1/8 Procedimiento Nº A5/00001/2013 RESOLUCIÓN: R/00910/2013 PROCEDIMIENTO DE EXENCIÓN DEL DEBER DE INFORMACIÓN AL INTERESADO (ARTÍCULO 5.5 DE LA LOPD) Con fecha 20 de febrero de 2013, tuvo entrada un escrito remitido por Doña B.B.B., como Investigadora Principal de un estudio epidemiológico de dermatofitos en la provincia de Pontevedra, sobre “solicitud de exención de deber de información al interesado sobre el tratamiento de sus datos de carácter personal”, prevista en el apartado 5 del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), y en base a los siguientes ANTECEDENTES PRIMERO: Doña B.B.B., médico del Servicio Gallego de Salud, presentó escrito de exención del deber de información al interesado, en calidad de investigadora principal del estudio denominado “Estudio epidemiológico de los dermatofitos en Pontevedra”. Dicho estudio es un estudio epidemiológico, para lo que se diseñó un estudio retrospectivo, observacional y descriptivo. Se obtendrá la información de las historias clínicas registradas en el Servicio de Dermatología y Microbiología del Complejo Hospitalario Universitario de Vigo (CHUVI). Obtendrán, al menos, una muestra de 371 pacientes de los últimos cinco años, siendo muy difícil obtener el consentimiento de los mismos. En el fichero que elaboren para el estudio no incluirán datos personales identificativos de los pacientes. SEGUNDO: Con fecha 22 de abril de 2013, se solicita Doña B.B.B. lo siguiente: 1. Copia de la autorización del Comité Ético de Investigación Clínica del Complejo Hospitalario Universitario de Vigo para la realización del estudio epidemiológico de dermatofitos en la provincia de Pontevedra. 2. Declaración de que sólo accederán a las historias clínicas profesionales sanitarios sujetos al secreto profesional u otras persona sujeta, asimismo, a una obligación equivalente de secreto. 3. De conformidad con lo establecido en el artículo 5 de la LOPD, el responsable del fichero de pacientes o historias clínicas, debe facilitar a los pacientes información acerca de la finalidad de la recogida de sus datos, sobre el destino de sus datos, responsable del fichero, ante quien ejercer los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 derechos ARCO, etc…; esta información puede facilitarla por escrito en cualquier documento que se entregue al paciente en el momento de recoger sus datos e incorporarlos al mencionado fichero, o puede aparecer reflejado en el cartel informativo que se encuentre en los puntos de acceso al Complejo Hospitalario. A pesar de que el tratamiento de los datos de salud por profesionales sanitarios con la finalidad de prestar asistencia sanitaria está exceptuado de su consentimiento, es obligatorio informar a los pacientes, conforme establece el artículo 5 citado de la LOPD. Debido a la modificación del artículo 16 de la Ley de Autonomía del Paciente, es posible el acceso a las historias clínicas, con los datos identificativos, si es necesario para prevención de un riesgo o peligro grave para la salud pública. Los estudios epidemiológicos tienen como finalidad, en general, prevenir riesgos sobre patologías concretas, como en el caso presente. Por ello, el CHUVI (o el SERGAS) deberá modificar la información facilitada a los pacientes ampliando la información e indicando el posible acceso para estudios epidemiológicos aprobados por las Administraciones sanitarias competentes. A modo de ejemplo, en los centros médicos se facilita la información a través de carteles visibles en los puntos de recogida de datos de pacientes, indicando lo siguiente: “Sus datos van a ser incluidos en el fichero denominado “Pacientes”, con la finalidad de prestarle la mejor asistencia sanitaria. El responsable del fichero es el Servicio Autonómico de Salud, pudiendo ejercer los derechos de acceso, rectificación, cancelación y oposición dirigiéndose al Hospital XXX, Servicio de Documentación, planta XX.” Pues bien, para completar la información a los pacientes, y como medida compensatoria, deberán añadir a la leyenda informativa la frase incluida en negrita: ““Sus datos van a ser incluidos en el fichero denominado “Pacientes”, con la finalidad de prestarle la mejor asistencia sanitaria; también podrán ser utilizados por razones epidemiológicas o de protección de la salud pública. El responsable del fichero es el Servicio Autonómico de Salud, pudiendo ejercer los derechos de acceso, rectificación, cancelación y oposición dirigiéndose al Hospital XXX, Servicio de Documentación, planta XX.” TERCERO: Con fecha 6 de mayo de 2013, se recibió contestación a la solicitud de información, indicando lo siguiente: El Comité Ético de Galicia está pendiente de la Resolución de esta solicitud para dar el visto bueno al estudio. Los accesos a la historia clínica los haría la propia solicitante, dermatóloga del CHUVI. Por último, expone que no entiende dónde deberían ponerse los carteles. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 De conformidad con el artículo 36.1 de la LOPD, y el 155 en relación con el 115 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, la competencia para dictar resolución concediendo o denegando la exención del deber de informar corresponde al Director de la Agencia Española de Protección de Datos. II En el presente supuesto, se solicita la excepción mediante la aplicación del artículo 5.5 de la LOPD para los datos de carácter personal a los que accedan los investigadores del CHUVI con la finalidad de realizar un estudio epidemiológico denominado “Estudio epidemiológico de los dermatofitos en Pontevedra”. El artículo 5 de la LOPD determina: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. El artículo 5 de la LOPD diferencia el tratamiento en materia de información en los apartados 4 y 5 cuando los datos no se recaban del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 El artículo 5. 4 de la LOPD señala que “Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
- d)y
- e)del apartado 1 del presente artículo.” El artículo 5. 5 de la LOPD prevé que “No será de aplicación lo dispuesto en el apartado anterior cuando expresamente una Ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias.” III La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece en su artículo 16 los usos de la historia clínica, disponiendo lo siguiente: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” En el apartado 3, en el tercer párrafo, modificado en el año 2011, se concreta el acceso a los datos de la historia clínica con fines epidemiológicos. Los estudios epidemiológicos (también llamados estudios de investigación médica) son los procedimientos de análisis en los que se basa la investigación médica. La epidemiología los aplica para encontrar las causas que determinan la enfermedad o los factores de riesgo que hacen más probable que una persona se enferme, o bien para determinar los factores protectores o terapéuticos (como los fármacos) que permiten sanar a la persona o prevenir la enfermedad. Los estudios epidemiológicos permiten establecer la relación entre las causas de la enfermedad (variable(
- s)independiente(s)) y la influencia de éstas sobre el surgimiento de la enfermedad (variable dependiente). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 El estudio epidemiológico que se va a realizar es retrospectivo, esto es un estudio longitudinal en el tiempo que se analiza en el presente, pero con datos del pasado. Los datos se obtendrán del fichero de historias clínicas del CHUVI. En resumen, los Investigadores del estudio denominado “Estudio epidemiológico de los dermatofitos en Pontevedra”, médicos que prestan servicio en el Servicio Gallego de Salud, accederán a las historias clínicas de pacientes del Centro Hospitalario que hayan padecido la patología estudiada. Se trata de accesos a las historias clínicas que están habilitadas por el artículo 16.3 de la Ley de Autonomía del Paciente; la administración sanitaria, a través de sus médicos, accede a los datos identificativos de los pacientes por razones epidemiológicas, previa motivación por parte de la Administración que solicitase el acceso a los datos. La motivación o justificación es valorada por los Comités Éticos. IV El artículo 7, apartados 3 y 6 de la LOPD establece: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. 6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento.” Por tanto, el tratamiento de los datos de los pacientes está habilitado legalmente, pero los pacientes deben ser informados, conforme a lo dispuesto en el artículo 5 de la LOPD, de los tratamientos, o usos, que se van a realizar con sus datos. Esta obligación recae sobre el responsable del fichero/tratamiento de sus datos. El Servicio Gallego de Salud tiene inscritos, entre otros, los ficheros denominados “HISTORIAS CLÍNICAS” y “SISTEMAS DE INFORMACIÓN Y VIGILANCIA DE PROBLEMAS DE SALUD PÚBLICA” y deberá informar a las personas cuyos datos se incorporen a dichos ficheros de que se usaran para prestar la mejor asistencia sanitaria y por razones epidemiológicas o de salud pública, según lo establecido legalmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Los investigadores no va a crear ningún fichero que contenga datos de carácter personal, sino que codificarán o anonimizarán los datos a los que accedan de manera que no pueda identificarse al paciente, recogiendo aspectos clínicos de la enfermedad, tratamiento recibido y el resultado del mismo, así como antecedentes médicos y quirúrgicos. Al no crear un nuevo fichero no tienen obligación de informar de acuerdo con lo establecido en el tan citado artículo 5 de la LOPD. En consecuencia, la solicitante, como Investigadora Principal del “Estudio epidemiológico de los dermatofitos en Pontevedra” puede efectuar su estudio retrospectivo cuando obtenga la autorización del Comité Ético de Galicia. El Servicio Gallego de Salud debe ampliar la información facilitada a los pacientes, según exige el artículo 5 de la LOPD, indicándoles los usos del fichero de Historias Clínicas: prestar asistencia sanitaria, así como su utilización por razones epidemiológicas o de protección de salud pública. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: DESESTIMAR la solicitud de Doña B.B.B., médico del Servicio Gallego de Salud la aplicación de lo dispuesto en el artículo 5.5 de la LOPD en las condiciones señaladas en la presente resolución, al no ser necesario que esa Unidad informe a los afectados. SEGUNDO: NOTIFICAR la presente resolución a Doña B.B.B. y al Servicio Gallego de Salud. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, y del 116 del Real Decreto 1720/2007, de 21/12, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es