Cientos de violaciones de datos de pacientes quedan impunes, revela The BMJ

Cientos de organizaciones, incluidas compañías farmacéuticas, comisionados del NHS y universidades, han incumplido los acuerdos de intercambio de datos de pacientes en los últimos siete años, revela una investigación realizada por El BMJ hoy dia.

GlaxoSmithKline (GSK) e Imperial College London se encuentran entre los que han llevado a cabo infracciones de «alto riesgo» según las auditorías de NHS Digital examinadas por la reportera de investigación Esther Oxford. Esto significa que están manejando información fuera de los contratos de datos acordados y pueden no proteger la confidencialidad.

En un caso de una filtración de alto riesgo, los comisionados de atención clínica permitieron que se divulgaran datos confidenciales e identificables de pacientes a Virgin Care sin el permiso de NHS Digital. Cuando el equipo de auditoría de NHS Digital intentó obtener acceso a Virgin Care para verificar su cumplimiento, se le negó el acceso durante varias semanas y la empresa se negó a eliminar los datos del paciente.

«Es indignante que las empresas privadas y los equipos de investigación universitarios no cumplan», dice Kingsley Manning, expresidente de NHS Digital. «¿Cómo es que estas organizaciones pueden ser tan laxas con los datos?»

Sin embargo, Oxford explica que ninguna de las organizaciones ha visto restringido su acceso a los datos de NHS Digital a la luz de las infracciones. En cambio, NHS Digital dijo que trabaja con las organizaciones para corregir los problemas.

NHS Digital tiene el poder de suspender el suministro de datos, pero cualquier decisión de restringir el acceso a los datos «debería equilibrarse con cualquier impacto negativo en la atención del paciente», dijo un portavoz. Los Grupos de Comisionamiento Clínico (CCG) no podrían encargar servicios si tuvieran que devolver datos, y dejar de acceder a los datos para ensayos clínicos significaría que no se lograrían sus beneficios, agregaron.

Phil Booth, coordinador del grupo de campaña medConfidential, dice que debe haber consecuencias reales si las empresas, los comisionados y los equipos de investigación incumplen sus acuerdos, de lo contrario, los contratos de intercambio de datos no tienen sentido. «Estos requisitos contractuales no son solo por diversión: una sola violación de datos podría incluir información confidencial sobre millones de pacientes», dijo.

Natalie Banner, exlíder de la iniciativa Comprensión de los datos de los pacientes organizada por Wellcome, está de acuerdo en que el sistema actual «no protege los datos adecuadamente y se necesita un cambio de política y una inversión importantes».

Oxford explica que NHS Digital también tiene el poder de denunciar una organización a la Oficina del Comisionado de Información (ICO) si ha habido una violación de datos personales.

Pero el ICO dijo que no podía decir El BMJ si NHS Digital alguna vez denunció a una empresa farmacéutica, universidad u organización por incumplir un acuerdo de intercambio de datos, y no hay ejemplos de acciones de ejecución contra estas entidades publicados en el sitio web de ICO.

NHS Digital tiene planes para proporcionar un sistema más seguro, conocido como entorno de investigación confiable (TRE), para las organizaciones que desean acceder a datos de atención social y de salud, señala Oxford. Pero existen temores sobre cómo funcionarán los TRE si los asume el NHS, incluida la forma en que se harán responsables y transparentes.

Muchos también están preocupados por el plan del gobierno para abolir NHS Digital y permitir que NHS England asuma sus poderes y responsabilidades.

«La medida es alarmante», dice Philip Hunt, miembro de la Cámara de los Lores. «NHS England tiene tantos roles y motivaciones que nunca podrá proteger la información del paciente de la forma en que lo haría un organismo independiente con responsabilidades específicas para hacerlo».

Un portavoz del Departamento de Salud y Atención Social dijo: «Las obligaciones que NHS Digital tiene actualmente para salvaguardar los datos de los pacientes pasarán a ser las del NHS Inglaterra. Esto incluirá el mismo nivel de transparencia en cuanto a cómo se difunden y utilizan los datos».

Tomará tiempo decidir la política correcta y organizar la nueva infraestructura de datos, dice Banner. «¿Qué se está haciendo con las auditorías de NHS Digital y esas fallas mientras tanto?»