Nuevas obligaciones para las farmacias en materia de protección de datos

El próximo 25 de mayo entre en vigor el Nuevo Reglamento General de Protección de Datos (RGPD) de la Unión Europea con el objetivo de que los ciudadanos tengan un mejor control de sus datos personales.

Por tanto, todas las oficinas de farmacia tendrán que haber puesto en marcha las medidas necesarias para el cumplimiento de la nueva normativa comunitaria. Ésta tiene un especial impacto sobre el sector far­macéutico, dado que la información que maneja es especialmente sen­sible al tratarse de temas de salud.

Previsiblemente, para la misma fecha estará aprobada la futura Ley Orgánica de Protección de Datos de Carácter Personal, cuyo proyecto obtuvo luz verde el pasado mes de noviembre. Dicha norma ayudará a clarificar y detallará aspectos que el Reglamento no precisa o que pue­dan dar lugar a confusión, como la obligación de que haya un delegado de protección de datos, según ex­plica Alberto Xicoy, abogado del De­partamento de Nuevas Tecnologías, especializado en la Protección de Datos, de Bufete Escura.

CONSENTIMIENTO EXPRESO DEL CIUDADANO

Entre las principales novedades se encuentra que el ciudadano tendrá que dar su consentimiento expresopara que la farmacia pueda obtener sus datos personales, mientras que, con la normativa actual, este con­sentimiento puede darse a través de una manifestación de voluntad o bien de manera tácita. Esto significa que los pacientes deberán manifes­tar de manera expresa e inequívo­ca la voluntad de ceder sus datos, considerándose el “silencio” como la no aceptación de que la farmacia disponga de ellos.

Esto va a implicar que las far­macias tengan que preguntar de forma entendible a todos sus con­tactos si están de acuerdo con que se traten sus datos, es decir, que en los formularios de recogida de esta información habrá que poner de manifiesto que el paciente da su consentimiento a la farmacia, y la respuesta únicamente será positiva si lo comunica de manera expresa.

Con esta novedad, si las ofici­nas de farmacia consiguen obtener el consentimiento expreso deberán guardarlo para que puedan demos­trar que efectivamente el paciente se lo dio y así cubrirse de posibles quejas o reclamaciones.

DERECHO AL OLVIDO

Otra de las modificaciones impor­tantes que introduce el Reglamento es la incorporación de dos derechos más, que se añaden a los tradicio­nales “derechos ARCO”. Así, a los

de acceso, rectificación, cancela­ción y oposición, se suman el de derecho al olvido y a la portabilidad. El del olvido permite que se borren los datos del ciudadano en los bus­cadores o redes sociales, mientras que el de portabilidad permite a las personas obtener los datos que han proporcionado en un formato es­tructurado, de uso común y de lec­tura mecánica.

Por tanto, las webs y las tien­das online de las farmacias deberán adaptarse a las nuevas exigencias, que afectan al aviso legal, la política de cookies, las condiciones gene­rales de contratación y el derecho a la información. Este último, que supone una de las grandes noveda­des del Reglamento, consta de dos capas: una a nivel general, donde se explicitan los datos del responsable del tratamiento, las finalidades por las que se recoge la información y los nuevos derechos que tiene el usuario, y una segunda capa, en la que habrá que detallar más es­tas cuestiones. Tal y como explica Xicoy, la norma busca que el ciuda­dano le preste más importancia al control de sus datos.

REGISTRO INTERNO DE ACTIVIDADES

Otro de los cambios importantes es que, hasta ahora, era obligatoria la inscripción pública de ficheros en la Agencia Española de Protección de Datos (AEPD), es decir, la reco­pilación de los datos en un docu­mento. Con el Reglamento no habrá que dar de alta estos ficheros, sino que se registrarán internamente en la empresa a través del Principio de Responsabilidad Proactiva, de modo que habrá que hacer un Re­gistro Interno de Actividades. Éste deberá incluir el nombre y datos de la empresa, del encargado del trata­miento, las finalidades para las que se recogen los datos, el tipo de da­tos, el motivo por el que se dispone de ellos y los destinatarios.

Para Xicoy, esta novedad es muy relevante y forma parte del principio de proactividad que rige el Regla­mento. Y es que la filosofía de la nueva normativa es que las empresas sean proac tivas en el desarrollo de medidas que garanticen la protección de los datos, puesto que uno de los factores que han motivado el Reglamento es que hasta ahora no se ha llevado a cabo una política de protección con la suficiente deter- mi nación.

DELEGADO DE PROTECCIÓN DE DATOS

La norma también establece que todas las empresas que cumplan con los requisitos que establece la normativa deberán nombrar a un Delegado de Protección de Datos, que tendrá que analizar los riesgos que el tratamiento pueda generar en los derechos de los afectados y establecer medidas técnicas y orga­nizativas que garanticen que el tra­tamiento es conforme a la normati­va. Esta persona debe tener ciertos conocimientos jurídicos en materia de Protección de Datos e informá­ticos, para poder implantar adecua­damente las medidas de seguridad.

También en la voluntad de que la empresa sea más activa en este campo, habrá que gestionar las bre­chas de seguridad. Si se produce alguna que ponga en riesgo los de­rechos y libertades de las personas, habrá que informar a la AEPD en un plazo máximo de 72 horas y expli­carle a través de un formulario dicha brecha, acompañada de las medi­das de seguridad que han adopta­do para que no vuelva a suceder. Además de enviar ese formulario a la AEPD, la empresa deberá enviar un comunicado a cada uno de los afectados por la misma.

Otra de las nuevas obligaciones es que los responsables del tratamien­to que traten datos de salud, ideo­logía, sexo, orientación sexual, da­tos biológicos y genéticos, tengan la obligación de realizar un enfoque de aproximación al riesgo, es decir, un análisis de los posibles riesgos a nivel de protección de datos que pueda tener la empresa.

A partir de esto, deberá llevarse a cabo una Evaluación de Impac­to, que busca la implantación de medidas de seguridad para mitigar dichos riesgos. Todo ello deberá englobarse y ser incorporado en un nuevo documento de seguridad, de­nominado Normativa Interna de Pro­tección de Datos.

Xicoy ve previsible un aumen­to del número de inspecciones por parte de la Agencia a raíz de la apli­cación de la nueva normativa. Cabe recordar que este organismo actúa de forma espontánea o a través de denuncia.

SANCIONES

La actual LOPD establece sanciones leves, graves y muy graves, con mul­tas desde 900 a los 600.000 euros. Estas cantidades se ven muy sobre­pasadas con el RGPD, que pre­vé multas de 10 y 20 millones de euros como máximo o, en caso de las empresas, del 2% o el 4% como máximo del volumen de negocio total anual. Según Xicoy, la cuantía es muy importante, si bien no prevé que se impongan a las far­macias sanciones tan elevadas; no obstante, hasta el 25 de mayo de 2018 no se verá exacta­mente el impacto de las nuevas sanciones.

En opinión de este experto, el cumplimiento del Reglamento conllevará un aumento de la dedica­ción a la protección de datos, tanto por parte del farmacéutico como de su asesor en esta materia, puesto que antes el proceso era más auto­mático pero ahora se busca la proac-tividad. A pesar de que la nueva nor­ma complica la vida a las empresas, Xicoy considera muy importante que los farmacéuticos se conciencien so­bre la importancia de llevar al día esta materia, algo que hasta ahora no se ha venido haciendo de manera ge­neralizada. Además, ve fundamental que todo el equipo de la farmacia re­ciba formación sobre cómo cumplir con el nuevo Reglamento.