A5-00002-2013

1/8 Procedimiento Nº A5/00002/2013 RESOLUCIÓN: R/02014/2013 PROCEDIMIENTO DE EXENCIÓN DEL DEBER DE INFORMACIÓN AL INTERESADO (ARTÍCULO 5.5 DE LA LOPD) Con fecha 13 de marzo de 2013, tuvo entrada un escrito remitido por el Servicio de Reumatología del Hospital Clínico Universitario de Santiago de Compostela sobre “solicitud de exención de deber de información al interesado sobre el tratamiento de sus datos de carácter personal”, previsto en el apartado 5 del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en base a los siguientes, ANTECEDENTES PRIMERO: Don B.B.B., médico del Servicio de Reumatología del Hospital Clínico Universitario de Santiago de Compostela, presentó escrito de exención del deber de información al interesado, en nombre del Dr. D A.A.A., como investigador principal y promotor del estudio denominado “Estudio observacional para la identificación de factores de riesgo y factores pronósticos en artritis séptica”. Dicho estudio es un estudio epidemiológico de carácter observacional, retrospectivo. Las fuentes de datos utilizadas serán el registro de codificación del Hospital Clínico Universitario de Santiago de Compostela, tras obtener el consentimiento del Hospital, con la finalidad de poder seleccionar a los pacientes que han sido ingresados desde enero de 1994 hasta diciembre del 2012, con diagnóstico de artritis séptica. Una vez identificados dichos pacientes, se prevé recoger los datos de la Historia Clínica de los mismos. Los datos recogidos de la historia clínica y que serán utilizados para el análisis, serán registrados en un archivo de Excel en el que no constará ningún dato que permita la identificación de los pacientes. Para garantizar el anonimato de los pacientes en la base de datos utilizada para el análisis se utilizará un método de codificación de tres dígitos. Se garantiza que las personas que revisen las historias clínicas serán facultativos con acceso a dichas historias con fines asistenciales. Los datos generados no se cederán a terceros ni se usarán con ninguna otra finalidad que no sea la investigación. Los datos que se recogerán son nombre, número de historia clínica…, se codificarán de manera que no pueda identificarse al paciente. Se recogerán aspectos clínicos de la enfermedad, tratamiento recibido y el resultado del mismo, así como antecedentes médicos y quirúrgicos. El diseño y la elaboración del estudio se han realizado según lo expuesto en la Orden SAS/3470/2009, de 16 de diciembre, por el que se publican las directrices sobre los estudios post-autorización de tipo observacional para medicamentos de uso en humanos y tanto el promotor como los investigadores se comprometen a cumplir la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Orden. Dado que se trata de un estudio de carácter retrospectivo, el cumplir con el deber de información supone un esfuerzo desproporcionado ya que se desconoce qué pacientes cumplirán con los criterios de inclusión para acceder a sus datos e incluirlos en la investigación; algunos habrán fallecido, cambiado de domicilio o área sanitaria… Aún pudiendo localizarlos el coste de citarlos e informarlos no sería asumilble. Como medidas compensatorias a la exención del deber de información proponen: - Se garantiza que en ningún momento se recogerán datos que permitan la identificación de los pacientes y que ninguna persona ajena al Servicio pueda tener acceso a la base de datos resultado de este estudio. - La difusión en la literatura científica de los resultados no contendrá datos personales de los pacientes, sino medidas del grupo mediante el uso de medidas de tendencia central - La finalidad del estudio es mejorar el conocimiento de la artritis séptica y avanzar en el tratamiento. En ningún momento supondrá un beneficio económico para los investigadores. SEGUNDO: Con fecha 23 de abril de 2013, se solicita al Servicio de Reumatología del Hospital Clínico Universitario de Santiago de Compostela lo siguiente: 1. Copia de la autorización del Comité Ético de Investigación Clínica del Hospital Clínico Universitario de Santiago de Compostela, para la realización del “Estudio observacional para la identificación de factores de riesgo y factores pronósticos en artritis séptica” por parte del Servicio de Reumatología del Hospital citado. 2. Declaración de que sólo accederán a las historias clínicas profesionales sanitarios sujetos al secreto profesional u otras persona sujeta, asimismo, a una obligación equivalente de secreto. 3. De conformidad con lo establecido en el artículo 5 de la LOPD, el responsable del fichero de pacientes o historias clínicas, debe facilitar a los pacientes información acerca de la finalidad de la recogida de sus datos, sobre el destino de sus datos, responsable del fichero, ante quien ejercer los derechos ARCO, etc…; esta información puede facilitarla por escrito en cualquier documento que se entregue al paciente en el momento de recoger sus datos e incorporarlos al mencionado fichero, o puede aparecer reflejado en el cartel informativo que se encuentre en los puntos de acceso al Complejo Hospitalario. A pesar de que el tratamiento de los datos de salud por profesionales sanitarios con la finalidad de prestar asistencia sanitaria está exceptuado de su consentimiento, es obligatorio informar a los pacientes, conforme establece el artículo 5 citado de la LOPD. Cartel informativo que se expondrá en los puntos de recogida de datos del Hospital. TERCERO: A.A.A. presentó escrito de contestación, en el que indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 - - La autorización del Comité Ético de Galicia se obtendrá cuando se resuelva la solicitud de exención del deber de información. Se acompaña el compromiso del Investigador principal confirmando que el acceso a las historias clínicas lo realizara personal sanitario sujeto a secreto profesional u otra persona sujeta, asimismo, a una obligación equivalente al secreto. Como medida compensatoria se colocarán los carteles informativos con la información indicada en los puntos de acceso al Hospital Clínico Universitario de Santiago de Compostela. FUNDAMENTOS DE DERECHO I De conformidad con el artículo 36.1 de la LOPD, y el 155 en relación con el 115 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, la competencia para dictar resolución concediendo o denegando la exención del deber de informar corresponde al Director de la Agencia Española de Protección de Datos. II En el presente supuesto, se solicita la excepción mediante la aplicación del artículo 5.5 de la LOPD para los datos de carácter personal a los que accedan los investigadores del Servicio de Reumatología del Hospital Clínico Universitario del Hospital de Santiago de Compostela con la finalidad de realizar un estudio epidemiológico denominado “Estudio observacional para la identificación de factores de riesgo y factores pronósticos en artritis séptica”. El artículo 5 de la LOPD determina: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:

1. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
2. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
3. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
4. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
5. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
6. c)y
7. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. El artículo 5 de la LOPD diferencia el tratamiento en materia de información en los apartados 4 y 5 cuando los datos no se recaban del interesado. El artículo 5. 4 de la LOPD señala que “Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a),
8. d)y
9. e)del apartado 1 del presente artículo.” El artículo 5. 5 de la LOPD prevé que “No será de aplicación lo dispuesto en el apartado anterior cuando expresamente una Ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias.” III La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establece en su artículo 16 los usos de la historia clínica, disponiendo lo siguiente: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” En el apartado 3, en el tercer párrafo, modificado en el año 2011, se concreta el acceso a los datos de la historia clínica con fines epidemiológicos. Los estudios epidemiológicos (también llamados estudios de investigación médica) son los procedimientos de análisis en los que se basa la investigación médica. La epidemiología los aplica para encontrar las causas que determinan la enfermedad o los factores de riesgo que hacen más probable que una persona se enferme, o bien para determinar los factores protectores o terapéuticos (como los fármacos) que permiten sanar a la persona o prevenir la enfermedad. Los estudios epidemiológicos permiten establecer la relación entre las causas de la enfermedad (variable(
10. s)independiente(s)) y la influencia de éstas sobre el surgimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 de la enfermedad (variable dependiente). El estudio epidemiológico que se va a realizar es retrospectivo, esto es un estudio longitudinal en el tiempo que se analiza en el presente, pero con datos del pasado. Los datos se obtendrán del fichero de historias clínicas del Hospital Clínico Universitario de Santiago de Compostela. En resumen, los Investigadores del estudio denominado “Estudio observacional para la identificación de factores de riesgo y factores pronósticos en artritis séptica”, médicos que prestan servicio en el Hospital Clínico Universitario de Santiago de Compostela, accederán a las historias clínicas de pacientes del Centro Hospitalario que hayan padecido la patología estudiada. Se trata de accesos a las historias clínicas que están habilitadas por el artículo 16.3 de la Ley de Autonomía del Paciente; la administración sanitaria, a través de sus médicos, accede a los datos identificativos de los pacientes por razones epidemiológicas, previa motivación por parte de la Administración que solicitase el acceso a los datos. La motivación o justificación es valorada por los Comités Éticos de Investigación Clínica. IV El artículo 7, apartados 3 y 6 de la LOPD establece: “3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. 6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto. También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento.” Por tanto, el tratamiento de los datos de los pacientes está habilitado legalmente, pero los pacientes deben ser informados, conforme a lo dispuesto en el artículo 5 de la LOPD, de los tratamientos, o usos, que se van a realizar con sus datos. Esta obligación recae sobre el responsable del fichero/tratamiento de sus datos. El Servicio Gallego de Salud tiene inscritos, entre otros, los ficheros denominados “HISTORIAS CLÍNICAS” y “SISTEMAS DE INFORMACIÓN Y VIGILANCIA DE PROBLEMAS DE SALUD PÚBLICA” y deberá informar a las personas cuyos datos se incorporen a dichos ficheros de que se usaran para prestar la mejor asistencia sanitaria y por razones epidemiológicas o de salud pública, según lo establecido legalmente. El Servicio de Reumatología no va a crear ningún fichero que contenga datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 carácter personal, sino que codificarán o anonimizarán los datos a los que accedan de manera que no pueda identificarse al paciente, recogiendo aspectos clínicos de la enfermedad, tratamiento recibido y el resultado del mismo, así como antecedentes médicos y quirúrgicos. Al no crear un nuevo fichero no tienen obligación de informar de acuerdo con lo establecido en el tan citado artículo 5 de la LOPD. En consecuencia, el Servicio de Reumatología puede efectuar su estudio retrospectivo cuando obtenga la autorización del Comité Ético de Galicia. El Servicio Gallego de Salud debe ampliar la información facilitada a los pacientes, según exige el artículo 5 de la LOPD, indicándoles los usos del fichero de Historias Clínicas: prestar asistencia sanitaria, así como su utilización por razones epidemiológicas o de protección de salud pública. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: DESESTIMAR la solicitud de Don B.B.B., médico del Servicio de Reumatología del Hospital Clínico Universitario de Santiago de Compostela, (en nombre del Dr. Don A.A.A.) la aplicación de lo dispuesto en el artículo 5.5 de la LOPD en las condiciones señaladas en la presente resolución, al no ser necesario que esa Unidad informe a los afectados. SEGUNDO: NOTIFICAR la presente resolución a Don B.B.B., médico del Servicio de Reumatología del Hospital Clínico Universitario de Santiago de Compostela y al Servicio Gallego de Salud. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, y del 116 del Real Decreto 1720/2007, de 21/12, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es