Checklist RGPD per a
despatxos i clíniques

Sí, gairebé sempre, tot i que el registre en si no és un tràmit davant de ningú sinó un document intern. L'article 30.5 del RGPD eximeix de tenir-lo les organitzacions de menys de 250 empleats, però aquesta excepció no s'aplica quan el tractament no és ocasional o quan inclou categories especials de dades. Una clínica tracta dades de salut per definició, i un despatx tracta de manera habitual i no ocasional les dades dels seus clients, així que tots dos queden fora de l'excepció per mida. A la pràctica el registre ha d'enumerar quines dades es tracten, amb quina finalitat, amb quina base jurídica, a qui es cedeixen si es cedeixen, i quant de temps es conserven. No cal presentar-lo a ningú tret que ho demani l'autoritat de control en una inspecció, però sense ell no hi ha manera de demostrar que la resta del compliment té una base ordenada al darrere.

En clíniques, sovint sí. La normativa espanyola l'exigeix als centres sanitaris legalment obligats a mantenir històries clíniques, amb una excepció expressa per al professional sanitari que exerceix a títol individual sense estructura al darrere. En despatxos d'advocats, gestories o assessories no sol ser obligatori per llista tancada, tot i que pot ser-ho si el volum o el tipus de tractament ho justifica: no és el mateix un despatx unipersonal que una gestoria amb desenes de clients i diversos empleats accedint a les seves dades. Aquesta és exactament la pregunta que convé portar a l'assessor jurídic i no al proveïdor informàtic: nosaltres podem dir-te si els teus sistemes compleixen les condicions tècniques perquè algú exerceixi aquesta funció, però si la figura és obligatòria en el teu cas concret, i qui l'ha d'assumir, és una valoració legal que depèn de com estigui organitzada l'activitat.

Sí: el contracte d'encarregat del tractament que exigeix l'article 28 del RGPD, a més del contracte de servei habitual. Si algú accedeix als vostres sistemes i per tant a dades de pacients o clients, ha d'estar regulat què pot fer amb aquestes dades, amb quina finalitat, quina confidencialitat s'exigeix al seu personal i què passa si acaba la relació. Això no aplica només al proveïdor d'informàtica: val igual per a l'allotjament on viu la web o el correu, per al programa de gestió al núvol que feu servir cada dia, per a la gestoria si porta també altres dades, i per a l'empresa que destrueix documentació en paper. Qualsevol d'ells que toqui dades personals necessita aquest contracte signat. És habitual trobar despatxos amb tota la part jurídica en ordre i sense ni un sol contracte d'aquest tipus signat amb qui més accés tècnic té als seus sistemes.

La Llei 41/2002 fixa un mínim estatal de cinc anys des de l'alta de cada procés assistencial, i les comunitats autònomes poden ampliar aquest termini: a Catalunya els períodes de conservació són més llargs, així que convé confirmar-los amb el vostre assessor jurídic abans de destruir cap història clínica, i no fiar-se d'una xifra genèrica trobada a internet. Però des del costat informàtic el problema real gairebé mai és el que preocupa: gairebé ningú esborra de més ni destrueix abans d'hora. El més habitual és el contrari, guardar indefinidament perquè el disc té espai i ningú va fixar mai un termini ni un procediment per aplicar-lo. Això també és un incompliment, encara que no ho sembli: conservar dades de salut més temps del que correspon amplia sense necessitat la quantitat d'informació sensible que cal protegir i que es pot perdre si alguna cosa falla al sistema.

Per avisar que la cita és a les cinc, amb moderació i sense esmentar el motiu de la consulta, molta gent ho fa sense gaire problema. Per enviar informes, analítiques, escriptures o qualsevol documentació de l'expedient, no és un canal adequat: acaba en un mòbil personal, es copia automàticament a un núvol que l'empresa no controla, i queda a l'historial d'un dispositiu que es deixa, es canvia o es perd sense que ningú l'esborri abans. Si un pacient o client demana que se li enviï documentació, ha d'anar per un canal que l'empresa pugui controlar i del qual quedi constància de qui el va enviar i quan: un correu corporatiu, el mateix programa de gestió si té missatgeria, o un enllaç de descàrrega amb caducitat. La comoditat d'un mòbil personal no compensa perdre el control sobre on acaba aquesta informació delicada.

Documentar-la sempre, sigui quina sigui la seva gravetat, i notificar-la a l'AEPD dins de les 72 hores si és probable que suposi un risc per als drets de les persones afectades. Un correu enviat amb còpia visible a trenta pacients és una bretxa encara que ningú hagi fet res amb aquestes dades després; un portàtil perdut sense xifrar, també, fins i tot si apareix l'endemà sense obrir. El que enfonsa la majoria de despatxos i clíniques no és tant la bretxa en si com descobrir, ja en el moment de l'ensurt, que ningú tenia clar qui decideix si es notifica, qui redacta l'avís i a qui cal avisar primer. Tenir-ho escrit per endavant, encara que sigui en una sola pàgina, és el que marca la diferència entre resoldre-ho en un dia i passar una setmana sense saber ni tan sols si cal trucar a algú.

No, i recolzar-se només en el consentiment és un error freqüent que a més complica les coses. L'assistència sanitària té la seva pròpia base jurídica a l'article 9.2.h del RGPD, i bona part del tractament de dades en un despatx es sosté en l'obligació legal o en la relació contractual amb el client, no en un consentiment que calgui demanar. El consentiment cal específicament per al que queda fora d'aquestes bases: enviar comunicacions comercials, publicar una fotografia, cedir dades a un tercer que no intervé en la mateixa prestació del servei. Demanar-lo per a tot, inclosa la mateixa assistència, no afegeix protecció: dilueix el consentiment real entre signatures rutinàries que ningú llegeix, i això fa més difícil demostrar que el consentiment que sí importa, quan cal, es va donar de manera lliure i informada.

No. El deure d'informació —el cartell a la sala d'espera, la clàusula al formulari, el paràgraf al peu del correu— és el punt més visible i també el més fàcil de complir, precisament perquè no exigeix canviar res en com funciona el dia a dia. És només una comprovació entre diverses. El que revisa l'AEPD quan arriba una reclamació real són els accessos de qui va poder veure una dada concreta, la traçabilitat d'aquests accessos, si existeixen els contractes amb els proveïdors que toquen els sistemes, i si les còpies de seguretat existeixen de veritat i es poden restaurar. Un cartell impecable a l'entrada amb la contrasenya del programa de gestió enganxada en un pòsit-it sobre el monitor de recepció no protegeix res: compleix la part que es veu i falla la que realment importa quan alguna cosa surt malament.