El propio Consejo General de Colegios Oficiales de Farmacéuticos advierte en su documento Buenas prácticas en farmacia comunitaria en España que «El presente y el futuro profesional de la Farmacia están ligados a la provisión de servicios centrados en el paciente». Dicha premisa no hace más que evidenciar la realidad de una relación farmacéutico-paciente mucho más cercana, y por ende es necesaria una especial salvaguardia con respecto al tratamiento de datos originados por esta relación.
La normativa reguladora de este escenario se integra en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), y en el Real Decreto 1720/2007, que aprueba su Reglamento de Desarrollo (RLOPD), sin perjuicio del Código de Ética y Deontología Farmacéutica. Normas que traducen al ámbito de la legislación ordinaria el contenido del Artículo 18 de nuestra Constitución, que postula la limitación legal del uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos, así como el pleno ejercicio de sus derechos.
Efectivamente, el Tribunal Constitucional viene reconociendo el derecho a la protección de los datos personales de los ciudadanos como un derecho autónomo e independiente del derecho a la intimidad, lo que, en la práctica, supone conferir a los pacientes un poder de control sobre sus propios datos, que se concreta en el ejercicio de las cinco facultades básicas que se insertan a modo de principios generales, y que son las siguientes:
• Consentir la obtención y el acceso a los datos personales.
• Autorizar su almacenamiento posterior.
• Tolerar su uso por un tercero, el Estado o un particular.
• Conocer en todo momento quién tiene los datos y qué hace con ellos.
• Acceder, rectificar, cancelar u oponerse a los datos obtenidos.
Dichos principios se traducen en obligaciones para los «responsables de los ficheros», es decir, los farmacéuticos.
Únicamente podrán recabar de los pacientes datos de carácter personal cuando sean adecuados, pertinentes y no excesivos en relación con la finalidad para la que se hayan obtenido.
Los datos deberán estar actualizados, y procederse a su cancelación cuando dejen de ser necesarios para la finalidad por la cual fueron recabados.
Se debe informar a los pacientes de la existencia de un fichero, de la finalidad para la que sus datos son recabados, de los destinatarios de la información, y de la identidad y dirección del responsable del fichero. Muy importante es informarles (añadiendo información a la vista en la farmacia) de la posibilidad de ejercitar sus derechos de acceso, rectificación u oposición a sus datos, ejercicio que ha de ser facilitado sin perjuicio a su sujeción de plazos, formas y condiciones legales.
Además, el farmacéutico tendrá que solicitar, con carácter previo al tratamiento, el consentimiento del paciente, que en muchas ocasiones deberá ser expreso.
Como responsable, el farmacéutico deberá tener elaborado un Documento de Seguridad, manteniéndose siempre actualizado y encontrándose siempre en la oficina de farmacia. En dicho documento, deberán expresarse las medidas concretas de seguridad implementadas en el establecimiento, ya sea para datos que se encuentren en soporte informático como en papel.
Asimismo, las bases de datos que manejan las oficinas de farmacia deberán ser notificadas al Registro de la Agencia Española de Protección de Datos. Este organismo tiene que tener conocimiento de la creación de cualquier fichero, así como de cualquier modificación o cancelación de éste.
Por otro lado, el farmacéutico, así como sus empleados y colaboradores, está sujeto al deber del secreto profesional, obligación que, como «responsable del fichero», debe hacer constar en un documento escrito.
También se suscribirán cláusulas ad hoc con los proveedores cuando deban acceder a nuestros ficheros, y siempre deberá informarse y solicitar el consentimiento al titular de los datos, cuando se prevea la necesidad de comunicarlos a un tercero.
La información tratada en las farmacias tiene varios niveles de protección; así pues:
• Los datos de carácter personal de pacientes, proveedores y empleados que contengan datos identificativos cuentan con un nivel de protección básica. Las medidas de seguridad de nivel básico aplicables, entre otras, son las de disponer del «documento de seguridad», protocolizar procedimientos de realización de copias de seguridad y de identificación de usuarios con acceso a la información mediante el establecimiento de contraseñas, o la de documentar todas las incidencias LOPD/informáticas que puedan surgir en el día a día.
• Los datos que definan características de la personalidad de los empleados y datos derivados de infracciones administrativas y penales precisan, además, un nivel de protección medio. Las medidas de seguridad aplicables a datos de nivel medio son, entre otras, las de designar a un «responsable de seguridad» encargado de coordinar y controlar las medidas de seguridad y de someterlas a una auditoría bienal, interna o externa, de verificación del grado de cumplimiento de las medidas de seguridad.
• Los datos de los pacientes que contengan referencias a su salud física y/o mental exigen, además, la aplicación de medidas de seguridad de nivel alto. Para este tipo de datos deberán aplicarse, entre otros, procedimientos de registro de acceso a la información y de cifrado de datos cuando éstos deban ser transmitidos, así como medidas adicionales de custodia de soportes con contenido confidencial.
Por otro lado, y respondiendo a las finalidades para las que se recaban datos de carácter personal, las bases de datos que manejan las oficinas de farmacia podrían estructurarse en los siguientes ficheros:
• Fichero de pacientes. Engloba datos de carácter identificativo del paciente, médico prescriptor y datos de salud.
Dicho fichero comprende las siguientes finalidades:
– La adquisición, custodia, conservación y dispensación de los medicamentos y productos sanitarios.
– La vigilancia, control y custodia de las recetas médicas dispensadas.
– La elaboración de fórmulas magistrales y preparados oficinales.
– La información y seguimiento de los tratamientos farmacológicos de los pacientes.
– La colaboración en el control del uso individualizado de los medicamentos, a fin de detectar reacciones adversas que puedan producirse y notificarlas a los organismos responsables (farmacovigilancia, cosmetovigilancia).
– La colaboración en los programas que promuevan las Administraciones sanitarias sobre garantía de calidad de la asistencia farmacéutica y de atención sanitaria en general, promoción y protección de la salud, prevención de la enfermedad y educación sanitaria.
• Fichero de personal y recursos humanos. Contiene, por supuesto, datos de carácter identificativo, datos académicos y profesionales, detalles del empleo, datos que dejen entrever características personales de los trabajadores, y datos económicos. Su finalidad incluye la gestión y mantenimiento de la relación laboral y contractual entre el personal y los colaboradores con el establecimiento sanitario.
• Fichero de servicios sanitarios. En este fichero se tratan fundamentalmente datos de carácter identificativo del paciente, así como de su historia clínica. Su finalidad es la de llevar una correcta gestión, control y seguimiento del paciente con respecto a los servicios sanitarios adicionales que se prestan en la farmacia comunitaria (asesoramiento nutricional, sistemas personalizados de dosificación, etc.).
• Fichero de libros oficiales. Incluye datos identificativos y de salud del paciente, así como datos del médico prescriptor y de los medicamentos dispensados. Su finalidad es la de cumplir con la obligación legislativa sanitaria relativa a la anotación de las dispensaciones de recetas de medicamentos de uso humano y veterinario.
Deberían declararse, además, los ficheros de «videovigilancia» y «página web», en los supuestos en los que se obtengan y traten datos a través de estos medios.
Con respecto a los programas de venta online a los clientes, además se deberá cumplir estrictamente con la Ley 34/2002, de Sociedades de la Información y de Comercio Electrónico. Dicha obligación se traduce en la incorporación a la web de su «Aviso Legal», «Política de Privacidad» y de «Cookies», políticas todas ellas que deberán ser particulares a la navegación de los usuarios y del tipo de servicios que se oferten.
En el espacio administrativo, la normativa en materia de protección de datos personales recoge infracciones leves, graves y muy graves, que oscilan entre los 900 y los 600.000 euros. Particularmente vulnerables son algunas de las situaciones que detectamos en nuestras auditorías de seguridad:
• Envío de datos con contenido de salud a través de fax, cuando por lo general dicho dispositivo no tiene la opción de cifrar el contenido de los documentos.
• Videovigilancia y carteles informativos. Instalación de cámaras que captan la vía pública, o la inexistencia de carteles informativos en el establecimiento
• Perfiles en redes sociales y blogs, con imágenes de clientes en los perfiles sociales de la farmacia, sin su previo consentimiento.
Por lo tanto, la protección de datos no puede ni debe ser considerada como un asunto menor, y menos aún en un mundo como el actual, en el que la multiplicación y potencia de los medios de comunicación pueden poner en riesgo tanto la privacidad como la confidencialidad u otros valores y derechos constitucionales.