Una clínica privada tracta dades de salut, que el RGPD considera categoria especial (art. 9) i que exigeixen mesures de seguretat adequades al risc (art. 32). Si el vostre centre no té concert ni contracte amb l'administració, l'ENS no us arriba per aquesta via. El que sí que us convé és formar l'equip i poder-ho demostrar.
Què demana el RGPD a una clínica privada?
Com que tracta dades de categoria especial (art. 9), ha d'aplicar mesures tècniques i organitzatives apropiades al risc (art. 32), entre les quals assegurar-se que qui accedeix a les dades només les tracta seguint les seves instruccions (art. 32.4). Formar el personal és una d'aquestes mesures. La resta convé revisar-la amb el delegat de protecció de dades o l'assessor.
Quan s'aplica l'ENS a un centre sanitari privat?
Quan presta serveis a una administració pública, per exemple mitjançant un concert o un contracte, l'ENS pot arribar als sistemes amb què presta aquell servei (art. 2.3 del RD 311/2022). Si no teniu aquesta relació, l'ENS no us arriba per aquesta via. Reviseu els vostres contractes i, si teniu dubtes, consulteu un assessor especialitzat.
Si el vostre centre sí que treballa per a l'administració, vegeu Proveïdors del sector públic o Proveïdors d'entitats del SISCAT.
Quines situacions de risc són habituals en una consulta?
Correus que suplanten proveïdors, laboratoris o asseguradores; contrasenyes compartides a recepció; accés a la història clínica des d'equips personals; i trucades que demanen dades d'un pacient fent-se passar per un familiar o per un altre professional. La formació treballa precisament aquestes situacions, amb exemples que el vostre equip reconeixerà.
Què rep la clínica?
Formació breu per a tot l'equip, simulacions de pesca de credencials periòdiques, avís si les credencials del vostre domini apareixen en filtracions conegudes i un registre per persona de la formació completada. És l'evidència que podeu mostrar a l'asseguradora, a un auditor o a l'autoritat de protecció de dades si mai us la demana.