La nueva regulación de protección de datos se adapta al mundo digital

Aún faltan dos años para que entre en vigor la aplicación del nuevo Reglamento Europeo de protección de datos (RGDP), el 25 de mayo de 2018, pero los expertos recomiendan que las oficinas de farmacia ya comiencen a adecuarse a los nuevos requerimientos.

Esta nueva normativa sustituye a la Directiva del año 1995, cuando el uso de Internet no estaba tan extendido como ahora. Así, el objetivo del reglamento es armonizar y actualizar la legislación en torno a la protección de datos en los países de la Unión Europea, adaptándola a las nuevas tecnologías actuales, y dotar a los ciudadanos de un mayor control sobre su información privada, según indica a Diariofarma COFM Servicios 31 SLU, a través de De Lorenzo Abogados.

Por tanto, a partir de 2018, existirá un mayor control sobre la información privada de los ciudadanos, “quedando regulados, además, soportes y herramientas que hasta ahora no han tenido respaldo legal, como es el caso de los teléfonos inteligentes, las redes sociales, la conservación de la información confidencial que esté almacenada en la ‘nube’ y otro tipo de transferencias internacionales”, explican desde la consultoría Asefarma. En consecuencia, la nueva norma afectará sobre todo a las farmacias con presencia en el mundo digital.

Uno de los principales propósitos del Reglamento es la ‘responsabilidad activa’ por parte de las organizaciones, es decir, que lleven a cabo una prevención efectiva y haya una mayor implicación y grado de compromiso para la protección de datos, apunta Cristina Ribas, abogada directora del Departamento de Protección de Datos y nuevas tecnologías de la consultoría Aspime. Este objetivo se pretende conseguir “haciendo que las empresas, en este caso, las farmacias, adopten las medidas oportunas para que puedan asegurar de forma razonable que están en condiciones de cumplir el reglamento cuando traten los datos de los ciudadanos”.

Novedades en torno a los derechos de los interesados

Cumplir con la nueva ‘responsabilidad activa’ pasa por que las farmacias implanten medidas adicionales a las ya dispuestas en la Ley de Protección de Datos (LOPD) en cuanto a las estructuras, procedimientos y formas de tratar la información. Así, entre las novedades cabe destacar el refuerzo del consentimiento informado, de modo que ya no valdrá el consentimiento tácito. “Lo que se pretende es que el ciudadano sea consciente y entienda de qué forma y para qué la oficina de farmacia le pide sus datos personales”, subraya Ribas.

Para ello, se exigirá que dicha información se ofrezca de un modo conciso y con un lenguaje claro y sencillo. Además, en dicha información, se deberán indicar los datos de contacto del delegado de protección de datos (DPO) que la farmacia haya designado, que será una persona con conocimientos jurídicos y técnicos en materia de protección de datos que se encargará de supervisar y garantizar que la farmacia cumple con el reglamento. También deberá especificarse el plazo durante el cual se conservarán los datos y la posibilidad de que el interesado pueda presentar una reclamación ante una autoridad de control, entre otros. En definitiva, concluye esta experta de Aspime, “las oficinas de farmacia deberán revisar la forma en la que obtienen y registran el consentimiento de sus clientes”.

Medidas que afectan al ámbito digital

Respecto a internet, el RGDP incorpora nuevas herramientas de control para los titulares de los datos como el derecho al olvido, por el que los titulares pueden solicitar que sus datos personales sean suprimidos de los buscadores web, según precisan desde De Lorenzo Abogados, asesores de COFM Servicios 31 SLU. También se ha añadido el derecho a la portabilidad, que implica que el interesado que haya proporcionado sus datos a un responsable que los esté tratando de modo automatizado podrá solicitar recuperar esos datos en un formato que le permita su traslado a otro responsable.

También se establecen pautas respecto al desarrollo o implantación de programas informáticos, entre los que se encuentran los de gestión farmacéutica. En consecuencia, se exige una observancia de la privacidad desde el diseño y por defecto, es decir, que cualquier aplicación deberá contar con un cumplimiento estricto de la protección de datos desde el momento inicial del proyecto (desde el diseño) y, además, sólo podrán acceder a la información las personas físicas que lo requieran para el ejercicio de sus funciones. Para la directora del  Departamento de Protección de Datos y nuevas tecnologías de la consultora Aspime, que la privacidad esté presente desde el diseño y por defecto es un aspecto especialmente importante para las farmacias que dispongan de página web, ya sea informativa o, más aún, si también vende productos a través de Internet.

“Por la categoría especial de los datos que se tratan en una farmacia, relativos a la salud, se deberá ser muy cuidadoso, y las farmacias con página web y con presencia en la red especial deberán tener especial atención”, afirma Ribas. En consecuencia, “habrá que revisar y adecuar dichas páginas que ya estén en activo y las que se vayan a crear”, concluye.

¿Más carga de trabajo para las farmacias?

Para De Lorenzo Abogados, los nuevos requerimientos no tienen por qué comportar necesariamente una nueva carga de trabajo. Sí va a suponer un mayor compromiso respecto a la protección de datos, “pero se debe traducir en una gestión y tratamiento de datos distinta de la que se viene empleando hasta la fecha”. De hecho, algunas de las medidas que introduce el Reglamento son una continuación o reemplazan a otras ya existentes, mientras que otras constituyen la formalización de prácticas extendidas en las empresas o que, en todo caso, formarían parte de una correcta puesta en marcha de un tratamiento de datos adecuado, apuntan estos expertos.

Desde este despacho, consideran que resulta difícil determinar la magnitud de cambios que se deberán implementar, puesto que el RGDP precisa de un mayor desarrollo normativo por parte de las autoridades nacionales. En este sentido, apuntan que la Agencia Española de Protección de Datos (AEPD) está ya trabajando en el desarrollo de herramientas que faciliten la identificación y valoración de riesgos y en recomendaciones sobre la aplicación de medidas. Este despacho de abogados colaborador de COFM Servicios 31 SLU ha elaborado una guía, que prevé actualizaciones, con el fin de informar al farmacéutico sobre las novedades del Reglamento y cómo deben gestionar los datos de carácter personal de sus usuarios.

Para Asefarma, la nueva normativa supondrá la introducción cambios importantes en la forma de gestionar la información, lo que conllevará un esfuerzo extra para las oficinas de farmacia en su adaptación a la protección de datos, “en la medida en que hayan sido o estén siendo más o menos activas en redes sociales, en el uso de servicios de almacenamiento en la nube o en el uso de herramientas y aplicaciones en teléfonos inteligentes”, explican.

Desde Aspime, consideran que el cumplimiento del RGPD no debe entenderse como una mayor carga de trabajo, sino que se trata de gestionar la protección de datos de una forma distinta a como venían haciéndolo hasta ahora. “Sí es cierto que en cuanto a la obligación y modo de implementar las medidas que se prevén, se tendrán en cuenta factores como los costes de implantación, el tipo de tratamiento o los riesgos que implique para el ciudadano”, precisan.

Control y sanciones

La principal herramienta de control es el propio auditor (o futuro delegado de protección de datos), que es quien se encarga de supervisar regularmente si la farmacia cumple o no con la normativa, explican desde Aspime. “Su función es analizar los tratamientos de datos que realiza la farmacia y su personal, las medidas de seguridad que ha implementado así como inspecciona personalmente sus instalaciones”, concretan. Seguidamente, elabora el informe de auditoría en el que indica las deficiencias que ha observado en relación al cumplimiento de la normativa y propone las medidas correctoras que considera así como sus recomendaciones.

Según De Lorenzo Abogados, es pronto para concretar cómo deben ser los controles de comprobación de cumplimiento que señala el RGDP, aunque siguen plenamente operativos los procedimientos que marca el Reglamento de desarrollo de la LOPD, así como los procedimientos de control por parte de la AEPD, de información, de inspección o sancionatoria.