Las historias clínicas de 15 millones de españoles podrían tener lagunas de seguridad

Según un informe de cumplimiento de la Ley Orgánica de Protección de datos en Hospitales, llevado a cabo por la Agencia Española de Protección de Datos entre 654 centros hospitalarios (públicos y privados, de los 791 existentes en el país) que se encuentran en el ámbito de competencia de AEPD, «la realización de la auditoría bienal de seguridad del fichero de Historias Clínicas es uno de los aspectos en los que se observa un menor nivel de cumplimiento de la normativa de protección de datos, ya que en un 32,5% de centros esta actuación no se lleva a cabo, y en un 85,6% de los centros que realizan la auditoría, se han detectado en ella deficiencias de seguridad».

Cada vez que alguien acude a su médico de cabecera, a urgencias, a un especialista de un hospital y, en general, a cualquier profesional de la salud, se le abre una historia clínica. Es un documento válido desde el punto vista clínico y legal donde se recoge la información necesaria (asistencial, preventiva y social) para la correcta atención de los pacientes.

Debe recordarse que los tratamientos de datos de carácter personal que se realizan en el ámbito hospitalario y, en particular, los relacionados con la gestión de las historias clínicas o la investigación clínica, incluyen datos de salud, considerados datos sensibles o especialmente protegidos por la Ley (al mismo nivel que el origen racial y la vida sexual). y, como tales, tienen un régimen de garantías más fuerte.

Según aclara Antoni Bosch, presidente del Institute of Audit & IT-Governance (IAITG), una iniciativa que contempla la realidad de las tecnologías de la información y su buen gobierno, «este mayor nivel de garantías en el ámbito sanitario se concreta en la exigencia de un consentimiento reforzado, la cualificación de las infracciones como muy graves y la aplicación de las medidas de seguridad de nivel alto».

No obstante, según las conclusiones del informe elaborado por la AEPD, sólo un 22,5% de los hospitales consultados ha realizado la última auditoría en 2010; un 30,8% en 2009; un 10% en 2008, y un 7,4% en 2006 o años anteriores. Un 29,3% de los centros no aporta información sobre la fecha de la última auditoría de seguridad realizada.

Denuncias

En 2009 se registraron un total de 123 denuncias y actuaciones previas de investigación en el sector de la sanidad en relación a la protección de datos. Dada la trascendencia y la importancia del derecho fundamental a la protección de datos en este sector, en el mes de marzo de 2010 la Agencia Española de Protección de Datos tomó la iniciativa de elaborar el Informe de cumplimiento de la LOPD en Hospitales y remitirlo a cada uno de los centros públicos y privados que componen el Catálogo Nacional de Hospitales, al objeto de conocer el nivel de cumplimiento de la LOPD y de su normativa de desarrollo en centros hospitalarios, para adoptar las medidas que resultasen pertinentes.

En el 88,7% de los centros hospitalarios las medidas previstas en el documento de seguridad son las correspondientes al nivel alto, que son las aplicables para los datos relativos a la salud de las personas, y el resultado fue desesperanzador e inquietante: un tercio de los hospitales españoles no está capacitado para salvaguardar la información de sus pacientes. Un porcentaje que trasladado al total de historias clínicas posibles nos daría una cifra aproximada de 15 millones de expedientes sanitarios con lagunas de seguridad.

Según los datos que aporta este informe, la implantación de algunas de las medidas de seguridad exigidas en el RLOPD para los datos de nivel alto es inferior al porcentaje que declara haberlas previsto en el documento de seguridad. Así, el porcentaje de hospitales que dispone de un registro de accesos a toda la información es del 74,6%, mientras que el nivel de hospitales en los que se guarda la información exigida por el RLOPD de cada acceso realizado a los datos (identificación del usuario, fecha y hora del acceso, fichero accedidos, tipo de acceso e indicación de acceso autorizado o denegado) es ligeramente inferior, alcanzando el 70,5%. Es reseñable igualmente el hecho de que un 31% de los centros no almacena el registro de acceso durante el periodo mínimo preceptivo de dos años.

En cuanto a los ficheros manuales (no informatizados) un 22,1% de los centros no cuenta con dispositivos de almacenamiento de historias clínicas dotados de mecanismos que obstaculicen su apertura (por ejemplo, archivadores con cerradura).