A continuación daremos un breve repaso a las condiciones bajo las cuales este dilema tiene solución y a los principios esenciales que rigen la relación entre ambos derechos.

Para ello, tendremos en cuenta tanto lo establecido en la legislación actual como lo contemplado en la Directiva 95/46/CE, que habrá de ser transpuesta a nuestro ordenamiento jurídico en los próximos meses.

Pero, antes de nada, la primera pregunta a la que debemos responder es la siguiente; ¿es necesaria la existencia de una legislación que proteja la vida privada de los ciudadanos en relación a sus datos de salud?. Para contestarla, nada mejor que examinar algunos ejemplos tomados de un país, los Estados Unidos de América, donde no existe una legislación global de estas características.

Ejemplo 2: Ciertos datos médi-dos de las personas pueden llegar a incorporarse a los ficheros de empresas dedicadas a la publicidad directa tras participar en reconocimientos médicos informales en farmacias, ferias médicas, centros comerciales, etc, como por ejemplo, la realización de pruebas para determinar niveles de colesterol, presión sanguínea, peso o forma general.

La información recogida puede acabar en las bases de datos de aquellos comerciantes que venden productos relacionados con las pruebas practicadas.

En primer lugar estableceremos las condiciones bajo las que es legítimo el tratamiento automatizado de datos personales relativos a la salud de una persona, es decir, sus datos médicos.

LORTAD

Para comenzar, la Ley Orgánica 5/1992 considera a los datos médicos datos especialmente protegidos o, según son conocidos en la literatura internacional sobre protección de datos, datos sensibles (sensitive data). Ello quiere decir que al establecer las condiciones para su tratamiento, se deberán extremar las cautelas.

Comenzaremos por lo estipulado en la LORTAD.

La Ley Orgánica 5/1992 exige, como regla general para el tratamiento de datos médicos, el consentimiento expreso del afectado. Elio quiere decir que, para esta categoría especial de datos, no se admite el consentimiento tácito, esto es, el consentimiento por la vía de la inactividad del afectado o el que se deduce de una determinada acción del mismo (por ejemplo, el pago de un recibo presupone la conformidad con el servicio recibido o el bien compradol.

Quiere el legislador con ello reforzar la consciencia de cada ciudadano en relación con el tratamiento de datos sensibles, esto es, el conocimiento cabal de las implicaciones que se pueden derivar de la revelación a terceros de aspectos muy reservados de su vida.

Esta condición incluye el tratamiento de datos encaminados a proyectos de investigación científica y médica. El articulo 30 de la Ley Orgánica 5/1992 exige el consentimiento para poder tratar dichos datos con fines de científicos o médicos, precisión que es concordante con la que, a su vez, establece la Ley General de Sanidad en su articulo 10.4. Asimismo, la LORTAD impone que sólo podrán cederse los datos utilizados en dichos estudios en forma agregada, de tal forma que haga imposible reconocer a ningún afectado concreto.

En el caso particular de que el tratamiento lleve aparejada una cesión de los datos médicos, se podrá proceder a la misma sin el consentimiento del afectado cuando sea necesaria para solucionar una urgencia que requiera acceder a un fichero automatizado o para realizar los estudios epidemiológidos en los términos establecidos en el artículo 8 de la Ley 14/1986, de 25 de abril, General de Sanidad (que considera dichos estudios como actividad fundamental del sistema sanitario).

La LORTAD, en su articulo 10, establece para todas aquellas personas que tienen acceso, de cualquier forma, a datos de carácter personal, la obligatoriedad de guardar secreto profesional respecto de los mismos.

Como luego veremos, la Diredtiva considera el sometimiento al secreto profesional de las personas que tratan los datos médicos una de las piezas claves de la protección otorgada a los mismos.

La Directiva, en la parte dedicada a la legitimación del tratamiento de lo que ella llama categorías especiales de datos, entre los que se encuentran los datos de salud, parte de la prohibición de tratar automatizadamente dichos datos, para, a continuación, exponer en qué casos no se aplicará dicha prohibición:

· La prevención o diagnóstico médico

· La prestación de asistencia sanitaria o tratamientos médicos

· La gestión de servicios sanitarios siempre que dicho tratamiento de datos sea realizado por un profesional sanitario sujeto al secreto profesional, sea en virtud de la legislación nacional, o de las normas establecidas por las autoridades nacionales competentes, o por otra persona sujeta asimismo a una obligación equivalente de secreto.

Volviendo de nuevo al terreno de los principios relativos a la licitud del tratamiento, la Directiva no considera incompatible el tratamiento posterior de los datos médicos:

· para fines científicos y estadísticos (articulo 6.b)

· y su conservación posterior (artículo 6.e) con garantías adecuadas que impidan, en particular, su utilización para tomar medidas o decisiones contra cualquier persona (considerando 29),

· teniéndose en cuenta que no será obligatorio suministrar al afectado la información especificada si entraña esfuerzos desproporcionados (articulo 11 y considerando 40).

Si se utilizaran cuestionarios, deberá figurar dicha información de forma clara y legible.

No será necesaria la información cuando la misma se deduzca claramente de la naturaleza de los datos recabados o de las circunstancias de la recogida.

Por lo que respecta a la Directiva 95/46/CE, la gran diferencia estriba en que, cuando la información no proviene del interesado, se le debe proporcionar la misma información que en el caso anterior desde el momento del registro de los datos o, en caso de que se piense comunicar datos a un tercero, a más tardar, en el momento de la primera comunicación de datos, salvo que resulte imposible, que exija esfuerzos desproporcionados o que el interesado ya hubiera sido informado de ello.

En el caso de que se trate de ficheros públicos, se podrá denegar el acceso por razones de interés público o para defender los intereses de terceros más dignos de protección.

Pero para conseguir que todas las salvaguardias y garantías que hemos estado repasando, encaminadas a la realización de un tratamiento leal y legitimo de los datos médicos sean operativas en la práctica, hay un aspecto critico al que no puedo dejar de referirme.

Se trata, como ya habrán adivinado, de la implantación de medidas de seguridad, técnicas y organizativas, que son un instrumento indispensable para poder asegurar que todos los principios de protección de datos que hemos enunciado hasta aquí no se quedan en una mera declaración de intenciones o, en el mejor de los casos, en la reparación a posteriori, utilizando los instrumentos legales a nuestro alcance, de los daños causados por conductas que han violado los principios de un tratamiento legitimo de los datos médicos de los ciudadanos.

El objetivo de la adopción de dichas medidas es evitar la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, de la naturaleza de los datos a proteger y de los riesgos a que estén expuestos.

Por lo que se refiere a la Directiva, también pone un fuerte énfasis en la necesidad de que los Estados miembros establezcan la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales.

En concreto, impone que dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban proteger-se; pero deja en manos de los Estados miembros la forma en que dicha obligación debe regularse.