Dentro de la protección de datos personales en el entorno sanitario, nos encontramos en muchas ocasiones con los casos de consultas, clínicas y oficinas de farmacia que son traspasadas y en las que ni los antiguos ni los nuevos titulares saben muy bien qué hacer con la base de datos de pacientes que se cede con las mismas, y que contiene datos personales de salud, con nivel alto de seguridad y por tanto un especial régimen especial de protección en la normativa de protección de datos.
Cuando nos encontramos en esta situación, la alternativa que se plantea es la siguiente:
A) ¿Se trata de una comunicación de datos de salud, y por tanto sujeta a los principios de consentimientolibre, inequívoco, informado y expreso de los afectados?
Hay que tener en cuenta que el artículo 7.3 de la LOPD (Ley 15/99, de Protección de Datos de carácter personal) señala respecto a los datos de salud que:
“… sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente”.
B) ¿O se puede amparar en el artículo 19 del RLOPD (RD 1720/2007, de 21 de diciembre, Reglamento de desarrollo de la LOPD), como “modificación del responsable del fichero (…) por (…) transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, en la que no se considera que hay cesión de datos , sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999”, y por tanto no existe la obligación de consentimiento antes apuntada?
FARMACIAS: respuesta correcta sería B.
Como regla general, el artículo 19 sí sería aplicable en el caso de traspaso de una oficina de farmacia. Es decir, no sería necesario el consentimiento previo de los pacientes de la Farmacia para poder ceder la base de datos al nuevo farmacéutico titular, en tanto que se entiende que hay una continuidad en la actividad y en el tratamiento de los datos, aunque se haya modificado el Responsable del Fichero.
La obligación que sí persiste para el nuevo titular, al margen de todas las que le corresponden como Responsable de fichero de datos personales de nivel alto (alta en la AEPD, elaboración y mantenimiento del Documento de Seguridad, implantación de medidas de Seguridad de nivel alto, auditorías bianuales, etc.), es la de informar a los pacientes de lo establecido en el artículo 5 de la LOPD:
Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.
Un ejemplo sería la colocación de un aviso informativo en un lugar visible de la oficina de Farmacia, con este texto:
En cumplimiento de la Ley Orgánica 15/1999 de 13 de diciembre, de protección de datos de carácter personal, le informamos que los datos que nos proporciona pasarán a formar parte de un fichero titularidad de NUEVO TITULAR, cuyas finalidades exclusivas son las derivadas de la actividad sanitaria, así como la gestión de tipo administrativa necesaria para dichos servicios.
Asimismo le informamos que, con motivo del cambio de titularidad de la oficina de farmacia, los datos personales han dejado de ser responsabilidad del anterior: ANTIGUO TITULAR, pasando a ser responsabilidad de NUEVO TITULAR.
El interesado podrá ejercer los derechos de acceso, rectificación, cancelación y oposición, expresamente reconocidos en la citada Ley Orgánica 15/1999, mediante escrito, acompañado de fotocopia de dni, dirigido a DIRECCIÓN NUEVO TITULAR , o bien a través de los formularios que se encuentran a su disposición en la dirección anteriormente citada.
* Nota: se trata de un ejemplo orientativo y no exhaustivo. Consulte con un especialista para personalizar el aviso informativo atendiendo a las particularidades de cada caso.
CLÍNICAS Y CONSULTAS MÉDICAS: respuesta sería A o B
En el caso de las clínicas y consultas médicas, es preciso diferenciar en función de la forma jurídica de la consulta o clínica y la vinculación de los pacientes con un determinado médico.
No habría cesión de datos y, por tanto, no requeriríamos el consentimiento de los pacientes, si estamos ante el traspaso de uncentro médico o clínica en la que los pacientes no son de un médico en particular de la misma, sino de la entidad u organización que conforma la propia clínica, con independencia de que los médicos, como personal del centro, tengan acceso y traten información de los pacientes que tengan que atender.
En este caso, como en el de las Farmacias, subsiste la obligación de información del artículo 5, así como el resto de deberes aplicables al nuevo titular como Responsable del Fichero.
Distintas son las consultas particulares en las que el facultativo deja de ejercer la profesión y quiere “traspasar” sus pacientes a otro médico. En este caso, y según criterio reciente de la Agencia, no sería de aplicación el artículo 19 y habría cesión de datos de salud, por lo que debería recabarse el consentimiento de los pacientes para que acceda a su historia clínica el médico al que se traspasa la consulta.
