Un auxiliar de enfermería que consulta el expediente médico de un residente en una tableta compartida, una contraseña genérica pegada en la pantalla del puesto de enfermería, un subcontratista informático que accede a las prescripciones sin contrato de tratamiento: estas situaciones existen en muchos EHPAD. Exponen a los residentes a filtraciones de datos de salud y a la institución a sanciones de la CNIL.
La seguridad de los datos en EHPAD no se limita a un registro de tratamientos bien completado. Se juega en los gestos cotidianos del personal, la configuración de las herramientas digitales y la rigurosidad de los accesos.
Para profundizar : ¿A qué hora la CAF abona las prestaciones en una cuenta de Banque Postale?
Gestión de accesos a los expedientes de residentes en EHPAD
En el terreno, el primer riesgo no proviene de un hacker. Proviene de una cuenta de usuario compartida entre tres cuidadores, o de un perfil de administrador asignado por defecto a todo el equipo. Cada profesional debe tener un acceso nominativo con derechos limitados a lo que necesita para ejercer su función.
Un auxiliar de enfermería no necesita consultar las cartas de las familias almacenadas en el software de gestión. Una secretaria no tiene que abrir los informes de consulta geriátrica. Se segmentan los derechos por profesión, y se revisan estos derechos en cada cambio de puesto o salida.
Ver también : Consejos prácticos para contactar rápidamente con la Seguridad Social por teléfono en 2024
Las instituciones que utilizan un software de cuidados como Netsoins pueden acceder a Netsoins Domusvi para consultar las buenas prácticas de configuración de perfiles y trazabilidad de las conexiones.
La trazabilidad, de hecho, sigue siendo un ángulo muerto frecuente. Activar los registros de conexión permite saber quién ha consultado qué expediente y cuándo. Sin estos registros, es imposible detectar un acceso anormal o responder a una solicitud de ejercicio de derecho de un residente o de su familia.
Base jurídica de los tratamientos de datos de salud en EHPAD
La conformidad RGPD de un EHPAD no se resume a exhibir una política de privacidad en el vestíbulo. La CNIL espera que cada tratamiento de datos personales esté vinculado a una base jurídica precisa, verificada tratamiento por tratamiento.
En la práctica, se distinguen varias categorías de tratamientos que coexisten en una misma institución:
- El seguimiento médico y la coordinación de cuidados se basan en la obligación legal y la salvaguarda de los intereses vitales (artículo 9 del RGPD), no en el consentimiento del residente.
- La gestión administrativa (facturación, alojamiento, ayudas sociales) se apoya en la ejecución del contrato de estancia o en una obligación legal.
- La videovigilancia de los espacios comunes requiere un interés legítimo documentado, con un análisis de proporcionalidad.
- Las fotos del residente utilizadas en un boletín interno o en un sitio web requieren, ellas, un consentimiento libre e informado, recogido del residente o de su representante legal.
Confundir estas bases jurídicas expone a un doble riesgo: solicitar un consentimiento donde no se requiere (lo que deja creer al residente que puede oponerse a los cuidados), o no solicitarlo donde es obligatorio. Se documenta cada tratamiento en el registro con su finalidad, su base legal, su duración de conservación y sus destinatarios.
Ransomware y continuidad de actividad en establecimiento médico-social
La amenaza del ransomware sigue siendo estructuralmente alta para los establecimientos de salud y médico-sociales. Los EHPAD son objetivos porque combinan sistemas de información a veces obsoletos, equipos reducidos en informática y datos de salud de alto valor en el mercado negro.
Cuando un ransomware cifra el servidor que alberga los expedientes de cuidados, es la continuidad de la atención la que se derrumba. Sin acceso a las prescripciones, a las alergias documentadas, a los protocolos individuales. Se vuelve al papel, con todos los riesgos de error que ello conlleva.
Medidas concretas de prevención cibernética en EHPAD
La prevención no requiere un presupuesto colosal. Se basa en prácticas operativas que la dirección y el responsable informático pueden implementar progresivamente:
- Copias de seguridad fuera de línea probadas regularmente: una copia de seguridad que nunca se ha restaurado no garantiza nada.
- Actualizaciones de los sistemas operativos y de los softwares profesionales tan pronto como se publiquen los parches de seguridad.
- Concienciación del personal sobre correos electrónicos de phishing, con recordatorios breves y repetidos en lugar de una formación anual olvidada al día siguiente.
- Segmentación de la red: el puesto de recepción no debe estar en el mismo segmento que el servidor de expedientes médicos.
Las opiniones varían sobre la frecuencia ideal de las pruebas de restauración, pero una prueba trimestral constituye un mínimo razonable para un establecimiento de tamaño medio.
Rol del DPO y formación del personal de cuidados en RGPD
La designación de un delegado de protección de datos (DPO) es obligatoria para los EHPAD. Este DPO no puede ser el director del establecimiento ni un miembro de la dirección, para evitar conflictos de interés. El DPO puede ser un empleado formado o un proveedor externo especializado en el sector médico-social.
Su rol va más allá de la redacción de documentos. Controla la conformidad de las prácticas en el día a día, acompaña a los equipos ante situaciones concretas (un hijo de residente que solicita la totalidad del expediente médico, una solicitud de eliminación de datos, un incidente de seguridad) y asegura el vínculo con la CNIL en caso de control.
Formar sin ahogar al equipo de cuidados
El personal de cuidados no retendrá un módulo de e-learning de dos horas sobre los principios del RGPD. Lo que funciona son sesiones cortas centradas en los gestos del día a día: bloquear su sesión al abandonar el puesto, no transmitir datos de salud por mensajería no segura, informar inmediatamente de cualquier sospecha de acceso no autorizado.
Se integran estos recordatorios en las reuniones de equipo existentes en lugar de crear un evento adicional. Un cartel sintético cerca de los puestos informáticos complementa el dispositivo sin aumentar la carga de trabajo.
La protección de los datos personales de los residentes en EHPAD depende tanto de la configuración técnica como de la cultura del equipo. Un registro de tratamientos actualizado, accesos nominativos, copias de seguridad probadas y un DPO involucrado en el funcionamiento real de la institución forman una base sólida. El último eslabón sigue siendo el reflejo de cada profesional que maneja estos datos a diario.