El marco legal: RGPD y LOPDGDD
La farmacia comunitaria está sujeta al Reglamento General de Protección de Datos (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Los datos de salud se consideran datos de categoría especial (artículo 9 del RGPD), con un nivel de protección reforzado.
Esto no significa que no puedas usar IA. Significa que debes hacerlo con protocolo.
Lo que SÍ puedes hacer
- Usar IA con datos anonimizados: Si eliminas cualquier dato que pueda identificar directa o indirectamente a un paciente (nombre, DNI, número de receta, dirección, teléfono), puedes usar herramientas de IA para analizar tendencias y optimización de stock.
- Analizar datos agregados: Datos como "unidades vendidas de categoría X en el mes Y" no son datos personales. Puedes procesarlos libremente.
- Generar contenido con IA: Usar ChatGPT para redactar campañas, posts de redes sociales, borradores de PNTs o comunicaciones internas no implica tratamiento de datos personales.
- Automatizar procesos internos: Filtros de correo, clasificación de documentos administrativos, generación de informes a partir de datos exportados sin datos de paciente.
Lo que requiere protocolo específico
- Análisis de adherencia terapéutica: Necesitas base legal (artículo 9.2.h del RGPD: fines de medicina preventiva). Debes documentar este tratamiento en tu Registro de Actividades de Tratamiento (artículo 30 del RGPD).
- Segmentación de clientes para campañas: Requiere consentimiento explícito para comunicaciones comerciales (artículo 6.1.a del RGPD).
- Uso de datos en herramientas cloud: Si subes datos a Google Sheets o similar, necesitas un contrato de encargado de tratamiento con el proveedor (artículo 28 del RGPD). Google y Microsoft ya ofrecen estos contratos en sus condiciones de servicio empresarial.
Lo que NUNCA debes hacer
- Introducir datos de pacientes en ChatGPT o herramientas similares. Estas herramientas pueden usar los datos para entrenar sus modelos.
- Exportar historiales de dispensación con datos identificativos a herramientas que no cumplan con el RGPD.
- Compartir datos de salud con terceros sin base legal adecuada y sin informar al paciente.
El protocolo RGPD Safe en 4 pasos
- Inventaría: Documenta qué datos personales tratas, con qué base legal y durante cuánto tiempo.
- Anonimiza: Antes de usar cualquier herramienta externa, elimina todos los identificadores personales.
- Documenta: Cada herramienta nueva debe estar registrada: qué datos procesa, dónde se almacenan, qué medidas de seguridad aplicas.
- Forma al equipo: Todo el personal debe conocer las reglas básicas.
Referencia oficial
La Agencia Española de Protección de Datos (AEPD) publicó en 2024 su guía sobre uso de IA y protección de datos, disponible gratuitamente en aepd.es. Es la referencia más actualizada para el contexto español.