Boletín Oficial del País Vasco

N.º 181, martes 17 de septiembre de 2024

El contenido de los otros formatos que aquí se muestran, se ha obtenido mediante una transformación del documento electrónico PDF oficial y auténtico

DISPOSICIONES GENERALES

OSAKIDETZA-SERVICIO VASCO DE SALUD

4282

ACUERDO de 3 de septiembre de 2024, del Consejo de Administración de Osakidetza-Servicio vasco de salud, por el que se crea la figura del/la Delegado/a de Protección de Datos y se modifica la estructura orgánica de la Dirección General de Osakidetza.

En el sector sanitario, la recopilación y el procesamiento de datos de salud y otros datos personales sensibles son fundamentales para el tratamiento médico, la investigación y la gestión administrativa. Los centros sanitarios recopilan y procesan grandes cantidades de datos personales sensibles, como información médica, historias clínicas, resultados de pruebas y datos genéticos, entre otros. Estos datos son altamente confidenciales y, en caso de divulgación o uso indebido, podrían tener consecuencias graves para la privacidad y la seguridad de los/as pacientes.

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), es una norma que incluye los derechos de la ciudadanía en esta materia y que obliga a la adaptación al mismo a las Administraciones Públicas.

Dicho reglamento se refiere en su artículo 37 al/la Delegado/a de Protección de Datos, que será designado por el responsable y el encargado del tratamiento, siempre que el tratamiento lo lleve a cabo una autoridad u organismo público. Su papel principal es garantizar el cumplimiento de las disposiciones del dicho reglamento y asesorar tanto a la organización como a los/as interesados/as sobre cuestiones relacionadas con la protección de datos.

Conforme al artículo 39.1 del reglamento UE 2016/679, el/la Delegado/a de Protección de Datos tiene como mínimo las siguientes funciones:

a) Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros.

b) Supervisar el cumplimiento de lo dispuesto en el citado reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes.

c) Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35 del reglamento.

d) Cooperar con la autoridad de control.

e) Actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.

A su vez, el artículo 39.2 del reglamento señala que el/la Delegado/a de Protección de Datos desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento.

Por otra parte, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, establece nuevas funciones del/la Delegado/a de Protección de Datos, como son las siguientes:

– Cuando aprecie la existencia de una vulneración relevante en materia de protección de datos, documentar y comunicarlo inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento (artículo 36 de la ley).

– Intervenir en los supuestos de reclamación ante las autoridades de protección de datos (artículo 37 de la ley).

Así mismo, el artículo 35 de la citada ley se refiere a la cualificación del/la Delegado de Protección de Datos. Señala que el cumplimiento de los requisitos establecidos en el artículo 37.5 del Reglamento (UE) 2016/679 para la designación de dicho/a Delegado/a, sea persona física o jurídica, podrá demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación, que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos.

El artículo 36.2 de la Ley Orgánica 3/2018 señala que se garantizará la independencia del/la Delegado de Protección de Datos dentro de la organización, debiendo evitarse cualquier conflicto de intereses.

Como se observa, es necesario crear en Osakidetza la figura del/la Delegado/a de Protección de Datos. La designación de un/a Delegado de Protección de Datos, que es independiente y tiene el rango de Subdirector/a, no solo cumple con las obligaciones legales establecidas por el Reglamento General de Protección de Datos, sino que también contribuye a la construcción de una cultura de protección de datos en el ámbito de la salud. Los centros sanitarios deben tomar conciencia de esta necesidad y asignar los recursos necesarios para cumplir con estas disposiciones y proteger adecuadamente la información confidencial de sus pacientes.

Este Consejo de Administración, en el marco de lo expuesto y, en virtud de las competencias atribuidas en el artículo 8.5 de los Estatutos Sociales, viene a adoptar el siguiente

ACUERDO

Primero.– Se aprueba la creación del/la Delegado/a de Protección de Datos en Osakidetza, que estará adscrito orgánicamente a la Dirección General y será el/la responsable de velar por el cumplimiento de la normativa vigente en protección de datos en el ente público.

Segundo.– Se garantizará la independencia del/la Delegado/a de Protección de Datos dentro de Osakidetza, debiendo evitarse cualquier conflicto de intereses.

Tercero.– Las funciones a realizar por el/la Delegado/a de Protección de Datos serán las que establecen el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. En particular ejercerá las funciones que son referidas en la parte expositiva del presente Acuerdo, contenidas en dicha normativa, además de las siguientes:

– Verificar el cumplimiento de principios relativos al tratamiento, como los de limitación de finalidad, minimización o exactitud de los datos.

– Identificar las bases jurídicas de los tratamientos.

– Valorar la compatibilidad de finalidades distintas de las que originaron la recogida inicial de los datos.

– Establecer los mecanismos de recepción y gestión de las solicitudes de ejercicio de derechos por parte de los/as interesados/as.

– Valorar las solicitudes de ejercicio de derechos por parte de los/as interesados/as.

– Sensibilizar al personal en materia de protección de datos.

– Mantener relaciones, coordinación y cooperación con la Autoridad Vasca de - Protección de Datos y con la Agencia Española de Protección de Datos, actuando como interlocutor del/la responsable o encargado/a del tratamiento.

– Cuando la persona afectada presente una reclamación ante la Agencia Española de Protección de Datos o ante la Agencia Vasca de Protección de Datos, responder en un mes desde que dichas autoridades de protección de datos le remitan, en su caso, la reclamación.

– Comunicar a la persona afectada la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación, cuando dicha persona, con carácter previo a la presentación de una reclamación ante las autoridades de protección de datos, se dirija al/la Delegado/a de Protección de Datos.

– Emitir recomendaciones dentro del ámbito de sus competencias.

– Acceder a los datos personales y procesos de tratamiento en el ejercicio de sus funciones, no pudiendo oponerse a este acceso el deber de confidencialidad o secreto por parte del/la responsable o el/la encargado/a del tratamiento.

Cuarto.– El/la Delegado/a de Protección de Datos, que será personal de plantilla de Osakidetza y se equipara al puesto de Subdirector/a, será designado/a atendiendo a sus cualidades profesionales y, sobre todo, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar sus funciones. Dicha cualificación podrá demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación, que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite dichos cocimientos especializados.

Quinto.– La creación de esta figura de Delegado/a de Protección de Datos implica la modificación de la estructura de la Dirección General de Osakidetza, anteriormente denominada organización central del ente público. Dicha modificación consiste en que se crea una nueva Subdirección de Protección de Datos, que dependerá orgánicamente de la Dirección General, en la cual se integrará el/la Delegado/a de Protección de Datos.

Sexto.– Conforme establece la Ley 16/2023, de 21 de diciembre, de la Autoridad Vasca de Protección de Datos, cuando el/la responsable o encargado/a del tratamiento hubiese notificado a la Autoridad Vasca de Protección de Datos la designación de un Delegado o Delegada de Protección de Datos, el traslado de la reclamación correspondiente en materia de protección de datos se realizará a través de este/a.

Séptimo.– El/la responsable o el/la encargado/a del tratamiento publicarán electrónicamente los datos de contacto del/la Delegado/a de Protección de Datos de Osakidetza y los comunicarán a la Autoridad Vasca de Protección de Datos.

Octavo.– El presente acuerdo será publicado en el Boletín Oficial del País Vasco.

En Vitoria-Gasteiz, a 3 de septiembre de 2024.

El Presidente del Consejo de Administración de Osakidetza-Servicio vasco de salud,

ALBERTO MARTÍNEZ RUIZ.

Análisis documental