O 27 de decembro de 2019, o secretario xeral técnico da Consellería de Sanidade e o xerente do Servizo Galego de Saúde asinaron a Instrución conxunta 7/2019, relativa ao protocolo para o tratamento de datos complementarios aos rexistros de historias clínicas.
Sinala a exposición de motivos que o novo marco normativo que regula o tratamento dos datos persoais levou a aprobar a Lei orgánica 3/2018, do 5 de decembro, de protección de datos persoais e garantía dos dereitos dixitais, o que fai preciso a actualización do protocolo para o tratamento de datos de saúde complementarios aos datos rexistrados nas historias clínicas no ámbito dos órganos administrativos e entidades instrumentais da Consellería de Sanidade e centros sanitarios do Sistema público de saúde de Galicia.
En tanto ese protocolo non se estableza a través da correspondente disposición regulamentaria, resulta oportuno, de cara á seguridade dos sistemas de información, ditar instrucións co obxecto de que o tratamento de datos complementarios aos rexistros das historias clínicas sigan as pautas dun protocolo común e, así mesmo, considérase necesaria a súa publicación no Diario Oficial de Galicia, sen prexuízo da súa difusión de acordo co previsto na lexislación en materia de transparencia e ao abeiro do disposto no artigo 6 da Lei 40/2015, do 1 de outubro, de réxime xurídico do sector público,
RESOLVO:
Ordenar a publicación da Instrución 7/2019, relativa ao protocolo para o tratamento de datos complementarios aos rexistros de historias clínicas, ditada o 27 de decembro de 2019, como anexo a esta resolución.
Santiago de Compostela, 15 de xaneiro de 2020
Alberto Fuentes Losada
Secretario xeral técnico da Consellería de Sanidade
ANEXO
Instrución 7/2019, relativa ao protocolo para o tratamento de datos complementarios aos rexistros de historias clínicas
A entrada en vigor do Regulamento (UE) 2016/679 do Parlamento Europeo e do Consello, do 27 de abril, relativo á protección das persoas físicas no que respecta ao tratamento dos seus datos persoais e á libre circulación destes datos (RGPD), estableceu un novo marco normativo que regula o tratamento dos datos persoais, o que levou a aprobar a Lei orgánica 3/2018, do 5 de decembro, de protección de datos persoais e garantía dos dereitos dixitais (LOPDGDD).
O tratamento de datos persoais baséase nunha serie de principios recollidos no artigo 5 do RGPD. A maior parte destes principios xa estaban recollidos no anterior marco normativo, pero agora xorde como novidade a exixencia de que o responsable do tratamento será responsable do cumprimento deses principios nun sistema de responsabilidade proactiva.
Por outra banda, a LOPDGDD inclúe tamén na súa disposición adicional primeira a referencia a utilizar para o establecemento de medidas de seguridade no eido do sector público, o Esquema nacional de seguridade.
Estas modificacións no ámbito da protección de datos fan precisa a actualización do protocolo para o tratamento de datos de saúde complementarios aos datos rexistrados nas historias clínicas no ámbito dos órganos administrativos e entidades instrumentais da Consellería de Sanidade e centros sanitarios do Sistema público de saúde de Galicia (en diante, SPSG).
En tanto ese protocolo non se estableza a través da correspondente disposición regulamentaria, considérase oportuno, de cara á seguridade dos sistemas de información, ditar as presentes instrucións co obxecto de que o tratamento de datos complementarios aos rexistros das historias clínicas sigan as pautas dun protocolo común.
Por todo o anteriormente exposto, a Secretaría Xeral Técnica da Consellería de Sanidade considera procedente ditar as seguintes instrucións:
Primeira. Obxecto
Estas instrucións teñen por obxecto establecer un protocolo común para o tratamento de datos complementarios aos rexistros de historias clínicas, que se leva a cabo no ámbito dos órganos administrativos e entidades instrumentais da Consellería de Sanidade e centros sanitarios do Sistema público de saúde de Galicia (en diante, SPSG).
Segunda. Avaliacións da calidade asistencial
É de interese para o SPSG, a realización de avaliacións de calidade sobre a asistencia sanitaria, para as cales cómpre acceder e tratar datos clínicos recollidos nas historias clínicas. Estas avaliacións poden requirir o acceso a datos de pacientes, incluso sen contar co seu consentimento.
As avaliacións de calidade asistencial adoitan comportar a elaboración de conxuntos de datos clínicos estruturados sobre os cales en ocasións tamén se aplican análises estatísticas.
Estas avaliacións terán a consideración de tratamentos con finalidade asistencial, complementarios á historia clínica, sempre que:
a) Estean englobadas dentro do plan de calidade global da institución sanitaria en que se produciu a asistencia sanitaria.
b) Sexan recoñecidas pola xerencia desa institución de acordo co previsto nas presentes instrucións.
Terceira. Solicitude e catalogación provisional
As avaliacións de calidade asistencial poden realizarse tanto por servizos clínicos dun centro sanitario como por órganos administrativos e entidades instrumentais da Consellería de Sanidade e do Servizo Galego de Saúde.
Todo servizo clínico, órgano ou unidade administrativa interesada na realización de avaliacións de calidade asistencial deberá propola á xerencia ou órgano directivo de que dependa, que decidirá sobre a súa catalogación inicial.
Para determinar a pertinencia e viabilidade da catalogación teranse en conta aspectos clínico-asistenciais, legais, éticos, formais e técnicos.
Tamén se verificará que as propostas cumpran a normativa de investigación, polo que poderá, en caso de considerarse necesario, consultar o comité de ética na investigación correspondente.
Como resultado desta catalogación inicial, a xerencia ou órgano directivo emitirá un informe de catalogación inicial e, para o caso de que se identifiquen carencias na solicitude, requirirase ao solicitante a súa emenda. A continuación, ditarase unha proposta de resolución con algunha das cualificacións seguintes:
a) No caso de que se verifique a pertinencia da avaliación solicitada, outorgaralle unha cualificación de «catalogada provisionalmente».
b) No caso de que a avaliación solicitada entre en colisión con algún dos principios expostos nesta instrución ou co seu plan de calidade global, procederá a cualificala como «non catalogable» e exixirá a interrupción inmediata do tratamento e a cancelación dos datos asociados a este, se existisen.
Así mesmo, cabe que desde a xerencia ou órgano directivo se promovan directamente avaliacións de calidade asistencial que requirirán igualmente o citado informe de catalogación inicial e proposta de resolución.
Cuarta. Catalogación definitiva
Unha vez realizada a catalogación provisional dunha avaliación de calidade asistencial, remitirase o informe de catalogación inicial e a proposta de resolución cualificadora para a súa catalogación definitiva á Secretaría Xeral Técnica da Consellería de Sanidade, que poderá asesorarse en canto no se defina a súa composición regulamentariamente por unha comisión técnica nomeada para o efecto, procurando que a composición sexa a que se indica a seguir, que tamén avaliará os estudos considerados de «alto impacto na privacidade».
Na composición desa comisión asesora técnica estarán:
a) Dúas persoas en representación da Dirección Xeral de Asistencia Sanitaria do Servizo Galego de Saúde, en concreto, das subdireccións con competencias en materia de documentación clínica e de farmacia.
b) Unha persoa en representación da Axencia Galega para o Coñecemento en Saúde (ACIS).
c) Unha persoa en representación da Dirección Xeral de Saúde Pública da Consellería de Sanidade.
d) Unha persoa en representación da Subdirección Xeral de Sistemas e Tecnoloxías da Información da Consellería de Sanidade.
e) Unha persoa en representación dos comités de ética da investigación de Galicia.
f) O/a delegado/a de protección de datos do SPSG, que exercerá as funcións de secretario/a da comisión.
g) Unha persoa en representación rotatoria das áreas sanitarias do SPSG.
h) A persoa titular da Secretaría Xeral Técnica da Consellería de Sanidade, como responsable do tratamento de datos persoais, exercerá a presidencia da comisión.
A comisión, unha vez revisada a documentación recibida e, se é o caso, requirida a emenda ou mellora da solicitude de avaliación da calidade asistencial, emitirá un informe xustificativo da súa decisión. No caso de que a avaliación de calidade asistencial non resulte validada, incluirase no informe a recomendación (ou exixencia, se é o caso) de posibles medidas que se van tomar: cancelación dos datos, incorporación dos datos noutros sistemas.
Ao informe xuntarase unha resolución, asinada pola persoa titular da Secretaría Xeral Técnica da Consellería de Sanidade, co resultado deste proceso de catalogación definitiva da avaliación de calidade asistencial, que poderá ser:
a) No caso de que se verifique a pertinencia da avaliación solicitada, proporá a súa cualificación como «catalogada».
b) No caso de que a avaliación solicitada entre en colisión con algún dos principios expostos nesta instrución, co seus plans estratéxicos ou coa súa política de tratamento de datos, procederá a cualificala como «non catalogable» e exixirá a interrupción inmediata do tratamento e a cancelación dos datos asociados a este, se existisen.
Quinta. Medidas de seguridade que se aplicarán nestes tratamentos
As xerencias e os órganos directivos serán as responsables de aplicar as medidas de seguridade exixidas na lexislación vixente, garantindo que:
1. Os datos tratados nestas avaliacións se almacenarán en soportes baixo control e xestión corporativa (a través das unidades de tecnoloxías da información do SPSG), aplicando as medidas de seguridade e os controis e limitacións de acceso pertinentes.
2. Sempre que sexa posible, procederase á integración destas avaliacións en sistemas de información corporativos. Para tal fin considerarase como vía de integración a creación de listaxes de pacientes no sistema Ianus.
3. As avaliacións só poden cubrir aspectos relativos ás finalidades indicadas na cláusula segunda desta instrución que non poidan ser acadados a través dos sistemas de información corporativos. Cómpre asegurar que as avaliacións non se limiten á duplicación de información existente noutras fontes sen proporcionar ningunha finalidade ou contido adicional.
4. Nas actividades de tratamento fomentarase e priorizarase a anonimización e pseudonimización dos datos relativos ás persoas físicas, limitando o tratamento conxunto dos datos clínicos asistenciais e dos datos que permitan a identificación das persoas a aqueles casos en que non exista una alternativa viable.
Sexta. Tratamentos excluídos do alcance desta instrución
Non poderán ser catalogadas como avaliacións da calidade asistencial as seguintes clases de tratamentos:
1. A creación, prescrición ou suxestión a pacientes ou persoas relacionadas con eles de aplicacións para móbiles (app) ou de calquera outro tipo de sistema informático.
2. A realización de seguimentos por parte de provedores externos de pacientes sen mediar encargo de tratamento co SPSG.
3. Remitir datos de pacientes a empresas ou institucións alleas ao Sistema nacional de saúde que non teñan asinado unha encarga de tratamento co SPSG.
4. Propoñer aos pacientes ou persoas relacionadas con eles a súa inclusión en tratamentos de datos realizados por empresas ou institucións alleas ao Sistema nacional de saúde que non teñan asinado un encargo de tratamento co SPSG.
5. Todo conxunto de datos que non estea baixo o control das institucións sanitarias, senón baixo o de empregados seus que pretendan manter o control sobre eles.
6. Aqueles tratamentos incluídos dentro do alcance da Orde do 23 de xuño de 2005 pola que se establecen medidas de estandarización, coordinación e supervisión en materia de tecnoloxías da información.
7. Aqueles tratamentos incluídos dentro do alcance da Instrución 4/2017, da Xerencia do Servizo Galego de Saúde, sobre o procedemento de tramitación de cesión de equipamentos nos centros sanitarios do Servizo Galego de Saúde.
Calquera empregado público que sexa responsable da execución dalgún dos tratamentos descritos nesta epígrafe será considerado responsable de tratamento a nivel particular e exporase ás sancións económicas, legais e administrativas que correspondan.
Sétima. Usos posteriores dos datos tratados
Pola súa natureza de datos asistenciais, os conxuntos de datos que se creen coa finalidade de avaliación da calidade da asistencia sanitaria poderán ser reutilizados con fins de investigación en materia de saúde e biomédica, cumprindo cos requisitos establecidos na LOPDGDD.
Cando se solicite o informe favorable do comité de ética na investigación correspondente, este comité poderá requirir dentro da documentación que o investigador deberá achegar para a valoración do estudo de investigación a documentación que avale que o conxunto de datos se creou previamente dentro dunha avaliación de calidade asistencial.
Así mesmo, poderán ser destinados ao resto dos usos recollidos nos números 3 ao 5 do artigo 16 da Lei 41/2002, do 14 de novembro, básica reguladora da autonomía do paciente e de dereitos e obrigas en materia de información y documentación clínica, sempre que cumpran cos requisitos legais exixibles e conten coa autorización do responsable do tratamento.
Oitava. Prazo para a proposición de avaliacións da calidade asistencial para a súa catalogación
Para os efectos de dotar de eficacia as presentes instrucións, establécese un prazo inicial de solicitudes de avaliacións da calidade asistencial para a súa catalogación, que será de seis meses desde a publicación desta instrución. Todas as solicitudes achegadas dentro dese prazo poderán continuar realizando o tratamento de datos mentres non sexan cualificadas como «non catalogable». Iso sen prexuízo do que no seu momento dispoña a disposición regulamentaria que regule o protocolo.
Transcorrido ese prazo inicial, toda nova solicitude de avaliación da calidade asistencial deberá contar cunha resolución de catalogación provisional antes de comezar calquera tratamento de datos, esta medida incorporarase á nova disposición regulamentaria.
Novena. Outros ficheiros temporais
Poderán ter a consideración de ficheiros temporais outras actividades de tratamento de datos de carácter persoal distintas das avaliacións de calidade asistencial que non poidan realizarse utilizando exclusivamente os sistemas de información corporativos previstos na Orde do 23 de xuño de 2005 pola que se establecen medidas de estandarización, coordinación e supervisión en materia de tecnoloxías da información.
Estes ficheiros temporais deberán cumprir coas seguintes condicións:
1. Estar aprobados, rexistrados e controlados pola xerencia ou órgano directivo correspondente.
2. Deben cumprir coas medidas de seguridade da cláusula quinta desta Instrución.
3. O tempo que transcorra entre a creación e a cancelación dun ficheiro temporal non pode superar os seis meses.
4. Os datos tratados como ficheiros temporais non poderán ser utilizados como base para a realización de estudos de investigación.
Poderán ser destinados ao resto dos usos recollidos nos números 3 ao 5 do artigo 16 da Lei 41/2002, do 14 de novembro, básica reguladora da autonomía do paciente e de dereitos e obrigas en materia de información y documentación clínica, sempre que cumpran cos requisitos legais exixibles e conten coa autorización do responsable do tratamento.
Décima. Rexistro, transparencia e publicidade
Todas as avaliacións de calidade asistencial serán recollidas nun rexistro para o seu control. Mentres non se crea un rexistro autonómico que integre todas as avaliacións, esta tarefa será responsabilidade de cada centro sanitario do SPSG, órgano administrativo e entidade instrumental da Consellería de Sanidade, no seu eido de actuación.
Estas avaliacións estarán suxeitas ás mesmas obrigas de transparencia e tratamento que a historia clínica electrónica.
O contido do rexistro será de acceso público para calquera centro sanitario do SPSG, órgano administrativo e entidade instrumental da Consellería de Sanidade, co fin de garantir a coherencia das avaliacións en curso e do seu contido dentro del.
Décimo primeira. Exercicio dos dereitos pola cidadanía
Garantirase que se poidan exercer nas mesmas condicións existentes para a historia clínica electrónica os dereitos recoñecidos nos artigos 15 ao 22 do Regulamento (UE) 2016/679; nos artigos 18 e 19 da Lei 41/2002, do 14 de novembro, básica reguladora da autonomía do paciente e de dereitos e obrigas en materia de información e documentación clínica; no artigo 19 da Lei 3/2001, do 28 de maio, reguladora do consentimento informado e da historia clínica dos pacientes, e no capítulo II do Decreto 29/2009, do 5 de febreiro, polo que se regula o uso e acceso á historia clínica electrónica.
Décimo segunda. Aplicación
A presente instrución producirá efectos desde o día seguinte ao da súa sinatura ata o momento que entre en vigor a disposición regulamentaria en que se establezan os protocolos a que se refire.
