Qué castigo tiene desvelar por ‘email’ datos Covid de sanitarios
El servicio de salud manchego, a pesar de haber violado tres artículos del reglamento general de protección datos, sólo ha sido apercibido.
Los datos personales relativos a la salud están considerados como una categoría especial y, por tanto, están específicamente protegidos. En 2021 se registraron 680 reclamaciones relacionadas con sanidad en la Agencia Española de Protección de Datos (AEPD), incrementándose así en un 75% respecto a 2020. En estos casos, es habitual que la infracción de este derecho sea incumplido por una empresa con la que el individuo tenga una relación laboral, pero el asunto es más sangrante cuando el transgresor de esta protección es un servicio médico, que debe aplicar diariamente esta normativa.
En este asunto que acaba de resolver la AEPD, un profesional sanitario de un centro hospitalario puso una reclamación al Servicio de Salud de Castillla-La Mancha (Sescam) por el envío de un correo electrónico a seis trabajadores del servicio en el que constaba como documento anexo una tabla con información personal y sanitaria de 40 personas.
Según se puede leer en la resolución de la autoridad española de protección de datos, el contenido afectaba no sólo al reclamante, si no también a una larga lista de otras categorías como la recepciouna nista, administrativos, celadores, auxiliares diplomados universitarios en enfermería (DUE), radiofísicos y médicos. El texto indica que en el anexo se facilitaba el nombre, la categoría profesional, los resultados de pruebas de Covid-19, si los 40 trabajadores apuntados habían padecido la enfermedad y si esto había conllevado una baja laboral.
En el documento aparecía información personal y de salud de 40 trabajadores
Explicaciones
El Sescam señaló en su escrito que el email fue “dirigido exclusivamente a los médicos y a la supervisora de enfermería, pues de una parte los médicos son los que deben conocer con qué profesionales trabajan y su situación respecto al Covid para prevenir el contagio de los pacientes al ser el medico el responsable directo del paciente durante la realización de las pruebas y tratamiento de los pacientes; y la supervisora, al ser la jefa y responsable del personal de enfermería destinado en el servicio de oncología radioterápica”.
Sin embargo, estos argumentos no han convencido a la AEPD que, con estas evidencias en la mano, señala que el envío de este tipo de información incumple el artículo 9 del reglamento general de protección de datos (RGPD), ya que la entidad reclamada procedió al tratamiento de datos de salud del reclamante, sin encontrarse en alguno de los supuestos indicados en el apartado 2 que posibilitarían dicho proceso.
La agencia considera igualmente que el servicio de salud manchego infringió del artículo 5 del RGPD, que se centra en el principio de integridad y confidencialidad, para que los datos sean tratados de tal manera que se garantice seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito.
En cuanto a la brecha de confidencialidad que supuestamente se produjo y que el Sescam alega en su escrito, la Agencia Española de Protección de Datos constata que no se le ha comunicado nada. “No se dispone de evidencias suficientes sobre el resto de información referente a la brecha y en concreto el destino que se ha dado a los datos contenidos en la tabla y si éstos han sido suprimidos o no”, explica la resolución.
La AEPD prosigue señalando que las medidas de seguridad del Sescam no eran adecuadas en el momento en el que se produjo el incidente – 3 de junio de 2020– y solicita que sean mejoradas porque queda constatado que no han sido suficientes para evitar los hechos denunciados.
La Agencia de Protección de Datos considera pues que el Sescam infringió el RGPD al tratar datos de salud, al violar el principio de integridad y confidencialidad de los mismos, y, al no adoptar las medidas de seguridad necesarias para garantizar la protección de los datos de carácter personal, pero, sin embargo, sólo le termina imponiendo tres sanciones de apercibimiento.*
El correo electrónico iba dirigido sólo a médicos y buscaba prevenir contagios, dice la reclamada
La Agencia de Protección de Datos solicita que se mejoren las medidas de seguridad