La puesta en marcha y la aplicación práctica del copago y la receta electrónica generan dudas sobre cómo proteger los datos en las oficinas de farmacia. Unas dudas que, según Lilliam Valenzuela, abogada especialista en protección de datos y seguridad de la información de Umbra Consulting, vienen dadas por “la falta de información de la que dispone el boticario”. A ello se une la carencia de una normativa clara al respecto pues, por ahora, “la Agencia de Protección de Datos se limita a emitir informes jurídicos que no son vinculantes”.
Por eso, Valenzuela considera necesario que “esto se recoja en la propia normativa de farmacias, quizás con circulares informativas que determinen el procedimiento”. Pero, sobre todo, ve interesante la emisión de una lista de prohibiciones porque las malas prácticas, dice, “no son por mala fe del boticario”.
Según explica, “en el caso del copago, la pregunta más común de los farmacéuticos es si se pueden quedar en su sistema informático con el dato del nivel de aportación de cada paciente”. Aquí la respuesta es clara: no. “El copago implica que se realicen una serie de cesiones de datos personales entre las diferentes administraciones públicas para determinar cuál es el nivel de aportación de cada paciente al sistema de salud. En estas cesiones participa la farmacia”, señala. Sin embargo, dice que el farmacéutico, en base a esta información, dispensará y facturará, “pero nunca conservarla”.
En relación con la receta electrónica, hay ya ejemplos y denuncias por mal uso, como la posibilidad de copiar la información del paciente. “El farmacéutico está autorizado a acceder al sistema con el fin de dispensar, pero no puede copiar toda la información a su programa informático: en la práctica, solo puede conservar la información y los datos que necesita para facturar, pero no copiar el historial clínico del paciente que aparece en la receta”, explica Valenzuela.
En este sentido, la abogada recuerda que muchas de las resoluciones en contra de farmacias han terminado en un mero apercibimiento y no en una sanción. Por eso considera que los farmacéuticos necesitan más información y asesoría. Otro punto muy importante y que ha dado lugar a una resolución por parte de la Agencia de Protección de Datos es el hecho de que en muchas farmacias se accede al sistema sin tener a la persona delante. “Esto pasa, por ejemplo, en pueblos pequeños donde el paciente llama por teléfono y le pide al farmacéutico que mire en el sistema los fármacos que le quedan por dispensar”, señala. Aquí, aunque Valenzuela asegura que el farmacéutico puede hacerlo, “supone un riesgo y lo correcto sería no exponerse”.
Venta ‘online’
La tramitación del Real Decreto de Venta telemática de medicamentos no sujetos a prescripción médica genera también dudas sobre la protección de datos. Aquí, explica Valenzuela, “el flujo de información de datos personales será considerablemente importante, porque no es lo mismo comprar una crema en Internet, donde solo se aportan datos bancarios que comprar un medicamento”.
En este sentido, considera fundamental “llevar un control exhaustivo, ya que se trata de información considerada de nivel alto de protección” por lo que será necesario “establecer medidas específicas y particulares para proteger la información y la actuación de la farmacia”. De hecho, puntualiza que “tendrán que establecerse cláusulas legales muy descriptivas para que el cliente tenga claro el proceso de compra – venta”.
Aunque este nuevo real decreto aún no ha entrado en vigor, las farmacias cada día están más presentes en la red. Aquí también hay que tomar precauciones para evitar sanciones. “El mayor problema al que se enfrenta la farmacia es el de la publicidad”, apunta Valenzuela. “El farmacéutico cada día tiene una mayor necesidad de hacerse ver en Internet para estimular sus ventas en parafarmacia, pero tiene que tener siempre en cuenta que no puede publicitarse y no puede competir abiertamente con otras farmacias”, dice.
Así, el simple hecho de abrir una cuenta en las redes sociales o crear una página web podría ser malinterpretado porque, según dice, “la línea entre lo que se denomina información y la publicidad no está bien delimitada y el riesgo que se corre podría ser muy alto”. Por eso, recomienda que, a la hora de trasladarse a Internet, “se llame la atención sobre el contenido y no sobre la oferta”.
Sobre este particular, dice que se puede crear una página web que informe sobre temas de salud aunque también puedas informar de tus productos. “Lo importante es que la web o la página de la red social que tengamos no sea puramente publicitaria”, afirma. Sin embargo, hace también un llamamiento para que desde la Administración se delimite “qué es publicidad y qué es información” para evitar que se malinterpreten las actuaciones en la red de algunas farmacias.
La Ley Orgánica de Protección de Datos de Carácter Personal 15/1999 (LOPD) impone una serie de obligaciones legales para aquellas personas físicas o jurídicas que posean ficheros con datos de carácter personal. De este modo, esta normativa identifica tres niveles de medidas de seguridad: básico, medio y alto, los cuales deberán ser adoptados en función de los distintos tipos de datos personales. En el caso de los datos relativos a la salud, estos se sitúan en el mayor nivel de seguridad y por tanto deberán ser tratados con unas medidas adicionales que establece dicha ley.
Así, al pertenecer al nivel alto, al igual que los datos de religión, origen racial o ideología, estos deben ser tratados con unas medidas de seguridad específicas entre las que se incluye la seguridad en la distribución de soportes, el registro de acceso, las medidas adicionales de copias de respaldo o el cifrado de telecomunicaciones. Además, la LOPD aplica las sanciones más duras a este nivel, oscilando las multas entre los 300.506 y los 601.012 euros.
Además, la LOPD establece unas obligaciones básicas a todas las empresas y a todos los niveles establecidos como son declarar los ficheros automatizados (informáticos) y no automatizados (en papel) con datos de carácter personal a la Agencia de Protección de Datos, legitimar los datos personales de que dispone mediante el cumplimiento del principio del consentimiento del afectado, del principio de información al afectado y del principio de calidad de los datos. Por otro lado, también deben proteger los ficheros automatizados y no automatizados para preservar la confidencialidad, integridad y disponibilidad de los datos siguiendo lo establecido en el Reglamento de Seguridad.
