Nueva ley del aborto y su incidencia en la protección de datos personales

Con el nuevo Proyecto de Ley Orgánica por la que se modifica la Ley Orgánica 2/2010, de 3 de marzo, de Salud Sexual y Reproductiva y de Interrupción Voluntaria del Embarazo se han incluido ciertas novedades en el ámbito de los derechos y obligaciones de cada parte, tanto para las mujeres como para los centros sanitarios. Entre dichas novedades se encuentra la generación de un registro con nombre y apellidos de todos aquellos médicos de la sanidad pública que por objeción de conciencia se nieguen a practicarlos. En este artículo analizaremos la viabilidad y legalidad de dicho registro desde el punto de vista de protección de datos y las consecuencias que implicará.

¿Es posible la creación de un registro de médicos objetores? ¿Cómo debe ser este registro para cumplir con la normativa de protección de datos?

Como punto de partida debemos tener en cuenta que para el tratamiento de datos personales es necesario contar con una base de legitimación que habilite dicho tratamiento, en este caso, el tratamiento de datos personales será de carácter identificativo, como nombre y apellidos, pero con la finalidad de identificar a aquellos médicos que por razones ideológicas se nieguen a practicar abortos.

Por lo que en primer lugar el tratamiento debe contar con una base de legitimación, que en este caso sería la obligación legal que tendrán los centros sanitarios de acatar la nueva ley que impone la creación de dicho registro.

Por otro lado, hay que tener en cuenta que el tratamiento de datos de categoría especial, como es el tratamiento de datos de salud, convicciones religiosas y filosóficas entre otros requieren de una excepción para poder ser tratados. Entre dichas excepciones se encuentran por ejemplo el consentimiento expreso, por razones de interés público en el ámbito de la salud púbica o para proteger intereses vitales. Por lo que, en este caso, podríamos considerar que figurar en un registro únicamente creado para incluir a personal que se oponga a practicar los abortos por razones ideológicas supone el tratamiento de datos de categoría especial, por esta razón y para que el tratamiento sea licito desde el punto de vista de la protección de datos personales será necesario poder fundamentar dicha inclusión en alguna de las excepciones mencionadas además de aplicar las medidas adecuadas para garantizar la protección y seguridad de los datos implicados.

¿Qué consecuencias puede tener la creación de este registro?

La creación de dicho registro con la finalidad de registrar a todos aquellos médicos objetores de conciencia podría implicar una clara discriminación por motivos ideológicos, y por lo tanto una vulneración a efectos de igualdad del artículo 14 de la Constitución Española.
Por otro lado, el tratamiento de los datos de dicho personal podría suponer un tratamiento excesivo para la finalidad perseguida que será ulteriormente garantizar la practica del aborto de forma segura y por medio de la sanidad pública, por lo que se podría estar vulnerando también el principio de minimización del Reglamento General de Protección de datos (RGPD), incluyendo información que no sería necesaria.
Por último, la creación de este registro también puede implicar accesos indebidos, pérdida o alteración de la información de los datos personales que figuren en el registro si los centros sanitarios no cumplen con las medidas de seguridad y control de accesos adecuadas, por lo que será de suma importancia contar con medidas técnicas u organizativas apropiadas para garantizar la seguridad de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental para cumplir con el principio de integridad y confidencialidad del RGPD.

¿Qué medidas deben adoptar los centros sanitarios a la hora de tratar los datos del registro?

Para tratar los datos conforme a los principios de minimización y confidencialidad del RGPD y garantizar así que los datos a tratar son los indispensables además de bajo condiciones de seguridad y control de accesos se deben aplicar medidas como las siguientes:

Políticas de protección de datos.
Medidas de protección de datos por defecto y desde el diseño.
Evaluaciones de impacto para la protección de datos.
Medidas orientadas a garantizar la confidencialidad, integridad y disponibilidad.
Medidas para garantizar la resiliencia de los sistemas y servicios de tratamiento, y para dotar de capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.
La seudonimización y el cifrado de datos personales.
Los procesos de verificación, evaluación y valoración regulares de las medidas de seguridad.

¿Qué acciones se pueden interponer para proteger el derecho a la protección de datos?

Todo aquel cuyos datos sean tratados por una entidad, administración, fundación, centro sanitario entre otros, podrá ejercer ante ellos sus derechos de protección de datos, como el derecho al acceso a sus datos, derecho a rectificación de sus datos, derecho a oposición al tratamiento de sus datos, derecho a solicitar la supresión de sus datos, derecho a solicitar la limitación del tratamiento de sus datos y derecho a la portabilidad de sus datos.

Para poder tramitar dichos derechos los centros deben contar con el correcto asesoramiento y cumplir con los plazos legales establecidos para proporcionar las respuestas y la otorgación de los derechos a los interesados para no incurrir en incumplimientos de la norma y evitar así faltas o sanciones que pueda imponer la Agencia Española de Protección de Datos.

En Caberseg contamos con un equipo especializado y experto en la materia para asesorar, generar y acompañar a su centro en todo el proceso documental y de atención de los derechos de protección de datos.