Los datos de salud son una categoría especial: el RGPD prohíbe tratarlos salvo en los supuestos que él mismo enumera. Atender a un paciente es uno de ellos, así que la asistencia no se basa en el consentimiento sino en la ley. Investigar con esos datos tiene reglas propias en la disposición adicional 17.ª de la LOPDGDD. Y en Cataluña la autoridad que vigila depende de quién trata los datos: la APDCAT o la AEPD.

Qué son datos de salud

El RGPD define los datos relativos a la salud como los «datos personales relativos a la salud física o mental de una persona física», incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud (art. 4.15) ¹. El considerando 35 aclara que el concepto es amplio: incluye «todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios» ¹. Un número de historia clínica o un código de paciente son, por tanto, datos de salud aunque no digan nada clínico.

Junto a ellos, el RGPD define los datos genéticos, relativos a las características genéticas heredadas o adquiridas de una persona (art. 4.13), y la seudonimización: tratar los datos de manera que «ya no puedan atribuirse a un interesado sin utilizar información adicional», que debe guardarse por separado (art. 4.5) ¹. Un dato seudonimizado sigue siendo personal; uno anonimizado de verdad, no.

La prohibición y sus excepciones

El artículo 9.1 prohíbe tratar categorías especiales de datos, entre ellas los de salud, los genéticos y los biométricos dirigidos a identificar a una persona ¹. El 9.2 enumera las excepciones. Las relevantes para un centro sanitario son estas ¹:

La letra h) exige una condición más: que trate los datos un profesional sujeto al secreto profesional, o alguien bajo su responsabilidad, o cualquier otra persona sujeta también a secreto (art. 9.3) ¹. Y el 9.4 permite a cada Estado mantener o introducir condiciones adicionales para los datos genéticos, biométricos y de salud ¹.

Lo que añade la LOPDGDD

España usa ese margen. La Ley Orgánica 3/2018 exige que los tratamientos de las letras g), h) e i) estén amparados en una norma con rango de ley, que puede añadir requisitos de seguridad y confidencialidad (art. 9.2) ². Su disposición adicional decimoséptima, apartado 1, enumera esas leyes: entre otras, la Ley General de Sanidad, la de prevención de riesgos laborales, la de autonomía del paciente, la de investigación biomédica y la General de Salud Pública ².

La consecuencia práctica es importante: la asistencia sanitaria no se basa en el consentimiento para el tratamiento de datos. El paciente consiente la intervención clínica (lo vimos en la primera lección), pero sus datos se tratan porque una ley lo ampara. Por eso un paciente no puede exigir que se borre su historia mientras dure la obligación de conservarla ⁴.

Las obligaciones de un centro sanitario

El RGPD y la LOPDGDD imponen a quien trata datos de salud a gran escala tres obligaciones que todo centro conoce:

• Delegado de protección de datos. Es obligatorio cuando la actividad principal es tratar a gran escala categorías especiales de datos (RGPD, art. 37.1.c) ¹. La LOPDGDD lo concreta: deben designarlo los centros sanitarios legalmente obligados a mantener historias clínicas, salvo los profesionales que ejercen a título individual (art. 34.1.l) ².
• Evaluación de impacto. Es necesaria antes de un tratamiento a gran escala de categorías especiales de datos (RGPD, art. 35.3.b) ¹. Un sistema de historia clínica nuevo o una plataforma de telemonitorización son casos típicos.
• Gestión de brechas. Una violación de la seguridad de los datos se notifica a la autoridad de control sin dilación indebida y, si es posible, en las 72 horas siguientes a conocerla, salvo que sea improbable que suponga un riesgo (art. 33.1) ¹. Si el riesgo es alto, se comunica también a los afectados, salvo que los datos fueran ininteligibles (por ejemplo, cifrados) u otras excepciones (art. 34) ¹.

Para el paciente, el delegado es además la primera puerta: puede dirigirse a él antes de reclamar ante la autoridad, y debe recibir respuesta en un máximo de dos meses ⁴.

Investigar con datos de salud

La investigación es la gran excepción al principio de separar la identidad de los datos clínicos. La disposición adicional decimoséptima, apartado 2, de la LOPDGDD le dedica un régimen propio ²:

El marco general es el artículo 89.1 del RGPD: la investigación está sujeta a «garantías adecuadas», con medidas técnicas y organizativas que aseguren la minimización de datos; pueden incluir la seudonimización, y si el fin puede alcanzarse sin identificar a los interesados, debe hacerse así ¹. La reidentificación de datos seudonimizados solo procede, según la letra d), ante un peligro real y concreto para la seguridad o la salud de una persona o un grupo ². La misma ley orgánica reformó el artículo 16.3 de la Ley 41/2002 para que el acceso a la historia con fines de investigación se rija por esta disposición ².

Quién vigila: AEPD o APDCAT

España tiene una autoridad estatal, la AEPD, y autoridades autonómicas como la catalana. La Llei 32/2010 delimita el ámbito de la APDCAT (art. 3) ³:

• Las instituciones públicas, la Administración de la Generalitat, los entes locales y las entidades de derecho público que dependen de ellos.
• Las entidades de derecho privado con capital o ingresos mayoritariamente públicos, o con órganos directivos designados en su mayoría por entes públicos.
• Las entidades de derecho privado que «prestan servicios públicos mediante cualquier forma de gestión directa o indirecta», pero solo en los tratamientos vinculados a esos servicios.

La letra f) no menciona expresamente el concierto ni la concesión: habla de «cualquier forma de gestión directa o indirecta» y limita el alcance a los ficheros y tratamientos «vinculados a la prestación de dichos servicios» ³. Cómo se aplica a un centro privado concertado del SISCAT no se afirma aquí: [PENDIENTE: criterio publicado de la APDCAT o la AEPD sobre la autoridad competente para los centros concertados]. Para los pacientes, la AEPD indica que puede reclamarse por su sede electrónica ⁴.

Caso práctico

Un hospital de la red pública quiere estudiar los reingresos de pacientes con insuficiencia cardiaca de los últimos cinco años. No pedirá consentimiento a miles de personas: optará por el régimen de datos seudonimizados de la LOPDGDD ². El servicio de documentación extrae los episodios, sustituye la identidad por un código y guarda la tabla de correspondencias; el equipo investigador recibe solo códigos y datos clínicos. Antes, el comité de ética emite su informe y el delegado de protección de datos revisa la evaluación de impacto, que debe valorar el riesgo de reidentificación ².

Semanas después, un portátil con una copia de la extracción desaparece de un despacho. Es una violación de la seguridad de los datos. Si el disco estaba cifrado y la clave no se ha comprometido, puede que no haga falta comunicarlo a los pacientes ¹. Pero el hospital lo documenta y valora si debe notificarlo en 72 horas a la autoridad, que aquí es la APDCAT por tratarse de un centro público catalán ^{1 3}.

Qué implica para los sistemas

Obligación	Dato o registro que nace	Sistema que lo gestiona
Registro de actividades de tratamiento	Cada tratamiento, su base del art. 9.2 y la ley que lo ampara	Herramienta de cumplimiento del delegado de protección de datos
Evaluación de impacto	Análisis de riesgos de cada sistema nuevo	Proceso de compra y alta de sistemas: sin ella no se pone en producción
Brechas	Registro de incidentes con fecha de detección, datos afectados y decisión de notificar	Gestión de incidentes de seguridad, enlazada con la notificación a la autoridad
Investigación seudonimizada	Tabla de correspondencias y conjuntos extraídos	Almacén de datos o plataforma de investigación, con la clave en un entorno separado
Derechos de los pacientes	Solicitudes de acceso y sus plazos	Atención al usuario y portal del paciente

El error de diseño más habitual es tratar el consentimiento como base para todo y pedir una casilla «acepto» en el portal del paciente. Para la asistencia no hace falta, y para la investigación casi nunca es la vía más sólida.