La importancia del cumplimiento del RGPD para los profesionales sanitarios
En línea con su estrategia de control para el año 2021, centrada principalmente en la ciberseguridad de la web francesa y la seguridad de los datos sanitarios, la CNIL continúa su campaña de control. La CNIL llevó a cabo una inspección de los actores involucrados en las acciones de lucha contra la pandemia de COVID-19 y destacó flagrantes violaciones de la seguridad de los datos sanitarios. Una ilustración más de la obligación que tienen los profesionales sanitarios, y en este caso las farmacias, de garantizar su cumplimiento (y el de sus subcontratistas) del Reglamento General de Protección de Datos.
La empresa afectada por la violación de la seguridad de los datos: FranceTest
La sociedad FranceTest es el intermediario a través del cual un gran número de farmacéuticos en Francia registran y transmiten los resultados de las pruebas de antígenos COVID-19 en el software específico: SI-Dep. (Sistema de información de detección)
Esta empresa privada es, por tanto, subcontratista de numerosas farmacias encargadas de realizar pruebas antigénicas. Datos que pueden ser calificados como datos de salud, en el sentido del Reglamento General de Protección de Datos Personales (Reg. (UE) 2016/679, de 27 de abril de 2016, – RGPD).
Tras revelaciones de la prensa francesa y un informe anónimo recibido por la Commission Nationale Informatique et Libertés (CNIL), la empresa admitió, en agosto de 2021, que había un fallo informático en su sistema, que hacía accesibles unos 700.000 resultados de pruebas antigénicas realizadas en farmacias.
Tras los controles realizados por la CNIL, como resultado de estas revelaciones, resultó que el fallo se refería a una base de datos que contenía los nombre, nombre, dirección de correo electrónico, número de teléfono, fecha de nacimiento, resultado de la prueba (positivo o negativo) y número de Seguro Social de unas 386,970 personas únicas.
La investigación de la CNIL
De conformidad con las prerrogativas que le otorga la Ley de Protección de Datos, la CNIL realizó controles en línea y en las instalaciones de la empresa para verificar las medidas tomadas para garantizar la seguridad de estos datos.
Aunque la CNIL determinó que la empresa había tomado ciertas medidas para abordar las causas de la violación de datos, señaló que el servicio FranceTest todavía tenía importantes vulnerabilidades de seguridad de los datos.
En efecto, la CNIL señala que:
- los datos de salud están alojados en un proveedor de servicios que no tiene la aprobación HDS (obligatoria) (alojamiento de datos de salud),
- los procesos de autenticación no fueron lo suficientemente robustos,
- los procesos criptológicos utilizados eran débiles y el registro (registro de las acciones de las personas que acceden a la herramienta) de las actividades del servidor era insuficiente.
A raíz de sus conclusiones, la CNIL envió a la empresa FranceTest una notificación formal para que tomara todas las medidas necesarias para garantizar la seguridad de los datos sanitarios que procesa en nombre de cientos de farmacias, dentro de los dos meses siguientes a la decisión de la CNIL. Además, la CNIL envió una carta a “más de 300 farmacias para verificar su cumplimiento con [Rnormas generales de protección de datos] y la obligación de seguridad”.
Protección reforzada de los datos personales de salud
Como recordatorio, los datos de salud se consideran “datos sensibles” cuyo procesamiento está prohibido en principio por el RGPD (Reg. (UE) 2016/679, 27 de abril de 2016, art. 9.; Ley n. 78-17, 6 de enero de 1978, art. 6 modificado).
Sin embargo, una serie de excepciones proporcionan una base para desviarse de esta prohibición de procesar datos de salud. Entre estas excepciones, que permiten justificar el tratamiento de datos personales de salud, se incluyen en particular:
- Consentimiento Explícito del interesado podrá permitir, hasta cierto punto, una excepción a la prohibición del tratamiento de datos de salud;
- Derecho laboral, seguridad social, protección social: para el procesamiento necesario para el cumplimiento de las obligaciones y el ejercicio de los derechos propios del responsable o del interesado en materia de legislación laboral, seguridad social y protección social;
- Salvaguardar los intereses vitales de las personas interesadas;
- La medicina preventiva o medicina del trabajo, la evaluación de la capacidad laboral del trabajador, los diagnósticos médicos, la asistencia sanitaria o social, o la gestión de los sistemas y servicios de asistencia sanitaria o de protección social ;
- El interés público cuando el procesamiento es“necesario por razones de interés público importante, sobre la base del derecho de la Unión o del derecho de un Estado miembro, que debe ser proporcionado al objetivo perseguido, respetar la esencia del derecho a la protección de datos y prever medidas apropiadas y específicas para salvaguardar los derechos e intereses fundamentales del interesado”
Estos datos de salud están sujetos a protección específica por varios textos, entre ellos: el RGPD, el Código de Salud Pública y la Ley de Protección de Datos.
Entre las obligaciones específicas que se aplican al procesamiento de datos de salud: el artículo L 1111-8 del Código de Salud Pública (CSP), modificado en gran medida por la Ordenanza n° 2017-27 del 12 de enero de 2017, establece el marco para el alojamiento de datos de salud. Establece la obligación de certificación/aprobación de
- “Yo.-Cualquier persona que aloje datos personales de salud recopilados durante las actividades de prevención, diagnóstico, atención o seguimiento social y médico-social, por cuenta de las personas físicas o jurídicas en el origen de la producción o recopilación de estos datos o por cuenta del propio paciente.
Todas estas obligaciones y la protección reforzada de estos datos hacen imprescindible su cumplimiento para cualquier profesional sanitario, que por naturaleza trata datos de salud.
¿Eres farmacéutico o profesional de la salud y te gustaría cumplir?
Contacte con la firma LEGALPROTECH-AVOCATS para una auditoría de su estructura.
Samuel DENIN, Abogado
Fuentes
- Decisión CNIL n°MED-2021-093 del 4 de octubre de 2021 que pone en aviso a la empresa FRANCETEST
- Deliberación de la oficina CNIL núm. MEDP-2021-001 de 11 de octubre de 2021 resolviendo hacer público el oficio no. MED-2021-093 de 4 de octubre de 2021 interpuesto contra la empresa FRANCETEST
- https://www.lemonde.fr/pixels/article/2021/10/14/la-cnil-met-en-demeure-francetest-apres-la-fuite-de-donnees-de-sante-sur-les-tests-de-depistage-du-covid-19_6098345_4408996.html
Artículo publicado el 19 de octubre de 2021. Su contenido refleja el contexto de su publicación.
¿Alguna pregunta sobre tu situación? Contacta con la firma ↗
