Les dades de salut són una categoria especial: l'RGPD en prohibeix el tractament llevat dels supòsits que ell mateix enumera. Atendre un pacient n'és un, de manera que l'assistència no es basa en el consentiment sinó en la llei. Investigar amb aquestes dades té regles pròpies a la disposició addicional 17a de la LOPDGDD. I a Catalunya l'autoritat que vigila depèn de qui tracta les dades: l'APDCAT o l'AEPD.

Què són dades de salut

L'RGPD defineix les dades relatives a la salut com les «dades personals relatives a la salut física o mental d'una persona física», inclosa la prestació de serveis d'atenció sanitària, que revelin informació sobre el seu estat de salut (art. 4.15) ¹. El considerant 35 aclareix que el concepte és ampli: inclou «tot número, símbol o dada assignat a una persona física que la identifiqui de manera unívoca a efectes sanitaris» ¹. Un número d'història clínica o un codi de pacient són, per tant, dades de salut encara que no diguin res clínic.

Al costat d'aquestes, l'RGPD defineix les dades genètiques, relatives a les característiques genètiques heretades o adquirides d'una persona (art. 4.13), i la pseudonimització: tractar les dades de manera que «ja no es puguin atribuir a un interessat sense utilitzar informació addicional», que s'ha de guardar per separat (art. 4.5) ¹. Una dada pseudonimitzada continua sent personal; una d'anonimitzada de debò, no.

La prohibició i les seves excepcions

L'article 9.1 prohibeix tractar categories especials de dades, entre les quals les de salut, les genètiques i les biomètriques adreçades a identificar una persona ¹. El 9.2 n'enumera les excepcions. Les rellevants per a un centre sanitari són aquestes ¹:

La lletra h) exigeix una condició més: que tracti les dades un professional subjecte al secret professional, o algú sota la seva responsabilitat, o qualsevol altra persona també subjecta a secret (art. 9.3) ¹. I el 9.4 permet a cada estat mantenir o introduir condicions addicionals per a les dades genètiques, biomètriques i de salut ¹.

El que hi afegeix la LOPDGDD

Espanya fa servir aquest marge. La Llei orgànica 3/2018 exigeix que els tractaments de les lletres g), h) i i) estiguin emparats en una norma amb rang de llei, que pot afegir-hi requisits de seguretat i confidencialitat (art. 9.2) ². La seva disposició addicional dissetena, apartat 1, enumera aquestes lleis: entre d'altres, la Llei general de sanitat, la de prevenció de riscos laborals, la d'autonomia del pacient, la de recerca biomèdica i la general de salut pública ².

La conseqüència pràctica és important: l'assistència sanitària no es basa en el consentiment per al tractament de dades. El pacient consent la intervenció clínica (ho vam veure a la primera lliçó), però les seves dades es tracten perquè una llei ho empara. Per això un pacient no pot exigir que s'esborri la seva història mentre duri l'obligació de conservar-la ⁴.

Les obligacions d'un centre sanitari

L'RGPD i la LOPDGDD imposen a qui tracta dades de salut a gran escala tres obligacions que tot centre coneix:

• Delegat de protecció de dades. És obligatori quan l'activitat principal és tractar a gran escala categories especials de dades (RGPD, art. 37.1.c) ¹. La LOPDGDD ho concreta: l'han de designar els centres sanitaris legalment obligats a mantenir històries clíniques, llevat dels professionals que exerceixen a títol individual (art. 34.1.l) ².
• Avaluació d'impacte. És necessària abans d'un tractament a gran escala de categories especials de dades (RGPD, art. 35.3.b) ¹. Un sistema d'història clínica nou o una plataforma de telemonitoratge en són casos típics.
• Gestió de bretxes. Una violació de la seguretat de les dades es notifica a l'autoritat de control sense dilació indeguda i, si és possible, en les 72 hores següents a conèixer-la, llevat que sigui improbable que comporti un risc (art. 33.1) ¹. Si el risc és alt, es comunica també als afectats, llevat que les dades fossin inintel·ligibles (per exemple, xifrades) o d'altres excepcions (art. 34) ¹.

Per al pacient, el delegat és a més la primera porta: s'hi pot adreçar abans de reclamar davant l'autoritat, i ha de rebre resposta en un màxim de dos mesos ⁴.

Investigar amb dades de salut

La recerca és la gran excepció al principi de separar la identitat de les dades clíniques. La disposició addicional dissetena, apartat 2, de la LOPDGDD li dedica un règim propi ²:

El marc general és l'article 89.1 de l'RGPD: la recerca està subjecta a «garanties adequades», amb mesures tècniques i organitzatives que assegurin la minimització de dades; poden incloure la pseudonimització, i si la finalitat es pot assolir sense identificar els interessats, s'ha de fer així ¹. La reidentificació de dades pseudonimitzades només escau, segons la lletra d), davant d'un perill real i concret per a la seguretat o la salut d'una persona o d'un grup ². La mateixa llei orgànica va reformar l'article 16.3 de la Llei 41/2002 perquè l'accés a la història amb finalitats de recerca es regeixi per aquesta disposició ².

Qui vigila: AEPD o APDCAT

Espanya té una autoritat estatal, l'AEPD, i autoritats autonòmiques com la catalana. La Llei 32/2010 delimita l'àmbit de l'APDCAT (art. 3) ³:

• Les institucions públiques, l'Administració de la Generalitat, els ens locals i les entitats de dret públic que en depenen.
• Les entitats de dret privat amb capital o ingressos majoritàriament públics, o amb òrgans directius designats majoritàriament per ens públics.
• Les entitats de dret privat que «presten serveis públics per mitjà de qualsevol forma de gestió directa o indirecta», però només en els tractaments vinculats a aquests serveis.

La lletra f) no esmenta expressament el concert ni la concessió: parla de «qualsevol forma de gestió directa o indirecta» i limita l'abast als fitxers i tractaments «vinculats a la prestació d'aquests serveis» ³. Com s'aplica a un centre privat concertat del SISCAT no s'afirma aquí: [PENDIENTE: criteri publicat de l'APDCAT o l'AEPD sobre l'autoritat competent per als centres concertats]. Per als pacients, l'AEPD indica que es pot reclamar per la seva seu electrònica ⁴.

Cas pràctic

Un hospital de la xarxa pública vol estudiar els reingressos de pacients amb insuficiència cardíaca dels últims cinc anys. No demanarà el consentiment a milers de persones: optarà pel règim de dades pseudonimitzades de la LOPDGDD ². El servei de documentació extreu els episodis, substitueix la identitat per un codi i guarda la taula de correspondències; l'equip investigador rep només codis i dades clíniques. Abans, el comitè d'ètica emet el seu informe i el delegat de protecció de dades revisa l'avaluació d'impacte, que ha de valorar el risc de reidentificació ².

Setmanes després, un portàtil amb una còpia de l'extracció desapareix d'un despatx. És una violació de la seguretat de les dades. Si el disc estava xifrat i la clau no s'ha compromès, pot ser que no calgui comunicar-ho als pacients ¹. Però l'hospital ho documenta i valora si l'ha de notificar en 72 hores a l'autoritat, que aquí és l'APDCAT perquè es tracta d'un centre públic català ^{1 3}.

Què implica per als sistemes

Obligació	Dada o registre que neix	Sistema que el gestiona
Registre d'activitats de tractament	Cada tractament, la seva base de l'art. 9.2 i la llei que l'empara	Eina de compliment del delegat de protecció de dades
Avaluació d'impacte	Anàlisi de riscos de cada sistema nou	Procés de compra i alta de sistemes: sense ella no es posa en producció
Bretxes	Registre d'incidents amb data de detecció, dades afectades i decisió de notificar	Gestió d'incidents de seguretat, enllaçada amb la notificació a l'autoritat
Recerca pseudonimitzada	Taula de correspondències i conjunts extrets	Magatzem de dades o plataforma de recerca, amb la clau en un entorn separat
Drets dels pacients	Sol·licituds d'accés i els seus terminis	Atenció a l'usuari i portal del pacient

L'error de disseny més habitual és tractar el consentiment com a base per a tot i demanar una casella «accepto» al portal del pacient. Per a l'assistència no cal, i per a la recerca gairebé mai no és la via més sòlida.