Centres sanitaris i professionals privats amb asseguradores, ¿contracte d'encàrrec de tractament o de cessió a destinataris?

Quan una Asseguradora contracta els serveis d'un Centre Sanitari o Professional Privat, per a prestar assistència sanitària als seus assegurats

En principi podríem pensar que es tracta d'una sol·licitud de prestació de serveis, ens trobaríem davant d'un encàrrec de tractament de dades per part de l'Asseguradora al Centre Sanitari o Professional Privat.

No obstant això encara que tècnicament pogués intuir-se aquesta situació d'encàrrec de tractament, la realitat no és aquesta, ja que la Llei 41/2002 imposa al Centre Sanitari o Professional Privat l'obligació del tractament de les dades que hagin d'incorporar-se a la història clínica del pacient, excedint òbviament aquest tractament de "les instruccions del responsable del tractament" (l'Asseguradora), el que determina la impossible aplicació de l'article 12 de la Llei Orgànica 15/1999 (LOPD), ni de l'article 28. 3 del Reglament (UE) 2016/679 (GDPR) i la impossibilitat de considerar que el Centre Sanitari o Professional Privat siguin considerats uns mers encarregats del tractament de l'entitat Asseguradora.

S'entén per tant que els Assegurats (Pacients/Interessats) de l'Asseguradora van directament al Centre Sanitari o Professional Privat i aquest els presta els serveis, de manera que el Centre Sanitari o Professional Privat és responsable del tractament, i haurà d'obtenir el consentiment específic del pacient per al tractament de les seves dades, tal com exigeix ??l'article 7 de la LOPD i l'article 9 del GDPR.

A més, l'Asseguradora necessitarà obtenir algunes dades dels seus assegurats (Pacients/Interessats), per determinar l'import de l'assistència sanitària que haurà de ser satisfeta per l'Asseguradora en virtut del contracte d'assegurança d'assistència mèdica; aquestes dades se'ls facilitarà al Centre Sanitari o Professional Privat, això sí, només les que resulten adequades, pertinents i no excessives per determinar l'import de l'assistència sanitària. Pel que l'Asseguradora es convertirà en una Destinatària de dades, i atenent a l'article 12 de la LOPD i l'article 24 del GDPR, caldrà subscriure un contracte de Destinatari de dades entre l'Asseguradora i el Centre Sanitari o Professional Privat.

Aquesta cessió de dades no es pot fer atenent que estigui prevista en el contracte entre l'assegurat (Pacient/Interessat) i l'Asseguradora; ja que el Centre Sanitari o Professional Privat no poden garantir-ho per no ser part del contracte, de manera que sempre haurà d'obtenir l'autorització expressa de l'Assegurat (Pacient/Interessat) per a la cessió de dades a l'Asseguradora. En el cas poc probable que l'Assegurat no autoritzés la cessió, el Centre Sanitari o Professional Privat facturaria el servei directament a l'Assegurat i no comunicaria cap dada a l'Asseguradora.

Per tant el consentiment específic obtingut pel Centre Sanitari o Professional Privat haurà de contenir a més l'autorització per a la cessió a l'Asseguradora de les dades que s'estipuli en el Contracte de Destinatari i que es descriguin en el Consentiment.