Whatsapp: uso clínico, seguridad y legislación aplicable.

Anteayer leí un post muy interesante de Amalia Arce sobre consultas médicas vía Whatsapp

Debo decir que lo que leí me encantó, pues ha hecho un análisis desde el punto de vista de las necesidades y funcionalidades que pueden ser requeridas por parte de un médico y también, en el último párrafo un comentario sobre los riesgos de seguridad de la herramienta. 

Yo mismo he enviado alguna imagen a Amalia -por ejemplo, la que encabeza el post- para ella hiciera una valoración diagnóstica; la inmediatez y calidad de la respuesta -en ambos sentidos- no deja lugar a dudas sobre la bondad funcional del invento

Por otro lado, y en el caso del envío del archivo de audio que comenta Amalia en su post, ya existen fonendos con conexión Bluetooth y aplicación asociada para poder recoger este audio e integrarlo en la Historia Clínica o bien reexpedirlo para la valoración por parte de otro clínico, aunque a falta de un dispositivo de esta clase bueno es el micrófono integrado en el smartphone

El uso de estas funcionalidades -con una app tan popular- implica elevar a la categoría de normal lo que ya es normal a nivel de calle; pero no todo van a ser parabienes, y es que los datos que se transmiten están sujetos a la normativa actual de protección de datos, y al ser datos de salud, requieren de una especial protección, es decir, están considerados de nivel de protección alto

El año pasado ya escribí un post, Teledermatología: entorno jurídico aplicable, que es totalmente aplicable a cualquier otro entorno de telemedicina y que recogía la legislación española, europea y comparaba las legislaciones de Francia, Alemania y California

Dado que hablamos de una herramienta concreta, de la que ya establecemos que funcionalmente es útil para uso clínico, me parece interesante que analicemos desde un punto de vista legal el uso en entorno clínico de esta app. 

De entrada, el espíritu de la legislación española es que "el desconocimiento de la ley no exime del cumplimiento de la misma"; dicho esto, sin más preámbulo, empecemos. 

En España, la normativa aplicable es la que establece la Ley Orgánica de Protección de Datos (LOPD) y existen diferentes guías para ayudar en su cumplimiento. 

En el caso que nos ocupa, una teleconsulta, hay 7 consideraciones a tener en cuenta: 

1) No se puede realizar un diagnóstico no presencial, pero sí una valoración u orientación diagnósticas, el diagnóstico sólo lo puede hacer un médico que físicamente esté al lado del paciente, de acuerdo con la legislación española. Este punto es de aplicación por parte del clínico o clínicos implicados en la comunicación, y por tanto, desde el punto de vista tecnológico, nada que objetar. 

2) Se tiene que identificar de manera unívoca quién está en ambos extremos de la comunicación. En el caso que nos ocupa, el ID de Whatsapp es el número de móvil, y dado que los números de móvil de los clínicos no son de dominio público y conocen perfectamente quién está al otro lado, hay una seguridad razonable de conocer quién establece una comunicación con ellos, dado que el clínico también tendrá el número de móvil de los pacientes que puedan usar este servicio. La mejor seguridad, no obstante, correspondería al uso de certificados digitales en ambos extremos de la comunicación. 

3) Los datos tienen que viajar cifrados. Hay dudas razonables de que Whatsapp cifre los datos cuando viajan por la red. Whatsapp puede funcionar sobre 3G o WiFi, y en el caso de realizar la conexión por WiFi, los datos únicamente viajarán protegidos si en ambos extremos hay un iPhone. En las versiones para otros sistemas operativos de móvil, no me consta en el momento de escribir este post que estos datos viajen cifrados.

De hecho, existen apps llamadas Whatsapp Sniffers que permiten "espiar" conversaciones de Whatsapp cuando dichas conexiones se realizan por WiFi y el dispositivo "espía" está autenticado en la misma red. La solución -engorrosa- es que las comunicaciones de Whatsapp en dispositivos diferentes a iPhone se realice siempre por 3G

4) Dado que las conversaciones en Whatsapp se guardan físicamente en el dispositivo móvil, este dispositivo móvil deberá tener activada la opción de cifrar el dispositivo. Es una opción a nivel de configuración del smartphone que, al menos en el dispositivo del clínico, deberá estar activada. 

5) La ruta que siguen estos datos tiene que ser trazable. Este supuesto lo cumple perfectamente Whatsapp pues la comunicación, a diferencia de Skype, va a través del proveedor que tengamos de Internet directamente hacia sus servidores. 

6) Se tiene que conocer dónde físicamente se almacenan estos datos, si aplica. Whatsapp sólo almacena en sus servidores que en determinado momento un usuario ha contactado con otro usuario, y en el supuesto en que el usuario esté fuera de línea, se almacena el contenido de dicha comunicación hasta que el usuario destino vuelve a estar en línea, en cuyo caso se entrega lo almacenado y queda eliminado de los servidores. Por otro lado, en las condiciones legales de Whatsapp consta la dirección física donde residen los servidores que usa la app. 

7) Si el almacén de datos está fuera de la Unión Europea, cabe conocer la legislación aplicable en cada caso y si existe algún tipo de acuerdo de reciprocidad de protección de datos con la Unión Europea; en las condiciones legales consta la legislación aplicable, en este caso la del Estado de California

De acuerdo con la normativa española, se entiende que los servidores donde se almacena la información están situados en territorio de la Unión Europea, y si no lo están, se considera que existe una transmisión de datos internacional, en la que para algunos supuestos, es necesaria una autorización por parte del Director de la Agencia Española de Protección de Datos. 

Por otro lado, la legislación europea, y por extensión la española, reconoce un número de países en los cuales no es necesaria esta autorización. 

El caso de Estados Unidos es un poco más complejo: al existir una legislación de protección de datos variable en función del estado en que se sitúen los servidores, lo que se aplica es un acuerdo -llamado Acuerdo de Puerto Seguro o Safe Harbor Agreement- entre el Departamento de Comercio de los Estados Unidos y la Unión Europea en el que se tipifican siete principios básicos -tal como se especifica en este documento y de acuerdo con las directrices de la UE- a las que se adhieren individualmente cada empresa con sede en Estados Unidos, independientemente del estado en el que residan sus sedes o servidores, y que en las condiciones de uso debe figurar explícitamente la adhesión a dicho acuerdo -por ejemplo, aquí tenemos las adhesiones a dicho acuerdo de Adobe o de McAfee- en el caso de existir adhesión a dicho acuerdo se considera que la empresa cumple los requisitos de protección de datos de la UE. 

En el caso de Whatsapp, la compañía no tiene en sus condiciones legales ninguna referencia a la adhesión al acuerdo de Puerto Seguro y por tanto no puede circular ni almacenar ningún dato en sus servidores que según la normativa de protección de datos esté clasificado como de nivel alto

La conclusión es que Whatsapp es una herramienta cuya funcionalidad y usabilidad para teleconsulta no ofrece lugar a dudas, pero jurídicamente no se puede usar para dicho menester en territorio de la Unión Europea.

Quizás alguien quiera recoger el guante y pueda crear una herramienta que respete nuestra legislación de protección de datos con una funcionalidad similar a la que actualmente ofrece Whatsapp. 

P.D.: Dicho todo esto, cabe decir, como nota curiosa, que las condiciones legales de Whatsapp no permiten el uso de la app a menores de 16 años.


9 comentarios:

  1. Enhorabuena por la entrada. Es espléndida, la verdad.
    Tengo una duda respecto al cifrado de datos y los demás puntos que puedan estar protegiendo la intimidad del paciente. Si en la consulta vía whatsapp no identificas al paciente, la herramienta sí sería válida desde el punto de vista de protección de datos, ¿no?. Quiero decir, si envías a un colega una foto no reconocible (el ojo, una mancha en la piel...) y dices "tengo un paciente que presenta lo que se ve en la imagen y tengo dudas de si puede ser esto o lo otro... ¿A ti que te parece?"; en este caso, el uso sería legítimo y acorde a la ley, ¿verdad?

    ResponderEliminar
    Respuestas
    1. En este caso, si no se identifica unívocamente al paciente -es decir, no viaja nombre, NHC, tajeta sanitaria, DNI o cualquier dato que pueda identificarlo- y para el uso de interconsulta profesional su uso sería legítimo.

      Eliminar
  2. ¡Gracias! Por la respuesta y por la prontitud.
    Saludos y buen viernes!

    ResponderEliminar
  3. Actualización del post que afecta al punto 3: Se envían los datos cifrados también en dispositivos Android, pero tanto para Android como para iPhone, la robustez -seguridad- de cifrado deja mucho que desear, como se puede comprobar tras la lectura de este link: http://www.genbeta.com/movil/whatsapp-envia-sus-mensajes-encriptados-pero-su-seguridad-sigue-siendo-baja

    Como alternativa al cifrado de comunicaciones, cabe activar la opción VPN en los ajustes del terminal, lo cual puede resolver los problemas de seguridad en la transmisión de datos.

    ResponderEliminar
  4. Iba a comentar yo también sobre el sistema de cifrado de whatsapp, per ya veo que lo has hecho tu. Por otro lado añadir que en mi opinión no se puede autenticar al paciente adecuadamente, cualquiera podría tener el móvil, sería necesario otro sistema de autenticación.
    Por ultimo una referencia a la sanidad pública. Para prestar servicios públicos en "la red" hay que tener en cuanta además la LSSI (ley de servicios de la sociedad de la información) . Que exige fuertes garantías sobre la autenticación de los usuarios.

    ResponderEliminar
  5. Aunque tarde, enhorabuena por la entrada, Rafa.

    Los vericuetos legales son cuestiones oscuras que l@s clínic@s tendemos a ignorar/minusvalorar.

    Y una reflexión-comentario respecto a la última intervención de AAAAAAAA y su referencia a la autenticación adecuada de los pacientes (y salvo que la legislación diga algo al respecto, que lo desconozco): si se envía un informe por correo postal ordinario -práctica muy extendida durante mucho tiempo- ¿hay seguridad de que por el camino no se viole la confidencialidad o que quien lo va a recibir es la persona que debe recibirlo y no otra?; si tengo una consulta telefónica de un paciente/familiar (por aquello de trabajar con menores, no suelen ser est@s quienes consultan directamente de modo habitual), ¿he de rechazarla por no tener constancia de que realmente se trata de quien dice que se trata?

    ¿No pedimos a las comunicaciones digitales -quizás tenga sentido porque dejan una huella mayor que otras, no lo sé- cosas que no pedimos a otro tipo de comunicaciones?

    ¿No han sido -y son- las informaciones en pasillos de hospital, en salas de espera o las conversaciones "de café" entre clínic@s práctica habitual?

    ResponderEliminar
  6. Rafa, ¿qué tal re-escribir este post pero con Telegram? ;-)

    ResponderEliminar