La present Política de Protecció de Dades té per finalitat descriure de manera completa, clara i rigorosa el règim aplicable al tractament de dades personals dut a terme per Salut Terres de l’Ebre, entitat que gestiona l’Hospital Comarcal de Móra d’Ebre, en compliment del Reglament (UE) 2016/679 (RGPD), la Llei Orgànica 3/2018 (LOPDGDD), la Llei 21/2000 sobre drets d’informació concernent a la salut i autonomia del pacient, la Llei 41/2002 bàsica reguladora de l’autonomia del pacient, el Decret 175/2002 sobre història clínica, la Llei 14/2007 de recerca biomèdica, la normativa sectorial sanitària catalana i les directrius de l’Autoritat Catalana de Protecció de Dades (APDCAT).
- Responsable del tractament i Delegat/da de Protecció de Dades
El responsable del tractament és Salut Terres de l’Ebre, amb NIF Q4300352D i domicili a l’edifici de l’Hospital Comarcal de Móra d’Ebre, c/ Benet Messeguer s/n, 43740 Móra d’Ebre (Tarragona).
El centre ha designat un Delegat/da de Protecció de Dades (DPD), d’acord amb l’article 37 del RGPD, que supervisa el compliment normatiu en matèria de protecció de dades i actua com a punt de contacte amb les persones usuàries i amb l’APDCAT.
Contacte del DPD: dpd@ticsalutsocial.cat
Així mateix, el centre disposa d’un Coordinador de Protecció de Dades (CPD), que gestiona les consultes, sol·licituds i incidències en matèria de protecció de dades i canalitza les comunicacions amb el DPD.
Contacte del CPD: lopd.hcme.ste@gencat.cat
- Principis generals del tractament
El centre garanteix que el tractament de dades personals es realitza d’acord amb els principis de:
- licitud, lleialtat i transparència,
- limitació de la finalitat,
- minimització de dades,
- exactitud,
- limitació del termini de conservació,
- integritat i confidencialitat,
- responsabilitat proactiva.
Aquest marc obliga el centre a adoptar mesures tècniques i organitzatives adequades per demostrar el compliment del RGPD i garantir la protecció de les dades de les persones usuàries, especialment les dades de salut, que constitueixen una categoria especial segons l’article 9 del RGPD.
- Finalitats del tractament
El centre tracta les dades personals exclusivament per a finalitats legítimes i necessàries en l’àmbit sanitari. Les finalitats principals són:
- Prestació assistencial
Inclou la gestió de la història clínica, el diagnòstic, el tractament, el seguiment, la coordinació assistencial amb altres centres del SISCAT, l’atenció continuada, les urgències, les derivacions i qualsevol activitat clínica necessària per garantir una assistència adequada. Aquest tractament es fonamenta en la normativa sanitària catalana i estatal, i en els articles 6.1.c, 6.1.e, 9.2.h i 9.2.i del RGPD.
- Gestió administrativa i econòmica
Comprèn la gestió de cites, proves, ingressos, altes, facturació, assegurances, autoritzacions i tramitacions vinculades a la cobertura sanitària.
- Compliment d’obligacions legals
Inclou les comunicacions obligatòries al CatSalut, com el Conjunt Mínim Bàsic de Dades d’Hospitalització (CMBD-H), la vigilància epidemiològica, les notificacions obligatòries i altres obligacions derivades de la normativa sanitària aplicable.
- Docència i recerca
El centre pot tractar dades per a finalitats docents i de recerca biomèdica, d’acord amb la Llei 14/2007, garantint l’anonimització o pseudonimització quan correspongui, o bé basant-se en les condicions legals que permeten el tractament de dades de salut en aquest context.
- Seguretat de les instal·lacions
El centre pot utilitzar sistemes de videovigilància per garantir la seguretat de persones i béns, d’acord amb la Instrucció 1/2009 de l’APDCAT.
- Bases jurídiques del tractament
El tractament de dades personals en el centre sanitari es fonamenta en les bases jurídiques següents:
- Compliment d’obligacions legals (art. 6.1.c RGPD), incloent les comunicacions obligatòries al CatSalut, com el Conjunt Mínim Bàsic de Dades d’Hospitalització (CMBD-H), la vigilància epidemiològica, les notificacions obligatòries i altres obligacions derivades de la normativa sanitària aplicable.
- Missió en interès públic en l’àmbit sanitari (art. 6.1.e RGPD), especialment en relació amb la gestió assistencial, la planificació sanitària, la qualitat i la seguretat del pacient.
- Prestació d’assistència sanitària (art. 9.2.h RGPD), que habilita el tractament de dades de salut per a finalitats diagnòstiques, terapèutiques, de seguiment clínic i de gestió assistencial.
- Salut pública (art. 9.2.i RGPD), que habilita el tractament de dades per a la vigilància epidemiològica, la prevenció de riscos per a la salut i la protecció de la població.
- Consentiment explícit, únicament quan la normativa ho exigeixi, com en determinats projectes de recerca, estudis no emparats per l’assistència sanitària ordinària o altres supòsits específics previstos per la legislació vigent.
- Categories de dades tractades
El centre tracta:
- dades identificatives,
- dades administratives,
- dades relatives a cobertura sanitària,
- dades econòmiques vinculades a facturació,
- dades de contacte,
- dades professionals,
- dades de salut, incloent informació clínica, diagnòstics, proves, intervencions, medicació, evolució i qualsevol dada necessària per a la prestació assistencial.
- Destinataris de les dades
Les dades poden ser comunicades a:
- Altres centres i professionals del SISCAT, quan sigui necessari per a la prestació assistencial.
- Autoritats sanitàries, en compliment d’obligacions legals.
- Proveïdors tecnològics que actuen com a encarregats del tractament, amb contractes que garanteixen el compliment del RGPD.
- Organismes de recerca, d’acord amb la normativa aplicable.
No es realitzen transferències internacionals de dades, excepte en els casos previstos pel RGPD i amb les garanties adequades.
- Terminis de conservació
Les dades es conserven durant el temps necessari per a la prestació assistencial i d’acord amb els terminis establerts per la normativa sanitària (Llei 21/2000 i Decret 175/2002). Posteriorment, es bloquegen o suprimeixen segons la LOPDGDD, mantenint-se únicament per atendre possibles responsabilitats legals.
- Mesures de seguretat
El centre aplica mesures tècniques i organitzatives adequades per garantir la confidencialitat, integritat i disponibilitat de les dades personals, d’acord amb l’article 32 del RGPD, la LOPDGDD i l’Esquema Nacional de Seguretat (ENS). Entre les mesures aplicades s’inclouen:
- Compliment de l’Esquema Nacional de Seguretat (ENS) i de les polítiques corporatives de seguretat de la Fundació TICSalut Social.
- Control d’accessos i traçabilitat de la història clínica, amb registre d’activitat i monitoratge d’accessos.
- Protocols de confidencialitat i deures de secret del personal.
- Mesures de seguretat física i lògica, incloent protecció d’infraestructures, sistemes, xarxes i dispositius.
- Gestió de còpies de seguretat i plans de continuïtat operativa.
- Gestió d’incidents de seguretat i notificació de violacions de seguretat (arts. 33–34 RGPD), incloent el procediment intern de comunicació al DPD i a l’autoritat de control quan sigui necessari.
- Drets de les persones (ARSOPOL)
Les persones usuàries poden exercir els drets reconeguts pel RGPD: accés, rectificació, supressió, oposició, portabilitat, limitació i decisions automatitzades. A continuació se’n descriu breument el contingut:
- Dret d’accés: permet conèixer quines dades tracta el centre, amb quina finalitat, i obtenir-ne còpia.
- Dret de rectificació: permet sol·licitar la modificació de dades inexactes o incompletes.
- Dret de supressió: permet demanar l’eliminació de dades quan sigui legalment possible.
- Dret d’oposició: permet oposar-se al tractament en determinats supòsits previstos pel RGPD.
- Dret de limitació del tractament: permet restringir temporalment el tractament de les dades en els casos previstos pel RGPD.
- Dret de portabilitat: permet rebre les dades en un format estructurat i traslladar-les a un altre responsable, quan sigui aplicable.
- Dret a no ser objecte de decisions automatitzades: garanteix que no es prenguin decisions basades únicament en tractaments automatitzats sense intervenció humana.
Les sol·licituds es poden presentar a la UAC o al CPD, acreditant la identitat. El centre respon en un termini d’un mes, ampliable a dos en casos complexos. En cas de disconformitat, es pot presentar una reclamació davant l’APDCAT.
- Informació específica en l’àmbit sanitari
El centre garanteix:
- el dret d’accés a la història clínica
- la traçabilitat dels accessos
- la informació i documentació del consentiment informat
- la gestió de voluntats anticipades
- el tractament de dades en procediments quirúrgics segons les instruccions del Departament de Salut
- l’ús de dades per a recerca i docència amb les garanties exigides per la normativa.
- Exercici dels drets i accés a la documentació clínica
Les persones usuàries poden exercir els drets ARSOPOL reconeguts pel RGPD (accés, rectificació, supressió, oposició, portabilitat, limitació i decisions automatitzades) i els drets específics en l’àmbit sanitari previstos a la Llei 21/2000 i al Decret 175/2002, de la següent forma:
- Exercici dels drets ARSOPOL (RGPD)
Les sol·licituds es poden presentar a la UAC o al CPD, acreditant la identitat. El centre respon en un termini d’un mes, ampliable a dos en casos complexos. En cas de disconformitat, es pot presentar una reclamació davant l’APDCAT.
- Accés a la història clínica
Les persones usuàries tenen dret a accedir a la seva història clínica, d’acord amb la Llei 21/2000. L’accés inclou informes, proves, resultats, evolució i documentació clínica generada en el procés assistencial.
- Obtenció de còpies de documentació clínica
Es poden sol·licitar còpies de proves, informes, resultats i altra documentació clínica, acreditant la identitat i, si escau, la representació.
- Traçabilitat d’accessos
Les persones usuàries poden sol·licitar la traçabilitat dels accessos a la seva història clínica, d’acord amb la normativa sanitària i les instruccions del Departament de Salut.
- Formularis
El centre posa a disposició de les persones usuàries els formularis oficials per a l’exercici dels drets i per a l’accés a la documentació clínica.