Checklist RGPD para
despachos e clínicas

Si, case sempre, aínda que o rexistro en si non é un trámite ante ninguén senón un documento interno. O RGPD exime de telo ás organizacións máis pequenas, pero esa excepción non se aplica cando o tratamento non é ocasional ou cando inclúe categorías especiais de datos. Unha clínica trata datos de saúde por definición, e un despacho trata de forma habitual e non ocasional os datos dos seus clientes, así que ambos quedan fóra da excepción por tamaño. Na práctica o rexistro ten que enumerar que datos se tratan, con que finalidade, con que base xurídica, a quen se ceden se se ceden, e canto tempo se conservan. Non fai falta presentalo a ninguén agás que o pida a autoridade de control nunha inspección, pero sen el non hai forma de demostrar que o resto do cumprimento ten unha base ordenada detrás.

En clínicas, con frecuencia si. A normativa española esíxello aos centros sanitarios legalmente obrigados a manter historias clínicas, cunha excepción expresa para o profesional sanitario que exerce a título individual sen estrutura detrás. En despachos de avogados, xestorías ou asesorías non adoita ser obrigatorio por lista pechada, aínda que pode selo se o volume ou o tipo de tratamento o xustifica: non é o mesmo un despacho unipersoal ca unha xestoría con decenas de clientes e varios empregados accedendo aos seus datos. Esta é exactamente a pregunta que convén levar ao asesor xurídico e non ao provedor informático: nós podemos dicirche se os teus sistemas cumpren as condicións técnicas para que alguén exerza esa función, pero se a figura é obrigatoria no teu caso concreto, e quen debe asumila, é unha valoración legal que depende de como estea organizada a actividade.

Si: o contrato de encargado do tratamento que esixe o artigo 28 do RGPD, ademais do contrato de servizo habitual. Se alguén accede aos vosos sistemas e, polo tanto, a datos de pacientes ou clientes, ten que estar regulado que pode facer con eses datos, con que finalidade, que confidencialidade se lle esixe ao seu persoal e que pasa se remata a relación. Isto non se aplica só ao provedor de informática: vale igual para o hosting onde vive a web ou o correo, para o programa de xestión na nube que usades a diario, para a xestoría se leva tamén outros datos, e para a empresa que destrúe documentación en papel. Calquera deles que toque datos persoais precisa ese contrato asinado. É habitual atopar despachos con toda a parte xurídica en orde e sen un só contrato deste tipo asinado con quen máis acceso técnico ten aos seus sistemas.

A normativa estatal fixa un mínimo de cinco anos desde a alta de cada proceso asistencial, e as comunidades autónomas poden ampliar ese prazo: en Cataluña os períodos de conservación son máis longos, así que convén confirmalos co voso asesor xurídico antes de destruír calquera historia clínica, e non fiarse dunha cifra xenérica atopada en internet. Pero desde o lado informático o problema real case nunca é o que preocupa: case ninguén borra de máis nin destrúe antes de tempo. O habitual é o contrario, gardar indefinidamente porque o disco ten espazo e ninguén fixou nunca un prazo nin un procedemento para aplicalo. Iso tamén é un incumprimento, aínda que non o pareza: conservar datos de saúde máis tempo do que corresponde amplía sen necesidade a cantidade de información sensible que hai que protexer e que se pode perder se algo falla no sistema.

Para avisar de que a cita é ás cinco, con moderación e sen mencionar o motivo da consulta, moita xente úsao sen maior problema. Para enviar informes, analíticas, escrituras ou calquera documentación do expediente, non é unha canle axeitada: acaba nun móbil persoal, cópiase automaticamente a unha nube que a empresa non controla, e queda no historial dun dispositivo que se presta, se cambia ou se perde sen que ninguén o borre antes. Se un paciente ou cliente pide que se lle envíe documentación, ten que ir por unha canle que a empresa poida controlar e da que quede constancia de quen o enviou e cando: un correo corporativo, o propio programa de xestión se ten mensaxería, ou unha ligazón de descarga con caducidade. A comodidade dun móbil persoal non compensa perder o control sobre onde acaba esa información delicada.

Documentala sempre, sexa cal sexa a súa gravidade, e notificala á AEPD dentro das 72 horas se é probable que supoña un risco para os dereitos das persoas afectadas. Un correo enviado con copia visible a trinta pacientes é unha brecha aínda que ninguén fixese nada con eses datos despois; un portátil perdido sen cifrar, tamén, mesmo se aparece ao día seguinte sen abrir. O que afunde a maioría de despachos e clínicas non é tanto a brecha en si como descubrir, xa no momento do susto, que ninguén tiña claro quen decide se se notifica, quen redacta o aviso e a quen hai que avisar primeiro. Ter iso escrito de antemán, aínda que sexa nunha soa páxina, é o que marca a diferenza entre resolvelo nun día e pasar unha semana sen saber nin sequera se hai que chamar a alguén.

Non, e apoiarse só no consentimento é un erro frecuente que ademais complica as cousas. A asistencia sanitaria ten a súa propia base xurídica no RGPD, e boa parte do tratamento de datos nun despacho sostense na obriga legal ou na relación contractual co cliente, non nun consentimento que haxa que pedir. O consentimento fai falta especificamente para o que queda fóra desas bases: enviar comunicacións comerciais, publicar unha fotografía, ceder datos a un terceiro que non intervén na propia prestación do servizo. Pedilo para todo, incluída a propia asistencia, non engade protección: dilúe o consentimento real entre sinaturas rutineiras que ninguén le, e iso fai máis difícil demostrar que o consentimento que si importa, cando fai falta, se deu de forma libre e informada.

Non. O deber de información —o cartel na sala de espera, a cláusula no formulario, o parágrafo ao pé do correo— é o punto máis visible e tamén o máis doado de cumprir, precisamente porque non esixe cambiar nada en como funciona o día a día. É só unha comprobación entre varias. O que revisa a AEPD cando chega unha reclamación real son os accesos de quen puido ver un dato concreto, a trazabilidade deses accesos, se existen os contratos cos provedores que tocan os sistemas, e se as copias de seguridade existen de verdade e se poden restaurar. Un cartel impecable na entrada co contrasinal do programa de xestión pegado nun pósit sobre o monitor da recepción non protexe nada: cumpre a parte que se ve e falla a que realmente importa cando algo sae mal.