Protecció de dades de salut en SST

Què implica la protecció de dades de salut en SST

La prevenció de riscos laborals necessita informació sobre la salut de les persones per a protegir-les: saber si un lloc és compatible amb la condició de qui l’ocupa, detectar danys precoços, adaptar tasques o protegir l’embaràs. Però aquesta mateixa informació, en mans equivocades, pot donar lloc a discriminació, pressió o pèrdua d’intimitat. Per això l’ordenament distingeix dos circuits: el sanitari, on el personal mèdic i d’infermeria del treball maneja dades clíniques baix secret professional, i l’empresarial, que només rep conclusions funcionals (apte, apte amb restriccions, no apte, necessitat d’adaptació) sense diagnòstics.

El Reglament (UE) 2016/679 prohibeix amb caràcter general el tractament de dades relatives a la salut i ho permet en excepcions com la necessària per al compliment d’obligacions en l’àmbit del Dret laboral i de la protecció social (article 9.2.b), la medicina preventiva o laboral i l’avaluació de la capacitat laboral del treballador (article 9.2.h), sempre que el tractament el realitzi un professional subjecte a secret professional. La Llei orgànica 3/2018 desenvolupa aquestes previsions, i la Llei 31/1995 fixa les regles específiques de confidencialitat de la vigilància de la salut, reforçades per la Llei 41/2002 d’autonomia del pacient i pel Reial decret 843/2011 sobre l’activitat sanitària dels serveis de prevenció.

La digitalització de la gestió preventiva i l’aparició de sensors, dispositius vestibles i sistemes d’analítica multipliquen les dades que poden revelar l’estat de salut (constants vitals, fatiga, exposició, absències), la qual cosa exigeix dissenyar els sistemes amb protecció de dades des del disseny i per defecte, separació d’accessos i avaluacions d’impacte quan el tractament sigui d’alt risc.

L’aplicació pràctica del consentiment i la confidencialitat en vigilància de la salut exigeix separar informació clínica i conclusions preventives. També ha d’evitar-se la identificació indirecta en comunicar resultats de vigilància col·lectiva.

Principis i obligacions

• Licitud i finalitat. Les dades de salut només es tracten per a fins preventius i de vigilància de la salut, amb la base jurídica de l’article 9.2 del RGPD; no poden reutilitzar-se per a selecció, avaluació de l’acompliment o decisions disciplinàries.
• Minimització. Recollir únicament les dades necessàries per al risc del lloc, conforme als protocols de vigilància sanitària específica, i comunicar a l’empresa només l’aptitud i les mesures necessàries.
• Confidencialitat i accessos. Accés a la informació mèdica limitat al personal sanitari del servei de prevenció i a les autoritats sanitàries; l’empresa, els comandaments i recursos humans accedeixen només a l’aptitud i a les adaptacions. Els sistemes han d’aplicar controls d’accés per rol i registre de consultes.
• Informació i drets. Les persones treballadores han de ser informades del tractament i poden exercir els drets d’accés, rectificació, supressió, limitació i oposició, amb els límits derivats de les obligacions legals de conservació.
• Seguretat. Mesures tècniques i organitzatives proporcionals al risc: xifratge, autenticació, segregació de bases de dades, còpies de seguretat, gestió d’incidents i notificació de bretxes a l’Agència Espanyola de Protecció de Dades en 72 hores quan escaigui.
• Conservació. Els historials clínic-laborals es conserven durant els terminis que fixa la normativa sanitària i l’específica de determinats riscos (agents cancerígens, biològics, radiacions ionitzants), que poden aconseguir desenes d’anys, i es transfereixen al nou servei de prevenció o a l’autoritat sanitària quan cessa l’activitat.
• Encarregats i tercers. Els serveis de prevenció aliens, les mútues i els proveïdors de programari actuen com a responsables o encarregats segons el cas, amb contractes que fixin instruccions, seguretat i confidencialitat.
• Avaluació d’impacte. Obligatòria quan el tractament a gran escala de dades de salut o l’ús de noves tecnologies (sensors, vestibles, analítica) suposi un alt risc per als drets de les persones.

Situacions freqüents

• Comunicació de l’aptitud. El certificat d’aptitud arriba a l’empresa sense diagnòstic; les restriccions es formulen en termes funcionals (per exemple, no manipular càrregues superiors a un pes) i es comuniquen només a qui ha d’aplicar-les.
• Baixes i incapacitat temporal. L’empresa coneix l’existència i durada de la baixa, no el diagnòstic; els comunicats mèdics no inclouen la patologia.
• Sensibilitat especial i embaràs. La comunicació és voluntària i confidencial; l’empresa actua sobre l’adaptació sense difondre la causa.
• Accidents i investigació. El comunicat d’accident i la investigació recullen la lesió en la mesura necessària; els informes clínics complets romanen en el circuit sanitari.
• Sensors i vestibles. Dades de constants o fatiga només amb base jurídica clara, informació prèvia, finalitat preventiva, agregació quan sigui possible i sense ús disciplinari.
• Analítica i quadres de comandament. Dades de salut agregats o anonimitzats per a l’anàlisi col·lectiva, elaborat pel personal sanitari.

Aplicació organitzativa: com protegir les dades de salut

1. Inventariar els tractaments de dades de salut en la gestió preventiva (vigilància de la salut, aptituds, adaptacions, accidents, sensibilitat especial, sensors) i incloure’ls en el registre d’activitats de tractament.
2. Separar el circuit sanitari de l’empresarial: bases de dades i accessos diferenciats, amb el personal sanitari com a únic accés a la informació clínica.
3. Definir per escrit què rep cada rol (direcció, comandaments, recursos humans, tècnics de prevenció) i limitar-lo a l’aptitud i les mesures necessàries.
4. Informar les persones treballadores del tractament i dels seus drets, i establir un procediment per a exercir-los.
5. Realitzar l’avaluació d’impacte quan s’incorporin sensors, vestibles, analítica avançada o tractaments a gran escala, amb consulta als representants.
6. Formalitzar contractes per encàrrec amb serveis de prevenció aliens, mútues i proveïdors de programari, amb clàusules de confidencialitat, seguretat i subencargo.
7. Auditar periòdicament els accessos i la seguretat, gestionar els incidents i mantenir els terminis de conservació per tipus de dada.

Un programari de gestió preventiva dissenyat amb protecció de dades des del disseny permet separar els mòduls sanitaris dels de gestió, aplicar accessos per rol, registrar cada consulta i conservar les dades durant els terminis legals amb traçabilitat.

Límits i errors freqüents

1. Comunicar diagnòstics o resultats clínics a comandaments o recursos humans en lloc de l’aptitud i les adaptacions.
2. Emmagatzemar informes mèdics en carpetes compartides, correus o expedients de personal accessibles fora del circuit sanitari.
3. Utilitzar dades de salut per a decisions de selecció, promoció o disciplina, o per a perfilar a les persones.
4. Implantar sensors o vestibles que registren dades fisiològiques sense base jurídica, informació ni avaluació d’impacte.
5. No formalitzar l’encàrrec de tractament amb el servei de prevenció aliè o el proveïdor tecnològic.
6. Conservar o destruir historials sense atendre els terminis de la normativa sanitària i de riscos específics.

La qualificació jurídica de cada tractament ha de realitzar-se amb el delegat de protecció de dades o assessorament especialitzat; aquesta fitxa té caràcter divulgatiu.

Marc normatiu a Espanya i a la Unió Europea

• Reglament (UE) 2016/679, article 9. Tractament de categories especials de dades, incloses les dades de salut, i excepcions per a la medicina laboral.
• Llei orgànica 3/2018, de 5 de desembre. Protecció de dades personals i garantia dels drets digitals, inclòs l’àmbit laboral.
• Llei 31/1995, article 22. Confidencialitat de la vigilància de la salut i comunicació de l’aptitud a l’empresari.
• Llei 41/2002, de 14 de novembre. Autonomia del pacient, informació clínica, historia clínica i confidencialitat.
• Reial decret 843/2011, de 17 de juny. Activitat sanitària dels serveis de prevenció: història clínic-laboral, conservació i transferència.

L’Agència Espanyola de Protecció de Dades publica guies sobre el tractament de dades en les relacions laborals i sobre la protecció de dades i la prevenció de riscos laborals; a Colòmbia, la Llei 1581 de 2012 qualifica les dades de salut com a sensibles i la Resolució 2346 de 2007 regula la custòdia de les històries clíniques ocupacionals.