Así lo explica un grupo de expertos de varias asociaciones. Para evitar que exista una mala utilización de datos personales, especialmente en cuestiones tan sensibles como los historiales clínicos, un grupo de especialistas en privacidad han demandado medidas urgentes. El grupo está formado por la Sociedad Española de Informática de la Salud, la Asociación Valenciana de Informáticos de Sanidad, la ONG de ciberseguridad Isaca y la Asociación Profesional Española de Privacidad (APEP). Desde esta última explican que va a haber cada vez más ataques.

“Se dan dos circunstancias. En el contexto global, por un lado, los ciberataques a entornos de salud se están multiplicando. Por otro, la evolución tecnológica va a obligar cada vez más a que cuidemos la privacidad de los datos", dijo a bez.es Ricard Martínez, presidente de APEP.

El ciudadano cuyos datos se tratan tiene derecho a saber ciertas cosas: cómo se van a tratar sus datos

Ricard Martínez

Presidente APEP

"El sistema sanitario español tiene que hacer frente a las exigencias de Europa en términos normativos, los sistemas públicos y los privados han invertido mucho en esto", añadió, explicando que la necesidad de proteger los datos llevó a la aparición de un mercado del software de privacidad de datos destinados al mercado de las consultas, tanto públicas como privadas.

La transparencia para el paciente es otra cuestión fundamental: "El ciudadano cuyos datos se tratan tiene derecho a saber ciertas cosas: entre ellas cómo se van a tratar sus datos", agregó Martínez.

En este sentido, Martínez dijo que "de vez en cuando nos enfrentamos a prácticas que no son adecuadas, como contratar un tercero para que preste un servicio…. Una de las cuestiones que hay que garantizar que nunca ocurran es la filtración de datos sanitarios, porque este tipo de información tiene un potencial discriminatorio muy alto. Hoy en día, a través de Internet, hay operadores capaces de obtener datos de salud que explotarán comercialmente".

Además, el mantenimiento y actualización de la seguridad va a ser obligatorio cuando se apruebe la normativa comunitaria. La Unión Europea lanzó este año las directrices generales para una nueva Normativa Europea de protección de Datos, que todavía no ha sido desarrollada. La actual data de 1995.

No sólo los ataques, también los gestores

La privacidad de los datos personales del sistema sanitario no está amenazada solamente por los ciberataques, sino por la decisión de gestores de centros sanitarios de compartir esa información, algo expresamente prohibido por la Ley de Protección de Datos. La cesión de este tipo de información sin el consentimiento de los afectados no puede hacerse ni siquiera en el caso de que exista un concierto entre un hospital público y el centro privado: la ley de protección de datos especifica en su artículo 7 que los datos especialmente protegidos solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente.

No conocemos más casos, pues dependemos de que la Agencia nos informe o de que alguien nos haga llegar información

Rubén Sánchez

Facua - portavoz

La asociación de defensa del consumidor Facua denunció el año pasado ante la Agencia Española de Protección de Datos (AEPD) a cinco hospitales españoles por ceder este tipo de información a otros centros: el Hospital Público de Fuenlabrada (Madrid), el San Pedro en Logroño, el Virgen de la Luz en Cuenca, el General Universitario Reina Sofía y Virgen de la Arrixaca -los dos últimos de Murcia-.

El modus operandi es el mismo: pasan los datos a empresas que contactan a los pacientes en su nombre -sin el consentimiento de estos- para ofrecerles sus servicios de manera más rápida y sin coste alguno para ellos, sino con cargo a la Seguridad Social.  Por ejemplo, en el caso de Fuenlabrada, la filtración de datos personales de pacientes a la clínica privada Los Madroños de Brunete fue atribuida a un "error administrativo" por la Consejería de Sanidad madrileña. No obstante, el escándalo provocó el cese del director de este centro. 

"Nosotros no conocemos más casos porque dependemos de que la agencia nos informe o que alguien nos haga llegar información. Pero no tenemos entidad para pedir esa información: es la AEPD la que puede instar a la admnistración a que les den los datos", dijo Rubén Sánchez, portavoz de Facua, a bez.es.

"Es verdad que por una política de conceder al sector privado se han podido cometer vejaciones, pero no tenemos pruebas permantemente, porque no lo podemos solicitar. Es como cuando alguna vez se han encontrado datos en la basura: hechos puntuales de los que se han dado cuenta ciudadanos normales".

La AEPD resolvió archivar los casos de Fuenlabrada, Logroño, y los dos de Murcia.