Compromiso permanente con la protección de datos

RGPD

El Reglamento General de Protección de Datos (RGPD), que empezó a aplicarse desde el pasado 25 de mayo en toda la Unión Europea, tiene dos objetivos principales: conceder un mayor control de sus datos a los ciudadanos y lograr que se imponga el principio de responsabilidad proactiva en el conjunto de empresas que realizan tratamiento de la información personal de los usuarios. En cuanto a este último aspecto, hay que destacar que el reglamento europeo describe este fundamento como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas para garantizar y poder demostrar que éste es conforme a lo indicado en la regulación europea.

En términos prácticos se apuesta por un cumplimiento real y no meramente formal de la protección de datos de carácter personal, lo que conlleva que las organizaciones analicen qué datos tratan, qué tipo de operaciones de tratamiento llevan a cabo y con qué finalidades lo hacen. La protección de datos dejará de ser una carpeta que se archiva sin abrir, en la que figuras como el responsable del tratamiento, responsable de seguridad o el delegado de protección de datos recobran sentido con este marco más sólido y coherente, regulador de un derecho fundamental, el de la protección de datos, consagrado en la Constitución Española.

Sector sanitario
Entre las novedades para el sector sanitario, este reglamento incorpora un matiz novedoso al concepto tradicional de datos relativo a la salud: acoger también bajo esta definición la información o datos relativos a la prestación de servicios de atención sanitaria que revelen información sobre el estado de salud de una persona. El reglamento contempla, igualmente, la definición de datos genéticos, de máxima importancia en la medicina personalizada y preventiva que forma parte ya de las investigaciones biomédicas y clínicas que se desarrollan tanto por los centros de investigación como por la propia industria farmacéutica, y también los biométricos dirigidos a identificar de manera inequívoca a una persona.

“La protección de datos dejará de ser una carpeta que se archiva sin abrir”

En lo concerniente a la legitimidad, para el tratamiento de lo que el RGPD define como datos sensibles, este restringe su licitud, entre otros supuestos, a que el ciudadano haya otorgado su consentimiento explícito o que su tratamiento sea necesario para fines de medicina preventiva, para el diagnóstico médico, para la prestación de asistencia o tratamiento de tipo sanitario o social, así como para la gestión de los sistemas y servicios de asistencia sanitaria. No obstante, dicho tratamiento queda supeditado a que sea realizado por un profesional sujeto a la obligación de secreto profesional.

El RGPD incorpora, como otra gran novedad, la figura del delegado de protección de datos, cuyo nombramiento en el ámbito sanitario es obligatorio para determinados tratamientos de datos. Su misión será la de informar a la entidad responsable o al encargado del trata- miento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la autoridad de control y actuar como punto de contacto entre ésta y la entidad responsable del tratamiento de datos.

Esta figura es uno de los ejes principales del principio de responsabilidad activa que contempla el reglamento y deberá ser asignado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados en Derecho y la práctica en materia de protección de datos, pudiendo ser un empleado interno o externalizar sus servicios en un consultor externo.

El bombardeo de mensajes que todos estamos recibiendo durante las últimas semanas atestiguan que estamos ante una nueva cultura, en la que las empresas se están adaptando al nuevo reglamento, introduciendo cambios en estructuras, procesos y procedimientos, y solucionando sobre la marcha problemas que van apareciendo ante la falta de concreción del nuevo reglamento y la ausencia todavía de la nueva Ley Orgánica de Protección de Datos, actualmente en trámite de enmiendas. Existen y seguirán existiendo ciertos interrogantes. La adaptación no terminó el pasado 25 de mayo, pues no estamos ante un cumplimiento formal, sino ante un cumplimiento real de responsabilidad proactiva, lo que supone un compromiso permanente de todos con la protección de datos de carácter personal.