Informe de cumplimiento de la LOPD en Hospitales

1,895 views

Published on




Published in: Technology
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
1,895
On SlideShare
0
From Embeds
0
Number of Embeds
237
Actions
Shares
0
Downloads
37
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Informe de cumplimiento de la LOPD en Hospitales

  1. 2. Informe de cumplimiento de la LOPD en Hospitales 13 de octubre de 2010
  2. 3. Informe de cumplimiento de la LOPD en Hospitales Motivación Los tratamientos de datos de carácter personal que se realizan en el ámbito hospitalario y, en particular, los relacionados con la gestión de las historias clínicas o la investigación clínica, incluyen datos de salud, considerados datos sensibles o especialmente protegidos y, como tales, tienen un régimen de garantías más reforzado . En este sentido, conforme a lo dispuesto en los artículos 7.3 y 44.4 de la LOPD y el artículo 81 del RLOPD, este mayor nivel de garantías se concreta en: La exigencia de un consentimiento reforzado, La cualificación de las infracciones como muy graves y La aplicación de las medidas de seguridad de nivel alto especificadas en el propio reglamento
  3. 4. <ul><li>La iniciativa de evaluar el nivel de cumplimiento de los centros hospitalarios se debe a la constatación de alarmantes casos y procedimientos tramitados por la Agencia vinculados principalmente a la vulneración de los deberes de seguridad y secreto por parte de centros sanitarios. Los casos más destacados: </li></ul>Informe de cumplimiento de la LOPD en Hospitales Motivación 1. Difusión de datos de pacientes a través de redes de intercambio de archivos P2P 2. Datos de salud abandonados en contenedores de la vía pública 3. Almacenamiento de documentación clínica en áreas no restringidas al público y en dependencias al alcance de cualquiera 4. Pérdida de historiales clínicos al proceder a la automatización de las historias y no adoptar medidas de seguridad 5. Utilización de los datos sanitarios para finalidades no autorizadas y comunicación indebida a terceros.
  4. 5. <ul><li>Envío de un requerimiento de información a los 654 centros sanitarios registrados en el Catálogo Nacional de Hospitales que son competencia de la AEPD. (Envío realizado a todas las comunidades excepto centros públicos y privados de Cataluña, y centros públicos de Madrid y el País Vasco). </li></ul><ul><li>Tras hacer el filtrado y la comprobación de que había centros que habían cesado su actividad o que se encontraban duplicados a efectos de este estudio, la cifra se redujo a 605 hospitales . </li></ul><ul><li>De los 605 hospitales, la AEPD recibió la contestación de 562 centros , un 92% del total. </li></ul>Informe de cumplimiento de la LOPD en Hospitales Alcance y metodolgía 654 centros del CNH 562 centros contestaron 605 centros tras el filtrado
  5. 6. Informe de cumplimiento de la LOPD en Hospitales Alcance y metodolgía Datos por comunidades autónomas
  6. 7. Informe de cumplimiento de la LOPD en Hospitales Alcance y metodolgía Desglose de los centros que han sido requeridos para realizar el informe de cumplimiento en función de la titularidad, así como el número de centros, por titularidad, que han atendido dicho requerimiento y el resultado numérico de centros que presentan deficiencias en el cumplimiento de la LOPD. Datos por titularidad del centro 202 360 562 43 605 Total 159 109 268 23 292 Públicos 43 251 294 20 313 Privados Requerimiento medidas correctoras Envío de recomendaciones Contestan No contestan Requeridos
  7. 8. <ul><ul><li>► Medidas de seguridad y documento de seguridad; obligaciones del personal; control y registro de acceso; comunicación de datos; gestión de incidencias; gestión de soportes y documentos; copias de respaldo; y documentación en papel. </li></ul></ul><ul><ul><li>► Auditoría de medidas de seguridad </li></ul></ul><ul><ul><li>► Deber de información y atención al ejercicio de derechos ARCO </li></ul></ul><ul><li> ► Inscripción de ficheros en el RGPD </li></ul><ul><ul><li>► Contratación de servicios de tratamiento de datos personales </li></ul></ul>Informe de cumplimiento de la LOPD en Hospitales Alcance y metodolgía En el requerimiento de información enviado se preguntaba sobre el nivel de cumplimiento de la LOPD en lo relativo a:
  8. 9. Informe de cumplimiento de la LOPD en Hospitales Implantación de medidas de seguridad La evaluación realizada a los centros sanitarios ha puesto de manifiesto que, pese a que un 98% de los centros privados y un 83% de los centros públicos han elaborado el Documento de Seguridad previsto en el Reglamento de la LOPD, existen centros sanitarios, principalmente públicos, en los que se constatan importantes deficiencias en la implantación de medidas para que los datos personales e información sanitaria de los pacientes sean adecuadamente custodiados y no puedan ser conocidos por terceros no autorizados
  9. 10. Informe de cumplimiento de la LOPD en Hospitales Implantación de medidas de seguridad Lo realiza el 88% El 66% no lo hace Auditoría bienal de seguridad El 94% lo hace El 74% lo ha hecho Se ha informado al personal de limpieza sobre la necesidad de garantizar la confidencialidad El 35% no lo hace El 75% no lo hace Auditan que el personal autorizado utiliza los datos para la finalidad que justificó el acceso El 21% no lo conserva El 42% no lo conserva Conservación del registro de accesos por un periodo mínimo de dos años El 85,6% lo guarda El 37,4 no lo conserva Conservación de un registro con todos los accesos a la información El 15% carece de ellas El 30% carece de ellas Medidas para evitar la sustracción, pérdida o acceso indebido El 89,4% dispone de ellos El 35% carece de ellos Mecanismos que dificulten la apertura de los dispositivos de almacenamiento El 98% dispone de él El 83% dispone de él Documento de seguridad Preguntas C. Públicos C. Privados
  10. 11. Informe de cumplimiento de la LOPD en Hospitales Deber de información y ejercicio de derechos ARCO En los últimos dos años se ha constatado un incremento significativo en el número de las solicitudes de tutela de derecho relacionadas con el ámbito de la salud , principalmente vinculadas al acceso a la propia historia clínica , al considerar que se había suministrado de forma incompleta, así como por ser denegado el acceso al historial clínico de un familiar fallecido. El 96% cuentan con ellos El 84% disponen de ellos Procedimientos para atender de manera efectiva el ejercicio de los derechos ARCO* El 80% dispone de ellos El 64% dispone de ellos Disponen de carteles informativos sobre el derecho a la protección de datos El 94,5% la incluye El 55% no la incluye Incluye cláusula informativa conforme al artículo 5 de la LOPD Preguntas C. Públicos C. Privados
  11. 12. Informe de cumplimiento de la LOPD en Hospitales Inscripción de ficheros en el RGPD La inscripción de ficheros en el Registro General de Protección de Datos es uno de los indicadores auditados en los que se constata un elevado nivel de cumplimiento en centros públicos y privados. Los centros hospitalarios de Aragón (66,67%) y Cantabria (75%) son los que presentan un menor porcentaje de inscripción de ficheros. En el resto de comunidades el promedio de inscripción supera el 87%. Preguntas C. Públicos C. Privados El 96% los actualiza El 80% los actualiza Mantenimiento y actualización de la inscripción en el RGPD El 99% los inscribe El 89% los inscribe Inscripción de ficheros en el RGPD
  12. 13. Informe de cumplimiento de la LOPD en Hospitales Externalización de servicios que implican tratamiento de datos El 86% de los centros hospitalarios, tanto públicos como privados, ha externalizado servicios que implican el tratamiento de datos personales por entidades distintas al propio centro En la mayoría de los casos, los centros han cumplido con la exigencia normativa – recogida en el artículo 12 de la LOPD- sobre las garantías de acceso a los datos por cuenta de terceros en el que se establece la necesidad de delimitar mediante contrato escrito: Las finalidades y accesos permitidos Las medidas de seguridad aplicables Las responsabilidades en caso de incumplimiento Se constata un porcentaje bajo de centros que aplican procedimientos de disociación de los datos de carácter personal (34%). (Procedimiento no exigido en la LOPD // Sí recomendable)
  13. 14. <ul><li>Remisión a la Subdirección General de Inspección de los 43 centros que no han atendido el requerimiento, dado que podrían haber incurrido en una infracción de la LOPD. </li></ul><ul><li>Remisión del informe a todos los centros con recomendaciones a todos los centros. </li></ul><ul><li>Requerimiento a 202 centros la adopción de medidas correctoras y la comunicación de las mismas a la AEPD en un plazo de 6 meses </li></ul><ul><li>Informar a las Consejerías y al Ministerio </li></ul>Informe de cumplimiento de la LOPD en Hospitales Acciones a desarrollar
  14. 15. <ul><li>Mantener actualizada la inscripción de ficheros. </li></ul><ul><li>Incluir cláusulas informativas en los impresos y adaptarlas en función del fichero en el que se van a incluir los datos. </li></ul><ul><li>Colocar carteles informativos sobre el derecho a la protección de datos. </li></ul><ul><li>Informar al personal de limpieza sobre la necesidad de garantizar la confidencialidad de los datos. </li></ul><ul><li>Aplicar procedimientos de disociación de los datos de carácter personal en los tratamientos de datos que hayan sido externalizados. </li></ul><ul><li>Registrar todos los accesos realizados a los historiales clínicos. </li></ul>Informe de cumplimiento de la LOPD en Hospitales Recomendaciones
  15. 16. <ul><li>Realizar auditorias que verifiquen si el personal utiliza los datos para la finalidad que justificó el acceso. </li></ul><ul><li>Almacenar los archivos físicos de historias clínicas en áreas con acceso protegido mediante llave o dispositivo equivalente y en archivadores que dispongan de mecanismos que obstaculicen su apertura. </li></ul><ul><li>Custodiar la documentación clínica de pacientes cuando ésta no se encuentre archivada impidiendo que pueda ser accedida por terceros. </li></ul><ul><li>Adoptar medidas para evitar la pérdida o sustracción de la documentación durante su transporte. </li></ul><ul><li>Realizar la auditoría bienal de seguridad del fichero de historias clínicas y de otros que puedan contener datos relativos a la salud de las personas. </li></ul>Informe de cumplimiento de la LOPD en Hospitales Recomendaciones

×