El sistema sanitario por dentro · Módulo 14 · Ficha resumen
Derechos, datos y seguridad
Autonomía del paciente, consentimiento, datos de salud y RGPD, ENS, NIS2, ciberseguridad y software como producto sanitario.
Autonomía del paciente: información, consentimiento y voluntades
- Dos leyes que se solapan
- El derecho a la información asistencial
- Intimidad y confidencialidad
- El consentimiento informado
- Cuando decide otra persona: representación y menores
- Instrucciones previas y voluntades anticipadas
- Caso práctico
- Qué implica para los sistemas
- Ley 41/2002
- Ley básica estatal de autonomía del paciente y de información y documentación clínica. Rige en todo el Estado y las comunidades la desarrollan; en Cataluña convive con la Llei 21/2000.
- Llei 21/2000
- Ley catalana de derechos de información sobre la salud, autonomía del paciente y documentación clínica. Anterior a la ley estatal, fue la primera del Estado en regular las voluntades anticipadas.
- Consentimiento informado
- Conformidad libre, voluntaria y consciente del paciente, dada tras recibir información adecuada, para que tenga lugar una actuación que afecta a su salud. Por regla general es verbal.
- Consentimiento por representación
- El que da otra persona cuando el paciente no puede decidir, tiene la capacidad modificada judicialmente o es un menor sin madurez suficiente. Debe atender siempre al mayor beneficio del paciente.
- Mayoría de edad sanitaria
- Regla por la que el menor emancipado o mayor de dieciséis años consiente por sí mismo, sin representación, salvo en actuaciones de grave riesgo para su vida o su salud.
- Instrucciones previas
- Documento con el que una persona mayor de edad, capaz y libre manifiesta por anticipado su voluntad sobre los cuidados y el tratamiento que quiere recibir si no puede expresarla. En Cataluña se llama documento de voluntades anticipadas.
- Documento de voluntades anticipadas
- Versión catalana de las instrucciones previas (Llei 21/2000, art. 8). Se formaliza ante notario, ante tres testigos o ante determinados profesionales, y se incorpora a la historia clínica.
- Alta voluntaria
- Alta que firma el paciente que no acepta el tratamiento propuesto. Si no la firma, la dirección del centro puede acordar el alta forzosa en las condiciones de la Ley 41/2002.
La historia clínica: contenido, accesos y conservación
- Qué es la historia clínica y qué contiene
- Quién puede acceder y para qué
- El acceso del propio paciente
- Pacientes fallecidos y terceros
- Cuánto tiempo se conserva
- Custodia, soporte y destrucción
- Caso práctico
- Qué implica para los sistemas
- Anotaciones subjetivas
- Impresiones personales de los profesionales que constan en la historia clínica. Quienes las escribieron pueden reservarlas frente al derecho de acceso del paciente.
- Custodia de la historia clínica
- Deber del centro de conservar la historia con garantías de autenticidad, integridad, confidencialidad y disponibilidad. En Cataluña corresponde a la dirección del centro o, en la consulta individual, al profesional.
- Separación de datos identificativos
- Regla por la que, cuando la historia se usa con fines judiciales, epidemiológicos, de investigación o de docencia, la identidad del paciente se separa de los datos clínicos, salvo consentimiento o excepción legal.
- Conservación de la historia clínica en Cataluña
- Quince años desde el alta de cada proceso para consentimientos, informes de alta, quirúrgicos, de anestesia, de pruebas, de necropsia y de anatomía patológica; cinco años para el resto.
- Conservación mínima estatal
- Regla de la Ley 41/2002: la documentación clínica se conserva, como mínimo, cinco años desde el alta de cada proceso asistencial. Las comunidades pueden fijar plazos mayores.
- Acceso de personas vinculadas
- Derecho de los familiares o personas vinculadas de hecho a acceder a la historia de un paciente fallecido, salvo que este lo prohibiera expresamente.
Datos de salud: el RGPD y la LOPDGDD en un centro sanitario
- Qué son datos de salud
- La prohibición y sus excepciones
- Las obligaciones de un centro sanitario
- Investigar con datos de salud
- Quién vigila: AEPD o APDCAT
- Caso práctico
- Qué implica para los sistemas
- Datos relativos a la salud
- Datos personales sobre la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelan información sobre su estado de salud (RGPD, art. 4.15).
- Categorías especiales de datos
- Datos cuyo tratamiento el RGPD prohíbe salvo excepción tasada (art. 9): entre otros, los de salud, los genéticos y los biométricos que identifican a una persona.
- Seudonimización
- Tratamiento que impide atribuir los datos a una persona sin usar información adicional, guardada por separado y protegida. Los datos seudonimizados siguen siendo datos personales.
- LOPDGDD
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales: adapta el RGPD al Derecho español y regula, en su disposición adicional 17.ª, los tratamientos de datos de salud.
- DPD
- Delegado de protección de datos: figura que asesora y supervisa el cumplimiento en una organización. Es obligatorio en los centros sanitarios que deben llevar historias clínicas, salvo los profesionales que ejercen a título individual.
- EIPD
- Evaluación de impacto relativa a la protección de datos: análisis previo de riesgos obligatorio, entre otros casos, cuando se tratan a gran escala categorías especiales de datos.
- Violación de la seguridad de los datos
- Incidente que destruye, pierde, altera o expone datos personales. Se notifica a la autoridad de control en 72 horas si supone un riesgo, y a los afectados si el riesgo es alto.
- AEPD
- Agencia Española de Protección de Datos: la autoridad de control estatal. Supervisa a los centros privados y a las administraciones que no tienen autoridad autonómica propia.
- APDCAT
- Autoritat Catalana de Protecció de Dades: autoridad de control del sector público catalán y de las entidades privadas en los tratamientos ligados a servicios públicos que prestan (Llei 32/2010).
Ciberseguridad sanitaria: ENS, NIS2 y quién responde a un incidente
- Por qué la sanidad es un objetivo
- El Esquema Nacional de Seguridad
- Quién responde a un incidente
- La Directiva NIS2
- La transposición en España, todavía pendiente
- Caso práctico
- Qué implica para los sistemas
- Categoría de seguridad del sistema
- Nivel (básica, media o alta) que el ENS asigna a un sistema según el impacto que tendría un incidente sobre su disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Determina las medidas que se le exigen.
- Declaración de conformidad con el ENS
- Acreditación de que un sistema cumple el ENS. En categoría básica basta una autoevaluación; en media y alta hace falta una auditoría de certificación.
- CSIRT
- Equipo de respuesta a incidentes de seguridad informática: recibe las notificaciones de incidentes, ayuda a gestionarlos y coordina la respuesta.
- CCN-CERT
- Equipo de respuesta a incidentes del Centro Criptológico Nacional: el de referencia para el sector público español.
- INCIBE-CERT
- Equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad: el de referencia para la ciudadanía y las entidades privadas.
- Entidad esencial
- En NIS2, entidad de un sector de alta criticidad (como la sanidad) que supera el tamaño de mediana empresa, o que el Estado designa como tal. Soporta la supervisión más intensa.
- Incidente significativo
- En NIS2, el que causa o puede causar graves perturbaciones del servicio o pérdidas económicas, o perjuicios considerables a otras personas. Se notifica al CSIRT o a la autoridad competente.
- Alerta temprana
- Primer aviso de NIS2 ante un incidente significativo: en 24 horas desde que se conoce. Le siguen la notificación del incidente a las 72 horas y el informe final al mes.
- Agència de Ciberseguretat de Catalunya
- Entidad de derecho público de la Generalitat creada por la Llei 15/2017 que ejecuta las políticas públicas de ciberseguridad en Cataluña.
Software como producto sanitario y Espacio Europeo de Datos de Salud
- Cuándo un programa es producto sanitario
- La regla 11: cómo se clasifica el software
- Lo que un hospital puede fabricar
- Vigilancia: cuando un producto falla
- El Espacio Europeo de Datos de Salud
- Caso práctico
- Qué implica para los sistemas
- MDR
- Medical Device Regulation: el Reglamento (UE) 2017/745 sobre productos sanitarios, aplicable desde el 26 de mayo de 2021. Incluye expresamente el software con finalidad médica.
- Software como producto sanitario
- Programa informático que el fabricante destina a un fin médico (diagnóstico, prevención, seguimiento, predicción, pronóstico o tratamiento) y que, por ello, debe cumplir el MDR.
- Regla 11
- Regla del anexo VIII del MDR que clasifica el software: clase IIa si informa decisiones diagnósticas o terapéuticas, IIb o III según la gravedad del daño posible, y clase I el resto.
- Producto fabricado en el propio hospital
- Producto sanitario que un hospital fabrica y usa solo internamente (MDR, art. 5.5). En España no puede ser de clase IIb, III ni implantable y exige comunicarlo a la AEMPS.
- Incidente grave con un producto sanitario
- Fallo o mal funcionamiento de un producto que causa o pudo causar daño grave. Los profesionales que lo conozcan deben notificarlo a la AEMPS por su sede electrónica.
- Uso primario y uso secundario
- En el EEDS, uso primario es tratar datos de salud para atender a la persona; uso secundario, reutilizarlos para investigación, innovación, políticas o estadística.
- Categorías prioritarias del EEDS
- Seis tipos de datos que deberán poder consultarse e intercambiarse en toda la UE: historia resumida, receta y dispensación electrónicas, imagen, resultados de pruebas e informes de alta.
- Organismo de acceso a datos de salud
- Entidad que cada Estado designa en el EEDS para decidir las solicitudes de uso secundario de datos de salud y dar acceso a ellos en un entorno de tratamiento seguro.
- Autoexclusión del uso secundario
- Derecho del EEDS (art. 71) a que los datos de salud propios no se reutilicen para uso secundario, en cualquier momento, sin dar motivos y de forma revocable.