La Comissão Nacional de Protecção de Dados (CNPD), el equivalente luso a la Agencia Española de Protección de Datos, impuso a finales del año 2018 las primeras sanciones al sur de Europa por infracción de los principios rectores del Reglamento General de Protección de Datos (RGPD).
El sancionado fue el Centro Hospitalar do Barreiro–Montijo del Serviço Nacional de Saúde. Las infracciones detectadas fueron tres y el importe total de las sanciones ascendió a 400.000 €.
Acceso masivo e indiscriminado a historiales clínicos
La denuncia interpuesta por el Sindicato de Médicos de la Zona Sur puso de manifiesto que el sistema de autenticación del centro hospitalario para el acceso a la base de datos de historiales clínicos era muy deficiente, por cuanto existía un total de 985 cuentas activas con acceso libre a dichos historiales, mientras que la plantilla del centro estaba compuesta por 296 facultativos. El centro reconoció la existencia de perfiles temporales correspondientes a facultativos contratados bajo el régimen de prestación de servicios. Estas cuentas, una vez finalizado el contrato, deberían haber sido dadas de baja o canceladas de inmediato.
Las tres infracciones del RGPD detectadas por la CNPD
La Comissão Nacional de Protecção de Dados detectó tres infracciones del RGPD:
1. Violación del principio de minimización de datos. Sanción: 150.000 €
El hospital permitió el acceso indiscriminado y sin límite temporal a los historiales clínicos a un número excesivo de profesionales, sin tener en cuenta su especialidad ni antigüedad. Esta conducta vulneró el principio de minimización de datos (art. 5.1.c) y las condiciones básicas para el tratamiento (art. 83.5.a) del RGPD.
2. Violación del principio de integridad y confidencialidad. Sanción: 150.000 €
El centro, como responsable del tratamiento, carecía de un protocolo interno para la creación de cuentas de usuarios, de niveles de acceso a informaciones médicas o un método de autenticación de la conexión de profesionales con el hospital. De modo que no se garantizó una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito mediante la aplicación de medidas técnicas u organizativas apropiadas.
3. Falta de garantías de seguridad del sistema. Sanción: 100.000 €
El responsable del tratamiento incumplió su obligación de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento. Además, no había implantado ningún proceso de verificación, evaluación y valoración periódica de la eficacia de las medidas de seguridad aplicadas.
Criterios aplicados para graduar las sanciones
La CNPD valoró los siguientes factores agravantes a la hora de fijar el importe de las multas:
- Gravedad y duración prolongada de las infracciones.
- Número de afectados: decenas de miles de pacientes del hospital.
- Naturaleza de los datos: datos de salud, considerados categoría especial de datos y extremadamente sensibles bajo el RGPD.
- Conducta dolosa: la autoridad consideró que el centro era plenamente consciente de los fallos de seguridad, atribuyéndole un grado de responsabilidad elevado.
- Deficiencia grave en los procedimientos de control y auditoría interna.
Conclusión
Este caso constituye un hito en la aplicación del RGPD en el sur de Europa y envía un mensaje claro a las organizaciones del sector sanitario:
- Revisar y cancelar credenciales de acceso en cuanto finalice cualquier relación contractual.
- Implementar niveles de acceso diferenciados según el perfil profesional.
- Contar con protocolos formales de gestión de usuarios y autenticación.
- Realizar auditorías periódicas de seguridad de los sistemas de información clínica.
El incumplimiento de estas obligaciones no solo expone a las organizaciones a sanciones económicas de gran magnitud, sino que pone en riesgo la privacidad y seguridad de los pacientes.
No se pierda nuestro podcast sobre el artículo
