eHealth y protección de datos de los pacientes: dos realidades “compatibles”

La aplicación de las TIC y, con ellas, la digitalización, han llegado al ámbito sanitario… y lo han hecho para quedarse. Así, por ejemplo, según datos de la revista Forbes se abre en una nueva pestaña/ventana, en el año 2025, los sistemas de Inteligencia Artificial (IA) se habrán implementado en el 90% de los hospitales de EEUU y en el 60% de los del resto del mundo. Las ventajas de la eHealth son incuestionables, pero cuando se abordan sus potencialidades siempre sobrevuela el tema de lo que se considera su principal punto débil: la privacidad de los datos de los pacientes. Tal y como comenta el abogado José Enrique Pérez Palací se abre en una nueva pestaña/ventana, especialista en protección de datos y profesor colaborador del Máster de Salud Digital de la UOC, “las tecnologías aplicadas a la salud están en un proceso de transformación digital ante la irrupción de los intereses comerciales y la mercantilización de los datos de salud y de la atención sanitaria. Ello hace necesaria la implantación de tecnología inteligente de ciberseguridad de la salud para mantener protegidos los datos del paciente, al mismo tiempo que se garantice la confidencialidad, la integridad y disponibilidad, sin perder de vista el eslabón más débil de la cadena de protección, que es el personal sanitario”.

La vulnerabilidad de los datos

Pérez Palací explica por qué, dentro de este entorno de digitalización, las tecnologías y plataformas más vulnerables son aquellas que almacenan los datos de salud: “El ‘tráfico de datos’ es muy rentable para las compañías aseguradoras, consultoras, sanitarias y para los laboratorios farmacéuticos. Y es que de un simple registro sanitario puede obtenerse información tan sensible como la fecha de nacimiento del sujeto, su número de identificación de la Seguridad Social o del seguro médico e incluso cierta información financiera, en caso de que haya habido una transacción económica. Todo ello, unido al hecho de que los centros sanitarios no suelen tener una implantación de medidas y soluciones de seguridad ni un cumplimiento de categoría similar a la de, por ejemplo, las entidades financieras, propicia que el nivel de esfuerzo en el ‘ataque’ a los datos sea menor mientras que el margen de beneficio que se obtiene del mismo es mayor”. Entre estas tecnologías o plataformas más vulnerables, el experto destaca la información almacenada en la Cloud Computing y en los centros de datos, así como los dispositivos conectados a la red: “Hay que tener presente que el mundo de la ciberdelincuencia ha evolucionado desde la infección y degradación de redes globales al ataque y robo de información confidencial, por ejemplo, a través de redes de bot o botnes (una de las mayores amenazas actuales a los sistemas de seguridad), que incluso pueden emplearse para participar en ataques de denegación de servicio”.

Tecnología “protectora” de soluciones tecnológicas

Sin embargo, y a pesar de los márgenes de mejora en materia de seguridad que aún se detectan en la innovación aplicada al ámbito de la salud, la tecnología cada vez está más orientada a garantizar la privacidad y la confidencialidad de ese material “sensible” en el que se basa: los datos de los pacientes. “La digitalización de los datos de salud comporta un mayor grado de precisión, mayor rapidez y eficacia, eficiencia y efectividad. Más que protección, las tecnologías permiten y continuarán permitiendo una mayor interrelación de los datos que ayuda a medir los costes y resultados de los tratamientos sanitarios. Asimismo, impulsan la I+D biomédica, ante el procesamiento e integración de ingentes volúmenes de datos, para obtener patrones y modelos predictivos, maximizando los avances en la investigación y en la toma de decisiones”, señala José Enrique Pérez Palací, para quien es trascendental que la investigación clínica y preclínica, al igual que el conjunto de la investigación científica, sea considerada como una actividad de interés público. El experto hace hincapié en que esa mayor protección de los datos de salud hacia la que se dirige la eHealth va de la mano de la implantación de nuevas tecnologías: “Comienzan a emerger fabricantes de software de almacenamiento de datos que, por un lado, recogen y guardan datos de los usuarios en sus sistemas de base de datos de acuerdo con el RGPD y, por otro, se sirven de tecnología blockchain para proteger los metadatos asociados a los datos almacenados y cuya estructura está organizada y almacenada en bloques ordenados cronológicamente. Cada bloque, a su vez, tiene un código alfanumérico, conocido como hash, y que está firmado digitalmente por la persona que propone o valida el bloque”.

El RGPD como garante de confidencialidad y privacidad

Sin duda, el paso más importante que se ha dado hasta el momento respecto a la seguridad de datos del paciente sanitario ha sido la aprobación y entrada en vigor del Reglamento General de Protección de Datos (RGPD), aplicable en el ámbito de Unión Europea desde el 25 de mayo de 2018. “A partir de esa fecha se han introducido nuevos principios que, en protección del interesado, debe cumplir el responsable del tratamiento de los datos de salud personales que se integran en el conjunto de categorías especiales, y que deben gozar de una particular y singular protección” afirma Pérez Palací. Tal y como señala el experto, la introducción de estos nuevos principios es consecuencia necesaria de la preocupación e inquietud de los consumidores por los riesgos que comporta la recopilación, procesamiento, tratamiento y uso de los datos de salud en relación con la seguridad de éstos, no sólo ante un uso ilegítimo o no autorizado, sino respecto a la exposición, filtrado, robo, elaboración de perfiles, etc. “Los principios de transparencia, de limitación de la finalidad y de minimización de los datos recogidos en el Artículo 5 del RGPD amplían los derechos conocidos como ARCO (Acceso, Rectificación, Cancelación y Oposición), añadiendo un elemento trascendental en la ecuación sanitaria al empoderar al paciente, de tal modo que los desarrolladores de las aplicaciones destinadas a la sanidad deben basarse en dos principios fundamentales: por un lado, el respeto a la privacidad e intimidad del paciente, y, por otro, el deber de garantizar el acceso de los pacientes a la información recabada, y ello a partir de la privacidad desde el diseño y por defecto”. Según Pérez Palací, la actual normativa, aplicable en España y en el resto de la UE, es una de las más restrictivas y estrictas a nivel global, siendo un punto de referencia en las normativas estatales, “por lo que una implantación acorde con el espíritu de esta norma lleva a que el responsable y el encargado del tratamiento de datos deba cumplir con estrictas normas de seguridad a nivel de privacidad e implantación de medidas de seguridad adecuadas y encaminadas a la protección de los datos de salud”. Sin embargo y a pesar de la relevancia derivada de la implantación del RGPD, aún es necesario hacer algunos reajustes y trabajar en ciertas áreas: “Las mejoras deben de ir más allá, de la mano de los propios profesionales y empresas, y, a partir del desarrollo de la tecnología (productos, apps, etc.) iniciar ya un proceso de evaluación de impacto auditando periódicamente el cumplimiento de las normas y supervisando los niveles de seguridad que incidan directamente en la confidencialidad, integridad y disponibilidad de los datos a través de los Key Perfomance Indicators”, opina José Enrique Pérez Palací.