Source: http://www.labrujula.jimber.es/?m=201406
Timestamp: 2017-06-24 03:30:53+00:00

Document:
Junio | 2014 | La Brújula
Archivos mensuales: Junio 2014	Protección de Datos
El décimo trabajo de Heracles: Los bueyes de Geriones (VII). Trazabilidad
30 Junio, 2014 Manuel Jimber	Dejar un comentario
“Un paciente solicita conocer las personas que han accedido a su historia clínica, en un centro concreto y en un periodo de tiempo concreto pues sospecha que alguien ha difundido una información sobre su salud”.
Cada vez este tipo de solicitud está más presente en los centros sanitarios, ya sea por pacientes que sospechan sobre la fuga de su información o por los propios profesionales que trabajan en ellos.
De acuerdo a la legislación actual podríamos resumir que “no tienen derecho a conocer quien ha accedido a su historia clínica”, y ante este hecho, que puede ser malentendido por el paciente y dejarlo sorprendido por la falta de transparencia de las administraciones sanitarias.
En conclusión para el paciente: “No puedo conocer quien ha accedido a mi historia clínica electrónica, ¿Qué hago?”.
Orientar al paciente a denunciar los hechos objetos de sospecha es fundamental e informarle de que el centro iniciará las actuaciones pertinentes.
Pero estos dos puntos pueden ser objeto de controversia tanto por el propio paciente como por la organización sanitaria por los problemas y conflictos de intereses que se pueden suscitar en estas circunstancias.
Es importante distinguir entre la información que proporciona los registros de accesos y la identificación de los profesionales sanitarios que están identificados dentro de la historia Clínica, donde firman los actos sanitarios o informes. No existiendo problema con la información contenida en la historia sobre los documentos identificados, pero se debe verificar que en algunos casos es posible que existan referencia a terceros que se deben preservar de acuerdo a la ley..
Repasemos diferentes aproximaciones y jurisprudencia sobre estas cuestiones.
El décimo trabajo de Heracles: Los bueyes de Geriones (V). Trazabilidad
23 Junio, 2014 Manuel Jimber	Dejar un comentario
Implementación en los Sistemas de Información.
Para cualquier sistema de información es imprescindible establecer y construir desde el principio los elementos que garanticen la seguridad de la información, “Security by Design” es la clave para asegurar la confidencialidad (que sólo los usuarios habilitados puedan acceder a la información), la integridad (que la información permanezca exacta y completa) y la disponibilidad (que sólo los usuarios autorizados puedan utilizar la información en la forma y tiempo previstos).
El registro de auditoría, conocido por el RLOPD como registro de accesos, es un mecanismo ofrecido por los sistemas para recoger los datos de los accesos, intentos de acceso y tratamientos realizados. Por consiguiente, analizando este registro, es posible detectar quiénes y desde dónde acceden, cuándo y cómo lo han hecho, y qué acciones se han realizado.
Es un mecanismo disuasorio y es importante que los usuarios sepan de su existencia y sobre todo si se conserva durante un tiempo prudencial.
Todos los sistemas mantienen registros de auditoría o log, aunque no sea capaz de matizar más que quién y cómo ha accedido y a dónde lo ha hecho, sin precisar ulteriores detalles. Las bases de datos, mantienen sus propios registros, que recogen estos movimientos y permiten detectar cambios indebidos y los usuarios que los han realizado, pero a veces no son eficientes y generan gran volumen de información.
Es por tanto necesario especializar los Registros de Accesos enfocados a las transacciones de las operaciones lógicas de los Sistemas de Información, y catalogando las diferentes formas de accesos y funcionalidades.
En general la gestión y la explotación de esta información es fácilmente manejable, pero cuando son grandes sistemas y complejos como los ”Sanitarios” se presentan grandes retos para mantener una gestión eficiente de los mismos. En esto casos nos puede obligar a salvar estos registros periódicamente para evitar su destrucción (antes de los dos años) debido a la gran necesidad de espacio requerido y que normalmente no se necesitan ser accedidos en tiempo real.
Los registros de acceso pueden no ser necesarios si ocurren dos circunstancias siguientes: que el responsable del fichero sea una persona física y que garantice que sólo él tiene acceso y trata los datos personales.
El mantenimiento durante dos años de estos registros parece una carga mayor respecto a otras normas legales, cuya justificación es la seguridad pública que sólo imponen la reserva de estos registros durante un tiempo sensiblemente menor. Es el caso de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, donde se prescribe la conservación de datos de tráfico y localización sólo durante un año.
De modo que los Registros de Acceso se constituyen como garantía de los sistemas de información y el responsable del fichero deberá contar con las aplicaciones informáticas necesarias que permitan cumplir con las exigencias establecidas en el Reglamento de desarrollo de la Ley 15/1999 en el que se recogen en la actualidad las medidas de seguridad a aplicar a ficheros y tratamientos, toda vez que el artículo 9.2 de la Ley Orgánica 15/1999 dispone que “No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.”
El décimo trabajo de Heracles: Los bueyes de Geriones (IV). Trazabilidad
16 Junio, 2014 Manuel Jimber	Dejar un comentario
Obligaciones del Responsable de Seguridad.
Dentro del marco de datos de salud de nivel alto se establecen garantías para ser requerida por el Responsable del Fichero, obligando a la verificación por el responsable de seguridad como control periódico y de verificación del buen uso de la información.
En concreto existen las siguientes obligaciones:
De modo que se debe incluir en el Documento de Seguridad los procedimientos para realizar el informe mensual sobre el registro de accesos a los datos de nivel alto regulado por el artículo 103 del RLOPD.
El décimo trabajo de Heracles: Los bueyes de Geriones (III). Trazabilidad
9 Junio, 2014 Manuel Jimber	Dejar un comentario
Acceso a los datos personales – Fundamentos legales.
Con carácter general el artículo 15.1 de la Ley Orgánica 15/1999 dispone que “El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos así como las comunicaciones realizadas o que se prevén hacer de los mismos”
Desde el punto de vista sanitario en el artículo 18 “Derechos de acceso a la historia clínica” de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, recoge:
La ley 41/2002 recoge los supuestos en los que se justifica la limitación del derecho de acceso ejercido por el paciente. Esta limitación afecta a:
Los datos confidenciales que afectan a terceras personas y que han sido recogidos en interés terapéutico del paciente. (Artículo 18.2)
Las anotaciones subjetivas que los profesionales hayan hecho constar
Los datos cuyo acceso deba limitarse por razones justificadas de necesidad terapéutica (derivada del artículo 5.4 que limita igualmente el derecho a la información por la existencia acreditada de un estado de necesidad terapéutica, y de la que el médico dejará constancia en la HC).
Por tanto queda claramente delimitado que no incluimos la información de terceros recogidos en la Historia Clínica como parte de esta problemática.
El Real Decreto 1720/2007, de 21 de diciembre, desarrolla en el artículo 27, en sus apartados primero y segundo, de acuerdo con los cuales:
El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carecer personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos.
En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una relación de todos ello.
Por su parte, el artículo 11 de la LOPD, al regular las cesiones de datos, establece que los datos de carácter personal sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.
El décimo trabajo de Heracles: Los bueyes de Geriones (II). Trazabilidad
2 Junio, 2014 Manuel Jimber	Dejar un comentario
Registros de Accesos.
Los registros de accesos son la respuesta para asegurar el principio de “Trazabilidad” de todos los sistemas de información (p.ej. Historia Clínica Electrónica, Departamentales, Laboratorios, Radiología, Sistemas de imagen médica, Registros del sueño, etc.), de modo que se pueda verificar la pertinencia de uso de sus registros, sus ciclos de vida e incluso la calidad de la información contenida.
El artículo 103 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007 establece que “De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido.”
En este caso estos registros están enfocados a registrar la identidad de quien maneja la información y que actividad hace de ellos.
El informe de la AEPD 0584/2009, interpreta el artículo 103, donde el control de los accesos deberá efectuarse de la forma más detallada posible, a fin de conocer efectivamente quién ha podido en cada momento conocer los datos incorporados al sistema, es decir, a qué datos o recursos se ha accedido, sin que puedan efectuarse meros controles genéricos, por referencia al sistema en conjunto.
Así en informe de 16 de enero de 2006, se señala la interpretación que debe darse al precepto al aclarar que del mismo “se deduce que el registro de accesos se refiere al fichero y, dentro del fichero, a los distintos registros accedidos, es decir, a los concretos datos personales que se consultan.” Indica también cuál es la finalidad de la medida de seguridad apuntando que “El aspecto esencial a tener en consideración en estos casos será el que la información almacenada en el registro de accesos permita identificar inequívocamente qué persona ha tenido acceso y a qué información contenida en el fichero en cada momento, a fin de que, en caso de ser necesario reconstruir cuándo y cómo se produjo una determinada revelación de un dato, sea posible identificar la persona que pudo conocerlo en ese momento concreto.”
Concluye el aludido informe que “Por tanto, el control de los accesos deberá efectuarse de la forma más detallada posible, a fin de conocer efectivamente quién ha podido en cada momento conocer los datos incorporados al sistema, es decir, a qué datos o recursos se ha accedido, sin que puedan efectuarse meros controles genéricos, por referencia al sistema en su conjunto.”
La medida de seguridad constituida por el registro de acceso regulado en el artículo 103 del Reglamento solamente conoce una excepción, prevista en el número 6 del mismo artículo que establece lo siguiente:
“No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
a. Que el responsable del fichero o del tratamiento sea una persona física.
b. Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales.
La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.”

References: artículo 9
 artículo 103
 artículo 15
 artículo 18
 artículo 5
 Real Decreto 
 artículo 27
 artículo 11
 artículo 103
 Real Decreto 
 artículo 103
 artículo 103