, de 21 de diciembre, es que por primera
vez se regulan las medidas de seguridad para los ficheros no
automatizados (manuales).
La primera novedad introducida por el Real Decreto
1790/2007, de 21 de diciembre, es la previsión de que las
Resultados / Seguridad
medidas de seguridad ‘genéricas’ de los ficheros automatiza-
dos resultan de aplicación a los ficheros no automatizados.
Estas medidas son, entre otras, la elaboración del documen-
to de seguridad –que suele ser un documento en formato pa-
pel, o en su caso, un documento en Word o PDF; las obliga-
ciones respecto al encargado del tratamiento, cuyo acceso
deberá estar delimitado en el documento de seguridad; y el
régimen de trabajo fuera de los locales del responsable del fi-
chero o encargado del tratamiento –debiendo ser autorizado
este supuesto por el responsable o encargado– constando
dicha autorización en el documento de seguridad.
Partiendo de los tres niveles de seguridad descritos anterior-
mente, se enumeran las medidas de seguridad que deben ser 121
adoptadas por el responsable del tratamiento en los ficheros no
automatizados en función de dicho nivel de seguridad. Sin per-
juicio de la adopción de estas medidas de seguridad, el Real
Decreto 1720/2007, de 21 de diciembre, contiene, además, tres

criterios específicos para los ficheros no automatizados, que son
los siguientes: los criterios referentes al archivo, con una referen-
cia a la legislación aplicable en esta materia que será la relativa a
la normativa que regula los Archivos; los referentes a los dispo-
sitivos de almacenamiento, que deberán disponer de mecanis-
5.7.2 Diagnóstico: situación en el sector sanitario español
Limitación de accesos
Se analiza a continuación si cada profesional accede úni-
camente a los datos y recursos (aplicaciones, herramientas,
dispositivos o periféricos) necesarios para el desarrollo de
sus funciones o si, por el contrario, el acceso no está res-
tringido.
Tal y como muestra el Gráfico 73, la práctica totalidad de
los centros sanitarios españoles controlan de algún modo
Gráfico 73: Limitación de accesos (%)
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
mos que obstaculicen su apertura; y los referentes a la custodia
de soportes, en virtud de los cuales la persona encargada de la
custodia, mientras la documentación en formato papel esté en
proceso de revisión o tramitación, deberá vigilarla e impedir que
cualquier persona no autorizada pueda acceder a ella.
los accesos que los empleados realizan a los datos y recur-
sos de la institución en cuestión. Sólo un 2,3% de los en-
cuestados afirma que no existe ningún tipo de limitación de
accesos y que los profesionales pueden acceder a datos y
recursos ajenos. En el resto de los casos existe una política
de accesos, y en la mayoría de las situaciones (68,9%) el
centro cuenta, además, con controles para evitar accesos
no autorizados.
Resultados / Seguridad
122
Fuente: INTECO
 5
ÍNDICE

La existencia de controles para evitar accesos no autorizados está más extendida entre los hospitales (78,3%) que entre centros
de salud (71%) y consultorios locales (67,1%).

Gráfico 74: Limitación de accesos, segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

123

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los centros de carácter privado son más proclives a adoptar controles para evitar accesos no autorizados que las instituciones
de carácter público (79,8% frente a 68,4%), tal y como se recoge en el Gráfico 75.

Gráfico 75: Limitación de accesos, segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

124

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La realidad de adopción de políticas de accesos es heterogénea a lo largo de la geografía española. Así, en Cataluña un 82,7%
de los centros sanitarios encuestados afirman disponer de una política de limitación de accesos complementada por controles
para evitar los accesos no autorizados. En la Comunidad de Madrid el porcentaje es de 74,6%.

Gráfico 76: Limitación de accesos, segmentación geográfica (Sí, y además existen controles
para evitar accesos no autorizados) (%)

Resultados / Seguridad
Fuente: INTECO

125

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Procedimiento de gestión de contraseñas

Una de las medidas a adoptar para garantizar la seguridad
de los sistemas de información es, precisamente, la utiliza-
ción de contraseñas. En entornos corporativos es frecuente
el establecimiento de procedimientos de gestión de contra-
señas, donde se contemplan aspectos como longitud mínima
de la misma, utilización de caracteres alfanuméricos y perio-
dicidad de cambio, por ejemplo.
El entorno sanitario no escapa a esta realidad y así, de
acuerdo con los datos proporcionados por los responsables
de seguridad de las instituciones participantes en el estudio,
y tal y como queda reflejado en el Gráfico 77, el 87,4% de
los centros sanitarios españoles disponen de procedimien-
tos específicos de gestión de las contraseñas del personal
empleado.

Gráfico 77: Procedimiento de gestión de contraseñas (%)

Resultados / Seguridad
Fuente: INTECO

126

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La existencia de un procedimiento para gestionar las contraseñas es ligeramente más frecuente en los centros de salud (93,5%)
que en hospitales (90,9%) y consultorios locales (84,8%).

Gráfico 78: Procedimiento de gestión de contraseñas, segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

127

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Aunque las diferencias no son relevantes, parece que los centros de carácter privado adoptan procedimientos de gestión de
contraseñas en mayor medida que los públicos (90,4% frente a 87,2%).

Gráfico 79: Procedimiento de gestión de contraseñas, segmentación

por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

128

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La extensión de la práctica alcanza toda la geografía española, tal y como se puede apreciar en el Gráfico 80, con niveles muy
elevados de adopción de procedimientos de gestión de contraseñas en todas las áreas analizadas.

Destaca especialmente la comunidad madrileña, donde se da la circunstancia que un 95,1% de los centros entrevistados admiten
disponer de procedimientos específicos en la materia. También Cataluña (91,1%) y la franja Norte – Noroeste (93,2%) pueden
ser consideradas zonas exitosas.

Gráfico 80: Procedimiento de gestión de contraseñas, segmentación geográfica (%)

Resultados / Seguridad
Fuente: INTECO

129

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Gestión del acceso de los profesionales a la Historia Clínica Electrónica (HCE)
El artículo 7 de la Ley 41/2002, de 14 de noviembre, bási-
ca reguladora de la autonomía del paciente y de derechos
y obligaciones en materia de información y documentación
clínica (Ley de Autonomía del Paciente) reconoce el derecho
a la intimidad del paciente, y en concreto establece el dere-
cho de toda persona a que se respete el carácter confiden-
cial de los datos referentes a su salud, y a que nadie pueda
acceder a ellos sin previa autorización amparada por la ley.
A tal efecto, dispone que los centros sanitarios adoptarán las
medidas oportunas para garantizar el derecho de intimidad,
y elaborarán las normas y procedimientos que garanticen el
acceso legal a los datos de los pacientes.
Por otra parte, el artículo 16 de la Ley de Autonomía del Pa-
ciente regula los usos de la historia clínica, estableciendo
que los profesionales asistenciales del centro que realizan
el diagnóstico o el tratamiento del paciente tienen acceso
a la historia clínica de éste como instrumento fundamental
para su adecuada asistencia. Determina, asimismo, que
cada centro establecerá los métodos que posibiliten en todo
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
momento el acceso a la historia clínica de cada paciente por
los profesionales que le asisten.
Se trata, por tanto, de compatibilizar, de un lado el derecho
a la intimidad del paciente y, de otro, el principio de disponi-
bilidad de la historia clínica. Dicho de otro modo, la historia
clínica debe estar disponible para el profesional que trata al
paciente, pero no debe estarlo para el resto de los profesio-
nales.
La situación en el sistema sanitario español, a partir de los
datos obtenidos del estudio, parece dibujar una primacía del
principio de disponibilidad de la HC sobre el derecho a la
intimidad del paciente. Así, en el 52,9% de los centros par-
ticipantes en el estudio las historias clínicas de la institución
son accesibles por todos los profesionales. En un 39,4%de
los casos el acceso a las HC está limitado, de manera que
cada profesional sólo puede acceder a las de los pacientes
Resultados / Seguridad
con quienes tiene relación asistencial.
130
 5
ÍNDICE

Gráfico 81: Gestión del acceso de los profesionales a la Historia Clínica Electrónica (HCE) (%)

Resultados / Seguridad
Fuente: INTECO

131

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los hospitales son más cuidadosos que los centros de salud y los consultorios locales a la hora de garantizar el derecho a la
intimidad de los pacientes. Así, en un 54,1% de los hospitales el acceso de los profesionales a las historias clínicas está limitado
a los pacientes con quienes tiene relación asistencial. En el caso de centros de salud el porcentaje es de 42,2%, y de un 36,8%
cuando se trata de consultorios locales.

Gráfico 82: Gestión del acceso de los profesionales a la Historia Clínica Electrónica (HCE),
segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

132

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En el caso de los centros de carácter privado, el 58,6% de ellos asegura que existe una limitación en el acceso de los profesio-
nales a las HC, mientras que en los de carácter público nos encontramos con una proporción considerablemente inferior (38,5%).

Gráfico 83: Gestión del acceso de los profesionales a la Historia Clínica Electrónica (HCE),
segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

133

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Por zonas, parece que el área Sur (con un 50,4% de cumplimiento) y Cataluña (43,9%) son las regiones que en mayor medida
se preocupan por que cada profesional acceda sólo a las historias clínicas de los pacientes con los que tiene relación asistencial.

Gráfico 84: Gestión del acceso de los profesionales a la Historia Clínica Electrónica (HCE),
segmentación por geográfica (Cada profesional accede a la HC de los pacientes con los
que tiene relación asistencial) (%)

Resultados / Seguridad
Fuente: INTECO

134

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Control de acceso físico a las instalaciones donde se encuentran los sistemas de información

Al regular las medidas de seguridad, el Reglamento de de-
sarrollo de la Ley Orgánica 15/199, de 13 de diciembre, de
protección de datos de carácter personal (RDLOPD), presta
atención a los accesos. Así, en el artículo 99 se dispone ex-
presamente que exclusivamente el personal autorizado en
el documento de seguridad podrá tener acceso a los lugares
donde se hallen instalados los equipos físicos que den so-
porte a los sistemas de información.
Se confirma que, en la inmensa mayoría de los casos, el ac-
ceso está restringido (sólo existe un 6,9% que afirma que es
posible acceder al lugar donde se almacenan los datos, y un
3,2% adicional que no se posiciona al respecto). En el resto
de las situaciones existe un control de acceso e incluso, en
el 44,2% de las ocasiones, existen además herramientas de
control de accesos.

El Gráfico 85 ofrece una visión de la realidad del sector sani-

tario español en lo que se refiere a esta disposición.

Gráfico 85: Control de acceso físico a las instalaciones donde se encuentran

los sistemas de información (%)

Resultados / Seguridad
135
Fuente: INTECO

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El análisis por tipo de centro muestra una especial sensibilidad de los hospitales: un 66,8% cuentan con herramientas de control
de accesos (además de una restricción de acceso), frente al 50,8% de los centros de salud y el 39,4% de los consultorios locales.

Gráfico 86: Control de acceso físico a las instalaciones donde se encuentran los sistemas de
información, segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

136

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En el análisis por dependencia patrimonial del centro, se aprecia por parte de los centros privados una tendencia a establecer herra-
mientas de control de accesos mayor que la que manifiestan los centros de carácter público (63,6% frente a 43,4%).

Gráfico 87: Control de acceso físico a las instalaciones donde se encuentran los sistemas de
información, segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

137

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En cualquier caso, es altísimo el nivel de establecimiento de medidas de control de acceso físico a las instalaciones donde se en-
cuentran los sistemas de información. Considerando de manera conjunta los centros que afirman que el acceso está restringido y
los que, además de la restricción, reconocen la existencia de herramientas de control de acceso, el mapa nacional que se perfila
ofrece elevadas tasas de cumplimiento. En la heterogénea zona Centro, un 94% de centros cumplen esta disposición. Por detrás
de esta zona, Cataluña (92,5%), la franja Norte-Noroeste (90,6%) y Sur (88,9%) presentan altos niveles.

Gráfico 88: Control de acceso físico a las instalaciones donde se encuentran los sistemas de
información, segmentación geográfica (Suma de El acceso está restringido y El acceso está
restringido y existen herramientas de control de accesos) (%)

Resultados / Seguridad
Fuente: INTECO

138

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existencia de Documento de Seguridad

Un 43,5% de los centros sanitarios españoles reconoce que dispone de Documento de Seguridad específico que contemple una
política para los tratamientos de datos personales. Recordemos que el artículo 88 RDLOPD establece que El responsable del
fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a
la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información.

Gráfico 89: Existencia de Documento de Seguridad (%)

Resultados / Seguridad
Fuente: INTECO

139

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La situación con respecto a la disponibilidad o no de documento de seguridad no es homogénea entre los tres tipos de institu-
ciones: en hospitales, un 79,9% dispone de documento de seguridad, en centros de salud el porcentaje es de 49,2% y en con-
sultorios, sólo un 37,5% así lo declara.

Gráfico 90: Existencia de Documento de Seguridad, segmentación por tipo de centro (%)

Hospital 79,9% 10,4% 9,7%

C. de Salud 49,2% 37,2% 13,6%

Consultorio Local 37,5% 42,7% 19,8%

Resultados / Seguridad
0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

Sí No Ns/Nc

Fuente: INTECO

140

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Nuevamente debe tenerse en cuenta la posible implantación de sistemas centralizados de tratamiento de datos, especialmente
en el ámbito de la atención primaria, lo que justifica que los documentos de seguridad estén elaborados por las Gerencias direc-
tamente.

También en este caso la dependencia patrimonial del centro determina el mayor o menor nivel de cumplimiento de la normativa:
en los centros públicos, sólo el 41,8% dispone de documento de seguridad; en los de titularidad privada, en cambio, el porcentaje
es de 81,8%.

Gráfico 91: Existencia de Documento de Seguridad,

segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

141

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

A nivel nacional la realidad es heterogénea y diversa, tal y como sugiere el mapa detallado en el Gráfico 92. Coexisten regiones
como Cataluña o Madrid, donde un 63,8% y 56,4%, respectivamente, de instituciones afirman tener documento de seguridad,
con otras como parte de Aragón y la zona Centro, donde el cumplimiento no supera el 40%.

Gráfico 92: Existencia de Documento de Seguridad, segmentación geográfica (%)

Resultados / Seguridad
Fuente: INTECO

142

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Responsable de seguridad

En un 40,1% de los centros participantes en el estudio existe la figura específica del responsable de seguridad, y se han definido
funciones específicas para dicho puesto. La opción mayoritaria es la contraria: son un 54,5% los que reconocen no contar con
un profesional con este perfil.

Gráfico 93: Existencia de Responsable de Seguridad (%)

Resultados / Seguridad
Fuente: INTECO

143

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Mientras mayor es el tamaño del centro, aumenta la tendencia a disponer de responsable de seguridad: son un 79,4% de los
hospitales, un 46,2% de los centros de salud y un 33,6% de los consultorios locales quienes afirman contar con una figura es-
pecífica de responsable de seguridad.

El mismo criterio expresado en apartados anteriores por el uso de sistemas centralizados en atención primaria justifica que no
tenga porqué existir en los centros de salud un responsable de seguridad, siendo este designado de forma centralizada por las
Gerencias.

Gráfico 94: Existencia de Responsable de Seguridad, segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

144

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

También en este caso la dependencia patrimonial es un factor decisivo: el 78,5% de los centros privados cuentan con responsa-
ble de seguridad, frente a sólo el 38,4% en el caso de los públicos.

Gráfico 95: Existencia de Responsable de Seguridad,

segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

145

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

A nivel nacional, la Comunidad de Madrid es la zona donde mayor es la tasa de disponibilidad de responsable de seguridad en
el centro sanitario: un 51,2% de las instituciones participantes en el estudio ubicadas en esta área así lo manifiestan. También
Cataluña, con un 48,3%, tiene un nivel más que aceptable.

Gráfico 96: Existencia de Responsable de Seguridad, segmentación geográfica (%)

Resultados / Seguridad
Fuente: INTECO

146

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Procedimiento de realización de copias de respaldo y recuperación

Los artículos 94 y 102 RDLOPD recogen la obligatoriedad de realizar medidas de respaldo y recuperación de los archivos que
contengan datos de carácter personal.

El 58,3% de los centros sanitarios participantes en el estudio afirman disponer de un procedimiento específico para la realización
de copias de respaldo y recuperación, frente a un 29,9% que no lo tienen y un 11,9% adicional que no facilita una respuesta.

Gráfico 97: Procedimiento de realización de copias de respaldo y recuperación (%)

Resultados / Seguridad
Fuente: INTECO

147

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Una vez más, el nivel de cumplimiento de la normativa es mayor entre hospitales que entre centros de menor tamaño. Un 91,6%
de los hospitales tiene un procedimiento de realización de copias de respaldo de los datos, frente a un 63,2% en el caso de cen-
tros de salud y un 52,9% en el de los consultorios locales.

Gráfico 98: Procedimiento de realización de copias de respaldo y recuperación,

segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

148

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La realización de copias de respaldo es más habitual entre centros privados (un 92,4% dispone de procedimiento al efecto) que
entre instituciones de carácter público (56,8%).

Gráfico 99: Procedimiento de realización de copias de respaldo y recuperación,

segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

149

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los centros sanitarios de la Comunidad de Madrid son los que, en mayor medida, están habituados a la realización de copias
de respaldo y recuperación de los archivos con datos de carácter personal: un 76,3% de los participantes en el estudio así lo
manifiestan. También Cataluña, con un 70,8%, muestra un nivel de cumplimiento de la normativa correcto.

Gráfico 100: Procedimiento de realización de copias de respaldo y recuperación,

segmentación geográfica (%)

Resultados / Seguridad
Fuente: INTECO

150

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Procedimiento para la destrucción de documentos con datos de carácter personal
No es del todo infrecuente que los medios de comunicación
se hagan eco de situaciones en las que han aparecido en
vías públicas documentación con datos de salud. Al margen
de la visibilidad mediática de las situaciones, la Agencia Es-
pañola de Protección de Datos ha dictado numerosas reso-
luciones al respecto. La importancia de disponer de un pro-
cedimiento para la destrucción de documentos con carácter
personal se deriva del principio de seguridad de los datos
(art. 9 LOPD), que impone la obligación de adoptar las medi-
das de índole técnica y organizativa que garanticen aquélla,
añadiendo que tales medidas tienen como finalidad evitar,
entre otros aspectos, el acceso no autorizado.
Además, el responsable del fichero (y quienes intervengan
en cualquier fase del tratamiento de los datos de carácter
personal) están obligados al secreto profesional respecto de
los mismos y al deber de guardarlos, obligaciones que sub-
sistirán aun después de finalizar sus relaciones con el titular
del fichero o, en su caso, con el responsable del mismo.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
El deber de secreto profesional que incumbe a los responsa-
bles de los ficheros, recogido en el artículo 10 de la LOPD,
comporta que el responsable de los datos almacenados no
pueda revelar ni dar a conocer su contenido teniendo el de-
ber de guardarlos, obligaciones que subsistirán aún después
de finalizar sus relaciones con el titular del fichero o, en su
caso, con el responsable del mismo.
Conscientes de la especial sensibilidad de la materia, y de
la existencia de precedentes en el sector sanitario que han
terminado en un procedimiento sancionador, los centros sa-
nitarios españoles han adoptado procedimientos para la des-
trucción de documentos con datos de carácter personal (un
75,5% lo ha hecho). El 19,9% reconoce no haberlo hecho
aún, y un 4,6% se muestra indeciso.
Resultados / Seguridad
151
 5
ÍNDICE

Gráfico 101: Existencia de un procedimiento para la destrucción de documentos

con datos de carácter personal (%)

Resultados / Seguridad
Fuente: INTECO

152

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los hospitales son los centros que más se han esforzado en regular el modo de destruir documentos con datos personales de
sus pacientes. Un 92,2% de los hospitales españoles lo ha hecho. Por detrás de ellos, un 83,3% de los centros de salud y un
70,9% de los consultorios locales disponen de procedimientos específicos para eliminar los soportes donde se almacenan datos
de carácter personal.

Gráfico 102: Existencia de un procedimiento para la destrucción de documentos con datos de

carácter personal, segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

153

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Siendo elevado el nivel de cumplimiento entre instituciones públicas y privadas, una vez más, los centros de carácter privado
presentan una adopción superior (94,1%, frente a 74,7% en el caso de las instituciones de carácter público).

Gráfico 103: Existencia de un procedimiento para la destrucción de documentos con datos de

carácter personal, segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

154

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La franja Norte – Noroeste, con un 88,7% de adopción de procedimiento específico para la destrucción de documentos con datos
personales, es donde en mayor medida se concentra la práctica de esta disposición.

Gráfico 104: Existencia de un procedimiento para la destrucción de documentos con datos de

carácter personal, segmentación geográfica (%)

Resultados / Seguridad
Fuente: INTECO

155

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Procedimiento de notificación, gestión y respuesta a incidencias

Los artículos 90 y 100 del RDLOPD tratan sobre el registro En línea con el precepto, el 76% de los centros sanitarios
de incidencias, estableciendo que deberá existir un procedi- participantes en el estudio disponen de un procedimiento es-
miento de notificación y gestión de las incidencias que afec- pecífico para la gestión de las incidencias. Sólo un 17,3%
ten a los datos de carácter personal. Dispone, igualmente, no ha establecido un procedimiento a tal efecto, y un 6,7%
que se debe establecer un registro en el que se haga constar adicional no proporciona respuesta.
el tipo de incidencia, el momento en que se ha producido o,
en su caso, detectado, la persona que realiza la notificación,
a quien se le comunica los efectos derivados de la misma y
las medidas correctoras aplicadas.

Gráfico 105: Procedimiento de notificación, gestión y respuesta a incidencias (%)

Resultados / Seguridad
Fuente: INTECO

156

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Por tipo de centro, una vez más son los hospitales los más avanzados en el cumplimiento de la normativa: un 84,4% de ellos
dispone de procedimiento de notificación, gestión y respuesta a incidencias. En el caso de centros de salud y consultorios locales,
el porcentaje es de 79,8% y 73,8% respectivamente.

Gráfico 106: Procedimiento de notificación, gestión y respuesta a incidencias,

segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

157

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El 75,5% de los centros públicos y el 86,5% de los privados afirman contar con un procedimiento de gestión de incidencias.

Gráfico 107: Procedimiento de notificación, gestión y respuesta a incidencias,

segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

158

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El nivel de adopción de procedimientos de incidencias es elevado, y bastante homogéneo en toda la geografía española. Cata-
luña es, con un 80,5% de respuestas, la región donde se concentra una mayor implementación de este tipo de procedimientos
entre los centros sanitarios, seguida muy de cerca de la Comunidad de Madrid (79,8%) y la franja Norte – Noroeste (79,1%).

Gráfico 108: Procedimiento de notificación, gestión y respuesta a incidencias,

segmentación geográfica (%)

Resultados / Seguridad
Fuente: INTECO

159

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existencia de un Sistema de Gestión de la Seguridad de la Información

Un Sistema de Gestión de la Seguridad de la Información
(también conocido por sus siglas SGSI) es una herramienta
de gestión que permite conocer, gestionar y minimizar los
posibles riesgos que pueden atentar contra la seguridad de
la información en la organización, y por tanto poner en peli-
gro la viabilidad del negocio. Los riesgos pueden venir del
exterior de la empresa (por ejemplo, una catástrofe natural),
pero también del interior (sustracción de información por un
empleado). Con un SGSI se trata de proteger todos los acti-
vos de información con que cuente la organización, con inde-
pendencia del soporte en el que se encuentren.
En el sector sanitario español el nivel de adopción de Sis-
temas de Gestión de Seguridad de la Información es con-
siderable. De acuerdo con las respuestas facilitadas por los
responsables de seguridad participantes en el estudio, un
53,2% de los centros disponen de SGSI, frente a un 29%
que reconocen no tenerlo y un 17,8% que no se pronuncian.

Gráfico 109: Existencia de un Sistema de Gestión de la Seguridad de la Información (%)

Resultados / Seguridad
Fuente: INTECO
160

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Una vez más, son los hospitales los tipos de centros más sensibilizados con la seguridad de la información: un 68,3% disponen
de SGSI, frente a un 58,5% en el caso de centros de salud y 49,7% en el caso de consultorios locales.

Gráfico 110: Existencia de un Sistema de Gestión de la Seguridad de la Información,

segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

161

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Un 52,6% de los centros públicos y un 67,9% de los privados disponen de un Sistema de Gestión de la Seguridad de la Informa-
ción.

Gráfico 111: Existencia de un Sistema de Gestión de la Seguridad de la Información,

segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

162

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

El mapa de España se configura por una desigual implementación de Sistemas de Gestión de la Seguridad de la Información
en las distintas áreas, tal y como queda reflejado en el Gráfico 112. Cataluña, una vez más, se posiciona como la comunidad
autónoma con mayor nivel de adopción de SGSI por parte de los centros sanitarios. En concreto, un 68,2% de los centros par-
ticipantes en el estudio disponen, según sus propias declaraciones, de un Sistema de Gestión de Seguridad de la Información.
También las áreas de Levante y Sur, con 60,6% y 58%, destacan positivamente sobre el resto.

Gráfico 112: Existencia de un Sistema de Gestión de la Seguridad de la Información,

segmentación geográfica (%)

Resultados / Seguridad
Fuente: INTECO

163

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existencia de un Plan de Continuidad de Negocio

Las organizaciones no pueden estar preparadas para los po-
tenciales efectos negativos de eventos que pueden ocurrir
e impactar en sus actividades de negocio. El fallo de la red
eléctrica de Barcelona en Julio de 2007 que impactó en ser-
vicios críticos como sanidad y transporte es un buen ejemplo
de este tipo de eventualidades. Sin tratarse de situaciones
con una repercusión tan alta, cada año son muchas las or-
ganizaciones de todo tipo que padecen inundaciones, incen-
dios, ataques terroristas, actos vandálicos y otras amenazas.
zan el plan deberían ser capaces de analizar la información
del grupo de respuesta sobre el impacto del incidente, selec-
cionar e implementar estrategias apropiadas disponibles en
el plan y conducir la reanudación de las unidades de negocio
según las prioridades pactadas.
En el sector sanitario español, un 41,6% de los centros dis-
ponen de un Plan de Continuidad de Negocio, un 35,5% re-
conocen no tenerlo y un 22,7% lo desconoce.

El Plan de Continuidad de Negocios reúne la respuesta de

toda la organización a un incidente destructivo. Los que utili-

Gráfico 113: Existencia de un Plan de Continuidad de Negocio (%)

Resultados / Seguridad
164
Fuente: INTECO

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los hospitales, con un 54,3% de adopción, son los centros que en mayor medida han abrazado la adopción de planes de
continuidad de negocio. Centros de salud (45%) y consultorios locales (39,3%) se encuentran por detrás en cuanto a nivel de
implantación.

Gráfico 114: Existencia de un Plan de Continuidad de Negocio,

segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

165

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

También el sector privado se muestra más favorable a implantar planes de continuidad de negocio que el público: 56,9% frente
a 41,1%.

Gráfico 115: Existencia de un Plan de Continuidad de Negocio,

segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

166

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En el análisis geográfico, Cataluña despunta sobre el resto de zonas españolas. Un 59,7% de los centros sanitarios catalanes
dispone de un plan de continuidad de negocio, a partir de sus declaraciones. Por detrás de esta comunidad autónoma, a bastante
distancia, se encuentra el área sur, donde un 44,6% de centros sanitarios disponen de un plan de continuidad. La Comunidad de
Madrid y el área levantina (ambos, con un 44,4% de adopción) se sitúan las siguientes en el ranking.

Gráfico 116: Existencia de un Plan de Continuidad de Negocio, segmentación geográfica (%)

Resultados / Seguridad
Fuente: INTECO

167

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Auditorías de seguridad

El art. 96 RDLOPD reconoce que, a partir del nivel medio,
los sistemas de información e instalaciones de tratamiento y
almacenamiento de datos se deben someter, al menos cada
dos años, a una auditoría interna o externa que verifique el
cumplimiento con la normativa sobre protección de datos.
auditorías anualmente y un 12,4% adicional que las lleva a
cabo con una periodicidad bienal. Es decir, un 33,2% de los
centros sanitarios españoles estaría cumpliendo con el pre-
cepto. Existe, por otra parte, un 6,1% que reconoce llevar a
cabo auditorías, pero lo hace cada más de 2 años.

En el sector sanitario español la realidad, a partir de las res- Sorprende el 50,8% de centros que reconoce nunca haber
puestas proporcionadas por los centros participantes en el realizado una auditoría de seguridad.
estudio, es que hay un 20,8% de instituciones que realizan

Gráfico 117: Realización de auditorías de seguridad (%)

Resultados / Seguridad
Fuente: INTECO
168

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los hospitales son, una vez más, los centros más rigurosos en la realización de auditorías de seguridad. Considerando con-
juntamente los centros que realizan auditorías con periodicidad anual y bienal, hay un 73,4% de hospitales que cumplen con el
precepto reglamentario de realizar auditorías de seguridad. En el caso de los centros de salud el porcentaje es de 42,6%, y de
25,5% cuando se trata de consultorios locales.

Gráfico 118: Realización de auditorías de seguridad, segmentación por tipo de centro (%)

Resultados / Seguridad
Fuente: INTECO

169

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Existe una diferencia importante en el nivel de realización de auditorías de seguridad entre centros públicos y privados. Así, exis-
te un 52,6% de centros públicos que reconocen nunca haber hecho una auditoría de seguridad. En el caso de las instituciones
privadas, este porcentaje es mínimo (10,7%).

Gráfico 119: Realización de auditorías de seguridad,

segmentación por dependencia patrimonial (%)

Resultados / Seguridad
Fuente: INTECO

170

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

La zona Sur de España es donde, en mayor medida, se realizan auditorías de seguridad por parte de los centros sanitarios. Un
48% de las instituciones participantes en el estudio así lo reconocen. También la franja Norte – Noroeste (45,2%) y Cataluña
(45,1%) han asumido correctamente la disposición reglamentaria.

En el caso concreto de la Comunidad de Madrid los datos se ven sesgados por la realización de las auditorías por parte de unidades
especializadas de la Consejería, o entidades designadas por la misma. Esta situación es trasladable a todos los ámbitos geográficos
en los que la seguridad de los tratamientos de datos institucionales se gestione de forma centralizada.

Gráfico 120: Realización de auditorías de seguridad, segmentación geográfica (Suma de Sí, al

menos cada año, Sí, al menos cada 2 años y Sí, con mayor frecuencia) (%)

Resultados / Seguridad
Fuente: INTECO

171

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

5.8 Comunicación de datos (art. 11 LOPD)
5.8.1 Problemática e implicaciones
La comunicación o cesión de datos personales tiene lugar
cuando los datos del afectado o interesado (ciudadano) se
comunican a un tercero. Dos son los requisitos necesarios
para que se produzca la cesión de datos personales:
primero, que la cesión se realice para el cumplimiento de
fines directamente relacionados con las funciones legítimas
del cedente y del cesionario; segundo, el consentimiento
previo del interesado.
Sin embargo, existen una serie de supuestos regulados
en la LOPD en relación con los cuales no es necesario el
segundo de los requisitos. En estos casos, la cesión de
datos personales tiene lugar sin el consentimiento previo del
afectado o interesado. Dichos supuestos, regulados en el
Artículo 11.2 de la LOPD, son los siguientes:
a. Cuando la cesión esté autorizada por una ley.
b. Cuando se traten datos recogidos de fuentes
accesibles al público.
c. Cuando el tratamiento responda a la libre y legítima
aceptación de una relación jurídica cuyo desarrollo,
cumplimiento y control implique necesariamente la
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
conexión de dicho tratamiento con ficheros de terceros,
siempre que se limite a la finalidad que la justifique.
d. Cuando la comunicación tenga por destinatarios al
Defensor del Pueblo, el Ministerio Fiscal o los Jueces
o Tribunales o el Tribunal de Cuentas, en el ejercicio
de las funciones que tiene atribuidas. Igualmente a
Instituciones autonómicas con funciones análogas
al Defensor del Pueblo o al Tribunal de Cuentas.
Resultados / Comunicación de datos
e. Cuando la cesión de datos relativos a la salud sea
necesaria para solucionar una urgencia que requiera
acceder a un fichero, o para realizar los estudios
epidemiológicos en los términos establecidos en la
legislación sobre sanidad estatal o autonómica.
f. Cuando la cesión se produzca entre Administraciones
Públicas y tenga por objeto el tratamiento posterior
de los datos con fines históricos, estadísticos o
científicos, los datos de carácter personal hayan
sido recogidos o elaborados por una Administración
Pública con destino a otra, o la comunicación se
realice para el ejercicio de competencias idénticas
o que versen sobre las mismas materias.
172
 5
ÍNDICE

5.8.2 Diagnóstico: situación en el sector sanitario español

Sistema de control de los envíos de datos de pacientes a terceros

El 66,7% de los centros sanitarios españoles participantes en el estudio manifiesta que existe en el ámbito de su organización
un sistema de control de los envíos de datos de pacientes que se realizan a terceros. Existe un 24,4% de instituciones que
reconocen que no existe tal control, y un 8,9% adicional que no se manifiesta al respecto.

Gráfico 121: Existencia de un sistema de control de los envíos

de datos de pacientes a terceros (%)

Resultados / Comunicación de datos

Fuente: INTECO

173

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Los hospitales se muestran más propicios a la adopción de controles de envíos de datos a terceros: un 78,6% han adoptado
algún sistema de control. También los centros de salud, con un 75,4% de nivel de implantación, son cautelosos.

Gráfico 122: Existencia de un sistema de control de los envíos de datos de pacientes a terceros,
segmentación por tipo de centro (%)

Resultados / Comunicación de datos

Fuente: INTECO

174

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Un 66,2% de los centros públicos y un 78,5% de los privados han implementado un sistema de control de los envíos de datos de
pacientes a terceros, según sus propias declaraciones.

Gráfico 123: Existencia de un sistema de control de los envíos de datos de pacientes a terceros,
segmentación por dependencia patrimonial (%)

Resultados / Comunicación de datos

Fuente: INTECO

175

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Por lo que respecta a la segmentación geográfica, la Comunidad de Madrid, con un 79,1% de centros que reconocen haber
adoptado sistemas de control de los envíos de datos de pacientes a terceros, es la que en mayor medida ha implementado este
tipo de controles.

Gráfico 124: Existencia de un sistema de control de los envíos de datos de pacientes a terceros,
segmentación geográfica (%)

Resultados / Comunicación de datos

Fuente: INTECO

176

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

5.9 Inspecciones de la Agencia de Protección de Datos
5.9.1 Problemática e implicaciones
Las autoridades de control podrán inspeccionar los ficheros
a que hace referencia la presente ley, recabando cuantas
informaciones precisen para el cumplimiento de sus come-
tidos.
A tal efecto, podrán solicitar la exhibición o el envío de docu-
mentos y datos y examinarlos en el lugar en que se encuen-
tren depositados, así como inspeccionar los equipos físicos y
lógicos utilizados para el tratamiento de los datos, accedien-
do a los locales donde se hallen instalados.
Los funcionarios que ejerzan la inspección a que se refiere
el apartado anterior tendrán la consideración de autoridad
pública en el desempeño de sus cometidos.
Estarán obligados a guardar secreto sobre las informaciones
que conozcan en el ejercicio de las mencionadas funciones,
incluso después de haber cesado en las mismas.
En el supuesto previsto como infracción muy grave en la Ley
Orgánica 15/1999, de 13 de diciembre, consistente en la uti-
lización o cesión ilícita de los datos de carácter personal en
la que se impida gravemente o se atente de igual modo con-
tra el ejercicio de los derechos de los ciudadanos y el libre
desarrollo de la personalidad que la Constitución y las leyes
garantizan, el Director de la Agencia Española de Protección
de Datos podrá, en cualquier momento del procedimiento,
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
5
ÍNDICE
requerir a los responsables de ficheros o tratamientos de da-
tos de carácter personal, tanto de titularidad pública como
privada, la cesación en la utilización o cesión ilícita de los
datos.
El requerimiento deberá ser atendido en el plazo improrro-
gable de tres días, durante el cual el responsable del fichero
podrá formular las alegaciones que tenga por convenientes
en orden al levantamiento de la medida.
Si el requerimiento fuera desatendido, el Director de la Agen-
cia Española de Protección de Datos podrá, mediante reso-
lución motivada, acordar la inmovilización de tales ficheros o
tratamientos, a los solos efectos de restaurar los derechos
Resultados / Inspecciones
de las personas afectadas.
En el desarrollo de las actuaciones previas se podrán reali-
zar visitas de inspección por parte de los inspectores desig-
nados, en los locales o sede del inspeccionado, o donde se
encuentren ubicados los ficheros, en su caso. A tal efecto,
los inspectores habrán sido previamente autorizados por el
Director de la Agencia Española de Protección de Datos.
Las inspecciones podrán realizarse en el domicilio del ins-
peccionado, en la sede o local concreto relacionado con el
mismo o en cualquiera de sus locales, incluyendo aquéllos
en que el tratamiento sea llevado a cabo por un encargado.
177
 5
ÍNDICE

5.9.2 Diagnóstico: situación en el sector sanitario español

Centros inspeccionados

El hecho de haber experimentado una inspección por parte de la Agencia de Protección de Datos es una situación un tanto infre-
cuente en el sector sanitario español: sólo un 3,7% de los centros participantes en el estudio afirman haber sufrido, en alguna oca-
sión, una inspección de la autoridad de protección de datos. Existe un 10,1% que no realiza declaración a este respecto. El resto,
un amplio 86,2% de las instituciones sanitarias españolas, no han sido receptoras de inspecciones.

Gráfico 125: Entidades que han sufrido inspección por parte

de la Agencia de Protección de Datos (%)

Resultados / Inspecciones
Fuente: INTECO

178

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En este caso, las inspecciones parecen haber tenido mayor incidencia entre centros de salud (7,2%) que entre hospitales (3,9%)
y consultorios locales (2,4%)

Gráfico 126: Entidades que han sufrido inspección por parte de la Agencia de Protección de Datos,
segmentación por tipo de centro (%)

Resultados / Inspecciones
Fuente: INTECO

179

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Atendiendo a la dependencia patrimonial del centro, no se aprecian diferencias relevantes: no parece tener influencia el hecho de
que una institución sea pública o privada para que sea objeto de una inspección por parte de la autoridad de protección de datos.

Gráfico 127: Entidades que han sufrido inspección por parte de la Agencia de Protección de Datos,
segmentación por dependencia patrimonial (%)

Resultados / Inspecciones
Fuente: INTECO

180

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

En la zona Sur parece haber una mayor concentración de centros que dicen haber sufrido inspección por parte de la Agencia de
Protección de Datos: un 7,4% de los centros participantes en el estudio así lo han manifestado. En el otro extremo, la zona de
Levante registra el más reducido nivel de inspecciones del país, con sólo un 0,5% de instituciones que declaran haber recibido
una inspección.

Gráfico 128: Entidades que han sufrido inspección por parte de la Agencia de Protección de Datos,
segmentación geográfica (%)

Resultados / Inspecciones
Fuente: INTECO

181

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Centros sancionados

Considerando solamente a los centros que afirman haber sufrido una inspección por parte de la autoridad de protección de datos,
se profundiza a continuación si esa inspección terminó con un expediente sancionador o no.

Sólo en un 1% de los centros que sufrieron una inspección ésta terminó con un procedimiento sancionador de carácter leve, y en
un 0,8% adicional, de carácter grave. Ninguna institución de las participantes en el estudio ha sido víctima de una sanción muy
grave.

Gráfico 129: Entidades que han sido objeto de expediente sancionador por parte
de la Agencia de Protección de Datos (%)

Resultados / Inspecciones
Base: centros que han sufrido inspección de la autoridad de protección de datos Fuente: INTECO

182

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Las pocas sanciones se concentran en el sector hospitalario, tal y como se aprecia en el Gráfico 130, pertenecientes al sector
público (Gráfico 131).

Gráfico 130: Entidades que han sido objeto de expediente sancionador por parte
de la Agencia de Protección de Datos, segmentación por tipo de centro (%)

Resultados / Inspecciones
Fuente: INTECO

183

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 5
ÍNDICE

Gráfico 131: Entidades que han sido objeto de expediente sancionador por parte de la Agencia de
Protección de Datos, segmentación por dependencia patrimonial (%)

Resultados / Inspecciones
Fuente: INTECO

184

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

Buenas
prácticas
6
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 6
ÍNDICE

6.1 Adecuación a la LOPD del Hospital General Universitario Reina Sofía (Murcia)

El Hospital General Universitario Reina Sofía de Murcia Se dispone de folletos informativos con los ficheros que con-
cuenta con un plantilla de 1.199 trabajadores. El respeto a la tienen datos de carácter personal del Centro y de modelos
confidencialidad y a la intimidad de los pacientes constituye de impresos para ejercer sus derechos.
un reto básico para todos los profesionales.
También se recuerda con un video y con cartelería alegórica
En el Servicio de Atención al Paciente y en la Oficina de Me- la importancia del secreto y del sigilo en el ámbito sanitario.
dicina Judicial y Ética Médica se informa y asesora, a pacien-
tes y usuarios, de los derechos que les asisten en materia de
Protección de Datos.

Ilustración 1: Folletos informativos del proyecto denominado

“Adecuación del Hospital General Universitario Reina Sofía a la LOPD”.

Buenas prácticas
186
Fuente: Hospital Reina Sofía de Murcia

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Desde el Comité de Seguridad de los Sistemas de Informa-
ción, como órgano de asesoramiento y consultivo en materia
de protección de datos, se impulsa la formación del personal
en esta materia.
El conjunto de medidas adoptadas en materia de protección
de datos integran el proyecto denominado “Adecuación del
Hospital General Universitario Reina Sofía a la LOPD”.
Con el proyecto se fijaron los siguientes objetivos:
• Lograr la máxima accesibilidad y transparencia
frente a los ciudadanos respecto de los tratamien-
tos que se realizan con los datos de carácter perso-
nal que de ellos se recaban.
• Facilitar a los pacientes y usuarios el ejercicio de los
derechos que la LOPD les otorga.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
• Potenciar la labor informativa y educativa respec-
to del derecho a la protección de datos de carácter
personal, implicando a todo el personal del centro,
dado el volumen y la naturaleza de la información
que se maneja.
• Impregnar en los trabajadores del hospital una au-
tentica cultura de protección de datos.
• Actualizar los ficheros y tratamientos de datos, para
adecuarlos a la normativa vigente.
• Alcanzar la plena adecuación del centro a los re-
querimientos de la normativa sobre protección de
datos personales.
Buenas prácticas
187

6.2 Eliminación de archivos incontrolados con datos de nivel alto en el Hospital Carlos III (Madrid)
El Departamento de Informática y Sistemas de Información
del Hospital Carlos III de Madrid ha puesto en marcha un
proyecto con el objetivo de eliminar los archivos con datos de
carácter personal de nivel alto y formato ofimático. La mayo-
ría se encuentran en ordenadores personales, almacenando
la información en bases de datos específicas que cumplan
con lo establecido en la normativa vigente en materia de Pro-
tección de Datos.
Estas bases de datos están hechas a la carta, de manera
personalizada, atendiendo a las necesidades de cada pro-
fesional. Además, no tienen ningún dato que relacione los
aspectos clínicos con la persona a la que pertenecen.
Para ello se ha desarrollado una arquitectura cuya relación
es el número de historia clínica, conectando la base de datos
de gestión clínica, que contiene los datos demográficos de
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
los pacientes, con una serie de bases de datos por departa-
mentos, que registran exclusivamente parámetros clínicos.
De esta forma, se consiguen varios objetivos, bajo el para-
guas de la protección de datos:
• Se fuerza a que todos los pacientes estén registra-
dos por el departamento de admisión, eliminando
episodios clínicos no recogidos institucionalmente.
• Desaparecen datos sensibles de ordenadores per-
sonales. Todos los datos quedan custodiados en los
servidores del Hospital.
• Se desarrollan bases de datos que responden a las
necesidades de cada departamento y que se pue-
den ajustar, fácilmente, a nuevas demandas.
Buenas prácticas
188

6.3 Normas de uso de los Sistemas de Información (Hospital Universitario Fundación
Alcorcón, Madrid)
El Hospital Universitario Fundación de Alcorcón dispone de
un documento de seguridad que contiene las funciones y
obligaciones del personal, en relación con el tratamiento de
los datos de carácter personal.
La legislación vigente en materia de protección de datos y la
relevancia de la información propia del sector sanitario moti-
varon a la dirección del Hospital a elaborar un protocolo con
las normas de uso de los sistemas de información: sencillas,
claras y de obligado cumplimiento.
El protocolo incluye los criterios fundamentales contenidos
en las normas aplicables a los datos de carácter personal,
para todos los usuarios de los sistemas de información, tanto
asistenciales como de gestión:
• Procedimiento de alta y baja de usuarios.
• Restricciones en la configuración de los equipos.
• Tratamiento de la información con confidencialidad.
• Protección de datos personales.
• Uso de la informática con fines laborales y en fun-
ción del perfil.
• Canales para informar de los incidentes de seguridad.
• Normativa de acceso a las aplicaciones.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
• Salvaguarda de la información en el PC.
• Restricciones en el acceso a Internet.
• Normas de utilización del correo electrónico.
Desde la Comisión de Historias y Documentación Clínica, se
procedió a la revisión del anterior manual de uso de la Histo-
ria Clínica, para actualizar los perfiles de usuarios, criterios
de acceso y niveles de acceso.
El documento se estructura en varios apartados:
• Se incorporan las definiciones legales sobre historia
clínica, así como otras relacionadas con ésta reco-
gidas en la norma.
• Posteriormente se establecen las funciones, conte-
nidos y soporte de la historia clínica.
Buenas prácticas
• Otro apartado recoge las normas de cumplimenta-
ción y acceso de las historias clínicas.
• El punto octavo del documento está dedicado a es-
tablecer los niveles y perfiles de acceso a la histo-
ria clínica de aquellos profesionales que, por sus
funciones dentro del hospital, y de acuerdo con la
norma, pueden acceder a las mismas, en relación
con el puesto de trabajo.
189
 6
ÍNDICE

6.4 Gestión eficiente y segura del acceso a datos clínicos para profesionales del área
y de otros centros sanitarios (Hospital Universitario Doce de Octubre, Madrid)

El Hospital Universitario Doce de Octubre está comprome-
tido con la puesta a disposición de sus profesionales de la
información que la actividad del centro genera, manteniendo
el respeto a la confidencialidad de los datos de los pacientes
acorde a la normativa de protección de datos.
Para mantener el equilibrio entre seguridad y acceso se han
dado los siguientes pasos:
• Creación de repositorio único de usuarios con iden-
tidad digital, que asegura la autenticidad de la iden-
tidad del profesional en todos sus accesos.
• Difusión de las obligaciones de los profesionales
en los aspectos relacionados con el tratamiento de
datos personales, haciéndoles conocedores de su
responsabilidad.
• Concesión y revocación de usuarios para los pro-
fesionales del centro, en tiempo real, sincronizado
con Recursos Humanos.
• Definición de la figura del mediador de acceso, en
quien se ha delegado la capacidad de conceder y re-
vocar permisos. Para centros externos autorizados,
también se les ha delegado la responsabilidad y capa-
cidad de gestionar los privilegios a sus profesionales.
• Creación de un grupo de evaluación continua para
analizar la utilización, accesibilidad, confidenciali-
dad y mejoras en el contenido de la información.

Ilustración 2: Herramienta web de gestión (repositorio único) de usuarios de Atención Primaria

Buenas prácticas
Fuente: Hospital Universitario Doce de Octubre (Madrid) 190

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

6.5 El Tercero de confianza (Servicio Andaluz de Salud)
El tercero de confianza constituye un procedimiento de
emergencia para garantizar la identidad de los usuarios y
sus derechos de acceso a la Historia de Salud de Andalucía.
El Sistema Sanitario Público de Andalucía dispone de más
de 7.000.000 de historias clínicas electrónicas abiertas en
su sistema corporativo “Diraya”. Con un uso de tal intensi-
dad, es tan crítico velar por el adecuado acceso de los pro-
fesionales a los datos de los pacientes como asegurar que
los profesionales puedan abrir una historia clínica cuando es
necesario.
Incidencias como el olvido de contraseñas o altas temporales
tienen que resolverse rápidamente. Para ello se ha diseñado
Ilustración 3: Centro de Soporte del Servicio Andaluz de Salud
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
una alternativa segura que se usa cuando los administrado-
res locales no están disponibles. Se denomina “Tercero de
Confianza” ya que se basa en que un profesional adecua-
damente logado avale la identidad de quien tiene problemas
para acceder.
La solicitud se hace a través del Centro de Soporte del Ser-
vicio Andaluz de Salud, abierto 24 horas, y se utiliza también
una aplicación web. En el último año se han realizado más
de 11.000 actuaciones a través de este procedimiento, ase-
gurando la accesibilidad y garantizando el cumplimiento de
la normativa vigente en materia de protección de datos.
Buenas prácticas
191
Fuente: Servicio Andaluz de Salud
 6
ÍNDICE

6.6 Plan estratégico de comunicación en Protección de Datos para Profesionales Sanitarios

y Ciudadanos (Dirección General de Sistemas de Información Sanitaria de la Comunidad de
Madrid)

En el Servicio Madrileño de Salud se dan cita decenas de
aplicaciones informáticas que con la tecnología más inno-
vadora ofrecen soporte a la atención sanitaria de más de
6.000.000 de ciudadanos, siendo la comunicación y coordi-
nación un eje vital de éxito.
Ejemplo de ello es el procedimiento que desde las unidades
de atención al paciente coordina las actuaciones de más de
38.000 profesionales técnicos y sanitarios, para dar respues-
ta a los derechos de los ciudadanos en materia de tratamien-
tos de datos personales.
Elemento dinamizador de ésta y otras iniciativas es el Área
de Seguridad, donde un equipo de cualificados profesiona-
les dan respuesta a las necesidades del SERMAS y desde
donde se distribuye la newsletter o el portal de seguridad,
herramientas de comunicación de consulta habitual del pro-
fesional técnico, que concentran en un único punto alertas,
buenas prácticas, casos de éxito, políticas, normativas y toda
la información de referencia.

Ilustración 4: Boletín de Seguridad del Plan de Comunicación en protección de datos para

profesionales sanitarios y ciudadanos

Buenas prácticas
192

Fuente: Dirección General de Sistemas de Información Sanitaria de la Comunidad de Madrid

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Objetivos del Plan de Comunicación:
• Concienciar a la Dirección respecto a la necesidad
de garantizar el cumplimiento de las previsiones es-
tablecidas en el marco de la seguridad y la protec-
ción de los datos sanitarios.
• Concienciar e implantar las políticas de protección
de datos en todo el ámbito de la Consejería.
• Garantizar el cumplimiento de la legislación y re-
comendaciones del sector sanitario en materia de
Protección de Datos.
• Garantizar la protección de los derechos de los ciu-
dadanos y usuarios, aumentando su confianza en
los servicios sanitarios madrileños.
• Aumentar la seguridad de la información, garanti-
zando que el uso de los servicios de información mi-
nimicen los riesgos y garanticen la confidencialidad
de la historia clínica.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
• Promocionar unos niveles elevados de conciencia-
ción de los usuarios en materia de protección de
datos dentro de la Consejería.
• Establecer unos canales de comunicación que ha-
gan llegar la información, eliminando las barreras
de tiempo y espacio entre centros y organismos.
• Alinear la actuación de la Consejería con una estra-
tegia corporativa de seguridad.
• Transmitir una cultura en protección de datos que
alcance a la totalidad del personal.
• Ofrecer un servicio de comunicación y asesoría
continua con respecto a la protección de datos y a
la seguridad.
• Posibilitar la realimentación continua en el sistema
gracias a la participación de todos los colectivos im-
plicados en los distintos roles al servicio de la sani-
dad pública.
Buenas prácticas
193
 6
ÍNDICE

6.7 Asegurar la utilización adecuada de la información disponible en materia de seguridad

y confidencialidad de los datos de carácter personal (Gerencia del Área 10 de atención
primaria del Servicio Madrileño de Salud)

El objetivo principal del proyecto es asegurar que la informa-
ción generada a partir de la actividad que se desarrolla en
el Área Sanitaria sea utilizada adecuada y confidencialmen-
te, mediante la potenciación de los mecanismos necesarios
para preservar el secreto profesional y el tratamiento confi-
dencial de los datos.
Para ello se pretenden conseguir los siguientes objetivos es-
pecíficos:
Los grupos trabajan mediante la realización de reuniones
que requieren la elaboración de un acta en la que constan
conclusiones y orden del día de la siguiente reunión.
Los miembros de los grupos trabajan tanto individual como
conjuntamente, analizando las necesidades y diseñando, de-
sarrollando e implantando las medidas oportunas para lograr
solucionar los problemas técnicos y de información / forma-
ción detectados.

• Asegurar que los sistemas informáticos del Área Fase de desarrollo:

cumplan las condiciones de seguridad pertinentes
que garanticen la confidencialidad de los datos de La fase de desarrollo consta a su vez de varios procesos que
carácter personal almacenados. se llevan a cabo de manera simultánea:

• Promover la formación necesaria, tanto ética como a. Plan de información / formación de los profesiona-
técnica, para que la seguridad y confidencialidad de les del Área 10.
la información sean asumidas de forma práctica por
el personal sanitario y no sanitario. a. Registro de ficheros.

Buenas prácticas
Metodología de trabajo: b. Plan de seguridad del Área.

A través de la formación de grupos de trabajo, constituidos

por profesionales asistenciales y no asistenciales, sanitarios
y no sanitarios, se pretende cumplir los objetivos previstos.

194

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 6
ÍNDICE

6.8 Protección online de datos personales (Oficina del Defensor del Paciente de la Consejería
de Sanidad y Consumo de la Comunidad de Madrid)

El Defensor del Paciente tiene como misión cumplir la nor-
mativa reguladora sobre protección de datos personales. Su
visión es llegar a ser una institución que proteja los datos
personales de acuerdo a las necesidades y expectativas de
sus usuarios para alcanzar unos niveles de calidad similares
a los de las organizaciones públicas más avanzadas. Para
ello, ha establecido una cultura de la protección de los datos
personales basada en la mejora continua de la gestión y en-
caminada a proporcionar utilidad al usuario.
La estrategia del Defensor del Paciente consiste en favorecer
las demandas de sus usuarios en materia de protección de da-
tos en el menor tiempo y al mejor coste posible facilitando una
información única y homogénea, con independencia del modo
de acceso (atención presencial, telefónica o por Internet) y del
usuario de la misma (clientes externos -los ciudadanos- e in-
ternos -los empleados y las organizaciones públicas-).
La nueva página web del Defensor del Paciente incorpora el
conocimiento de la organización sobre protección de datos
personales.
En el Área de Atención al Usuario de la Oficina del Defensor
del Paciente los ciudadanos tienen a su disposición ejempla-
res de la Carta de Servicios de la Agencia de Protección de
Datos de la Comunidad de Madrid, folletos explicativos sobre
el uso y tratamiento de datos personales y el cartel divulga-
tivo de la Agencia.

Ilustración 5: Web del Defensor del Paciente

Buenas prácticas
195

Fuente: Oficina del Defensor del Paciente de la Consejería de Sanidad y Consumo de la Comunidad de Madrid

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 6
ÍNDICE

6.9 Documentación clínica en Atención Primaria: procedimiento de acceso para uso no

asistencial (Osakidetza – Servicio Vasco de Salud)

El acceso o uso de la historia clínica o documentación clínica
de un paciente plantea varias cuestiones de índole legal que
requieren un minucioso análisis, a fin de buscar la confluen-
cia de derechos de todas las partes implicadas y las medidas
a establecer para su garantía.
Este análisis abarca dos bloques normativos: la legislación
sanitaria y la específica en materia de protección de datos de
carácter personal.
La Instrucción 6/2003, del Director General de Osakidetza
(Servicio Vasco de Salud), insta a todo el personal que de-
sarrolla su trabajo en cualquiera de las organizaciones de
servicios, a conocer la normativa actual en materia de pro-
tección de datos y de confidencialidad de la información, así
como a aplicar las medidas adecuadas cuando en el ejercicio
de sus funciones manejen cualquier tipo de dato de carácter
personal.

Ilustración 6: Documentación clínica en Atención Primaria: procedimiento de acceso

para uso no asistencial

Buenas prácticas
196

Fuente: Osakidetza – Servicio Vasco de Salud

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 6
ÍNDICE

Con la intención de ayudar a los profesionales en este pro-
ceso de adaptación, se elaboró el documento de procedi-
miento de acceso a documentación clínica en atención pri-
maria, al igual que la publicación en 2003 del procedimiento
de acceso a la documentación clínica hospitalaria. Allí se
describen aspectos fundamentales relacionados con el cir-
cuito a seguir. Su aplicación puede resultar una herramienta
muy útil en la gestión diaria de las peticiones de acceso de
este tipo.
Objetivo
El objetivo de este documento es desarrollar un procedimien-
to de fácil manejo que regule en la práctica diaria el acceso
a los datos clínicos del paciente en las Unidades de Atención
Primaria, cuando la petición o motivo de acceso es con fines
no asistenciales.
Los circuitos propuestos pretenden garantizar el acceso a
través de actuaciones homogéneas en los diferentes centros
de la red y facilitar a todos los profesionales criterios sobre
el manejo o trámites a seguir ante una petición de este tipo,
independientemente de que los datos clínicos se encuentren
registrados en soporte papel o informático.
Las situaciones de uso y acceso desarrolladas en la Ley
41/2002, de derechos y obligaciones en materia de docu-
mentación clínica y de autonomía del paciente, se han orde-
nado en función de quien lo solicita. Dentro de cada apartado
se definen los siguientes puntos:
• Procedimiento de solicitud.
• Requisitos.
• Tramitación.
• Tipo de documentos a facilitar.
• Plazo de entrega.

Buenas prácticas
197

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 6
ÍNDICE

6.10 Percepciones y realidades de los profesionales sanitarios sobre la Protección de Datos

Gestión de Identidad. HUser (Hospitales Universitarios Virgen del Rocío – Servicio Andaluz
de Salud)

Uno de los retos es asegurar la privacidad de la información
existente, para lo cual es preciso que se den los siguientes
requisitos:
• Disponer de un sistema que permita conocer en todo
momento los usuarios con autorización para acceder a
los distintos sistemas de información y permita su ras-
treo en las operaciones que realice.
• Asegurar que toda persona con privilegios de ac-
ceso tiene una relación contractual con el Hospital.
Gestionar la finalización de contrataciones labora-
les.
• Asegurar que el usuario es pleno conocedor de
la importancia de los datos a los que accede,
de la necesidad de su privacidad y protección.

Ilustración 7: Aplicación HUser

Buenas prácticas
198

Fuente: Hospitales Universitarios Virgen del Rocío – Servicio Andaluz de Salud

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

• Disponer de un dispositivo ágil de solicitud y de
autorización de acceso a los distintos sistemas
de información.
• Disponer de un único nombre de usuario y con-
traseña para todos los sistemas de información
a los que un usuario accede.
Para dar respuesta a lo planteado, el Hospital Universitario
Virgen del Rocío dispone de un software de desarrollo propio
denominado “HUser” que posibilita que todo profesional que,
en función de su actividad, necesite acceder a un determina-
do sistema de información o servicio disponible (correo elec-
trónico, Internet, biblioteca...) tenga un identificador (usuario/
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
contraseña) personal que lo autorice e identifique en cada
uno de los accesos realizados.
Para disponer de la cuenta de usuario ha de realizar una so-
licitud al Servicio de Tecnologías de la Información. Para ello
dispone de un formulario web que, tras ser cumplimentado
con sus datos demográficos y laborales, le permite indicar
los sistemas de información a los que desea acceder. En el
mismo acto imprime un documento donde se le ofrece infor-
mación referente a la LOPD y se le recuerda su responsabi-
lidad de asegurar la confidencialidad de los datos a los que
acceda. Este documento tiene que ser firmado por el solici-
tante y enviado al Servicio de Tecnologías de la Información,
donde queda registrado y archivado.
Buenas prácticas
199

6.11 Mejora del tratamiento del fichero de datos de carácter personal de alta seguridad Pacientes
CMD, pacientes y deportistas que acuden al Centro (Centro de Medicina Deportiva de la
Comunidad de Madrid)
La base de datos que hasta estos momentos maneja el fi-
chero Pacientes CMD de historias clínicas del Centro de Me-
dicina Deportiva de la Comunidad de Madrid desde el año
1999, se gestiona con una herramienta ofimática de Base
de Datos. Se ha procedido a la sustitución de la misma por
una nueva aplicación que cubre todas las facetas exigibles
en protección de datos personales, ya que en su momento
fueron detectadas deficiencias importantes en cuanto al ma-
nejo de esta información por parte de la aplicación ofimática.
Las deficiencias más importantes detectadas en la aplicación
ofimática se pueden resumir en:
• Las contraseñas de acceso al sistema no tienen
una caducidad expresa.
• Las contraseñas se almacenan en el sistema sin cifrar.
• El sistema no establece el período máximo de vi-
gencia de las contraseñas.
• En cuanto a la gestión de soportes, no había una au-
torización expresa para las salidas semanales que
se producen para el envío de copias de respaldo y
recuperación de contingencias, ni registro de entrada
y salida referente al traslado semanal de las copias
de respaldo y recuperación de contingencia.
• No se indican las acciones concretas que se han de
llevar a cabo para el borrado de los datos cuando se
pretende la reutilización de la ficha.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
• No había un registro o archivo de las revisiones y
controles que realiza periódicamente el responsa-
ble de seguridad.
• El sistema no establece un máximo de intentos fa-
llidos de acceso al mismo por parte de los usuarios.
• No se podía identificar inequívocamente al personal
autorizado a acceder a la sala donde se ubica el
fichero Pacientes CMD.
• En cuanto el registro de accesos, el sistema no per-
mite establecer un registro de la información exigida
relativa a los accesos de los usuarios.
Así, se ha estado trabajando durante los dos últimos años en
adecuar la nueva aplicación a las necesidades pertinentes
para el desempeño de la labor, eminentemente sanitaria y de
investigación, con todas las garantías en cuanto a protección
de datos personales se refiere.
Buenas prácticas
El responsable de seguridad del Centro de Medicina Deporti-
va se ha encargado de coordinar y controlar las medidas de
seguridad definidas en el documento de seguridad, analizar
los informes de auditoría y elevar la conclusiones de los mis-
mos al responsable del fichero, controlar directamente los
mecanismos de registro de accesos sin que se pueda permi-
tir la desactivación de los mismos, revisar periódicamente la
información de control del registro de accesos y elaborar un
informe de las revisiones realizadas y los problemas detecta- 200
dos con una periodicidad mensual.

6.12 La Comisión de Seguridad en la Información del Hospital Universitario Virgen de la Arrixaca
como garante de la Protección de Datos de Carácter Personal (Hospital Virgen de la Arrixaca,
Murcia)
La Comisión de Seguridad en la Información del Hospital Uni-
versitario Virgen de la Arrixaca supone el último paso dado
por este centro gestor de asistencia sanitaria en la Región de
Murcia a fin de garantizar adecuadamente en el Hospital una
política de protección de datos de carácter personal.
Como proyecto corporativo en el ámbito de la Consejería
de Sanidad y del Servicio Murciano de Salud, se ha de-
cidido aplicar y desarrollar el modelo Europeo de Calidad
Total (EFQM) potenciando como principales herramientas
los sistemas de información, la tecnología y la gestión por
procesos.
Alineado con esta realidad, el Hospital Universitario Virgen
de la Arrixaca ha diseñado y está implantando la gestión por
procesos, en el marco de los Sistemas de Información y Eva-
luación. Para ello, se ha presentado recientemente el Mapa
de procesos de nivel 0 (Macroprocesos), con la diferencia-
ción y especificación de los grandes procesos que constitu-
yen la esencia de su funcionamiento.
Desde la Subdirección de Gestión de Sistemas de Informa-
ción y Evaluación se impulsan y coordinan todas aquellas ac-
tuaciones tendentes a asegurar el cumplimiento de la norma-
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
tiva en materia de seguridad y confidencialidad de datos. Por
tanto, el Hospital Universitario Virgen de la Arrixaca ya creó en
el año 2003 la figura del Coordinador de Seguridad Informáti-
ca, dependiente del Servicio de Informática, con el propósito
de organizar, planificar y adoptar las medidas de seguridad
que establece el Reglamento de medidas de seguridad de los
ficheros que contengan datos de carácter personal y que la
LOPD exige, colaborando con el Responsable del Fichero.
La Comisión tiene como funciones principales, entre otras:
a. El análisis actual de la seguridad hospitalaria en
materia de protección de datos.
b. La elaboración de una reglamentación interna de
seguridad.
c. La implementación de la normativa de seguridad.
Buenas prácticas
d. La formación a los responsables de seguridad y de
los ficheros y a todo el personal del hospital.
e. La preparación de una auditoría en materia de pro-
tección de datos y medidas de seguridad.
201

6.13 Recomendaciones sobre la normativa de Protección de Datos de carácter personal y las
Historias Clínicas (Colegio de Médicos de Madrid)
El Ilustre Colegio Oficial de Médicos de Madrid, consciente
de las dudas y complicaciones que conlleva la aplicación e
interpretación de la normativa sobre protección de datos de
carácter personal y la legislación sobre sanidad específica
en esta materia (principalmente la Ley 41/2002, de derechos
y obligaciones en materia de documentación clínica y de
autonomía del paciente) decidió elaborar unas recomenda-
ciones que ayuden a orientar a los responsables de centros
sanitarios y a los facultativos de ejercicio individual.
La finalidad de estas recomendaciones es orientar al médico
colegiado, de la manera más práctica posible. Es necesaria
o, al menos, conveniente la consulta sobre el caso concreto
al experto en la materia, pudiendo dirigirse al efecto a la Ase-
soría Jurídica del Colegio de Médicos de Madrid.
Las recomendaciones, elaboradas conforme a la normativa
vigente en enero de 2006, se dedican a cinco aspectos esen-
ciales en materia de confidencialidad, archivo y protección
de datos de salud:
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
1) Recomendación del Ilustre Colegio de Médicos de
Madrid (ICOMEM) sobre cómo cumplir las obligacio-
nes formales impuestas por la normativa sobre pro-
tección de datos de carácter personal.
2) Recomendación del ICOMEM sobre el tratamiento de
los datos de salud de los pacientes.
3) Recomendación del ICOMEM sobre la cesión o reve-
lación de datos de salud.
4) Recomendación del ICOMEM sobre las medidas de
seguridad a adoptar respecto a los datos de salud
contenidos en las historias clínicas.
5) Recomendación del ICOMEM sobre la jubilación o
cese en la actividad profesional y los datos de salud
de los pacientes.
Buenas prácticas
202

6.14 Diseño y estrategia de implantación de un sistema integrado de información con datos de
seguridad alta en Salud Pública (Instituto de Salud Pública de la Comunidad de Madrid)
El análisis efectuado puso en evidencia que la situación de
los sistemas de información de la Dirección General de Sa-
lud Pública y Alimentación y de su órgano técnico científico
el Instituto de Salud Pública es compleja, en cuanto que hay
muchos ficheros con datos de especial protección, por ser de
salud. Desde comienzos de la década de los noventa se han
ido incrementando de manera progresiva los ficheros automa-
tizados que han ido facilitando la gestión de los datos que se
generan y son necesarios para desarrollar las funciones de
Salud Pública. No obstante, con el paso del tiempo las herra-
mientas informáticas utilizadas se han quedado muy escasas,
tanto técnica como funcionalmente, de manera que ya no per-
mitían realizar un control óptimo de los datos introducidos.
Ante la situación detectada, se elaboró una estrategia cuya
idea esencial era unificar el sistema de información del Ins-
tituto de Salud Pública. De esta forma de múltiples ficheros
conteniendo estructuralmente la misma información, se pasó
a un sistema integrado que contempla cada una de las es-
pecificidades pero dentro de una estructura de base de da-
tos común. Ninguna de las especificidades hace cambiar la
clasificación de seguridad del fichero que en todos los casos
maneja información de seguridad alta.
Los objetivos estratégicos son los siguientes:
1) Cumplir de manera estricta la legislación sobre pro-
tección de datos de carácter personal al aplicar a to-
dos los ficheros incorporados a la base de datos el
nivel de seguridad alto.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
2) Adaptación de los procedimientos de comunicación
de los ficheros con datos de carácter personal a los
requisitos legales.
3) Aplicar el principio de calidad a los datos de los fi-
cheros, agilizando la actualización e incorporación
de la información, así como la depuración de la infor-
mación, mediante el cruce de los datos de distintos
ficheros.
4) Facilitar el derecho de información a los ciudadanos,
simplificando el ejercicio de acceso, rectificación, can-
celación y oposición a los datos personales así como
impugnación de valoraciones.
5) Establecimiento de garantías de cumplimiento de la
obligación de secreto por todas aquellas personas
que manejen datos de carácter personal en el ejerci-
cio de sus funciones.
Buenas prácticas
6) Agilizar la gestión de la información en el Instituto de
Salud Pública.
7) Propuesta de controles a establecer en el acceso a
los datos por cuenta de terceros.
8) Simplificar la tramitación administrativa en cuanto a
creación, modificación o supresión de ficheros, que
dado el dinamismo en la información de la salud pú-
blica, se prevén numerosos. 203
 6
ÍNDICE

6.15 Seguridad en el desarrollo y preproducción con datos reales en un sistema de información

centralizado de gestión de Historias Clínicas (Dirección General de Informática,
Comunicaciones e Innovación Tecnológica, Consejería de Sanidad y Consumo de la
Comunidad de Madrid)

El nuevo sistema de información centralizado de Atención
Primaria es un elemento fundamental de la plataforma in-
formática que da soporte a los profesionales sanitarios que
prestan sus servicios en las gerencias de Atención Primaria
del Servicio Madrileño de Salud.
Este sistema incorpora la informatización de las historias clí-
nicas de los pacientes, realiza la programación de las consul-
tas, se utiliza para la generación de prescripciones, recetas
y partes de incapacidad, gestión de vacunaciones, y ejecuta
otras funciones básicas para facilitar los diferentes servicios
que estas áreas deben ofrecer a los usuarios del Servicio
Madrileño de Salud.
El informe presenta las acciones realizadas en el marco del
desarrollo del nuevo sistema de información centralizado de
Atención Primaria, con objeto de garantizar la seguridad del
sistema, así como asegurar el cumplimiento de los requisitos
• Facilitar por distintos canales los derechos de acce-
so, rectificación, cancelación y oposición.
• Aumentar los niveles de garantía de protección de
su derecho a la confidencialidad, disponibilidad e
integridad de sus datos sanitarios.
• Garantizar la disponibilidad de acceso a la historia clí-
nica por parte de los facultativos de toda la informa-
ción del paciente en el momento de la atención, inde-
pendientemente del Centro donde se haya generado.
• Facilitar la accesibilidad a los servicios ofertados y ga-
rantizar la conservación de la documentación clínica.
Un aspecto fundamental en el diseño del nuevo entorno ha
sido la seguridad, tanto en relación con la infraestructura
(equipos, comunicaciones, etc.), como de las características

Buenas prácticas
legalmente exigibles en cuanto a la protección de datos de y funcionalidades del Sistema de Información, así como en
carácter personal, y muy especialmente, de los datos relati- lo relativo a la documentación y definición de procedimientos
vos a la salud de los ciudadanos. organizativos y de buenas prácticas.

Muchos son los beneficios para el ciudadano, ya que permite:
• Optimizar la atención recibida, al mejorar la gestión
de los procesos y aumentar el tiempo de dedicación
a los problemas de salud.
En este sentido, se ha desarrollado un proyecto paralelo al
propio desarrollo del sistema, para garantizar el cumplimien-
to de los criterios de seguridad establecidos en la LOPD, así
como en su normativa de desarrollo, y también de la normati-
va vigente en el sector sanitario y en la propia Organización. 204

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

6.16 Proyecto de Historia clínica compartida (Generalitat Catalunya, Department de Salut)
El objetivo principal de la Historia clínica compartida es la
mejora de la atención de la salud de los ciudadanos me-
diante una herramienta que mejore y facilite el trabajo de los
profesionales sanitarios al permitir el uso compartido de la
información disponible sobre los pacientes entre los centros
asistenciales de Cataluña.
La Historia clínica compartida de Cataluña tiene que facilitar
y potenciar la continuidad asistencial, para mejorar el uso de
los recursos informativos y posibilitar que pacientes atendi-
dos en diversos centros no se tengan que someter a explora-
ciones y procedimientos repetidos.
Es necesario ir hacia un modelo único (o común) de accesos a
registros informativos de los diversos sistemas de información.
La Historia clínica compartida de Cataluña no es la suma de
las historias clínicas de los centros sanitarios, sino que tiene
que permitir el acceso de forma organizada a la información
relevante, respetando los diferentes modelos de historia clínica.
En el modelo de accesos que se desarrolle es indispen-
sable mantener la confianza en aspectos de seguridad y
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
confidencialidad, de médicos y pacientes. Es clave que el
sistema de identificación del ciudadano sea unívoco. El sis-
tema incluirá requisitos de seguridad y garantizará la traza-
bilidad de todos los accesos a la Historia clínica compartida.
La Historia clínica compartida de Cataluña tendrá como nú-
cleo central a todos los pacientes del sistema sanitario de
Cataluña. Inicialmente, dará cobertura a los pacientes de la
red sanitaria de utilización pública. El objetivo en una fase
posterior es dar soporte a los pacientes del sistema sanitario
privado. El ciudadano es el titular de los datos que constan
en la historia clínica, y, tendrá que tener acceso a la infor-
mación disponible sobre su propia salud y la posibilidad de
decidir sobre el acceso a esta información por parte de los
profesionales que lo atienden.
Es importante normalizar la información que se intercambia,
para lo cual el sistema presenta unas necesidades de utiliza-
ción de estándares de integración tecnológica que permiten
la comunicación y estándares funcionales.
Buenas prácticas
205
 6
ÍNDICE

6.17 Adecuación a la LOPD de SaCyL: El reto hacia la seguridad (Gerencia Regional de Salud
de Castilla y León)

En el año 2003, la Gerencia Regional de Salud de Castilla
y León tomó la determinación de acometer este problema
desarrollando el Plan de Seguridad Integral del Sistema de
Información de la Gerencia Regional de Salud de la Junta de
Castilla y León. En él, de forma conjunta para sus Gerencias
de Atención Especializada, Gerencias de Atención Primaria,
Gerencias de Salud de Área y Servicios Centrales, se reali-
zó un completo análisis de riesgos de activos informáticos y
se elaboró un Plan Director de Seguridad que estableció las
bases y medidas de seguridad a implantar para garantizar la
seguridad de sus sistemas.
Desde el primer momento la Gerencia Regional de Salud
tomó la determinación de dotar al Sistema Sanitario de Cas-
tilla y León de la seguridad y confidencialidad que los pacien-
tes demandan, motivo por el cual fue creada la Oficina de
Seguridad de la Información cuyo cometido es implantar los
procedimientos y medidas de seguridad que se derivaron del
Plan Director de Seguridad, siendo prioritario el proceso de
adecuación a la LOPD del Servicio Regional de Salud.
Desde entonces, la Oficina de Seguridad de la Información
ha venido realizando un extenso trabajo en materia de se-
guridad y de protección de datos de carácter personal, im-
plantando las actuales Políticas de Seguridad de la Gerencia
Regional de Salud de Castilla y León, desarrollando un sóli-
do procedimiento de adaptación a la LOPD de Centros Sani-
tarios y, sobre todo, concienciando a los responsables de los
centros de la necesidad de garantizar la confidencialidad de
la información sanitaria.

Ilustración 8: Imagen de campaña “El reto hacia la seguridad”

Buenas prácticas
206

Fuente: Gerencia Regional de Salud de Castilla y León

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Al iniciar el proceso de adecuación a la LOPD se identificó
la primera incógnita que debía ser resuelta: ¿quién debía ser
el encargado de llevar toda la responsabilidad de implantar
y mantener la protección de datos de carácter personal en
cada Gerencia?
Dentro del proceso de adecuación a la LOPD de cualquier
organismo público, se distinguieron cuatro fases claramente
diferenciadas:
1) Fase teórico-normativa, cuyas implicaciones son pu-
ramente administrativas y que se realiza de forma
transparente para los usuarios de los ficheros, en la
cual se identifican todos los ficheros de carácter per-
sonal de la Gerencia.
2) Fase de adecuación, en la que se definen las caracte-
rísticas de cada fichero, se elabora el Documento de
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
Seguridad, se identifican las deficiencias respecto a
los requerimientos de la LOPD y se proponen las me-
didas de seguridad a implantar para su subsanación.
3) Fase de formación, en la que se informa a los usua-
rios de los ficheros de carácter personal del trabajo
realizado, de la necesidad de garantizar la confiden-
cialidad en el uso de la información confidencial, y de
cómo los trabajadores de la Gerencia pueden y deben
colaborar en el cumplimiento de la normativa de pro-
tección de datos de carácter personal.
4) Fase de seguimiento, una vez finalizada la adecua-
ción a la LOPD de la Gerencia, debe realizarse para
garantizar que se han implantado las medidas de se-
guridad identificadas, no han aparecido posibles nue-
vos ficheros, etc.
Buenas prácticas
207

6.18 Procedimiento de anonimización de pacientes al ingreso (Hospital Virgen del Camino,
Pamplona)
El Hospital Virgen del Camino de Pamplona, tras informatizar
en el año 1992 la gestión administrativa de los pacientes,
decidió implantar, como medida de mejora, la supresión tem-
poral de los datos nominales de aquellos pacientes ingresa-
dos que así lo solicitasen. La decisión se adoptó en base al
artículo 10.3 de la Ley General de Sanidad.
Cuando un/a ciudadano/a ingresa en el Hospital Virgen del
Camino puede solicitar ser “anónimo”, por lo que el Servicio
de Admisión sustituye temporalmente en el programa infor-
mático de gestión administrativa (Host) el nombre y apellidos
del titular por “paciente sin identificar” (conservando, sin em-
bargo, para su identificación inequívoca el número de histo-
rial, el número de la seguridad social, el número de tarjeta
sanitaria individual, etc.). Con ello se garantiza la identifica-
ción del titular, pero ésta se realiza con datos que no compro-
meten su anonimato ante terceros.
Desde este momento, aparecerá como “paciente sin identifi-
car” (sin sus datos nominales) en los puntos de información,
en su Historia Clínica Informatizada, control de enfermería,
peticiones al laboratorio, partes quirúrgicos... Como medida
de seguridad se le coloca al paciente una pulsera identifica-
tiva con su número de historia clínica. Al ser dado de alta, el
programa informático de admisión y, a través de él, su Histo-
ria Clínica Informatizada recupera el nombre y apellidos del
titular.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
Cualquier ciudadano adulto puede solicitar esta medida di-
rectamente en el Servicio de Admisión del Hospital (o a tra-
vés del Servicio de Atención al Paciente, de Trabajo Social,
etc.) y éste la ejecutará en el momento sin preguntar al solici-
tante el motivo de la petición ni registrar ésta en lugar alguno.
Implantación
Esta medida fue implantada en el año 1993. Posteriormente,
en el año 2000, con la progresiva implantación de la Historia
Clínica Informatizada como herramienta de trabajo clínico para
los facultativos del hospital, esta actuación se ha hecho más
eficaz, ya que permite el anonimato no sólo en los puntos de
información, sino también en todo el proceso asistencial.
Estado actual
El Servicio de Admisión no pide explicaciones al peticionario,
pero se sabe que la mayor parte de las solicitudes las rea-
lizan pacientes ingresadas en el Servicio de Obstetricia con
Buenas prácticas
medidas especiales de custodia de la intimidad por ser vícti-
mas de violaciones, madres dispuestas a dar a su hijo recién
nacido en adopción, madres adolescentes, o son peticiones
tramitadas por Trabajo Social por problemas de agresiones,
conflictividad social, etc. En otros casos, las motivaciones
son de carácter personal y no trascienden al personal admi-
nistrativo que ejecuta la acción.
208

6.19 Reglamento de uso de la Historia Clínica en el Hospital (Hospital de Cruces, Bilbao)
El reglamento tiene como objetivo regular todos aquellos as-
pectos concernientes al uso de la Historia y que pueden inci-
dir en las distintas misiones que ésta puede cumplir. Quedan
obligados al cumplimiento de las normas todas las personas
que de una manera u otra, con un objetivo u otro, utilicen los
soportes de información clínica aludidos y sea cual fuere su
categoría profesional o su relación contractual con el Hos-
pital.
Confidencialidad de la Historia Clínica y responsabilida-
des
• La información de la Historia Clínica es de carácter
confidencial y cada profesional de forma individuali-
zada, así como la institución de forma global tienen
la obligación de garantizar el derecho fundamental
del enfermo a su intimidad personal y familiar.
• A su vez, los profesionales u órganos que trabajan
recopilando y procesando datos personales e infor-
mación clínica contenida en la Historia Clínica, o de
manera directa e indirecta tengan acceso a ésta,
están sujetos al mismo deber de secreto que los
profesionales sanitarios.
• Las normas de confidencialidad son independien-
tes del tipo documental que recoge la información
clínica; es decir, soporte papel, magnético u otras
tecnologías futuras.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
• La obligación de secreto subsiste aun después de
finalizar la relación con el enfermo, con el servicio o
con la institución correspondiente.
• Se tendrán en cuenta medidas de seguridad es-
pecíficas para garantizar la confidencialidad, se-
guridad e integridad de los datos siempre que se
utilicen ficheros de Historia Clínica o se pongan en
marcha programas de recogida de información, al-
macenamiento y recuperación de datos clínicos.
• La Dirección del centro sanitario es la responsable
de velar para que las medidas de confidencialidad y
deber de secreto se cumplan.
• Los profesionales en el ejercicio de la práctica clíni-
ca tienen la obligación de denunciar la falta de me-
didas de seguridad o uso indebido de la información
clínica cuando conozcan prácticas que atenten con-
tra el deber de confidencialidad en el uso y manejo
de la Historia Clínica.
Buenas prácticas
• Todos estos conceptos están amparados por la nor-
mativa actual (Ley Orgánica 10/1995 del Código
Penal). Cuando se detecte una violación de la con-
fidencialidad y seguridad de la información clínica, la
Dirección del centro procederá a esclarecer las cir-
cunstancias a fin de que se depuren las posibles res-
ponsabilidades de acuerdo con la legislación vigente.
209

6.20 Protocolo de destrucción de documentos en soporte papel (Hospital Central de la Cruz
Roja San José y Santa Adela, Madrid)
El Hospital, de acuerdo con la normativa vigente y en su em-
peño de llevar a cabo un código de buenas prácticas, ha es-
tablecido un protocolo para asegurar que la documentación
generada en el Centro, cuando ya no sea necesaria, quede
destruida y no tenga acceso a ella personal no autorizado.
Este protocolo será de aplicación a los datos de carácter per-
sonal registrados en soporte físico, que los haga suscepti-
bles de tratamiento, y a toda modalidad de uso posterior de
esos datos por los sectores público y privado.
Objetivo
El fin es garantizar y proteger, en lo que concierne al tratamiento
de los datos personales, las libertades públicas y los derechos
fundamentales de las personas físicas y, especialmente, de su
honor e intimidad personal y familiar. Para ello se plantea:
• Definir los responsables de resolver las dudas so-
bre la documentación que puede ser confidencial.
• Establecer un mecanismo para la destrucción de la
documentación que se considera confidencial.
• Fijar la localización de los contenedores de destruc-
ción confidencial de documentos.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
6
ÍNDICE
Responsabilidades
• Jefes de Servicio/Sección/Responsables de Uni-
dades/Supervisores/as: Garantizar la correcta des-
trucción o eliminación de la documentación confi-
dencial, supervisar las retiradas de documentos
confidenciales.
• Consultor de documentación confidencial: Atender
y resolver las dudas que se planteen sobre el carác-
ter confidencial de los documentos.
• Consultor de documentación administrativa: res-
ponsable de informática.
• Consultor de documentación clínica: responsable
de admisión.
• Dirección del Hospital: Poner los medios necesarios
para poder desarrollar adecuadamente el procedi-
Buenas prácticas
miento de destrucción de documentación; revisar
anualmente la implantación del mismo y favorecer
el despliegue de las acciones de mejora que se de-
riven de su evaluación; estudiar las propuestas del
grupo de trabajo.
210
 6
ÍNDICE

6.21 Sistema de actuación a seguir en el Hospital ante la solicitud de documentación clínica

por parte de los ciudadanos y responsabilidades del Hospital (Hospital Clínico San Carlos,
Madrid)

El procedimiento tiene como objeto establecer el sistema de
actuación a seguir en el Hospital Clínico San Carlos ante la
solicitud escrita de documentación clínica por parte del pa-
ciente, familiar o representante legal, y definir las responsa-
bilidades de los profesionales y ciudadanos en esta materia.
misma haga constar el tipo de documento clínico
requerido, especificando los datos que recuerde de
la asistencia sanitaria (fecha, servicio, asistencia
prestada en consulta externa, urgencias, ingreso,
etc.)

El procedimiento alcanza desde la solicitud escrita de la • La tramitación de su solicitud y por consiguiente la

documentación clínica por parte del paciente, familiar o re-
presentante legal hasta la entrega de la documentación al
solicitante y/o, en su caso, archivo del expediente.
Si un paciente o usuario desea solicitar Documentación Clí-
nica deberá tener presente las siguientes recomendaciones:
• El Servicio de Atención al Usuario del Hospital Clíni-
co San Carlos le facilitará una solicitud normalizada
para su debida cumplimentación. En este Servicio
le informarán y asesorarán de los trámites precisos,
documentación necesaria, etc.
entrega de la documentación clínica requerida se
encuentra sometida a un procedimiento administra-
tivo, por lo que no se le podrá entregar en el mismo
día. Cuando formule la solicitud le informarán del
plazo aproximado de tramitación.
• Si su médico le entrega en consulta algún docu-
mento, guárdelo, no lo extravíe, pues pudiera serle
de gran utilidad en el futuro.
• Recuerde que en ocasiones es mucho más útil y de
mayor valor clínico por ejemplo el Informe radiológi-

Buenas prácticas
co que la propia imagen o placa de RX.
• Con motivo de agilizar y facilitar la adecuada trami-
tación de su solicitud resulta conveniente que en la

211

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

Conclusiones y
reflexiones finales
7
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Del análisis global de los datos obtenidos como resultado de
las encuestas realizadas y, con carácter previo a la obtención
de reflexiones específicas sobre cada uno de los apartados
objeto de estudio, tenemos que considerar la asunción de
responsabilidades en materia de protección de datos en el
ámbito sanitario español.
Las sustanciales diferencias entre los modelos de gestión
existentes en el ámbito de la atención primaria y especiali-
zada se evidencian por las claras discrepancias en los re-
sultados de las encuestas realizadas, cuando se analizan
por separado los resultados obtenidos en el ámbito de los
hospitales y los correspondientes a los centros de salud y
consultorios, especialmente en el ámbito de los centros de
titularidad pública.
Mientras que la media de resultados satisfactorios obtenidos
en las contestaciones a las preguntas planteadas en las en-
cuestas se eleva a un 79,90% en el ámbito hospitalario, este
porcentaje desciende a un 55,88% en los centros de salud y
a un 48,12% en los consultorios.
La asunción centralizada de las obligaciones que impone
la normativa de protección de datos por parte de las geren-
cias de atención primaria (por ejemplo en el ámbito de la
Comunidad de Madrid), evidencia que en muchos casos se
ha contestado de forma desfavorable a determinadas cues-
tiones planteadas en la encuesta, cuando el interlocutor ha
sido directamente el centro de salud o un consultorio, dado
que desconocen que esa obligación analizada se cumple de
forma centralizada para todos los centros, desde el órgano
superior encargado de su coordinación. Esa misma situación
es trasladable a muchos otros ámbitos geográficos del terri-
torio español.
Una de las primeras reflexiones que deberíamos plantear,
como consecuencia de los resultados obtenidos y de la si-
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
7
ÍNDICE
tuación organizativa comentada anteriormente, es que la
centralización del cumplimiento de las obligaciones, aunque
asegura un mayor respeto al derecho fundamental a la pro-
tección de datos por parte de los centros del ámbito de la
atención primaria del que se refleja en el análisis estadístico,
produce un marcado desconocimiento de la situación real
por parte de los profesionales que prestan servicios en esos
centros.
No obstante, debemos considerar de manera global el nivel
de cumplimiento y respeto al derecho fundamental a la pro-
tección de datos más cercano al 80%, obtenido como reflejo
de las encuestas en el ámbito de la atención hospitalizada,
que al aprobado raspado que se obtiene en el ámbito de la
atención primaria.
Conclusiones y reflexiones finales
La apuesta por un modelo de cumplimiento de la normativa
de protección de datos de forma centralizada, aunque pro-
duce claros beneficios en materia de economías de escala,
produce un distanciamiento importante del conocimiento del
derecho fundamental a la protección de datos por parte de
los profesionales sanitarios que se encuentran en la prime-
ra línea de la actividad asistencial. Como segunda reflexión,
aunque los resultados de las encuestas manifiestan que
existe un importante nivel de conocimiento en la materia, de-
bería reforzarse este aspecto. Sólo a través del conocimien-
to por parte de los profesionales sanitarios de la existencia
del derecho fundamental a la protección de datos es posible
conseguir y asegurar su respeto y el cumplimiento de las
obligaciones que nos impone.
También desde un punto de vista general debe considerar-
se la relevancia de los tratamientos de datos realizados en
213
el ámbito sanitario, afectando con carácter general a datos
considerados como especialmente protegidos, lo que supo-
ne un nivel de exigencia mayor para el respeto al derecho
fundamental a la protección datos. El tratamiento de datos

sensibles supone una mayor complejidad para su legitima-
ción a través de la necesidad de recabar el consentimien-
to del interesado, de forma expresa y preferentemente con
constancia por escrito (al objeto de poder acreditarlo cuando
sea requerido) en aquellos supuestos en que sea necesario.
A este respecto, hay que considerar que, con carácter gene-
ral y salvo casos específicos, para el tratamiento de datos
personales para la prestación de asistencia sanitaria existe,
en la propia legislación de protección de datos y en las regu-
laciones sanitarias una habilitación especial que exime de la
necesidad de obtener el consentimiento.
En el escenario en que se desarrollan los tratamientos de
datos especialmente protegidos en el ámbito sanitario,
alcanzar un nivel de cumplimiento cercano al 80% en el
ámbito de la atención especializada demuestra una clara
implicación por parte de los responsables de los tratamien-
tos, que han asumido la necesidad de cumplir los mandatos
establecidos por la normativa de protección de datos. Esta
actitud, volviendo a la comparación entre los datos obteni-
dos en el ámbito de la atención especializada y primaria,
demuestra que no obstante, en determinados aspectos, los
profesionales asistenciales están centrados en el ejercicio
de la atención al paciente y usuario, decayendo en ocasio-
nes la consideración de otros aspectos en el tratamiento de
los datos personales, como son el poder de control sobre
los mismos en que se concreta el derecho fundamental a la
protección de datos.
Esta especial dificultad en la implantación de las obligacio-
nes impuestas por la normativa de protección de datos ha
llevado, en determinados momentos y desde determinados
sectores, a plantear la necesidad de la existencia de una nor-
ma específica para regular los tratamientos de datos de ca-
rácter personal en el ámbito sanitario, tratando de armonizar
el respeto a los derechos de los pacientes o usuarios con
determinadas actuaciones que se desarrollan en la práctica
sanitaria. Es necesario reconocer que el cumplimiento de la
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
7
ÍNDICE
normativa de protección de datos (y muchos derechos re-
conocidos en la normativa sectorial sanitaria posterior a la
entrada en vigor de la LOPD) en el ámbito sanitario supo-
ne el cambio radical de determinados tratamientos de datos
que se han venido realizando de forma tradicional pero, aún
siendo conscientes de esta complejidad, no parece un ar-
gumento suficiente para promover un desarrollo normativo
específico sobre la materia.
En la labor de implantación de las obligaciones impuestas
por la normativa de protección de datos en el sector sani-
tario, vistos los resultados obtenidos de las encuestas rea-
lizadas, es destacable el alto nivel de establecimiento de
procedimientos específicos para determinadas acciones a
realizar. El 69,3 % de los centros encuestados manifiestan
que poseen un procedimiento para facilitar la revocación del
Conclusiones y reflexiones finales
consentimiento prestado por el interesado, cuando éste es
necesario, para el tratamiento de sus datos.
Más de un 80% como media de los centros de atención es-
pecializada cuentan con un procedimiento para facilitar y agi-
lizar el ejercicio de derechos por parte del interesado en ma-
teria de acceso a sus datos. Desde una perspectiva objetiva
del análisis del cumplimiento de la LOPD, debe considerarse
que el ejercicio de derechos supone la vía directa en que se
concreta el poder de control del interesado sobre los trata-
mientos de sus datos personales en que consiste el derecho
fundamental a la protección de datos.
En relación con el respeto a la confidencialidad de los datos
que en muchas ocasiones se confunde con el contenido del
derecho a la protección de datos, cuando éste es sólo uno
de los muchos aspectos en que se manifiesta, destaca el
alto grado de implantación de los sistemas de limitación de 214
acceso a la información, tanto a través de sistemas de ges-
tión de contraseñas así como con la implantación de medi-
das de control de acceso físico a los datos. En este aspecto
también destaca la existencia de un 75% de centros en los

que existe un procedimiento específico para la destrucción
de documentos, alcanzándose un porcentaje del 92,2% en
los centros de atención especializada.
La implantación de procedimientos, no solo en aspectos re-
lacionados con la seguridad de los datos, constituye la mejor
vía para garantizar el tratamiento adecuado de los datos de
carácter personal.
Analizando los datos según la distribución geográfica de los
centros encuestados, se observa un mejor cumplimiento,
con carácter general, en aquellas zonas en que existe una
autoridad de control en el ámbito autonómico. Esta situación
es posible se produzca por la proximidad del órgano de con-
trol a los centros sanitarios y sus órganos de responsabili-
dad, así como por las actuaciones en materia de divulgación
y asesoramiento que realizan las Agencias autonómicas de
protección de datos. Como contrapunto a esta reflexión, la
encuesta también manifiesta un mayor grado de cumplimien-
to en el ámbito privado que en los centros dependientes del
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
7
ÍNDICE
sector público. La razón de esta última diferencia puede fun-
damentarse, en determinados casos, en la diferencia de volu-
men de muchos de los centros sanitarios públicos y privados,
así como el mayor poder coercitivo del régimen sancionador
previsto en la LOPD, mediante sanciones económicas a los
responsables de carácter privado.
Un aspecto analizado en la encuesta realizada y que ha des-
cubierto un menor nivel de implantación en los centros asis-
tenciales, es la no existencia de un Sistema de Gestión de la
Seguridad de la Información, así como de un Plan de Conti-
nuidad para la actividad. Aunque los datos obtenidos al anali-
zar de forma individualizada algunas de las medidas de segu-
ridad que impone el Reglamento de Desarrollo de la LOPD,
aprobado por Real Decreto 1720/2007, de 21 de diciembre,
revelan un considerable nivel de cumplimiento de implanta-
Conclusiones y reflexiones finales
ción de las mismas, se evidencia una falta de consideración
de la adopción de medidas de seguridad de una forma más
completa y coordinada que garanticen un normal funciona-
miento de los tratamientos de datos en caso de incidencias.
215
 ÍNDICE

Recomendaciones

8
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

8.1 Recomendaciones a usuarios pacientes
• Promoción del ejercicio de los derechos que les reco-
noce la legislación vigente en materia de protección
de datos, así como la legislación sanitaria en materia
de derechos y obligaciones en relación a la documen-
tación clínica y su capacidad de autonomía.
• Confianza en los tratamientos de datos realizados
por los centros e instituciones sanitarias y control
8.2 Recomendaciones a profesionales de la salud
• Concienciación del nuevo rol asumido por los pa-
cientes, titulares de derechos que deben ser res-
petados y sujetos activos en la relación asistencial,
con capacidad de autonomía para la toma de deci-
siones que afectan a su salud.
• Asunción de la consideración de la actividad asis-
tencial como un todo integrado por las actuaciones
8.3 Recomendaciones a centros sanitarios
• Generación de confianza del usuario en el sistema
sanitario a través del respeto de los derechos de los
pacientes y usuarios.
• Definición y establecimiento de procedimientos que
definan funciones y responsabilidades del personal
que intervenga en el tratamiento de datos de carác-
ter personal.
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
8
ÍNDICE
de los mismos a través del ejercicio del derecho de
acceso.
• Confianza en los tratamientos de datos realizados
con fines no estrictamente asistenciales (docencia,
investigación, etc.), al ser herramientas imprescin-
dibles para el desarrollo de las ciencias de la salud
y la continua mejora de la asistencia.
de diferentes profesionales, instituciones o centros
sanitarios. Rechazo de actitudes de aislamiento y
ocultación de información.
• Formación específica en la materia de la protección
de datos de carácter personal, en particular, en los
aspectos específicos que se deben considerar al
tratar datos especialmente protegidos.
Recomendaciones
• Implantación de procedimientos que faciliten a los
usuarios y pacientes el conocimiento y ejercicio de
sus derechos.
• Asunción de la protección de datos como un ele-
mento indispensable que se debe integrar en el
217
ejercicio de las funciones que se desarrollan en los
centros y servicios sanitarios y como un parámetro
de calidad en los servicios prestados.
 8
ÍNDICE

• Creación de una infraestructura material, dentro de de la sanidad y del personal administrativo y de servi-
su organización, encaminada al proceso continuo cios que desarrollan su actividad en los centros sani-
de implantación y verificación del cumplimiento de tarios sobre sus obligaciones en relación con la priva-
la normativa de protección de datos. cidad de los pacientes y los derechos de los mismos.

• Puesta en marcha de acciones sistemáticas de for-

mación y concienciación de todos los profesionales

8.4 Recomendaciones a Administraciones Públicas

• Análisis de las situaciones que se plantean en el • Consideración de la materia de la protección de

desarrollo de la actividad sanitaria, promoviendo la datos como un parámetro esencial en el diseño de
elaboración y aprobación de normas generales que sistemas o circuitos de información que traten datos
faciliten la implantación de procedimientos respetuo- personales.
sos y garantistas con los derechos de los pacientes.

8.5 Recomendaciones a organismos reguladores

• Colaboración con las administraciones e institu- • Asistencia directa a los interesados que planteen
ciones sanitarias para analizar su problemática cualquier consulta, denuncia o solicitud de tutela de

específica en el tratamiento de datos personales,
proponiendo soluciones equilibradas que garanti-
cen tanto el derecho a una asistencia sanitaria de
calidad como el respeto al derecho fundamental a
la protección de datos personales.
Recomendaciones
sus derechos, tratando de dar la máxima difusión a
sus actuaciones, para un mejor conocimiento por
toda la población de sus derechos y obligaciones.

• Asesoramiento continuo a los centros e institucio-

nes sanitarias y sus profesionales, al objeto de con-
cienciarles de la necesidad del cumplimiento de la
legislación como garantía para la mejora de la con-
fianza de los usuarios en el sistema sanitario. 218

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

Anexo I: Bibliografía

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

Agencia de Protección de Datos de la Comunidad de Madrid (2008). Protección de datos personales para Servicios Sanitarios
Públicos.

Sociedad Española de Informática de la Salud (2008). Seguridad de la Información en Entornos Sanitarios.

Legislación:

• Directiva 1995/46/CE, de 24 de octubre, del Parla- • Ley 41/2002, de 14 noviembre, básica reguladora
mento y del Consejo, sobre Protección de las perso- de la autonomía del paciente y de derechos y obli-
nas físicas en lo que respecta al tratamiento de datos gaciones en materia de información y documenta-
personales y a la libre circulación de estos datos. ción clínica.

• Ley Orgánica 15/1999, de 13 de diciembre, de Pro- • Ley 16/2003, de 28 mayo, de cohesión y calidad del
tección de Datos de Carácter Personal. Sistema Nacional de Salud.

• Real Decreto 1720/2007, de 21 de diciembre, por
el que se aprueba el Reglamento de desarrollo de
la Ley Orgánica 15/1999, de 13/12/1999, de protec-
ción de datos de carácter personal.
• Ley 14/1986, de 25 abril, General de Sanidad.
• Ley 14/2007, de 3 julio, Regula la investigación bio-
médica.
• Ley 29/2006, de 26 julio, Garantías y uso racional
de los medicamentos y productos sanitarios.

Anexo I / Bibliografía
• Ley 44/2003, de 21 noviembre, Ordenación de las
• Convenio para la protección de los derechos huma- profesiones sanitarias.
nos y la dignidad del ser humano con respecto a las
aplicaciones de la Biología y la Medicina.

220

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

Anexo II: Índices

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español

Gráfico 1: Soporte de los ficheros con datos
personales (%)............................................42
Gráfico 2: Soporte de los ficheros con datos
personales, segmentación por tipo
de centro (%)...............................................43
Gráfico 3: Soporte de los ficheros con datos
personales, segmentación por
dependencia patrimonial (%)....................... 44
Gráfico 4: Declaración de ficheros en la Agencia
de Protección de Datos (%)........................ 45
Gráfico 5: Declaración de ficheros en la Agencia
de Protección de Datos, segmentación
por tipo de centro (%)..................................46
Gráfico 6: Declaración de ficheros en la Agencia
de Protección de Datos, segmentación
geográfica (suma de Sí, en la Agencia
Estatal y Sí, en la Agencia autonómica) (%).. 47
Gráfico 7: Centros sanitarios con ficheros
inventariados (%)........................................48
Gráfico 8: Centros sanitarios con ficheros
inventariados, segmentación por tipo
de centro (%)...............................................49
Gráfico 9: Centros sanitarios con ficheros
inventariados, segmentación por
dependencia patrimonial (%)....................... 50
Gráfico 10: Centros sanitarios con ficheros
inventariados, segmentación geográfica (%)... 51
Gráfico 11: Formación sobre protección de datos
del personal de atención al público (%)...... 52
Gráfico 12: Formación sobre protección de datos
del personal de atención al público,
segmentación por tipo de centro (%).......... 53
Gráfico 13: Formación sobre protección de datos
del personal de atención al público,
segmentación por dependencia
patrimonial (%)............................................54
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
Gráfico 14: Formación sobre protección de datos
del personal de atención al público,
segmentación geográfica (suma de
Conoce de forma general los derechos
de las personas cuyos datos se recaban
y Dispone de un conocimiento profundo
de la normativa sobre protección
de datos) (%)...............................................55
Gráfico 15: Existencia de la figura de coordinador
o responsable de protección de datos (%)... 56
Gráfico 16: Existencia de la figura de coordinador
o responsable de protección de datos,
segmentación por tipo de centro (%).......... 57
Gráfico 17: Existencia de la figura de coordinador
o responsable de protección de datos,
segmentación por dependencia
patrimonial (%)............................................58
Gráfico 18: Existencia de la figura de coordinador
Anexo II / Índice de gráficos
o responsable de protección de datos,
segmentación geográfica (%)...................... 59
Gráfico 19: Existencia de cláusulas informativas
en los impresos de recogida de datos
de los pacientes (%)....................................61
Gráfico 20: Existencia de cláusulas informativas
en los impresos de recogida de datos
de los pacientes, segmentación por
tipo de centro (%)........................................62
Gráfico 21: Existencia de cláusulas informativas
en los impresos de recogida de datos
de los pacientes, segmentación por
dependencia patrimonial (%)....................... 63
Gráfico 22: Existencia de cláusulas informativas
en los impresos de recogida de datos
de los pacientes, segmentación
222
geográfica (%).............................................64
Gráfico 23: Modo de información sobre el sistema
de videovigilancia (%).................................65

Gráfico 24: Modo de información sobre el sistema
de videovigilancia, segmentación por
tipo de centro (%)........................................66
Gráfico 25: Modo de información sobre el sistema
de videovigilancia, segmentación por
dependencia patrimonial (%)....................... 67
Gráfico 26: Existencia de carteles informativos (%)...... 68
Gráfico 27: Existencia de carteles informativos,
segmentación por tipo de centro (%).......... 69
Gráfico 28: Existencia de carteles informativos,
segmentación por dependencia
patrimonial (%)............................................70
Gráfico 29: Existencia de carteles informativos,
segmentación geográfica (%)...................... 71
Gráfico 30: Solicitud de consentimiento (%).................. 74
Gráfico 31: Solicitud de consentimiento,
segmentación por tipo de centro (%).......... 75
Gráfico 32: Solicitud de consentimiento,
segmentación por dependencia
patrimonial (%)............................................76
Gráfico 33: Solicitud de consentimiento,
segmentación geográfica (suma de
Siempre y A menudo) (%)...........................77
Gráfico 34: Existencia de procedimiento para
la revocación del consentimiento (%).......... 78
Gráfico 35: Existencia de procedimiento para
la revocación del consentimiento,
segmentación por tipo de centro (%).......... 79
Gráfico 36: Existencia de procedimiento para
la revocación del consentimiento,
segmentación por dependencia
patrimonial (%)............................................80
Gráfico 37: Existencia de procedimiento para
la revocación del consentimiento,
segmentación geográfica (%)...................... 81
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
Gráfico 38: Existencia de procedimiento para
la solicitud de consentimiento en casos
de investigaciones clínicas (%)................... 82
Gráfico 39: Existencia de procedimiento para
la solicitud de consentimiento en casos
de investigaciones clínicas, segmentación
por tipo de centro (%)..................................83
Gráfico 40: Existencia de procedimiento para l
a solicitud de consentimiento en casos
de investigaciones clínicas, segmentación
por dependencia patrimonial (%)................ 84
Gráfico 41: Existencia de procedimiento para
la solicitud de consentimiento en casos
de investigaciones clínicas, segmentación
geográfica (%).............................................85
Gráfico 42: Existencia de controles en la recogida
de datos de la Historia Clínica en los
casos de investigaciones (%)...................... 86
Anexo II / Índice de gráficos
Gráfico 43: Existencia de controles en la recogida
de datos de la Historia Clínica en los
casos de investigaciones, segmentación
por tipo de centro (%)..................................87
Gráfico 44: Existencia de controles en la recogida
de datos de la Historia Clínica en los
casos de investigaciones, segmentación
por dependencia patrimonial (%)................ 88
Gráfico 45: Existencia de controles en la recogida
de datos de la Historia Clínica en los
casos de investigaciones, segmentación
geográfica (suma de Siempre
y A menudo) (%)..........................................89
Gráfico 46: Existencia de herramientas
o procedimientos de anonimización
de datos (%)................................................90
223
Gráfico 47: Existencia de herramientas
o procedimientos de anonimización
de datos, segmentación por tipo
de centro (%)...............................................91

Gráfico 48: Existencia de herramientas
o procedimientos de anonimización
de datos, segmentación por dependencia
patrimonial (%)............................................92
Gráfico 49: Existencia de herramientas
o procedimientos de anonimización
de datos, segmentación geográfica (%)...... 93
Gráfico 50: Recogida de datos estrictamente
necesarios para la finalidad de uso (%)...... 95
Gráfico 51: Recogida de datos estrictamente
necesarios para la finalidad de uso,
segmentación por tipo de centro (%).......... 96
Gráfico 52: Recogida de datos estrictamente
necesarios para la finalidad de uso,
segmentación por dependencia
patrimonial (%)............................................97
Gráfico 53: Recogida de datos estrictamente
necesarios para la finalidad de uso,
segmentación geográfica (%)...................... 98
Gráfico 54: Verificación de la corrección
y actualización de los datos (%).................. 99
Gráfico 55: Verificación de la corrección
y actualización de los datos,
segmentación por tipo de centro (%)........ 100
Gráfico 56: Verificación de la corrección
y actualización de los datos,
segmentación por dependencia
patrimonial (%)..........................................101
Gráfico 57: Verificación de la corrección
y actualización de los datos,
segmentación geográfica (Sí, existe
un procedimiento específico) (%).............. 102
Gráfico 58: Procedimiento para el ejercicio
de los derechos de acceso,
rectificación, cancelación u oposición
de los datos (derechos ARCO) (%)........... 105
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
Gráfico 59: Procedimiento para el ejercicio
de los derechos de acceso, rectificación,
cancelación u oposición de los datos,
segmentación por tipo de centro (%)........ 106
Gráfico 60: Procedimiento para el ejercicio
de los derechos ARCO, segmentación
por dependencia patrimonial (%).............. 107
Gráfico 61: Procedimiento para el ejercicio
de los derechos ARCO, segmentación
geográfica (%)...........................................108
Gráfico 62: Procedimiento de regulación
del acceso a los datos del historial
clínico por el titular (%)..............................109
Gráfico 63: Procedimiento de regulación
del acceso a los datos del historial
clínico por el titular, segmentación
por tipo de centro (%)................................ 110
Anexo II / Índice de gráficos
Gráfico 64: Procedimiento de regulación
del acceso a los datos del historial
clínico por el titular, segmentación
por dependencia patrimonial (%).............. 111
Gráfico 65: Procedimiento de regulación
del acceso a los datos del historial
clínico por el titular, segmentación
geográfica (%)........................................... 112
Gráfico 66: Anotaciones subjetivas de los médicos
en las historias clínicas que entrega
a los pacientes (%).................................... 114
Gráfico 67: Anotaciones subjetivas de los médicos
en las historias clínicas que entrega
a los pacientes, segmentación por tipo
de centro (%)............................................. 115
224
Gráfico 68: Anotaciones subjetivas de los médicos
en las historias clínicas que entrega
a los pacientes, segmentación por
dependencia patrimonial (%)..................... 116

Gráfico 69: Anotaciones subjetivas de los médicos
en las historias clínicas que entrega
a los pacientes, segmentación geográfica
(suma de Siempre y A menudo) (%)......... 117
Gráfico 70: Conocimiento del deber de secreto
sobre los datos personales (%)................. 118
Gráfico 71: Conocimiento del deber de secreto
sobre los datos personales,
segmentación por tipo de centro (%)........ 119
Gráfico 72: Conocimiento del deber de secreto sobre
los datos personales, segmentación
por dependencia patrimonial (%).............. 120
Gráfico 73: Limitación de accesos (%)........................ 122
Gráfico 74: Limitación de accesos, segmentación
por tipo de centro (%)...............................123
Gráfico 75: Limitación de accesos, segmentación
por dependencia patrimonial (%).............. 124
Gráfico 76: Limitación de accesos, segmentación
geográfica (Sí, y además existen
controles para evitar accesos
no autorizados) (%)...................................125
Gráfico 77: Procedimiento de gestión
de contraseñas (%)...................................126
Gráfico 78: Procedimiento de gestión
de contraseñas, segmentación
por tipo de centro (%)................................127
Gráfico 79: Procedimiento de gestión
de contraseñas, segmentación
por dependencia patrimonial (%).............. 128
Gráfico 80: Procedimiento de gestión
de contraseñas, segmentación
geográfica (%)...........................................129
Gráfico 81: Gestión del acceso de los
profesionales a la Historia Clínica
Electrónica (HCE) (%)...............................131
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
Gráfico 82: Gestión del acceso de los
profesionales a la Historia Clínica
Electrónica (HCE), segmentación
por tipo de centro (%)................................132
Gráfico 83: Gestión del acceso de los
profesionales a la Historia Clínica
Electrónica (HCE), segmentación
por dependencia patrimonial (%).............. 133
Gráfico 84: Gestión del acceso de los profesionales
a la Historia Clínica Electrónica (HCE),
segmentación por geográfica (Cada
profesional accede a la HC de los
pacientes con los que tiene relación
asistencial) (%)..........................................134
Gráfico 85: Control de acceso físico a las
instalaciones donde se encuentran
los sistemas de información (%)............... 135
Gráfico 86: Control de acceso físico a las
Anexo II / Índice de gráficos
instalaciones donde se encuentran
los sistemas de información,
segmentación por tipo de centro (%)........ 136
Gráfico 87: Control de acceso físico a las
instalaciones donde se encuentran
los sistemas de información,
segmentación por dependencia
patrimonial (%)..........................................137
Gráfico 88: Control de acceso físico a las
instalaciones donde se encuentran
los sistemas de información,
segmentación geográfica (Suma de
El acceso está restringido y El acceso
está restringido y existen herramientas
de control de accesos) (%)........................ 138
Gráfico 89: Existencia de Documento de
Seguridad (%)...........................................139
225
Gráfico 90: Existencia de Documento de
Seguridad, segmentación por tipo
de centro (%).............................................140

Gráfico 91: Existencia de Documento de
Seguridad, segmentación por
dependencia patrimonial (%)..................... 141
Gráfico 92: Existencia de Documento de
Seguridad, segmentación
geográfica (%)...........................................142
Gráfico 93: Existencia de Responsable
de Seguridad (%)......................................143
Gráfico 94: Existencia de Responsable
de Seguridad, segmentación por
tipo de centro (%)......................................144
Gráfico 95: Existencia de Responsable
de Seguridad, segmentación por
dependencia patrimonial (%)..................... 145
Gráfico 96: Existencia de Responsable
de Seguridad, segmentación
geográfica (%)...........................................146
Gráfico 97: Procedimiento de realización de
copias de respaldo y recuperación (%)..... 147
Gráfico 98: Procedimiento de realización de
copias de respaldo y recuperación,
segmentación por tipo de centro (%)........ 148
Gráfico 99: Procedimiento de realización de
copias de respaldo y recuperación,
segmentación por dependencia
patrimonial (%)..........................................149
Gráfico 100: Procedimiento de realización de
copias de respaldo y recuperación,
segmentación geográfica (%).................... 150
Gráfico 101: Existencia de un procedimiento
para la destrucción de documentos
con datos de carácter personal (%).......... 152
Gráfico 102: Existencia de un procedimiento
para la destrucción de documentos
con datos de carácter personal,
segmentación por tipo de centro (%)........ 153
Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
ÍNDICE
Gráfico 103: Existencia de un procedimiento
para la destrucción de documentos
con datos de carácter personal,
segmentación por dependencia
patrimonial (%)..........................................154
Gráfico 104: Existencia de un procedimiento
para la destrucción de documentos
con datos de carácter personal,
segmentación geográfica (%).................... 155
Gráfico 105: Procedimiento de notificación,
gestión y respuesta a incidencias (%)....... 156
Gráfico 106: Procedimiento de notificación,
gestión y respuesta a incidencias,
segmentación por tipo de centro (%)........ 157
Gráfico 107: Procedimiento de notificación,
gestión y respuesta a incidencias,
segmentación por dependencia
patrimonial (%)..........................................158
Anexo II / Índice de gráficos
Gráfico 108: Procedimiento de notificación,
gestión y respuesta a incidencias,
segmentación geográfica (%).................... 159
Gráfico 109: Existencia de un Sistema de Gestión
de la Seguridad de la Información (%)...... 160
Gráfico 110: Existencia de un Sistema de Gestión
de la Seguridad de la Información,
segmentación por tipo de centro (%)........ 161
Gráfico 111: Existencia de un Sistema de Gestión
de la Seguridad de la Información,
segmentación por dependencia
patrimonial (%)..........................................162
Gráfico 112: Existencia de un Sistema de Gestión
de la Seguridad de la Información,
segmentación geográfica (%).................... 163
Gráfico 113: Existencia de un Plan de Continuidad 226
de Negocio (%)..........................................164
Gráfico 114: Existencia de un Plan de Continuidad
de Negocio, segmentación por tipo
de centro (%).............................................165
 ÍNDICE

Gráfico 115: Existencia de un Plan de Continuidad
de Negocio, segmentación por
dependencia patrimonial (%)..................... 166
Gráfico 116: Existencia de un Plan de Continuidad
de Negocio, segmentación
geográfica (%)...........................................167
Gráfico 117: Realización de auditorías
de seguridad (%).......................................168
Gráfico 118: Realización de auditorías de seguridad,
segmentación por tipo de centro (%)........ 169
Gráfico 119: Realización de auditorías de seguridad,
segmentación por dependencia
patrimonial (%)..........................................170
Gráfico 120: Realización de auditorías de seguridad,
segmentación geográfica (Suma
de Sí, al menos cada año, Sí, al
menos cada 2 años y Sí, con mayor
frecuencia) (%)..........................................171
Gráfico 125: Entidades que han sufrido
inspección por parte de la Agencia
de Protección de Datos (%)...................... 178
Gráfico 126: Entidades que han sufrido
inspección por parte de la Agencia
de Protección de Datos, segmentación
por tipo de centro (%)................................179
Gráfico 127: Entidades que han sufrido
inspección por parte de la Agencia
de Protección de Datos, segmentación
por dependencia patrimonial (%).............. 180
Gráfico 128: Entidades que han sufrido
inspección por parte de la Agencia
de Protección de Datos, segmentación
geográfica (%)...........................................181
Gráfico 129: Entidades que han sido objeto
de expediente sancionador por
parte de la Agencia de Protección

Anexo II / Índice de gráficos

de Datos (%)..............................................182
Gráfico 121: Existencia de un sistema de control
Gráfico 130: Entidades que han sido objeto
de los envíos de datos de pacientes
de expediente sancionador por parte
a terceros (%)............................................173
de la Agencia de Protección de Datos,
Gráfico 122: Existencia de un sistema de control segmentación por tipo de centro (%)........ 183
de los envíos de datos de pacientes
Gráfico 131: Entidades que han sido objeto
a terceros, segmentación por tipo
de expediente sancionador por parte
de centro (%).............................................174
de la Agencia de Protección de Datos,
Gráfico 123: Existencia de un sistema de control segmentación por dependencia
de los envíos de datos de pacientes patrimonial (%)..........................................184
a terceros, segmentación por
dependencia patrimonial (%)..................... 175
Gráfico 124: Existencia de un sistema de control
de los envíos de datos de pacientes
a terceros, segmentación
geográfica (%)...........................................176
227

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

Tabla 1: Tipos y volumen de los Centros Sanitarios Tabla 3: Distribución de la muestra y error muestral..... 27
españoles.........................................................25
Tabla 2: Tipos y volumen de centros de atención
primaria por CCAA...........................................26

Anexo II / Índice de tablas

228

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

Ilustración 1: Folletos informativos del proyecto Ilustración 5: Web del Defensor del Paciente............... 195
denominado “Adecuación del Hospital
Ilustración 6: Documentación clínica en Atención
General Universitario Reina Sofía
Primaria: procedimiento de acceso
a la LOPD”...............................................186
para uso no asistencial............................196
Ilustración 2: Herramienta web de gestión
Ilustración 7: Aplicación HUser.....................................198
(repositorio único) de usuarios de
Atención Primaria....................................190 Ilustración 8: Imagen de campaña “El reto hacia
la seguridad”............................................206
Ilustración 3: Centro de Soporte del Servicio
Andaluz de Salud.....................................191
Ilustración 4: Boletín de Seguridad del Plan de
Comunicación en protección de
datos para profesionales sanitarios
y ciudadanos............................................192

Anexo II / Índice de ilustraciones

229

Estudio sobre la privacidad y la seguridad de los datos personales en el sector sanitario español
 ÍNDICE

www.inteco.es www.apdcm.es