El sistema sanitari per dins · Mòdul 14 · Fitxa resum
Drets, dades i seguretat
Autonomia del pacient, consentiment, dades de salut i RGPD, ENS, NIS2, ciberseguretat i programari com a producte sanitari.
Autonomia del pacient: informació, consentiment i voluntats
- Dues lleis que se superposen
- El dret a la informació assistencial
- Intimitat i confidencialitat
- El consentiment informat
- Quan decideix una altra persona: representació i menors
- Instruccions prèvies i voluntats anticipades
- Cas pràctic
- Què implica per als sistemes
- Llei 41/2002
- Llei bàsica estatal d'autonomia del pacient i d'informació i documentació clínica. Regeix a tot l'Estat i les comunitats la despleguen; a Catalunya conviu amb la Llei 21/2000.
- Llei 21/2000
- Llei catalana sobre els drets d'informació concernent la salut, l'autonomia del pacient i la documentació clínica. Anterior a la llei estatal, va ser la primera de l'Estat a regular les voluntats anticipades.
- Consentiment informat
- Conformitat lliure, voluntària i conscient del pacient, donada després de rebre informació adequada, perquè tingui lloc una actuació que afecta la seva salut. Per regla general és verbal.
- Consentiment per representació
- El que dona una altra persona quan el pacient no pot decidir, té la capacitat modificada judicialment o és un menor sense prou maduresa. Sempre ha d'atendre el benefici més gran del pacient.
- Majoria d'edat sanitària
- Regla per la qual el menor emancipat o més gran de setze anys consent per si mateix, sense representació, llevat de les actuacions de risc greu per a la seva vida o la seva salut.
- Instruccions prèvies
- Document amb què una persona major d'edat, capaç i lliure manifesta per avançat la seva voluntat sobre les cures i el tractament que vol rebre si no la pot expressar. A Catalunya s'anomena document de voluntats anticipades.
- Document de voluntats anticipades
- Versió catalana de les instruccions prèvies (Llei 21/2000, art. 8). Es formalitza davant notari, davant tres testimonis o davant determinats professionals, i s'incorpora a la història clínica.
- Alta voluntària
- Alta que signa el pacient que no accepta el tractament proposat. Si no la signa, la direcció del centre pot acordar l'alta forçosa en les condicions de la Llei 41/2002.
La història clínica: contingut, accessos i conservació
- Què és la història clínica i què conté
- Qui hi pot accedir i per a què
- L'accés del mateix pacient
- Pacients morts i tercers
- Quant de temps es conserva
- Custòdia, suport i destrucció
- Cas pràctic
- Què implica per als sistemes
- Anotacions subjectives
- Impressions personals dels professionals que consten a la història clínica. Els qui les van escriure les poden reservar davant del dret d'accés del pacient.
- Custòdia de la història clínica
- Deure del centre de conservar la història amb garanties d'autenticitat, integritat, confidencialitat i disponibilitat. A Catalunya correspon a la direcció del centre o, en la consulta individual, al professional.
- Separació de dades identificatives
- Regla per la qual, quan la història s'utilitza amb finalitats judicials, epidemiològiques, de recerca o de docència, la identitat del pacient se separa de les dades clíniques, llevat de consentiment o excepció legal.
- Conservació de la història clínica a Catalunya
- Quinze anys des de l'alta de cada procés per a consentiments, informes d'alta, quirúrgics, d'anestèsia, de proves, de necròpsia i d'anatomia patològica; cinc anys per a la resta.
- Conservació mínima estatal
- Regla de la Llei 41/2002: la documentació clínica es conserva, com a mínim, cinc anys des de l'alta de cada procés assistencial. Les comunitats poden fixar terminis més llargs.
- Accés de persones vinculades
- Dret dels familiars o de les persones vinculades de fet a accedir a la història d'un pacient mort, llevat que aquest ho hagués prohibit expressament.
Dades de salut: l'RGPD i la LOPDGDD en un centre sanitari
- Què són dades de salut
- La prohibició i les seves excepcions
- Les obligacions d'un centre sanitari
- Investigar amb dades de salut
- Qui vigila: AEPD o APDCAT
- Cas pràctic
- Què implica per als sistemes
- Dades relatives a la salut
- Dades personals sobre la salut física o mental d'una persona, inclosa la prestació de serveis d'atenció sanitària, que revelen informació sobre el seu estat de salut (RGPD, art. 4.15).
- Categories especials de dades
- Dades el tractament de les quals l'RGPD prohibeix llevat d'excepció taxada (art. 9): entre d'altres, les de salut, les genètiques i les biomètriques que identifiquen una persona.
- Pseudonimització
- Tractament que impedeix atribuir les dades a una persona sense utilitzar informació addicional, guardada per separat i protegida. Les dades pseudonimitzades continuen sent dades personals.
- LOPDGDD
- Llei orgànica 3/2018, de protecció de dades personals i garantia dels drets digitals: adapta l'RGPD al dret espanyol i regula, a la disposició addicional 17a, els tractaments de dades de salut.
- DPD
- Delegat de protecció de dades: figura que assessora i supervisa el compliment en una organització. És obligatori als centres sanitaris que han de portar històries clíniques, llevat dels professionals que exerceixen a títol individual.
- EIPD
- Avaluació d'impacte relativa a la protecció de dades: anàlisi prèvia de riscos obligatòria, entre altres casos, quan es tracten a gran escala categories especials de dades.
- Violació de la seguretat de les dades
- Incident que destrueix, perd, altera o exposa dades personals. Es notifica a l'autoritat de control en 72 hores si comporta un risc, i als afectats si el risc és alt.
- AEPD
- Agència Espanyola de Protecció de Dades: l'autoritat de control estatal. Supervisa els centres privats i les administracions que no tenen autoritat autonòmica pròpia.
- APDCAT
- Autoritat Catalana de Protecció de Dades: autoritat de control del sector públic català i de les entitats privades en els tractaments lligats als serveis públics que presten (Llei 32/2010).
Ciberseguretat sanitària: ENS, NIS2 i qui respon a un incident
- Per què la sanitat és un objectiu
- L'Esquema Nacional de Seguretat
- Qui respon a un incident
- La Directiva NIS2
- La transposició a Espanya, encara pendent
- Cas pràctic
- Què implica per als sistemes
- Categoria de seguretat del sistema
- Nivell (bàsica, mitjana o alta) que l'ENS assigna a un sistema segons l'impacte que tindria un incident sobre la seva disponibilitat, autenticitat, integritat, confidencialitat i traçabilitat. Determina les mesures que se li exigeixen.
- Declaració de conformitat amb l'ENS
- Acreditació que un sistema compleix l'ENS. En categoria bàsica n'hi ha prou amb una autoavaluació; en mitjana i alta cal una auditoria de certificació.
- CSIRT
- Equip de resposta a incidents de seguretat informàtica: rep les notificacions d'incidents, ajuda a gestionar-los i coordina la resposta.
- CCN-CERT
- Equip de resposta a incidents del Centre Criptològic Nacional: el de referència per al sector públic espanyol.
- INCIBE-CERT
- Equip de resposta a incidents de l'Institut Nacional de Ciberseguretat: el de referència per a la ciutadania i les entitats privades.
- Entitat essencial
- En la NIS2, entitat d'un sector d'alta criticitat (com la sanitat) que supera la mida de mitjana empresa, o que l'Estat designa com a tal. Suporta la supervisió més intensa.
- Incident significatiu
- En la NIS2, el que causa o pot causar pertorbacions greus del servei o pèrdues econòmiques, o perjudicis considerables a altres persones. Es notifica al CSIRT o a l'autoritat competent.
- Alerta primerenca
- Primer avís de la NIS2 davant d'un incident significatiu: en 24 hores des que es coneix. El segueixen la notificació de l'incident a les 72 hores i l'informe final al cap d'un mes.
- Agència de Ciberseguretat de Catalunya
- Entitat de dret públic de la Generalitat creada per la Llei 15/2017 que executa les polítiques públiques de ciberseguretat a Catalunya.
Programari com a producte sanitari i Espai Europeu de Dades de Salut
- Quan un programa és producte sanitari
- La regla 11: com es classifica el programari
- El que pot fabricar un hospital
- Vigilància: quan un producte falla
- L'Espai Europeu de Dades de Salut
- Cas pràctic
- Què implica per als sistemes
- MDR
- Medical Device Regulation: el Reglament (UE) 2017/745 sobre productes sanitaris, aplicable des del 26 de maig de 2021. Inclou expressament el programari amb finalitat mèdica.
- Programari com a producte sanitari
- Programa informàtic que el fabricant destina a una finalitat mèdica (diagnòstic, prevenció, seguiment, predicció, pronòstic o tractament) i que, per això, ha de complir l'MDR.
- Regla 11
- Regla de l'annex VIII de l'MDR que classifica el programari: classe IIa si informa decisions diagnòstiques o terapèutiques, IIb o III segons la gravetat del dany possible, i classe I la resta.
- Producte fabricat al mateix hospital
- Producte sanitari que un hospital fabrica i utilitza només internament (MDR, art. 5.5). A Espanya no pot ser de classe IIb, III ni implantable i cal comunicar-lo a l'AEMPS.
- Incident greu amb un producte sanitari
- Fallada o mal funcionament d'un producte que causa o va poder causar un dany greu. Els professionals que en tinguin coneixement l'han de notificar a l'AEMPS per la seva seu electrònica.
- Ús primari i ús secundari
- A l'EEDS, ús primari és tractar dades de salut per atendre la persona; ús secundari, reutilitzar-les per a recerca, innovació, polítiques o estadística.
- Categories prioritàries de l'EEDS
- Sis tipus de dades que s'hauran de poder consultar i intercanviar a tota la UE: història resumida, recepta i dispensació electròniques, imatge, resultats de proves i informes d'alta.
- Organisme d'accés a dades de salut
- Entitat que cada estat designa a l'EEDS per decidir les sol·licituds d'ús secundari de dades de salut i donar-hi accés en un entorn de tractament segur.
- Autoexclusió de l'ús secundari
- Dret de l'EEDS (art. 71) que les dades de salut pròpies no es reutilitzin per a ús secundari, en qualsevol moment, sense donar motius i de manera revocable.