TuoTempo y el Reglamento General de Protección de Datos

¿Qué es el GDPR?

El Reglamento General de Protección de datos (GDPR) es el reglamento general sobre la protección de datos, una ley Europea sobre privacidad aprobada por la Comisión Europea en 2016. El GDPR reemplazará una directiva anterior sobre privacidad de la Unión Europea conocida como Directiva 95/46 CE (la Directiva), que ha sido la base de la legislación Europea de protección de datos desde 1995.

Un reglamento como el GDPR es una Ley vinculante que debe aplicarse en su totalidad en toda la UE. El GDPR es un intento de fortalecer, armonizar y modernizar la legislación de protección de datos de la UE y mejorar los derechos y libertades individuales, en línea con la comprensión europea de la privacidad como un derecho humano fundamental. El GDPR regula, entre otras cosas, cómo los individuos y organizaciones pueden obtener, utilizar, archivar y eliminar los datos personales. Tendrá un impacto significativo en las empresas elevando el nivel de los derechos y la atención en Europa e indirectamente a nivel mundial.

En TuoTempo hemos estado durante más de un año nuestro producto y nuestros procesos empresariales para lograr el cumplimiento total del GDPR. Esta guía está diseñada con el objetivo de ayudar a nuestros clientes a hacer lo mismo.

Por lo tanto, nos parecía necesario y correcto compartir lo que hemos realizado  y aprendido. Aunque es un resumen de meses de análisis y comparación con los mejores expertos en el campo y con nuestros clientes, este documento no puede sustituir el asesoramiento legal específico de su instalación para determinar cómo se podría aplicar el GDPR a su organización.

¿Cuándo entrará en vigor?

El GDPR fue adoptado en abril de 2016, pero no será aplicable oficialmente hasta el 25 de mayo de 2018. No habrá un período de transición, por lo que es importante que las organizaciones afectadas por el GDPR se preparen para ello.

Por lo tanto, nos parecía necesario y correcto compartir lo que hemos realizado  y aprendido. Aunque es un resumen de meses de análisis y comparación con los mejores expertos en el campo y con nuestros clientes, este documento no puede sustituir el asesoramiento legal específico de su instalación para determinar cómo se podría aplicar el GDPR a su organización.

¿En qué se diferencia el GDPR de la Directiva? ¿Cómo cambian las obligaciones?

Aunque el GDPR mantiene muchos principios establecidos por la Directiva, introduce varios cambios importantes y ambiciosos. A continuación se muestran algunos cambios que consideramos especialmente relevantes para TuoTempo y nuestros clientes:

• Ampliación del ámbito de aplicación: como se ha mencionado anteriormente, el GDPR se aplica a todas las organizaciones establecidas en la UE o que realicen el tratamiento de los datos de ciudadanos de la UE, introduciendo así el concepto de extraterritorialidad y ampliando el campo de aplicación de la legislación de la UE sobre la protección de datos mucho más allá de las fronteras de la UE.
• Ampliación de las definiciones de datos personales y confidenciales, tal y como se describe en el punto 1.
• Ampliación de los derechos individuales y de las protecciones: el GDPR regula el ejercicio y la protección de diversos e importantes, incluidos el derecho al olvido, el derecho a oponerse, el derecho a la rectificación, el derecho de acceso y el derecho de la portabilidad. Es necesario garantizar que se pueden cumplir estos derechos si se procesan los datos personales de los ciudadanos de la UE:
• Derecho de acceso: las personas tienen derecho a saber qué datos se procesan y cómo.
• Derecho de rectificación: las personas pueden solicitar que los datos incompletos se completen o que los datos erróneos se corrijan.
• Derecho de cancelación: una persona física puede solicitar que una organización elimine todos sus datos de manera inmediata.
• Derecho de oposición: una persona puede prohibir el uso de ciertos datos.
• Derecho de portabilidad: las personas físicas pueden solicitar que los datos personales de una organización puedan ser transportados a otra.
• Requisitos de consentimiento más restrictivos: el consentimiento es uno de los aspectos fundamentales del GDPR y las organizaciones deben garantizar que se obtenga el consentimiento de acuerdo con los nuevos requisitos más restrictivos del GDPR. Será necesario obtener el consentimiento de sus clientes y/o interesados para el tratamiento de los datos para cada uso de los mismos. El método más seguro para el cumplimiento es obtener un consentimiento explícito, siempre necesario para los datos confidenciales.
• Requisitos de procesamiento más estrictos: Los interesados tienen derecho a recibir información justa y transparente sobre el tratamiento de sus datos personales, incluidos:
• Detalles de contacto del titular de los datos.
• Propósito de los datos: esto debe ser lo más específico posible (limitación del propósito) y minimizado (minimización de los datos). Se debe considerar cuidadosamente qué datos se recopilan y por qué. Es necesario obtener un consentimiento por separado para las diferentes actividades de procesamiento, lo que significa que es necesario tener claro cómo se usarán los datos cuando se obtenga el consentimiento.
• Periodo de almacenamiento: debe ser lo más breve posible (limitación del periodo de almacenamiento).
• Silencio, casillas previamente marcadas o inactividad no constituyen el consentimiento: las partes interesadas deben dar explícitamente su consentimiento (opt-in) para el almacenamiento, uso y gestión de sus datos personales.
• Base legal: no es posible elaborar datos personales solo porque se desee. Es necesario tener una base legal para hacerlo.

Claramente, fuera de este breve resumen existen muchos otros principios y requisitos introducidos por el GDPR, por lo que es importante revisar el GDPR en su totalidad para garantizar que se tenga un conocimiento completo de la legislación y cómo se aplicará.

¿Qué papel tiene TuoTempo?

Si se procesan datos personales, se hace como propietario o gerente, y existen diferentes requisitos y obligaciones según la categoría a la que pertenece. En nuestro sector, el propietario es la organización (instalación sanitaria) que determina el propósito y las herramientas de tratamiento de los datos personales, mientras que el gerente es la organización que procesa los datos en nombre del propietario.

El GDPR no ha cambiado las definiciones fundamentales de propietario y gerente, sino que ha ampliado las responsabilidades de cada parte. Los propietarios conservarán la responsabilidad principal de la protección de los datos (incluso, por ejemplo, la obligación de informar las infracciones de datos a las autoridades de protección de datos); sin embargo, el GDPR ha resaltado que algunas responsabilidades se comparten con el gerente.

En el contexto de la aplicación de TuoTempo y nuestros servicios relacionados, nuestros clientes actúan como propietarios.  Por ejemplo, nuestros clientes deciden:

• qué información de sus pacientes se transfiere a su cuenta de TuoTempo,
• qué mensajes, a través de nuestra aplicación, desean enviar a sus pacientes.

El nombramiento de TuoTempo como responsable por el propietario se lleva a cabo con la firma para la aceptación de las Condiciones generales de uso adjuntas a nuestro formulario de solicitud.

¿TuoTempo cumple con el GDRP?

TuoTempo es partidario de los sólidos principios de privacidad y seguridad de los datos que promueve el GDPR, muchos de los cuales han sido implementados por TuoTempo mucho antes de que fueran aprobados por el GDPR.

Creemos que el GDPR es un paso importante en la privacidad de los datos y nos comprometemos a lograr el cumplimiento completo del GDPR antes y como muy tarde el 25 de mayo de 2018.

La preparación del GDPR de TuoTempo comenzó hace más de un año y, como parte de este proceso, hemos revisado todos nuestros procesos internos, procedimientos, flujos de datos y documentación para garantizar que estemos listos cuando el GDPR entre en vigor. Si bien gran parte de nuestra preparación está ocurriendo detrás de esta escena, también estamos trabajando en una serie de iniciativas visibles para nuestros usuarios y que nos parece importante compartir con todos. De hecho, estamos:

• Analizando todas nuestras características y servicios actuales para determinar si se pueden realizar mejoras o adiciones para que sean más eficientes para los usuarios sujetos al GDPR.
• Evaluando nuevas características y herramientas potenciales compatibles con el GDPR para añadir a nuestra aplicación.

Recordemos que ante el  GDPR, TuoTempo tiene un doble compromiso:

• Proteger la privacidad de nuestros clientes y de su organización (contenido de esta sección).
•  Ayudar a nuestros clientes, en calidad de propietarios, para actuar de acuerdo con el GDPR en la relación con sus pacientes (contenido de las siguientes secciones).

Con respecto al punto 1, estamos listos para responder a las solicitudes de nuestros clientes con respecto a sus derechos individuales extendidos bajo el GDPR:

• Derecho de acceso: recopilamos solo información administrativa y datos útiles para la facturación a nuestros clientes. Si tiene preguntas específicas sobre datos particulares, puede ponerse en contacto con privacy@TuoTempo.com para obtener más información en cualquier momento.
• Derecho de rectificación: puede acceder y actualizar la configuración de la cuenta TuoTempo en cualquier momento para corregir o completar la información de su cuenta. También puede ponerse en contacto con TuoTempo en cualquier momento para acceder, corregir, modificar o eliminar la información sobre usted.
• Derecho de cancelación: puede desactivar su cuenta TuoTempo en cualquier momento, en cuyo caso eliminaremos definitivamente su cuenta y todos los datos asociados con ella.
• Derecho de oposición: podrá optar por no incluir los datos de su instalación en los proyectos de benchmark o comparación anónima y estadística con otras instalaciones, simplemente cambiando la configuración de la privacidad de su cuenta.
• Derecho de portabilidad: exportaremos la información de su cuenta a un archivo o a un tercero en cualquier momento que lo solicite.

¿Dónde se encuentran los servidores de TuoTempo?

Para los clientes de la UE,  Amazon Web Services, y se encuentran en Irlanda y Frankfurt, ambos dentro de la Comunidad Europea.

Ver la certificación aquí.

¿Cómo puede TuoTempo ayudarle con sus actividades de cumplimiento del GDPR?

Como Gerentes designados por su organización, hay varias maneras en que TuoTempo puede ayudarle a garantizar el cumplimiento de la privacidad de sus Pacientes y el cumplimiento del GDPR.

Hemos agrupado las modalidades de soporte en 4 macroáreas:

1. SEGURIDAD
2. CONSERVACIÓN DE LOS DATOS
3. AMPLIACIÓN DE LOS DERECHOS INDIVIDUALES
4. CONSENTIMIENTO MÁS RESTRICTIVO

SEGURIDAD

El GDPR requiere que los propietarios y responsables implementen medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado a los riesgos presentados. Somos conscientes de que nuestros clientes actúan como propietarios de datos sensibles y por este motivo siempre trabajamos con el máximo cuidado para hacer todo lo posible para proteger los datos de nuestros clientes.

Seguimos los estándares industriales generalmente aceptados para proteger la información que se nos brinda, tanto durante la transmisión como una vez recibida.

Mantenemos salvaguardias administrativas, técnicas y físicas adecuadas para proteger los datos personales de destrucción accidental o ilegal, pérdida accidental, alteración no autorizada, divulgación o acceso no autorizado, uso impropio y cualquier otra forma de procesamiento ilegal de los datos personales en nuestra posesión.

Esto incluye, por ejemplo, firewalls, protección mediante OTP y otros controles de acceso y autenticación. Utilizamos la tecnología SSL para cifrar los datos durante la transmisión por Internet público y utilizamos funciones de seguridad de nivel de aplicación para personalizar datos de forma anónima.

La siguiente tabla muestra una breve lista de las medidas de seguridad adoptadas en relación con las solicitudes específicas del GDPR.

CONSERVACIÓN DE LOS DATOS

Nuestro compromiso es ayudar a nuestros clientes a mantener los datos durante el tiempo necesario para el procesamiento en cumplimiento con las obligaciones legales.  Por lo tanto, si la ley no exige lo contrario o si se debe cumplir con nuestras obligaciones legales y resolver cualquier disputa, nos comprometemos a:

• Eliminar el contenido de las cuentas desactivadas dentro de 3 meses a partir de la fecha de cancelación del cliente.
• Conservar copias de seguridad durante 24 meses, a menos que los clientes elijan un período más corto en el entorno administrativo, garantizando siempre un mínimo de 3 meses.
• Hacer que nuestros clientes elijan si y por cuánto tiempo se muestra el historial de citas de un paciente en línea.
• Hacer que nuestros pacientes opten por ofrecer acceso al expediente de salud en línea a través de nuestra plataforma, y durante cuánto tiempo se mantiene el historial de los documentos visible y accesible. La opción está disponible en línea en la sección Privacidad dentro de la consola de administración.
• No conservar, en caso de un expediente activo, en nuestros servidores o imágenes, pero nos comprometemos a adquirirlos solo cuando el paciente lo solicite y durante el mínimo tiempo necesario para entregarlos. Todos los documentos siempre se eliminan al final de la solicitud.
  
  

AMPLIACIÓN DE LOS DERECHOS INDIVIDUALES

TuoTempo ha desarrollado a lo largo de los años una serie de características que pueden ayudarle a responder rápidamente a las solicitudes de sus pacientes en función de sus derechos individuales ampliados en virtud del GDPR:

Derecho de acceso

Cualquier paciente puede ver su información en nuestro poder o ponerse en contacto para aclaraciones sobre el análisis estadístico respecto a él.

Derecho de rectificación

Un paciente o un operario encargado del paciente pueden acceder y actualizar los datos dentro de la aplicación TuoTempo para corregir o completar la información.

• Derecho de cancelación:

• Se pueden eliminar pacientes en función de su solicitud en cualquier momento. Además, es posible eliminar citas de manera selectiva y, cuando esté presente, cualquier referencia al Historial Clínico, incluidos los enlaces a las facturas, informes e imágenes. La eliminación también se puede hacer en bloque, manteniendo activo el paciente pero eliminando todo su historial.
• Los pacientes pueden acceder en cualquier momento a su portal en línea basado en la aplicación TuoTempo y eliminar todos sus datos.  
• En ambos casos, los datos se eliminarán inmediatamente del entorno de producción.
• Incluso si un paciente ha ejercido el derecho a la cancelación sobre el entorno de producción, los datos del paciente aún pueden encontrarse en nuestros servidores durante el almacenamiento de la copia de seguridad por una de las siguientes dos razones:
• Es extremadamente complejo aislar y eliminar los datos personales individuales dentro del archivo de copia de seguridad.
• El propietario debe conservar los datos durante más tiempo por razones contractuales, legales o de cumplimiento.

Con estas circunstancias, garantizamos al Paciente que sus datos personales no se restaurarán en los sistemas de producción en caso de que fuera necesario recuperar información del archivo de copia de seguridad. De hecho, TuoTempo mantiene un registro de obligaciones que le permite eliminar selectivamente los datos del usuario que lo ha solicitado durante el proceso de restauración de la copia de seguridad.

Derecho de portabilidad

El paciente puede exportar todos los documentos que le conciernen en cualquier momento iniciando sesión en su cuenta de portal del paciente basada en la aplicación TuoTempo.

CONSENTIMIENTO MÁS RESTRICTIVO Y REQUISITOS DE TRATAMIENTO

Como ya se ha mencionado, el GDPR subraya con fuerza la necesidad de obtener y procesar legalmente direcciones de correo electrónico, números de teléfono móvil y otros datos personales de pacientes, médicos y otros contactos.

El GDPR define 6 bases legales para el procesamiento de los datos, la más conocida de todas es, claramente, la solicitud y obtención del consentimiento explícito por parte del interesado. A continuación lo analizamos:

EL CONSENTIMIENTO

Los datos personales de sus pacientes pueden recopilarse y transferirse en TuoTempo a través de flujos de integración o procedimientos de registro puestos a disposición por nuestra aplicación y activados y configurados por nuestros clientes.

• En caso de transferencia mediante integración, TuoTempo asume que la información transferida por el propietario ha recibido el consentimiento apropiado y que se han definido los consentimientos para diferentes propósitos del tratamiento que el cliente puede realizar a través de la aplicación TuoTempo.  
• En caso de adquisición del consentimiento en forma de registro a los servicios del portal, nuestra aplicación le permite definir qué consentimiento solicitar y qué información presentar. Para ayudarle en el cumplimiento del GDPR:
• El paciente que se registre en los servicios del portal debe seleccionar explícitamente qué consentimiento dar, ya que están desactivados por defecto. En ausencia de consentimiento de la información básica, el procedimiento de registro no tendrá éxito.
• Ayudarle a obtener un comprobante de consentimiento y almacenar un registro de consentimiento del paciente en su cuenta TuoTempo. De hecho, cuando un paciente se registra, TuoTempo registra la dirección móvil, dirección de correo electrónico, dirección IP y la marca de tiempo asociada a cada paciente que completa el módulo, ofreciendo una prueba de consentimiento de fácil acceso.

Los consentimientos recibidos en línea se pueden transferir al sistema de gestión (HIS o EHR) de nuestros clientes si se encuentra allí la base de datos maestra de nuestro cliente.

TIPOS DE CONSENTIMIENTO Y MODALIDADES DE OBTENCIÓN

Si se observa con atención la ruta digital de un paciente y la variedad de comunicaciones que puede recibir antes, durante y después de una interacción con la instalación (por ejemplo, una visita) es fácil deducir que los propósitos del tratamiento son múltiples. TuoTempo ha decidido adoptar un modelo basado en un amplio conjunto de 6 consentimientos diferentes para permitir que el paciente pueda aceptar o rechazar selectivamente servicios individuales sin tener que renunciar a todos ellos. De esta forma, es posible, por ejemplo, que un paciente renuncie a recibir solicitudes de revisión (opt-out) sin perder acceso a la memoria o a las campañas de comunicación.

Para ayudar a nuestros clientes a orientarse, hemos publicado en la página Configuración > Privacidad, la lista de consentimientos y la modalidad de recogida y revocación. Además, en una sección específica, el cliente puede ingresar y diferenciar la información para cada consentimiento individual.

Para su comodidad, enumeramos los consentimientos en la siguiente tabla.

En cuanto a las campañas de comunicación que puede enviar a sus pacientes a través de la aplicación de TuoTempo, además de las opciones de revocación del consentimiento, nuestros clientes también tienen la posibilidad:

• De incluir un enlace «modifica tus preferencias» en el pie de la página de cualquier campaña por correo electrónico, que le brinda al destinatario la posibilidad de actualizar fácilmente los detalles de su perfil dentro del portal del paciente, ayudándole a cumplir con los requisitos de acceso de GDPR.
• De actualizar en TuoTempo en nombre de un paciente la información relacionada con su usuarias o contactos cuando lo solicite un paciente por teléfono o presencialmente.

Tenga en cuenta que cualquier consentimiento obtenido de sus usuarios y contactos debe cumplir con los requisitos de GDPR, independientemente de cuándo se obtuvo el consentimiento. Sin embargo, el punto 171 del GDPR indica que es posible seguir confiando en cualquier consentimiento existente que cumpla con los estándares GDPR para el consentimiento. Esto significa que no es necesario solicitar nuevamente el consentimiento de sus usuarios o contactos cuando el GDPR entre en vigor, si se han cumplido todos los requisitos del GDPR cuando se obtuvo el consentimiento inicial.

Recomendamos consultar a un asesor legal para determinar si:

• Los consentimientos obtenidos antes del GDPR cumplen con los requisitos.
• Volver a contactar con sus pacientes para solicita nuevamente el consentimiento de acuerdo con los requisitos del GDPR.
• Confiar en una base legal diferente para el tratamiento según el GDPR (ver la siguiente sección del interés legítimo).

En general, es necesario revisar la declaración sobre privacidad y los procesos de su organización para garantizar que proporciona la comunicación adecuada de que los datos personales de sus pacientes serán transferidos a terceros y en particular a TuoTempo como uno de los gerentes, definiendo, si es posible, las actividades de procesamiento aplicables realizadas por TuoTempo, como la obtención (por ejemplo a través de un formulario de registro) y el almacenamiento de datos personales (por ejemplo, dentro de su cuenta TuoTempo para permitirle acceder a su portal del paciente o enviar campañas de comunicación).

INTERÉS LEGÍTIMO, COMUNICACIONES TRANSACCIONALES y MARKETING DIRECTO.

Una base legal alternativa a la obtención del consentimiento, que se discute ampliamente en la preparación del GDPR en el ámbito del marketing y las comunicaciones, es el interés legítimo, o la posibilidad de comunicarse fuera del consentimiento si es concebible un interés real de quienes reciben un mensaje.  

Por ejemplo, el consentimiento podría no ser necesario si el propietario, para la venta directa de sus productos o servicios, utiliza datos de contacto obtenidos por el interesado en el contexto de la venta de un producto o de un servicio, siempre que se estén comunicando servicios similares a tales objetos de venta y no haya ninguna negativa por parte del interesado a tal uso, inicialmente o con ocasión de comunicaciones posteriores.

En el campo de la salud, la mayoría (a menudo, todas) de las comunicaciones están dirigidas a clientes existentes (pacientes para quienes se ha proporcionado un servicio) o para clientes inmediatos (pacientes que han reservado un servicio). El interés legítimo es, por lo tanto, especialmente interesante en el sector de la salud, porque es una base legal efectiva especialmente en la regulación de las comunicaciones con los clientes.

Sin embargo, antes de entusiasmarse por ello, hay que tener en cuenta que:

• El interés legítimo del propietario del tratamiento puede constituir la base legal para el procesamiento de los datos, siempre que se equilibren los derechos entre el propietario (la instalación) y el interesado (el paciente).
• Bajo el nuevo principio de responsabilidad, con el GDPR, depende de las empresas llevar a cabo este equilibrio, permitiendo una aplicación generalizada. La empresa tendrá que determinar si sus acciones están en línea con las expectativas razonables del paciente.
• De acuerdo con el interés legítimo, no es posible tratar datos confidenciales, para lo cual se requiere la obtención del consentimiento.

El último punto nos recuerda que al menos es necesario un consentimiento de la notificación general de privacidad que describe el tratamiento de los datos confidenciales. Por lo tanto, el interés legítimo debe explorarse en el sector de la salud principalmente para las comunicaciones con los pacientes existentes o inminentes.

Desde el punto de vista práctico se traduce en la posibilidad de que nuestro cliente decida considerar expectativas razonables del interesado:

• Recibir todos los correos electrónicos, SMS y comunicaciones push de tipo transaccional enviadas a los pacientes en relación con los próximos eventos (confirmación de la cita, confirmación de cancelación, recordatorio) o pasados (notificación de disponibilidad de informe, encuesta de satisfacción).
• Recibir campañas de recordatorio o prevención relacionadas con una prestación anterior.
• Enviar un recordatorio al paciente que ha reservado por teléfono su primera prestación en su instalación dando su consentimiento telefónico con la aprobación de aceptación escrita pendiente.

En la práctica, podría no ser necesario que algunos o todos los fines enumerados vuelvan a adquirir el consentimiento o lo adquieran explícitamente.  

En resumen, tanto el GDPR como el proyecto de Reglamento e-Privacy se han fijado y se están fijando el objetivo de equilibrar los intereses de las empresas con las partes interesadas, especialmente en las actividades de procesamiento para fines de comercialización directa. Sin lugar a dudas, la intención es favorecer las actividades comerciales sin invadir de manera abusiva y salvaje el ámbito de intereses de cada individuo, haciendo que la legislación aplicable sea más clara y transparente.

Por lo tanto, es una buena idea hacerse 3 preguntas durante la evaluación del interés legítimo:

¿Tiene un interés legítimo para enviar este mensaje?

Esto puede incluir la necesidad de realizar ventas cruzadas de otros productos/servicios o promover un uso más amplio de un artículo ya comprado.

¿Necesita enviar el mensaje para lograr tales intereses?

Si el mismo resultado pudiera lograrse por otros medios menos invasivos (como las visitas no solicitadas al sitio web), no se aplican los intereses legítimos.

¿Ha equilibrado el acto de enviar el mensaje frente a los intereses, derechos y libertades del individuo?

Consulte el análisis de las expectativas razonables.

El instrumento de interés legítimo, si se aplica con responsabilidad y moderación, puede ser una herramienta útil, especialmente en la fase de transición al GDPR.

¿Con quién puedo contactar si todavía tengo dudas sobre el GDPR?

Si tiene preguntas específicas sobre el GDPR y la configuración de TuoTempo para obtener el cumplimiento, puede enviar un correo electrónico a privacy@tuotempo.com