El sector de la salud y el farmacéutico concentra, en la misma operación diaria, algunas de las obligaciones regulatorias más exigentes del ordenamiento español y europeo. Datos de categoría especial, farmacovigilancia, ensayos clínicos, trazabilidad de producto y responsabilidad penal corporativa convergen en una misma empresa. La pregunta que plantean con frecuencia los directivos no es ya si hay que cumplir, sino cómo cumplir de manera que el programa funcione cuando más se necesita – y no solo cuando llega una inspección.
El punto de partida es sencillo: ningún otro sector trata, de forma tan rutinaria y masiva, datos de salud de personas físicas. Las historias clínicas, los datos de diagnóstico, los resultados de ensayos y los registros de dispensación son categorías especiales de datos personales bajo el RGPD. El régimen aplicable a estas categorías es estrictamente más exigente que el aplicable a datos ordinarios.
Esto no es un detalle técnico. Es el eje sobre el que gira cualquier programa de cumplimiento en el sector. En nuestra experiencia asesorando a empresas de salud y a grupos farmacéuticos, el primer error sistemático que encontramos es el siguiente: la empresa ha redactado políticas de privacidad cuidadas, ha firmado contratos de encargo de tratamiento con sus proveedores tecnológicos y ha designado un delegado de protección de datos. Y sin embargo, el personal de admisión, de ensayos clínicos o de farmacovigilancia desconoce qué hacer cuando recibe una solicitud de acceso de un paciente o cuando detecta un incidente de seguridad en un sistema de gestión hospitalaria.
Esa brecha – entre lo escrito y lo practicado – es exactamente la diferencia entre cumplimiento formal y cultura de cumplimiento.
La Agencia Española de Protección de Datos (AEPD) ha publicado guías específicas para el sector sanitario que reconocen esta complejidad. Sus actuaciones inspectoras en este sector revelan que las infracciones más frecuentes no provienen de la ausencia de documentación, sino de fallos en la ejecución: un correo electrónico con información clínica enviado a un destinatario equivocado, un historial clínico accesible por personal sin autorización, una brecha de seguridad notificada fuera del plazo de setenta y dos horas que establece el RGPD.
Las empresas del sector operan bajo un apilamiento regulatorio que no tiene equivalente en casi ningún otro sector de la economía española. Conviene identificar las capas con precisión para no confundirlas.
La primera capa es la protección de datos. El RGPD y la LOPDGDD determinan el régimen de los datos de salud tratados por clínicas, hospitales, laboratorios, aseguradoras sanitarias y empresas farmacéuticas. La base de legitimación más frecuente es la necesaria para la prestación de asistencia sanitaria o la investigación médica, pero esa base no elimina las obligaciones de seguridad, minimización y transparencia. El delegado de protección de datos (DPD) es, en la mayor parte de estas organizaciones, una figura obligatoria.
La segunda capa es la normativa farmacéutica y sanitaria específica. La legislación sobre medicamentos, la regulación de ensayos clínicos y los requisitos de farmacovigilancia imponen obligaciones de registro, notificación y trazabilidad que interactúan directamente con el tratamiento de datos personales. Aquí la empresa no puede tratar el cumplimiento de cada norma de forma aislada: la base de datos de farmacovigilancia contiene datos de salud; la gestión de un ensayo clínico implica tratamientos de datos de participantes; la dispensación en oficina de farmacia genera registros personales.
La tercera capa es la responsabilidad penal corporativa. El Código Penal español, desde su reforma, prevé la exención o atenuación de la responsabilidad penal de la persona jurídica cuando esta ha adoptado y ejecutado eficazmente un modelo de organización y gestión, dispone de un órgano de supervisión con poderes autónomos de control y ha implantado un canal de denuncias que permite comunicar irregularidades. La jurisprudencia del Tribunal Supremo ha consolidado la doctrina de que este modelo debe ser real y operativo – no una declaración de intenciones.
La cuarta capa es la normativa sobre transparencia y conflictos de interés en el sector sanitario. Las relaciones entre la industria farmacéutica y los profesionales sanitarios están sujetas a códigos de conducta específicos y a obligaciones de publicidad de transferencias de valor. Este ámbito es donde la cultura de cumplimiento adquiere mayor relevancia: ninguna política escrita de regalos o de patrocinio evita el incumplimiento si los equipos comerciales no interiorizan sus límites.
¿Puede una empresa gestionar de forma efectiva todas estas capas con un enfoque exclusivamente documental? La práctica de nuestra firma indica que no. El compliance formal registra el estado de la empresa en el momento de su elaboración; la cultura de cumplimiento es la capacidad de la empresa para mantenerse en ese estado cuando cambian las personas, los procesos o la tecnología.
El director general o el director de operaciones de una empresa sanitaria o farmacéutica enfrenta, con regularidad, decisiones de cumplimiento que no son delegables en su totalidad al área jurídica o al DPD. Tres de ellas merecen atención especial.
Primera: la respuesta a una brecha de seguridad. Cuando se produce un incidente que afecta a datos de salud, el reloj corre desde el primer momento del conocimiento. La obligación de notificación a la AEPD se activa en setenta y dos horas. Pero la notificación, para ser eficaz, requiere que la organización haya identificado previamente: qué datos se han visto afectados, cuántos titulares están implicados, cuál es el riesgo para sus derechos y libertades, y qué medidas correctoras se han adoptado o están en curso. Todo eso en menos de tres días, incluyendo fin de semana si el incidente ocurre en jueves.
Las empresas que han desarrollado una cultura de cumplimiento tienen ese protocolo interiorizado. Las que han optado por el cumplimiento formal lo tienen en un documento que nadie ha leído desde que se redactó.
Segunda: la gestión del canal de denuncias. La normativa española de protección del informante exige que las organizaciones que superan determinado número de trabajadores dispongan de un canal interno para comunicar posibles infracciones. En el sector salud y farmacéutico, este canal no es solo una obligación legal: es un instrumento de gestión de riesgo reputacional y penal. Si un empleado detecta una irregularidad en la gestión de un ensayo clínico o en la clasificación de reacciones adversas de un fármaco y no tiene un canal seguro, el asunto puede llegar al regulador o a los medios antes de llegar a la dirección. El canal de denuncias bien diseñado y conocido por la plantilla no se usa solo para denunciar: disuade.
Tercera: la due diligence en adquisiciones y alianzas. El sector farmacéutico se consolida con regularidad a través de fusiones, adquisiciones de compañías biotecnológicas y alianzas de codistribución. En la diligencia debida (due diligence) de estas operaciones, el estado del programa de compliance de la empresa objetivo es ya un factor de valoración. Una sociedad con registros de tratamiento incompletos, sin DPD designado, con contratos de encargo de tratamiento deficientes o con un historial de incidentes de seguridad sin gestión documentada genera un pasivo oculto que el comprador hereda. Hemos acompañado a inversores que han ajustado su valoración – y en algún caso descartado la operación – precisamente por este motivo.
La pregunta práctica que plantean los responsables de cumplimiento de empresas del sector no es filosófica: quieren saber qué deben hacer, en qué orden y con qué recursos.
En nuestra experiencia implantando programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, la secuencia que funciona tiene cuatro etapas que no son intercambiables.
La primera etapa es el diagnóstico real. No el diagnóstico de lo que hay documentado, sino el de lo que hay operativo. Eso implica entrevistar a los responsables de proceso, revisar los sistemas de información, auditar los contratos con proveedores críticos y contrastar el registro de tratamientos con los tratamientos que realmente se realizan. En la mayor parte de las empresas del sector con las que trabajamos, el diagnóstico arroja entre un tercio y la mitad de los tratamientos sin documentar correctamente – no porque nadie se haya preocupado, sino porque los sistemas y los procesos evolucionan más rápido que la documentación.
La segunda etapa es la formación diferenciada. La dirección necesita entender el marco de responsabilidad penal y la exposición reputacional. El personal de ensayos clínicos necesita saber qué es un dato de salud y qué hacer si un participante ejerce su derecho de supresión. El equipo de TI necesita saber cómo clasificar un incidente de seguridad. El equipo comercial necesita entender los límites de las transferencias de valor a profesionales sanitarios. Una formación única para todos produce el mismo resultado que ninguna formación.
La tercera etapa es la gobernanza real del programa. El DPD no puede ser la única persona responsable del cumplimiento en protección de datos si no tiene acceso al comité de dirección y capacidad de veto en decisiones de diseño de sistemas. El órgano de supervisión del modelo de compliance penal no puede ser efectivo si es un comité que se reúne una vez al año para firmar actas. Ambas funciones requieren recursos, independencia y autoridad real.
La cuarta etapa es la revisión periódica. Un programa de compliance en el sector salud y farmacéutico caduca rápido. Las actualizaciones normativas, los cambios tecnológicos – especialmente la incorporación de inteligencia artificial en diagnóstico o en investigación – y los cambios de plantilla exigen revisiones que, en nuestra práctica, recomendamos con periodicidad al menos anual y siempre que se produzca un cambio relevante en la estructura societaria o en los sistemas de información.
La creencia más extendida que encontramos en empresas del sector es que implantar un programa de cumplimiento completo es más costoso que gestionar las consecuencias de un incumplimiento. Esta creencia es incorrecta en casi todos los escenarios que hemos analizado.
El RGPD prevé sanciones que pueden alcanzar importes muy significativos en función de la gravedad de la infracción y el volumen de negocio de la entidad. La AEPD ha ejercido su potestad sancionadora con regularidad en el sector sanitario, y sus resoluciones son públicas. Pero el coste directo de la sanción es, en muchos casos, el menor de los costes. El coste reputacional de una brecha de datos de salud notificada en prensa puede ser más duradero. El coste del litigio derivado de la responsabilidad civil frente a los titulares afectados puede ser más incierto. Y el coste de la paralización operativa mientras se gestiona la crisis puede ser el más inmediato.
En cambio, el coste del asesoramiento preventivo es predecible, acotable y produce un activo tangible: el programa de cumplimiento, los registros actualizados, los contratos con proveedores reforzados, el canal de denuncias operativo y la formación documentada. Ese activo tiene valor en una auditoría regulatoria, en una due diligence y, si llega una inspección, en la argumentación ante el organismo supervisor.
¿Cuándo es el momento adecuado para iniciar ese asesoramiento? La respuesta corta es: antes de que lo exija una circunstancia externa. La respuesta larga es que hay tres momentos de máxima eficiencia preventiva en el sector: al constituir o restructurar una empresa del sector, al incorporar nuevas tecnologías de tratamiento de datos (sistemas de historia clínica electrónica, plataformas de ensayos, herramientas de inteligencia artificial), y al iniciar una operación de adquisición o alianza.
Dicho esto, también hemos implantado programas con éxito en organizaciones que llegaron a nosotros después de un incidente. La ventaja del asesoramiento posterior al incidente es que la dirección llega con plena conciencia del riesgo; la desventaja es que parte de los costes ya se han materializado.
La adaptación al RGPD en el sector salud no se agota en la designación del delegado de protección de datos. Nuestra práctica revela un patrón consistente de obligaciones que las empresas del sector gestionan de forma incompleta.
El primero es el registro de actividades de tratamiento. Muchas empresas tienen un registro elaborado en el momento de la adaptación inicial al RGPD – en muchos casos en 2018 – que no se ha actualizado desde entonces. Los sistemas de información han cambiado, los proveedores de servicios han rotado, y se han incorporado nuevas finalidades de tratamiento. El registro desactualizado no solo incumple la normativa; también genera un pasivo en una inspección, porque evidencia que el programa de cumplimiento no tiene mantenimiento real.
El segundo es la gestión de los contratos de encargo de tratamiento. En el sector salud y farmacéutico, la externalización de servicios que implican acceso a datos de salud es extensa: proveedores de software de gestión clínica, laboratorios de análisis, empresas de logística farmacéutica, plataformas de telemedicina. Cada uno de esos proveedores debe tener un contrato de encargo de tratamiento conforme al RGPD. En la práctica, encontramos con frecuencia contratos genéricos de prestación de servicios sin cláusulas de protección de datos suficientes.
El tercero es la respuesta a los derechos de los interesados. El RGPD reconoce al titular de los datos derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. El plazo para responder es de un mes, prorrogable a dos meses adicionales en casos complejos. Las empresas del sector reciben solicitudes de ejercicio de derechos con regularidad – pacientes, participantes en ensayos, empleados. Sin un procedimiento claro y conocido por las personas que atienden esas solicitudes, el plazo legal se incumple con facilidad.
El cuarto es la evaluación de impacto en la protección de datos (EIPD). Para tratamientos que impliquen datos de salud a gran escala o el uso de nuevas tecnologías de tratamiento, el RGPD exige realizar una evaluación de impacto previa. Es el instrumento más potente de diseño preventivo del programa de cumplimiento – y el que con mayor frecuencia se omite porque se percibe como una carga burocrática en lugar de como una herramienta de gestión de riesgo.
La dimensión de compliance penal ha ganado peso en el sector salud y farmacéutico de forma acelerada en los últimos años. Varios factores explican este crecimiento.
El primero es la regulación de la protección del informante, que ha introducido en el ordenamiento español la obligación de disponer de canales internos de denuncia para empresas de cierto tamaño, con requisitos específicos de confidencialidad, independencia y gestión de las comunicaciones recibidas. En el sector salud, estos canales tienen una relevancia particular porque los empleados que detectan irregularidades en la gestión de datos de pacientes, en la clasificación de efectos adversos o en las relaciones con la administración sanitaria enfrentan una tensión entre su obligación profesional y el riesgo de represalia.
El segundo es el incremento de la actividad inspectora de la AEPD y de los organismos reguladores sectoriales, que ha generado mayor conciencia de la exposición regulatoria entre los consejos de administración. Un consejo que antes no pedía informes de cumplimiento ahora los solicita de forma periódica.
El tercero es la consolidación del mercado, con la entrada de fondos de capital privado en el sector salud español. Estos inversores exigen programas de compliance penal y de protección de datos como condición para cerrar la inversión, lo que ha acelerado la implantación de estos programas en empresas que no los tenían.
En la práctica, el modelo de compliance penal en el sector salud debe abarcar al menos los riesgos de corrupción en las relaciones con la administración sanitaria, los riesgos derivados de la gestión de datos de pacientes, los riesgos en la relación con los profesionales sanitarios prescriptores y los riesgos derivados de la cadena de suministro farmacéutica. Cada uno de esos ámbitos requiere controles específicos, no una cláusula genérica en el código ético.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud con resultados que demuestran que el enfoque diferenciado por sector – y no la aplicación de una plantilla genérica – es lo que determina la efectividad real del programa.
A modo de síntesis operativa, la dirección de una empresa del sector puede verificar su posición de cumplimiento revisando los siguientes elementos. No es una lista exhaustiva, pero cubre las áreas de mayor exposición.
Un «no» en cualquiera de estos ítems no indica necesariamente incumplimiento formal, pero sí señala un área de exposición que conviene resolver antes de que lo haga una inspección o un incidente.
El análisis desarrollado en este documento conecta directamente con nuestra práctica de Protección de datos y compliance, que cubre desde la adaptación al RGPD hasta el diseño de modelos de compliance penal para empresas de todos los sectores. Para organizaciones que deseen profundizar en la distinción entre ambos enfoques de cumplimiento con independencia del sector, puede resultar de utilidad nuestro análisis general sobre cultura de cumplimiento frente a cumplimiento formal. Quienes operen en un contexto industrial más amplio encontrarán el marco sectorial desarrollado en nuestro dosier sobre protección de datos y compliance en la industria.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.