🔐 Tema 3: Drets i deures de la ciutadania en relació amb la salut i l'atenció sanitària

TCAE (Técnico/a en Cuidados Auxiliares de Enfermería) · Institut Català de la Salut · Bloque I

Resumen

La ley tiene dos fines: adaptar el Derecho español al Reglamento (UE) 2016/679 y garantizar los derechos digitales. Ambos se apoyan en el artículo 18.4 de la Constitución (art. 1). Se aplica a todo tratamiento automatizado y al manual de datos incluidos o destinados a un fichero (art. 2.1). Quedan fuera los datos de fallecidos y las materias clasificadas (art. 2.2). Los tratamientos electorales, penitenciarios y de los registros Civil, de la Propiedad y Mercantiles siguen su ley propia y, de forma supletoria, el Reglamento y esta ley (art. 2.3). Allegados y herederos pueden pedir acceso, rectificación o supresión de datos del difunto, salvo prohibición de este o de una ley. Los herederos conservan siempre el acceso a los datos patrimoniales. Si fallece un menor, actúan también sus representantes legales o el Ministerio Fiscal (art. 3).

Los datos deben ser exactos. Sin embargo, la inexactitud no se imputa al responsable diligente si los datos proceden del propio afectado, de un mediador (que responde si los altera), de otro responsable por portabilidad o de un registro público (art. 4). Todos los que intervienen en el tratamiento guardan confidencialidad. Este deber complementa el secreto profesional y continúa tras acabar la relación (art. 5). El consentimiento debe ser libre, específico, informado e inequívoco, por declaración o por acción afirmativa clara. Tampoco puede condicionarse un contrato a fines ajenos a él (art. 6). Los mayores de catorce años consienten por sí mismos. Por debajo de esa edad, consiente quien tenga la patria potestad o tutela (art. 7).

Un tratamiento basado en una obligación legal necesita una norma de la Unión o una norma con rango de ley. Si se basa en el interés público o en poderes públicos, necesita una competencia atribuida por ley (art. 8). El consentimiento por sí solo no permite tratar datos cuya finalidad principal sea identificar la ideología, la afiliación sindical, la religión, la orientación sexual, las creencias o el origen racial o étnico (art. 9.1). Los tratamientos de las letras g), h) e i) del art. 9.2 del Reglamento exigen una ley. Esa ley puede amparar la gestión de la asistencia sanitaria y social, pública y privada, o un contrato de seguro (art. 9.2). Los datos penales tratados para otros fines requieren una norma de la Unión o de rango legal. Fuera de esos casos, solo abogados y procuradores pueden tratarlos con la información de sus clientes (art. 10).

La información al afectado puede darse por capas. Primero se ofrece una información básica: identidad del responsable, finalidad y posibilidad de ejercer los derechos de los arts. 15 a 22 del Reglamento. Después se indica un medio sencillo para consultar el resto. Si los datos no proceden del afectado, se añaden las categorías de datos y sus fuentes (art. 11). Los derechos se ejercen directamente o mediante representante legal o voluntario. La prueba de haber respondido recae en el responsable (art. 12). El acceso se considera atendido con un sistema remoto, directo y seguro. Pedirlo más de una vez en seis meses puede tratarse como repetitivo (art. 13). Para rectificar hay que indicar qué datos se corrigen y cómo (art. 14). La limitación del tratamiento debe constar en los sistemas del responsable (art. 16).

El Título IV presume lícitos algunos tratamientos. Los ficheros de morosos exigen deudas ciertas, vencidas y exigibles, y que el acreedor haya avisado antes. El sistema notifica al afectado y los datos quedan bloqueados treinta días. Después pueden permanecer como máximo cinco años desde el vencimiento (art. 20). No se incluyen deudas con un principal inferior a cincuenta euros (disp. adic. 6.ª). En videovigilancia, las imágenes se borran en un mes. Si acreditan un ataque, se entregan a la autoridad en setenta y dos horas. Para informar basta un cartel visible (art. 22). Quien haga mercadotecnia directa debe consultar antes los sistemas de exclusión publicitaria, salvo que el destinatario haya consentido (art. 23). Fuera de los casos legales, solo abogados y procuradores tratan datos de infracciones administrativas (art. 27).

Responsable y encargado deben valorar el riesgo y adoptar las medidas adecuadas. Deben fijarse sobre todo en los tratamientos de menores y personas con discapacidad, en los perfiles y en los tratamientos masivos (art. 28). Al rectificar o suprimir, los datos se bloquean. Mientras duran los plazos de prescripción, solo acceden a ellos jueces, Fiscal y Administraciones; después se destruyen (art. 32). El encargado que use los datos para sus propios fines pasa a ser responsable (art. 33). Deben nombrar delegado de protección de datos, entre otros, los centros sanitarios obligados a llevar historias clínicas. Se exceptúan los profesionales que ejercen a título individual. Nombramientos y ceses se comunican en diez días (art. 34). El delegado solo puede ser removido por dolo o negligencia grave (art. 36). Responde las reclamaciones previas en dos meses (art. 37).

Las normas corporativas vinculantes se aprueban en un procedimiento de nueve meses como máximo (art. 41). Las autorizaciones previas de transferencias internacionales tienen un plazo de seis meses (art. 42). Si una transferencia se basa en intereses legítimos imperiosos del responsable, este debe informar antes a la autoridad (art. 43). La Agencia Española de Protección de Datos es una autoridad administrativa independiente. Se relaciona con el Gobierno a través del Ministerio de Justicia (art. 44). La Presidencia y el Adjunto tienen un mandato de cinco años, renovable por otro periodo igual. Los actos de la Presidencia se recurren directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional (art. 48). La asesora un Consejo Consultivo que se reúne al menos una vez al semestre y cuyas decisiones no son vinculantes (art. 49).

Si la reclamación solo denuncia que no se atendió un derecho, la Agencia resuelve en seis meses desde la admisión. Si no resuelve, el interesado puede considerarla estimada (art. 64.1). El procedimiento por posible infracción dura como máximo doce meses desde el acuerdo de inicio; después caduca (art. 64.2). Las actuaciones previas de investigación no pueden superar dieciocho meses (art. 67). El régimen sancionador no se aplica al delegado de protección de datos (art. 70). Las infracciones muy graves, como violar la confidencialidad, prescriben a los tres años (art. 72). Las graves, como omitir la evaluación de impacto, prescriben a los dos (art. 73). Las leves prescriben al año (art. 74). Se publican en el BOE las multas de la Agencia superiores a un millón de euros impuestas a personas jurídicas (art. 76).

El Título X reconoce los derechos digitales. Los proveedores ofrecerán sus servicios sin discriminar por motivos técnicos o económicos (art. 80). El acceso a Internet será universal y la brecha generacional se combatirá con formación y acceso para los mayores (art. 81). Los temarios de los cuerpos superiores, y de los que acceden habitualmente a datos personales, incluirán protección de datos (art. 83.4). En el trabajo se protege la intimidad en el uso de los dispositivos (art. 87). También se garantiza la desconexión fuera de la jornada, con una política interna que alcanza a los directivos (art. 88). Nunca habrá cámaras ni grabación de sonidos en vestuarios, aseos o comedores (art. 89). Los datos subidos siendo menor se suprimen a simple solicitud (art. 94). El albacea puede gestionar los contenidos digitales del fallecido (art. 96).

La disposición adicional decimoséptima ampara los tratamientos de datos de salud y genéticos regulados en varias leyes. Entre ellas están la General de Sanidad, la de Prevención de Riesgos Laborales, la 41/2002 de autonomía del paciente y la de Investigación biomédica (disp. adic. 17.ª). En investigación, el consentimiento puede abarcar áreas generales de una especialidad. Las autoridades sanitarias pueden hacer estudios sin consentimiento en situaciones de excepcional relevancia y gravedad para la salud pública. Reutilizar datos en áreas relacionadas con el estudio inicial es lícito, pero exige informe previo favorable del comité de ética de la investigación. También se admiten los datos seudonimizados, con separación técnica y funcional entre los investigadores y quien puede reidentificar. Estos comités deben integrar un delegado de protección de datos o un experto (disp. adic. 17.ª).

Claves para el examen

• El derecho a la protección de datos está amparado por el artículo 18.4 de la Constitución (art. 1).
• Consentimiento: libre, específico, informado e inequívoco, por declaración o por clara acción afirmativa (art. 6.1).
• El menor puede consentir por sí mismo a partir de los catorce años (art. 7).
• Ejercer el derecho de acceso más de una vez en seis meses puede considerarse repetitivo (art. 13.3).
• Ficheros de morosos: bloqueo de treinta días tras la notificación y permanencia máxima de cinco años desde el vencimiento (art. 20).
• Videovigilancia: supresión en un mes; entrega a la autoridad en setenta y dos horas (art. 22.3).
• Designaciones y ceses del delegado de protección de datos: comunicación en diez días (art. 34.3).
• El delegado solo puede ser removido por dolo o negligencia grave (art. 36.2) y responde en dos meses la reclamación previa (art. 37.1).
• La AEPD se relaciona con el Gobierno a través del Ministerio de Justicia (art. 44.1).
• Presidencia y Adjunto de la AEPD: mandato de cinco años, renovable por otro igual; recurso ante la Audiencia Nacional (art. 48).
• Consejo Consultivo: se reúne al menos una vez al semestre (art. 49.4).
• Plazos de la AEPD: seis meses para derechos (silencio estimatorio), doce para el procedimiento por infracción (caducidad) y dieciocho para actuaciones previas (arts. 64 y 67).
• Prescripción de infracciones: muy graves, tres años; graves, dos; leves, uno (arts. 72 a 74).
• Prescripción de sanciones: hasta 40.000 €, un año; de 40.001 a 300.000 €, dos; más de 300.000 €, tres (art. 78).
• Publicación en el BOE si la sanción supera un millón de euros y el infractor es persona jurídica (art. 76.4).

Preguntas de ejemplo del tema 3

3 de las 75 preguntas del test de este tema. La explicación de cada respuesta está en la app.

1. Según el artículo 1 de la Ley Orgánica 3/2018, el derecho fundamental de las personas físicas a la protección de datos personales está amparado por:

   1. El artículo 105.b) de la Constitución.
   2. El artículo 43.1 de la Constitución.
   3. El artículo 20.1 de la Constitución.
   4. El artículo 18.4 de la Constitución.
   Ver la respuesta

   d) El artículo 18.4 de la Constitución.

2. El bloqueo de los datos permite ponerlos a disposición de jueces y tribunales, del Ministerio Fiscal o de las Administraciones Públicas competentes solo durante el plazo de prescripción de las posibles responsabilidades. Transcurrido ese plazo, según el artículo 32, deberá procederse a:

   1. La destrucción de los datos.
   2. La remisión de los datos al archivo de la autoridad de control.
   3. La anonimización de los datos y su conservación indefinida.
   4. La devolución de los datos al afectado o a sus herederos.
   Ver la respuesta

   a) La destrucción de los datos.

3. Según el artículo 97.3 de la Ley Orgánica 3/2018, el Gobierno dará cuenta de la evolución de los derechos, garantías y mandatos del Título X ante la comisión parlamentaria correspondiente del Congreso de los Diputados mediante un informe con periodicidad:

   1. Semestral.
   2. Trimestral.
   3. Bienal.
   4. Anual.
   Ver la respuesta

   d) Anual.

📚 Normativa del tema

• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (BOE-A-2018-16673)

📲 Compártelo con quien prepare la oposición: WhatsApp · Telegram

Tema 4 →