La entrada en vigor del nuevo Reglamento General de Protección de Datos (RGPD) ha generado dudas en alguna de sus aplicaciones. En el caso los hospitales y centros de atención sanitaria y social, ha supuesto una cierta confusión sobre la información que se puede facilitar a los familiares, acompañantes o amigos que se pueden dirigir a los mostradores de información interesándose por un paciente ingresado. Desde el Consorcio de Salud y Social de Cataluña (CSC) asesoramos a los centros sanitarios en cada una de sus necesidades específicas con respecto a la nueva normativa. Ahora bien, hay criterios que sirven para todos los centros, como la información que se puede facilidad a los familiares, acompañantes o amigos de un paciente.

Cuando un paciente se dirige al centro para ser tratado, conjuntamente con la información respecto al tratamiento de sus datos y demás documentación, se le debe ofrecer la posibilidad de negarse a que su información pueda ser facilitada a terceros. De manera que el centro queda facultado a ofrecer la información si el paciente no se niega expresamente. Esta facultad, sin embargo, debe ejercerse de forma proporcionada y prudente, limitándose la comunicación a los parientes más próximos, ya sea por consanguinidad o por afinidad, y aquellas personas vinculadas al paciente por una relación afectiva.

La confusión que se puede generar con el RGPD radica en el hecho de que, con carácter general, el consentimiento debe estar basado en un acto afirmativo y, en el caso de los datos sensibles, este consentimiento, además, debe ser expreso. Esta regla general sí supone un cambio respecto de la regla general del consentimiento que establecía la LOPD. El caso expuesto, sin embargo, supone una excepción a esta norma general. El Considerando 10 y el Artículo 6.2 del RGPD establecen que los Estados miembro pueden mantener o introducir normas específicas respecto de tratamientos concretos de datos personales, incluyendo los datos sensibles. De este modo, en cuanto al tratamiento relativo a facilitar información a las personas cercanas al paciente, la Ley 21/2000, en el artículo 3, especifica que el consentimiento del paciente respecto de la entrega de los datos a estos terceros puede ser tácito.

Por lo tanto, es la norma catalana la que -por la posibilidad de que el propio RGPD ofrece- permite facilitar información sobre si se está atendiendo al paciente o no y la habitación donde está ingresado, pero sin dar más datos específicos sobre su estado de salud.

Para, asimismo, garantizar el derecho al paciente de que los datos no se faciliten a terceros, habrá que ofrecerle en alguno de los documentos que se le facilitan en dirigirse al centro, la posibilidad de manifestarse en contra de que se faciliten estos datos. Se trata de posibilitar que el paciente marque una casilla con una leyenda del tipo "no quiero que se faciliten datos sobre mi ingreso o número de habitación a ninguna tercera persona".

Hay que tener presente que estas indicaciones son válidas sólo para aquellas comunicaciones de datos que basamos en el consentimiento. Así, con carácter general, cuando una persona pregunte por un paciente ingresado de urgencia al que no se haya podido pedir el consentimiento, cuando se trate a una persona que no está en situación de comprender la información que se le facilite o cuando aquellos que preguntan son padres de un menor ingresado o los tutores de una persona incapaz, podremos facilitar estos datos para la habilitación que el mismo artículo 3 de la ley catalana de autonomía del paciente ofrece. Así, en estos casos legitimar el tratamiento en base a una ley.

En todos los casos será necesario identificar a la persona solicitante de la información, y habrá que realizar una actividad de control suficientemente diligente que permita asegurar que la información se facilite a personas cercanas al paciente, ya sea por vínculo familiar o afectivo.