Artículo 7. Tratamiento de datos de carácter personal.
1. Los tratamientos de datos de carácter personal de las personas físicas que sean necesarios para la aplicación de la presente ley se realizarán con estricta sujeción a lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y
el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales.
2. El tratamiento de datos personales que resulte necesario para el cumplimiento de los fines de la Agencia se encuentra amparado por lo dispuesto en el artículo 6.1.e) del Reglamento (UE) 2016/679, al realizarse para el cumplimiento de una
misión de interés público y en el ejercicio de potestades públicas conferidas a la misma.
Los datos personales obtenidos por la AESAP solo podrán utilizarse para el cumplimiento de los fines generales del artículo 2.
3. El tratamiento de los datos personales que resulten necesarios por parte de los sujetos obligados a suministrar datos conforme al artículo 6 se encuentra amparado por lo dispuesto en el artículo 6.1.c) del Reglamento (UE) 2016/679, al
ser necesarios para el cumplimiento de una obligación legal.
Los reales decretos en los que se establezcan los datos a suministrar, en los términos establecidos en ellos, deberán respetar el principio de minimización de datos y someterse al preceptivo informe de la Agencia Española de Protección de
Datos.
4. Conforme a lo previsto en el artículo 9.2.i), del Reglamento (UE) 2016/679, será lícito el tratamiento de datos personales relacionados con la salud cuando ello sea estrictamente necesario para la tutela de la salud de la población.
En los supuestos en que no resulte estrictamente necesario acceder a los datos identificativos, se procederá a la previa disociación de los mismos.
En cualquier caso, el acceso a las historias clínicas por razones epidemiológicas y de salud pública se someterá a lo dispuesto en el artículo 16.3 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de
derechos y obligaciones en materia de información y documentación clínica, y la normativa autonómica que la desarrolle, y deberá llevarse a cabo a través de las autoridades de las comunidades autónomas en materia de salud.
5. Quienes por razón de su actividad tengan acceso a los datos de carácter personal estarán sujetos al deber de secreto previsto en el artículo 43.2 de la Ley 33/2011, de 4 de octubre.
6. Los sistemas de información que traten datos personales deberán garantizar la aplicación de las medidas técnicas y organizativas que resulten de la correspondiente evaluación de impacto en la protección de datos, en los términos
previstos en el artículo 3 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
7. En el supuesto de que intervenga una entidad como encargada del tratamiento, deberá suscribirse con los respectivos responsables del tratamiento el correspondiente instrumento jurídico en los términos previstos en el artículo 28.3 del
Reglamento (UE) 2016/679.
Artigo 7. Tratamentos de datos de carácter persoal.
1. Os tratamentos de datos de carácter persoal das persoas físicas que sexan necesarios para a aplicación da presente lei realizaranse con estrita suxeición ao disposto no Regulamento (UE) 2016/679 do Parlamento Europeo e o Consello, do 27
de abril de 2016, relativo á protección das persoas físicas no que respecta ao tratamento dos seus datos persoais e á libre circulación destes datos e na Lei Orgánica 3/2018, do 5 de decembro, de Protección de Datos Persoais e garantía dos dereitos
dixitais.
2. O tratamento de datos persoais que resulte necesario para o cumprimento dos fins da Axencia atópase amparado polo disposto no artigo 6.1.e) do Regulamento (UE) 2016/679, ao realizarse para o cumprimento dunha misión de interese público e
no exercicio de potestades públicas conferidas á mesma.
Os datos persoais obtidos pola AESAP só poderán utilizarse para o cumprimento dos fins xerais do artigo 2.
3. O tratamento dos datos persoais que resulten necesarios por parte dos suxeitos obrigados a fornecer datos conforme ao artigo 6 atópase amparado polo disposto no artigo 6.1.c) do Regulamento (UE) 2016/679, ao ser necesarios para o
cumprimento dunha obrigación legal.
Os reais decretos nos que se estabelezan os datos para fornecer, nos termos establecidos neles, deberá respectar o principio de minimización de datos e someterse ao preceptivo informe da Axencia Española de Protección de Datos.
4. Conforme ao previsto no artigo 9.2.i), do Regulamento (UE) 2016/679, será lícito o tratamento de datos persoais relacionados coa saúde cando iso sexa estritamente necesario para a tutela da saúde da poboación.
Nos supostos en que non resulte estritamente necesario acceder aos datos identificativos, procederase á previa disociación dos mesmos.
En calquera caso, o acceso ás historias clínicas por razóns epidemiolóxicas e de saúde pública someterase ao disposto no artigo 16.3 da Lei 41/2002, do 14 de novembro, básica reguladora da autonomía do paciente e de dereitos e obrigacións en
materia de información e documentación clínica, e da normativa autonómica que a desenvolva, e deberá realizarse a través das autoridades das comunidades autónomas en materia de saúde.
5. Quen por razón da súa actividade teñan acceso aos datos de carácter persoal estarán suxeitos ao deber de secreto previsto no artigo 43.2 da Lei 33/2011, do 4 de outubro.
6. Os sistemas de información que traten datos persoais deberán garantir a aplicación das medidas técnicas e organizativas que resulten da correspondente avaliación de impacto na protección de datos, nos termos previstos no artigo 3 do Real
Decreto 311/2022, do 3 de maio, polo que se regula o Esquema Nacional de Seguridade.
7. No caso de que interveña unha entidade como encargada do tratamento, deberá subscribirse cos respectivos responsábeis do tratamento o correspondente instrumento xurídico nos termos previstos no artigo 28.3 do Regulamento (UE) 2016/679.
