Que un pacient signi un consentiment informat per sotmetre’s a una intervenció, una prova diagnòstica o un tractament mèdic no significa que també hagi de consentir el tractament de les seves dades personals.
Aquesta distinció, que jurídicament és essencial, continua generant una confusió important en l’àmbit sanitari. Els professionals de la salut tenen molt interioritzada la necessitat d’obtenir el consentiment informat del pacient, especialment davant d’actes mèdics que poden comportar riscos rellevants. Aquesta pràctica respon a la necessitat de garantir que el pacient coneix la naturalesa de l’acte assistencial, els seus riscos, les alternatives disponibles i les conseqüències previsibles abans d’acceptar-lo.
Però aquest consentiment no compleix la mateixa funció que el consentiment regulat per la normativa de protecció de dades.
El primer autoritza, quan legalment correspon, una actuació sobre la salut o la integritat del pacient. El segon és una de les possibles bases jurídiques que poden legitimar el tractament de dades personals. Confondre’ls pot conduir els centres sanitaris i els professionals a una conclusió aparentment prudent, però jurídicament equivocada: pensar que, com que les dades de salut són especialment sensibles, és més segur demanar sempre al pacient un consentiment de protecció de dades.
Precisament a Andorra, aquesta lògica pot produir l’efecte contrari.
El consentiment no és l’única base jurídica
La Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, no estableix que tots els tractaments de dades de salut s’hagin de fonamentar en el consentiment. L’article 6 de l’LQPD preveu diverses bases jurídiques, entre les quals figuren, a més del consentiment, l’execució d’un contracte, el compliment d’una obligació legal, la protecció d’interessos vitals, el compliment d’una missió d’interès públic o l’exercici de poders públics i, quan sigui aplicable, l’interès legítim.
A més, el Reglament d’aplicació de l’LQPD introdueix una regla especialment rellevant que sovint passa desapercebuda. L’article 8.1.f estableix que el consentiment no pot legitimar un tractament quan sigui aplicable una altra base jurídica.
Per tant, no es tracta simplement de recomanar que el consentiment s’utilitzi amb prudència. Quan existeix una altra base jurídica aplicable al tractament, utilitzar artificialment el consentiment com a fonament jurídic és incompatible amb la regulació andorrana.
Això obliga a canviar la pregunta
Davant d’un nou tractament de dades, el centre mèdic no s’hauria de preguntar, en primer lloc, «com puc obtenir el consentiment del pacient?». La pregunta correcta és «per què necessito tractar aquestes dades i quina base jurídica legitima realment aquest tractament?».
La diferència és considerable.
Imaginem un centre sanitari que necessita registrar les dades clíniques d’un pacient per diagnosticar-lo, prescriure-li un tractament, fer-ne el seguiment assistencial o gestionar adequadament l’atenció sanitària. Si aquestes operacions de tractament són necessàries per prestar legítimament l’assistència i existeix la base jurídica corresponent, no té sentit presentar al pacient el tractament de les dades com una decisió voluntària que pot acceptar o rebutjar si, en realitat, el centre haurà de tractar determinades dades igualment per poder prestar el servei o complir les seves obligacions.
Si la resposta és «haurem de tractar igualment aquestes dades perquè són necessàries per prestar l’assistència, perquè tenim una obligació legal o perquè existeix una altra base jurídica que ens ho permet», aquell consentiment no hauria d’haver estat utilitzat com a base legitimadora.
Aquesta és precisament una de les idees centrals que cal revisar en moltes pràctiques encara implantades al sector sanitari.
El consentiment només funciona jurídicament quan la persona disposa d’una elecció real
L’article 7 de l’LQPD exigeix, entre altres condicions, que el responsable pugui demostrar que s’ha prestat el consentiment, que aquest sigui específic respecte de les finalitats corresponents i que la persona pugui retirar-lo en qualsevol moment. La retirada, a més, ha de ser tan fàcil com la seva prestació.
El Reglament reforça encara més aquesta exigència. El consentiment ha de ser lliure, específic, informat i inequívoc. Només és vàlid quan la persona pot denegar-lo o revocar-lo gratuïtament i sense patir perjudicis o efectes negatius.
Això té conseqüències pràctiques molt importants en una consulta mèdica.
Un pacient que rep diversos documents a recepció i els signa perquè considera que són necessaris per ser visitat pot haver estampat una signatura, però això no significa necessàriament que hagi prestat un consentiment vàlid en matèria de protecció de dades. Si percep que negar-se a signar pot impedir-li accedir a l’assistència, difícilment es pot afirmar que disposa d’una elecció plenament lliure.
Signar no és sinònim de consentir.
Tampoc és correcte obtenir una autorització genèrica perquè el centre pugui realitzar qualsevol tractament present o futur de les dades del pacient. Quan el consentiment és realment la base jurídica adequada, ha d’estar vinculat a finalitats determinades i la persona ha d’entendre què autoritza, per què es tractaran les dades i quines conseqüències comporta la seva decisió.
Cal estar disposat a acceptar un «no»
Basar un tractament en el consentiment comporta, a més, una obligació que sovint no es valora prou en el moment de dissenyar els formularis: cal estar disposat a acceptar un «no».
I també cal estar disposat a acceptar una retirada posterior.
L’article 8.1.g del Reglament és especialment clar en aquest punt. Si el responsable decideix basar un tractament, o una part concreta del tractament, en el consentiment, ha d’estar preparat per aturar aquesta operació si l’interessat retira el consentiment.
El responsable no pot començar el tractament afirmant que la base jurídica és el consentiment i, quan aquest desapareix, substituir-lo per una altra base jurídica simplement perquè li resulta més convenient continuar.
Per a un centre sanitari, escollir incorrectament el consentiment pot convertir-se, per tant, en un problema operatiu molt seriós. Pot obligar-lo a gestionar retirades que no hauria necessitat gestionar, generar contradiccions entre els formularis i el funcionament real de l’assistència, crear expectatives equivocades en els pacients i deixar mal documentada la licitud dels tractaments en el registre d’activitats de tractament, les clàusules informatives i els procediments interns.
Les dades de salut exigeixen un doble examen jurídic
En les dades de salut s’hi afegeix una altra particularitat.
Aquestes dades formen part de les categories especials de dades personals. L’article 9 de l’LQPD parteix de la prohibició del seu tractament i estableix posteriorment les circumstàncies que permeten aixecar aquesta prohibició.
Entre aquestes circumstàncies hi ha el consentiment explícit, però també hi ha supòsits específicament relacionats amb el sector sanitari, com el tractament necessari per a la medicina preventiva o laboral, l’avaluació de la capacitat laboral, el diagnòstic mèdic, la prestació d’assistència o tractament sanitari o social, la gestió dels sistemes i serveis assistencials i determinats tractaments necessaris per raons de salut pública.
Per això, en protecció de dades, els tractaments de dades de salut exigeixen efectuar una anàlisi jurídica en dos nivells.
- Article 6 de l’LQPD. Cal identificar una base jurídica que legitimi el tractament.
- Article 9 de l’LQPD. Pel fet de tractar-se d’una categoria especial de dades, ha de concórrer alguna de les circumstàncies que permeten tractar-les.
És aquest doble examen jurídic, i no l’obtenció automàtica d’una signatura, el que determina la licitud del tractament.
Això tampoc significa que el consentiment de protecció de dades no tingui cabuda mai en l’àmbit sanitari. Pot ser la base adequada per a determinades finalitats realment voluntàries, sempre que no existeixi una altra base jurídica aplicable i que el pacient pugui negar-s’hi sense que això afecti l’assistència que li correspon.
El que resulta incorrecte és convertir el consentiment en una autorització universal destinada a cobrir indistintament totes les activitats del centre.
Aquesta pràctica no proporciona una capa addicional de protecció. Pot crear-ne una de fictícia.
Una base jurídica incorrecta no és un error merament formal
Informar el pacient que un tractament depèn de la seva autorització quan jurídicament es durà a terme amb independència de la seva voluntat també planteja un problema des de la perspectiva dels principis de lleialtat i transparència.
La protecció de dades exigeix explicar honestament què es farà amb la informació, amb quina finalitat, sobre quina base jurídica, durant quant de temps i amb quins drets per a la persona afectada.
No exigeix acumular signatures «per si de cas».
La selecció incorrecta de la base jurídica tampoc és un error merament formal. L’LQPD qualifica com a infraccions molt greus tant el tractament de dades personals sense que concorri alguna de les condicions de licitud de l’article 6 com l’incompliment de les condicions de validesa del consentiment i el tractament de categories especials de dades sense que concorri alguna de les circumstàncies de l’article 9.
En el sector privat, les infraccions molt greus poden comportar sancions econòmiques d’entre 30.001 i 100.000 euros.
En el cas de determinades administracions, organismes públics i entitats parapúbliques, l’LQPD estableix un règim específic d’amonestació i mesures correctores, que pot incloure la publicació de les resolucions i, en determinats supòsits, actuacions disciplinàries.
A aquesta responsabilitat administrativa s’hi pot afegir la responsabilitat pels danys materials o immaterials causats a les persones afectades.
Demanar més consentiments no significa protegir millor les dades dels pacients
En alguns casos, significa exactament el contrari.
Una política de protecció de dades madura no trasllada al pacient la responsabilitat de legitimar mitjançant una signatura tractaments que el professional o el centre ha de poder justificar jurídicament per si mateix.
Identifica correctament cada finalitat, determina la base jurídica aplicable, comprova les condicions específiques del tractament de dades de salut i aplica les garanties tècniques i organitzatives necessàries.
El consentiment informat continuarà essent essencial quan correspongui per a l’acte sanitari.
El consentiment de protecció de dades, en canvi, només s’ha de demanar quan sigui realment la base jurídica adequada.
Significa assumir correctament la responsabilitat que la normativa atribueix al professional i al centre sanitari.