Unha clínica privada trata datos de saúde, que o RXPD considera categoría especial (art. 9) e que esixen medidas de seguridade axeitadas ao risco (art. 32). Se o seu centro non ten concerto nin contrato coa administración, o ENS non lle chega por esa vía. O que si lle convén é formar o seu equipo e poder demostralo.
Que pide o RXPD a unha clínica privada?
Como trata datos de categoría especial (art. 9), debe aplicar medidas técnicas e organizativas apropiadas ao risco (art. 32), entre elas asegurarse de que quen accede aos datos só os trata seguindo as súas instrucións (art. 32.4). Formar o persoal é unha desas medidas. O resto convén revisalo co seu delegado de protección de datos ou o seu asesor.
Cando se aplica o ENS a un centro sanitario privado?
Cando presta servizos a unha administración pública, por exemplo mediante un concerto ou un contrato, o ENS pode alcanzar os sistemas cos que presta ese servizo (art. 2.3 do RD 311/2022). Se non ten esa relación, o ENS non lle chega por esa vía. Revise os seus contratos e, se ten dúbidas, consulte cun asesor especializado.
Se o seu centro si traballa para a administración, vexa Provedores do sector público.
Que situacións de risco son habituais nunha consulta?
Correos que suplantan provedores, laboratorios ou aseguradoras; contrasinais compartidos na recepción; acceso á historia clínica desde equipos persoais; e chamadas que piden datos dun paciente facéndose pasar por un familiar ou por outro profesional. A formación traballa precisamente esas situacións, con exemplos que o seu equipo recoñecerá.
Que recibe a clínica?
Formación breve para todo o equipo, simulacións de phishing periódicas, aviso se as credenciais do seu dominio aparecen en filtracións coñecidas e un rexistro por persoa da formación completada. É a evidencia que pode amosar á súa aseguradora, a un auditor ou á autoridade de protección de datos se algunha vez lla pide.