Dudas sobre el uso de datos de salud en una plataforma de telemedicina

¿Tienes razón?

Lo que determina si el uso de tus datos de salud es indebido son tres cosas: la base jurídica invocada por la plataforma (consentimiento, cumplimiento de contrato, obligación legal, o el interés público en salud), las finalidades concretas declaradas (atención sanitaria, investigación, marketing) y las medidas de seguridad aplicadas. También importa qué organismo figura como responsable del tratamiento: la clínica, la plataforma tecnológica o un tercero.

Si firmaste un consentimiento específico en el que autorizas usos adicionales (investigación anónima, compartir con socios) y ese consentimiento es claro, la plataforma puede tratar los datos según lo autorizado. Si no diste consentimiento para usos distintos a la prestación sanitaria —por ejemplo, para marketing— y la plataforma lo hace, estarías ante un tratamiento indebido.

Además, los datos de salud requieren medidas técnicas y organizativas reforzadas: control de accesos, cifrado en tránsito y en reposo, y registros de actividades de tratamiento. La ausencia de medidas básicas o la filtración por mala gestión indican fallos en el cumplimiento de la normativa de protección de datos.

Por último, no olvide que en ámbitos sanitarios pueden existir obligaciones adicionales por normativa sectorial o por las autoridades sanitarias autonómicas que limiten o condicionen el uso y la cesión de datos.

Cómo se soluciona

1) Reúne la documentación. Conserva todos los consentimientos firmados, las condiciones de uso, correos electrónicos y mensajes donde se explique el uso de tus datos, así como resultados de consultas y cualquier exportación que la plataforma te permita. Haz capturas y guarda PDFs de las políticas vigentes cuando contrataste el servicio.

2) Solicita acceso y explicación. Dirígete al responsable de tratamiento y solicita acceso a tus datos y una explicación sobre las cesiones realizadas y las finalidades. Pide que te remitan el registro de actividades si procede y copia de los contratos con terceros que recibieron datos, salvo partes confidenciales.

3) Presenta reclamación ante la plataforma y, si no te satisface la respuesta, ante la autoridad de protección de datos (Agencia Española de Protección de Datos o autoridad autonómica) aportando la evidencia y pidiendo medidas y, si procede, sanción.

4) Valora medidas adicionales. Si hay riesgo de daños (filtración, uso indebido), valora solicitar bloqueo de tratamiento, supresión o limitación, y pedir acreditación de medidas correctoras. Si el tratamiento ha causado perjuicio, considera reclamar indemnización con asesoramiento jurídico porque probar el daño y su cuantificación puede requerir peritaje.

5) Coordinación con profesionales sanitarios. Si el problema afecta a tu atención, informa a tu proveedor sanitario y solicita la copia de tus datos clínicos en un formato interoperable; eso te permitirá trasladarlos a otro servicio si decides cambiar de plataforma.

Qué puedes hacer hoy: descarga y guarda tus consentimientos y las comunicaciones; solicita acceso al responsable del tratamiento. Qué hará un abogado: preparar la reclamación formal ante la plataforma y, si procede, la denuncia a la autoridad de protección de datos y la demanda por daños.

Qué puede pasar

1) Solución directa. La plataforma puede rectificar el uso, suprimir datos, limitar el tratamiento y ofrecer explicaciones y garantías técnicas. Es la salida más rápida: la empresa corrige el error y restablece el control.

2) Reclamación ante la autoridad. La Agencia Española de Protección de Datos puede investigar, imponer medidas correctoras y sanciones. Su actuación puede obligar a cambios en las prácticas de la plataforma.

3) Demanda por daños. Si has sufrido un perjuicio (daño reputacional, perjuicio económico, perjuicio en la atención sanitaria) puedes reclamar indemnización. El éxito depende de probar el nexo causal y la cuantía del daño; a veces merece más la pena negociar una reparación que litigar.

Y si ganas, ¿cobras? Una sentencia a tu favor puede ordenar indemnización, pero cobrar depende del patrimonio del responsable; además, las sanciones administrativas y la indemnización civil son vías distintas: la sanción no te paga a ti, la indemnización sí, si la parte puede atenderla.

Errores que arruinan el caso

• No conservar los consentimientos y las comunicaciones en el momento del registro.
• No descargar tus historiales clínicos o no pedir la exportación de datos al cambiar de plataforma.
• Difundir información sensible antes de garantizar su autenticidad: publicar datos en redes complica la prueba.
• No consultar a un experto cuando hay indicios de filtración masiva o uso comercial no autorizado.
• Asumir que la empresa es la única responsable: en muchas plataformas hay varios responsables o encargados; identificar a quién dirigirte es clave.