CONFIDENCIALIDAD EXTREMO A EXTREMO

De todos es sabido que día tras día es más habitual entregar los resultados de las pruebas diagnosticas (TAC's, resonancias magnéticas, ecografías, etc.) a los pacientes en formato electrónico (por lo general son imágenes en formato DICOM). Esta nueva modalidad está plenamente justificada por los costes económicos que representa. Por ejemplo, lo que cuesta generar la típica placa radiológica de toda la vida no tiene ni punto de comparación con el coste de grabar esa información en un CD/DVD o incluso remitirla por correo electrónico, FTP o similar.

Como es lógico, la confidencialidad de esta información debe ser garantizada. Desde el punto de vista de la LOPD deben adoptarse las medidas de seguridad de nivel alto. Entre otras medidas, el artículo 101.2 del R.D. 1720/2007 establece que "La distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando otro mecanismo que garantice que dicha información no sea accesible o manipulada durante su transporte."

En el caso planteado me surge la siguiente duda: la entrega del CD/DVD al paciente ¿forma parte de la distribución del soporte y por tanto sujeta al cumplimiento del mencionado artículo? En otras palabras, ¿debe entregarse esta información de forma cifrada? Con objeto de autoresponderme he estado investigando un poco y en la práctica totalidad de casos que directamente conocemos SIEMPRE se entrega la información "en claro". Podría contemplarse la alternativa de disociar los datos pero en la práctica no es demasiado factible.

Personalmente soy de los que piensan que por el simple hecho de que todo el entorno haga una cosa no implica que sea la correcta ni la mejor, normalmente es la solución más cómoda o fácil. En estos casos siempre me viene a la cabeza este conocido experimento.

Independientemente de los aspectos puramente legales, y suponiendo que este ejemplo no estuviese sujeto al artículo 101.2, considero que de todos modos debería anteponerse la protección de la confidencialidad de esta información entregándola de forma cifrada. Desde mi particular punto de vista, creo que la parte que "emite o genera" esta información es hasta cierto punto responsable de ella, tanto antes, durante como después de ser entregada al paciente. Una vez se hace entrega al paciente, previo acuse de recibo por si las moscas, éste es libre de hacer lo que quiera con los resultados, desde colgarlos en Google Health hasta en feisbuk incluso twitearlos, en definitiva, lo que considere necesario antes de ser clasificado como un "paria social". Bromas aparte, una forma de que se adquiera conciencia de la importancia de la confidencialidad de la información, especialmente sanitaria, es garantizarla a través de todos los medios que estén en nuestras manos.

Por otro lado, y de cara a poner en práctica este planteamiento, he estado comprobando las especificaciones de diversos productos de software de tratamiento de imágenes médicas (que se integran en los llamados PACS). Asombrado me he quedado cuando prácticamente ninguno de los productos que he comprobado disponen, ni siquiera como opción, de esta "funcionalidad". Lo más parecido que he encontrado en un producto es la posibilidad de grabar la información disociando los datos identificativos del paciente, algo es algo pero como he comentado antes esta opción no es viable.

Relacionado con esto último he aprovechado para solicitar a los distintos fabricantes de los distintos productos que tenemos, que de acuerdo a la disposición adicional única del RD 1720/2007, acrediten el nivel de seguridad que alcanzan en función de las medidas de seguridad que deben cumplirse. Espero con ansia a ver que se cuentan ......

Disposición adicional única. Productos de software.
Los productos de software destinados al tratamiento automatizado de datos personales deberán incluir en su descripción técnica el nivel de seguridad, básico, medio o alto, que permitan alcanzar de acuerdo con lo establecido en el título VIII de este reglamento.

Obviamente, esta propuesta no es tan trivial como parece en cuanto que hay otras implicaciones como el sistema de descifrado, que éste sea sencillo y casi transparente al paciente, mecanismos de comunicación de la contraseña de descifrado al paciente, etc. En esos temas estamos...........

CITA DEL DÍA: "Los PCN funcionan siempre antes de activarse, una vez activados ......"