Protección de datos
para ópticas

Si. As ópticas tratan datos de saúde dos seus clientes (historial de graduacións, prescricións médicas, patoloxías visuais) que son datos de categoría especial conforme ao art. 9 do RGPD. Requiren base xurídica específica para este tratamento, que xeralmente é a execución do contrato de prestación de servizos sanitarios, e medidas de seguridade reforzadas.

Si. As fichas optométricas, os datos de graduación, a información sobre patoloxías oculares e as prescricións de lentes son datos de saúde conforme ao RGPD. Son datos de categoría especial que require base xurídica específica, acceso restrinxido e medidas de seguridade reforzadas. Só o persoal autorizado pode acceder a estes expedientes.

As ópticas que actúan como centros sanitarios rexistrados e tratan datos de saúde de forma sistemática poden estar suxeitas á obriga do DPD. Aínda que esta é a regra xeral do sector, a esixencia final dependerá da escala, volume e tipoloxía exacta dos tratamentos de cada entidade. Cada caso require análise individualizada.

Non. Os datos dos clientes deben conservarse durante o tempo necesario para a finalidade que xustifica o seu tratamento, e non máis. A normativa sanitaria pode establecer prazos mínimos de conservación do historial optométrico, pero transcorridos estes prazos e sen que exista outra finalidade lexítima, os datos deben suprimirse ou anonimizarse.

Si. O provedor de software de xestión de ópticas que almacena fichas con datos de saúde dos clientes actúa como encargado de tratamento. É obrigatorio formalizar o contrato de encargado conforme ao art. 28 do RGPD antes de que o provedor acceda a estes datos. Dada a natureza sanitaria dos datos, este contrato debe incluír cláusulas específicas de seguridade.

Os recordatorios de citas ou revisións relacionados directamente co servizo prestado teñen base xurídica no interese lexítimo ou na execución do contrato. O envío de comunicacións comerciais (promocións, produtos) require consentimento previo específico conforme á LSSICE. Deben separarse claramente ambas finalidades e o cliente debe poder rexeitar as comunicacións comerciais sen que iso afecte ao servizo.

Os clientes deben ser informados de forma clara e comprensible sobre: a identidade do responsable, as finalidades do tratamento dos seus datos de saúde, a base xurídica, os prazos de conservación, e os seus dereitos de acceso, rectificación, supresión, limitación e portabilidade. Esta información debe facilitarse no momento da recollida dos datos, habitualmente ao formalizar a ficha de cliente.