Blog COFB Blog oficial del Col·legi de Farmacèutics de Barcelona
El 25 de maig de 2018 entrarà en vigor el nou Reglament Europeu de Protecció de Dades, que serà aplicable a tots els països membres de la Unió Europea i obligarà totes aquelles persones físiques o jurídiques allotjades en un estat membre que, en el desenvolupament de la seva activitat econòmica, tractin dades de caràcter personal. Així mateix, també serà aplicable a aquelles persones físiques o jurídiques que, tot i no estar allotjades a la U.E., hi desenvolupin la seva activitat o tractin dades personals dels seus ciutadans.
En aquest context, el Col·legi de Farmacèutics de Barcelona va realitzar una sessió, emmarcada en una nova edició del Fòrum MGOF, per explicar:
- Les novetats que presenta el Reglament Europeu
- Com pot afectar el tractament de dades personals que fa l’oficina de farmàcia
- Què canvia amb el nou reglament europeu de protecció de dades
- Quines són les noves obligacions i què cal fer per complir-les
Els ponents del Fòrum MGOF, durant un moment de la conferència.
L’acte va comptar amb les intervencions de Mercè Gras, directora de l’Àrea Jurídica, Administrativa, Deontològica i d’Inspecció del COFB; Agustí Ortega, gerent de COFBServeis i Laura Ciscar, Maria Company i Vanesa Alarcón, advocades de COFBServeis.
Objectius del nou reglament de protecció de dades
El nou reglament té per objectiu reforçar la protecció dels drets fonamentals de les persones pel que fa al tractament de les seves dades personals. És a dir, obliga a aquelles persones físiques o jurídiques que realitzen una activitat per la qual han de tractar dades de caràcter personal a complir una sèrie de mesures per garantir la protecció dels drets fonamentals dels usuaris.
D’altra banda, el nou reglament homogeneïtza les diferents regulacions sobre protecció de dades de caràcter personal de tots els països que integren la Unió Europea. En aquest sentit, contempla de forma més exhaustiva uns principis bàsics que s’hauran de tenir en compte quan es tractin aquestes dades, unes obligacions dels responsables del tractament que variaran en funció de la tipologia de dada objecte de tractament i uns drets més amplis que podran exercir les persones a qui corresponguin les dades. I, finalment, regula un règim sancionador més estricte pel que fa a la comissió de sancions i imposició de multes més elevades en comparació amb les que establia la normativa espanyola.
“Els farmacèutics ja tenien l’obligació de tenir cura de les dades personals”
En conversa amb Mercè Gras, considera important saber “que el nou reglament no canvia tantes coses i que els farmacèutics ja tenien l’obligació, des de fa molt temps, de tenir cura de les dades personals que tenien a l’oficina de farmàcia“.
Recorda que “molts farmacèutics sempre han pensat que no tenien dades de caràcter personal però, precisament, la seva és una activitat que no només en té moltes, sinó que, a més, té dades molt sensibles com són les de salut“. Per aquest tipus de dades explica que “tant la legislació anterior com el reglament estableixen una sèrie de requisits que han d’existir perquè hi hagi seguretat en aquest tractament i no hi accedeixin persones no autoritzades”.
Què han de tenir en compte els farmacèutics amb la nova llei de protecció de dades?
- Valorar quines dades tenen i com han de ser tractades.
- Fer una valoració de riscos i de l’impacte que poden tenir. És a dir, analitzar si hi ha alguna possibilitat que el tractament de les dades pugui perjudicar els usuaris. En cas que aquesta afectació existeixi, cal fer la valoració de l’impacte o dany real que es pot provocar i adoptar les mesures corresponents perquè això no succeeixi.
- Comptar amb un assessor que els ajudi a valorar com tenen els sistemes de tractament de la informació, perquè ens proposi quines són les mesures a implementar tant si la informació es tracta en suport informàtic com en paper.
- A partir d’aquí, si les dades estan en risc, l’assessor els ha de fer un pla d’implementació de mesures de seguretat de caràcter organitzatiu (com ha de guardar les dades i quin tractament n’ha de fer) i tècnic (quines són les mesures de caràcter tècnic a implementar i si es troben o no als sistemes).
D’altra banda, Gras també apunta que una de les diferències principals entre la legislació anterior i l’actual és que “la normativa abans deia que s’havien d’aplicar mesures de seguretat que garantissin determinats aspectes del tractament com ara controlar els accessos, fer còpies de seguretat, emmagatzemar-les en un altre lloc, etc.”.
Ara, en canvi, “la nova legislació posa l’èmfasi en garantir que no hi hagi un accés o comunicació o es faci un tractament no consentit, sense concretar les mesures de seguretat a implementar, sobretot, pel que fa als tractaments informatitzats de dades personals”, explica la directora de l’Àrea Jurídica, Administrativa, Deontològica i d’Inspecció del COFB.
El Fòrum MGOF sobre el nou reglament europeu de protecció de dades es va seguir amb un gran interès.
Des del seu punt de vista, això es produeix perquè “la tecnologia avança molt ràpidament i els sistemes de tractament de les dades també. La normativa ho fa a un altre ritme, ja que fins que no està aprovada no obliga i, quan entra en vigor, és probable que les mesures de seguretat regulades siguin obsoletes. El Reglament innova en exigir la protecció des del disseny i per defecte” . Gras puntualitza que “això vol dir que abans de fer el tractament de les dades, des de l’aplicació informàtica que s’utilitzi, es faci la valoració de riscos i l’avaluació d’impacte per dissenyar les mesures tècniques i organitzatives que garanteixin que el tractament de les dades es farà amb seguretat, respectant els drets fonamentals dels afectats“.
Assegurar l’exercici dels drets dels usuaris
Amb el nou reglament, els usuaris poden exercir una sèrie de drets, pel que fa a les seves dades personals:
- Dret a la limitació del tractament: Que la persona, com a propietària d’aquestes, decideixi fins on vol que li tractin les seves dades.
- Dret a la portabilitat: Implica que, davant d’unes condicions d’emmagatzematge de dades, si aquestes estan estructurades i, a més, en suports informàtics, la persona propietària de les dades té dret a exigir diversos drets. D’una banda, ha de tenir dret d’accés a aquesta informació amb el mateix format amb què tenen les teves dades i proporcionar-les a un tercer, encara que fossin propietat del responsable del tractament. D’altra banda, pot exigir al responsable del tractament que li passi les dades amb un mateix format a un tercer o a qui li sigui donada autorització perquè les tracti.
- Dret a no permetre valoracions individualitzades de les dades o tractaments a gran escala, sense que la persona en tingui coneixement.
- Dret a presentar reclamació davant l’autoritat competent.
Altres publicacions d’interès:
