Reglamento General Protección de Datos (RGPD)
Información remitida por el Consejo General de la Psicología del España. (Contenido enviado por el COPCV a través de una Circular de la Unitat d'Atenció al Col·legiat el 28 de mayo de 2018).
Estimado compañero/Estimada compañera:
Te remitimos información que nos envian desde el Consejo General de la Psicología del España sobre la entrada en vigor del RGPD de la UE el día 25 de mayo de 2018, en relación a la consulta trasladada a la Unión Profesional sobre si los centros sanitarios unipersonales tienen la obligatoriedad de designar un DELEGADO DE PROTECCIÓN DE DATOS (DPD) teniendo en cuenta que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define "Centro sanitario" como el conjunto organizado de profesionales, instalaciones y medios técnicos que realiza actividades y presta servicios para cuidar la salud de los pacientes y usuarios.
A continuación, te trasladamos la respuesta ofrecida por el departamento de protección de datos de Unión Profesional (UP), en virtud de la colaboración existente en esta materia entre UP y la Agencia Española de Protección de Datos:
El RGPD establece la obligatoriedad de nombrar un DPD bajo determinadas circunstancias (artículo 37.1):
- Cuando el tratamiento se lleve a cabo por una autoridad u organismo público, excepto por los tribunales en el ejercicio de sus funciones.
- Cuando las actividades principales del responsable o encargado de tratamiento, son claves para lograr sus objetivos, consistan en operaciones de tratamiento que requieran una observación habitual y sistemática de interesados a gran escala. El concepto a gran escala, es ambiguo, pero el artículo 91 lo define como "operaciones de tratamiento que tengan por objeto procesar una cantidad considerable de datos personales", es decir, un gran número de interesados y que sean susceptibles de generar un riesgo elevado. El Grupo de Trabajo del artículo 29 añade tener en cuenta el número de interesados, el volumen o tipo de datos, la duración del tratamiento y el alcance geográfico.
- Cuando las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos, el artículo 9 datos personas que revelen origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas o la pertenencia a sindicatos, tratamiento de datos genéticos, datos biométricos para la identificación exclusiva de personas físicas, datos relativos a la salud y datos relativos a condenas e infracciones penales.
En este sentido no se considera tratamiento a gran escala el llevado a cabo por un solo psicólogo (considerando el artículo 91). Por lo tanto, no sería obligatorio la figura del DPD.
Las personas que trabajen en el centro habrán de firmar, sea un centro unipersonal o multipersonal, un documento de confidencialidad respecto a la protección de datos de sus pacientes, a raíz del Reglamento de la UE 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril del 2016, relativo a la protección de datos personales y a libre circulación de estos datos aplicable el 25 de mayo del 2018.
Nota: En el caso que no sea necesario designar un DPD sería aconsejable identificar a la/s persona/s responsables de coordinar la adaptación al RGPD.
Esperando que esta información resulte de utilidad, recibe un cordial saludo,
Vicenta Esteve Biot
Secretaria Junta de Gobierno