Inicio / Sector salud
Sector salud
Datos de salud y HDS
Una relación que implique datos de salud debe distinguir entre el tratamiento de los datos, su transferencia internacional y la eventual actividad de alojamiento realizada por cuenta de terceros.
Efecto de esta exigencia
Esta regla no se lee de forma aislada.
- Transferencias
- Relación bilateral
- Fuentes de país revisadas el
Hipótesis, límites y fuentes de esta lectura
Punto de lectura
El dato de salud exige una cartografía precisa
La naturaleza de las operaciones y de los roles precede a cualquier conclusión sobre el alojamiento.
- Naturaleza e identificabilidad de los datos de salud
- Rol de cada entidad en el tratamiento
- Alojamiento duradero, tratamiento puntual o simple intercambio
- Acceso desde el extranjero, subcontratistas y restitución
- Calificación del ámbito HDS según la actividad real
Cadena de roles en salud
Identificar a los actores, los datos y el alojamiento antes de concluir sobre HDS.
Responsable del tratamiento
La organización de salud define las finalidades y el marco del tratamiento.
Proveedor principal
Describe el servicio prestado, sus lugares de ejecución y los datos afectados.
Alojamiento y operaciones
Las actividades correspondientes al alojamiento están aisladas de las demás prestaciones.
Subcontratistas y accesos
Cada actor, acceso remoto y transferencia permanece identificado y controlado.
Ruta de decisión
Separar dato de salud, tratamiento y alojamiento
La presencia de un dato médico no permite, por sí sola, concluir sobre los roles RGPD ni sobre el alcance de la certificación HDS.
01Dato y finalidad
Describir los datos recibidos, su carácter identificable, el motivo de su tratamiento y el nivel de detalle realmente necesario para el servicio.
02Rol de cada actor
Distinguir quién decide las finalidades, quién actúa por instrucción, quién proporciona la infraestructura y quién puede acceder a los entornos afectados.
03Actividad realizada
Calificar por separado la conservación duradera, la administración, la copia de seguridad, el tratamiento puntual, la fabricación o el simple intercambio de archivos.
04Ejecución demostrada
Vincular lugares de tratamiento, habilitaciones, subcontratistas, incidentes, restitución y supresión al alcance de salud efectivamente confiado.
Alcance de salud
Las distinciones necesarias antes de ensamblar el expediente de prueba.
Preguntas por tratar
- Qué datos de salud se reciben y con qué finalidad
- Quién decide el tratamiento y quién actúa en su nombre
- Dónde se conservan, consultan y transforman los datos
- Si la actividad realizada corresponde realmente al alojamiento de datos de salud
Elementos que sustentan la respuesta
- Cartografía de los conjuntos de datos y de su identificabilidad
- Instrucciones documentadas del responsable del tratamiento
- Registro de accesos, lugares de tratamiento y subcontratistas
- Procedimientos de restitución, eliminación y gestión de incidentes
Confusiones que evitar
- Deducir el alcance HDS solo a partir de la presencia de un dato médico
- Confundir fabricación, tratamiento puntual y alojamiento duradero
- Enviar más datos de los necesarios para la fabricación o el servicio
- Olvidar las copias locales, las exportaciones temporales y los accesos de soporte
Expediente de aseguramiento, AC-017Ejemplo de demostración
Exigencia del clienteLos accesos privilegiados se revisan cada trimestreHallazgo
Respuesta previstaSe realiza una revisión trimestralHallazgo
Pruebas disponiblesExportación IAM, validaciones, tickets de salidaHallazgo
Divergencia observadaLas cuentas de los prestadores externos quedan excluidasDesviación
ImpactoLa respuesta solo está parcialmente respaldadaDesviación
AcciónAmpliar el alcance y producir una validación trazableDecisión
Lectura de los coloresHallazgo factualDesviación o riesgoDecisión o acción
Demostración
Asignar los roles antes de concluir sobre el alojamiento de datos de salud.
El caso distingue finalidad, tratamiento, infraestructura y acceso de administración para evitar que un dato de salud provoque una calificación global errónea.
Comprender la calificación de una evidencia →Aplicar esta lectura
Precisar los datos de salud, las funciones y las operaciones de alojamiento.
La naturaleza de los datos, la finalidad del servicio, los actores y las operaciones de infraestructura permiten distinguir entre tratamiento y alojamiento.