La protección de datos forma parte del día a día de cualquier clínica. Historias clínicas, resultados de pruebas, citas o información de contacto son datos que requieren una gestión especialmente cuidadosa. Pero los riesgos no siempre proceden de grandes fallos de seguridad, ya que muchas veces están en pequeños errores cotidianos.
Los datos de salud son una categoría especial de datos personales y cuentan con una protección reforzada en el Reglamento General de Protección de Datos (RGPD). Sin embargo, los problemas de protección de datos no siempre aparecen por grandes fallos de seguridad. En muchas ocasiones, se producen por pequeños errores cotidianos.
Los errores más frecuentes
Dar información de un paciente a la persona equivocada
Una situación tan habitual como llamar a un paciente por su nombre en una sala de espera, entregar documentación a otra persona o facilitar información sobre un paciente por teléfono puede generar riesgos de confidencialidad. La Agencia Española de Protección de Datos (AEPD) ha establecido criterios específicos para situaciones como la gestión de llamadas telefónicas, mostradores de admisión o la información sobre pacientes ingresados.
La clínica debe establecer procedimientos claros para verificar la identidad de las personas antes de facilitar información.
Permitir que cualquier empleado acceda a cualquier historia clínica
No todas las personas que trabajan en una clínica necesitan acceder a toda la información de los pacientes. El acceso debe estar relacionado con las funciones que desempeña cada profesional. La AEPD recuerda que no cualquier profesional sanitario puede acceder libremente a los datos de un paciente, ya que debe existir una justificación vinculada a las funciones que desempeña.
Por eso, es importante establecer permisos de acceso adecuados y revisar periódicamente quién puede consultar determinada información.
Enviar información médica por canales inadecuados
Enviar informes, resultados o fotografías médicas requiere extremar las precauciones. Un correo enviado al destinatario equivocado, un documento adjunto sin protección o una conversación en la que se comparten datos sensibles pueden convertirse en un incidente de seguridad.
La clínica debe valorar qué herramientas utiliza y establecer procedimientos para reducir estos riesgos.
No controlar correctamente las historias clínicas
La historia clínica contiene información especialmente sensible y debe mantenerse de forma que quede garantizada su seguridad, conservación y recuperación. Además, la legislación sanitaria establece obligaciones específicas de conservación de la documentación clínica.
La Ley 41/2002 fija, con carácter general, un mínimo de cinco años desde el alta de cada proceso asistencial, sin perjuicio de otras obligaciones que puedan resultar aplicables. No se trata únicamente de guardar documentos. También hay que garantizar que no puedan acceder a ellos personas que no estén autorizadas.
No saber qué hacer ante una brecha de seguridad
Una brecha de datos no significa únicamente que un hacker entre en los sistemas de una clínica. También puede existir una brecha cuando un trabajador accede sin autorización a información, cuando se produce una pérdida accidental de datos o cuando estos son destruidos, alterados o comunicados indebidamente. Por eso, una clínica debe tener previsto qué hacer cuando se produce un incidente.
Descuidar la ciberseguridad de la clínica
La protección de los datos de los pacientes no depende únicamente de cómo se gestiona la información dentro de la clínica. También es fundamental proteger los sistemas, dispositivos y herramientas que permiten almacenarla y acceder a ella. Una clínica puede sufrir un incidente por diferentes motivos: un correo electrónico fraudulento, una contraseña comprometida, un programa malicioso o el acceso no autorizado a uno de sus dispositivos.
Por eso, algunas medidas básicas de ciberseguridad son esenciales:
- Utilizar contraseñas seguras y evitar compartirlas
- Activar la autenticación multifactor cuando sea posible
- Mantener actualizados los equipos y programas
- Realizar copias de seguridad periódicas
- Limitar los permisos de acceso a la información
- Formar al personal para identificar correos y mensajes fraudulentos
- Establecer un protocolo para actuar ante un incidente de seguridad
Además, no hay que olvidar que una clínica maneja información especialmente sensible. Un ataque informático que afecte a historias clínicas, resultados de pruebas o datos personales puede tener consecuencias tanto para los pacientes como para el propio centro. La ciberseguridad, por tanto, debe formar parte de la gestión diaria de la clínica y no limitarse a instalar un antivirus.
Publicar fotografías de pacientes sin analizar los requisitos
Las redes sociales han añadido un nuevo foco de riesgo. Fotografías de tratamientos, vídeos de intervenciones, testimonios de pacientes o imágenes tomadas dentro de la clínica pueden contener datos personales. Antes de publicar, hay que analizar la finalidad, la base jurídica y las garantías aplicables. Además, el consentimiento para recibir asistencia sanitaria no equivale automáticamente al consentimiento necesario para publicar información del paciente en redes sociales.
Pensar que la protección de datos es solo cuestión de documentos
Tener una política de privacidad o varios documentos firmados no significa que una clínica cumpla por completo con sus obligaciones.
La protección de datos también implica:
- Controlar los accesos
- Formar al personal
- Establecer procedimientos internos
- Proteger los dispositivos
- Gestionar correctamente las historias clínicas
- Controlar a los proveedores que acceden a datos
- Saber cómo actuar ante una brecha de seguridad
La AEPD dispone de una guía específica para profesionales del sector sanitario que aborda, entre otras cuestiones, la legitimación para tratar datos de salud, los accesos a historias clínicas y las responsabilidades asociadas a estos tratamientos.
La protección de datos empieza en los pequeños detalles
Una adecuada gestión de los datos personales es fundamental, pero los incidentes de seguridad pueden producirse incluso cuando existen medidas de prevención. Contar con una protección adecuada frente a los riesgos derivados del entorno digital puede ayudar a la clínica a afrontar las consecuencias de un ciberataque.
En Uniteco contamos con un Seguro de Ciberriesgo adaptado a las necesidades de los centros y clínicas, para proteger uno de los activos más importantes de cualquier clínica, los datos. Prevenir es mucho más que cumplir con el reglamento, ya que significa proteger la información de los pacientes, al equipo profesional y a la propia clínica.
No hay comentarios
Todavía no hay ningún comentario en esta entrada.
Deja un comentario