← España

AAPP-00021-2016

1/24 Procedimiento Nº AP/00021/2016 RESOLUCIÓN: R/02657/2016 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00021/2016, instruido por la Agencia Española de Protección de Datos a la CONSELLERIA DE SANIDADE, XUNTA DE GALICIA, SERVIZO GALEGO DE SAÚDE, vista la denuncia presentada por D. A.A.A.y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 28 de mayo, 17 de junio y 3 de julio de 2015, tienen entrada en esta Agencia escritos de D. A.A.A., (en lo sucesivo el denunciante) en el que pone de manifiesto que es ***EMPLEADO.1 del Centro de Salud XXXX, en situación de ####. Últimamente, ha recibido en su dirección de correo electrónico del centro de trabajo, anónimos que hacen referencia a su patología, la cual solo puede ser conocida mediante el acceso a su Historia clínica. Se adjunta copia de la solicitud de Derecho de Acceso presentada ante la Xerencia de Xestión Integrada del Servizo Galego de Saúde (en lo sucesivo SERGAS). SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 1 de febrero de 2016, se recibe escrito de la Subdirección General de Inspección, Auditoría y Acreditación de Servicios Sanitarios de la Consellería de Sanidade de la Xunta de Galicia, con el que adjunta un sobre calificado como CONFIDENCIAL, que contiene tres listados de accesos realizados a la Historia clínica del denunciante: 1.1. Listado de acceso justificados realizados por el personal del Servicio Público de Salud (años AA y AA1). 1.2. Listado de accesos realizados por el interesado 1.3. Listado donde constan 30 accesos realizados por otras personas durante el citado periodo, que se encuentran pendientes de justificación. 1.4. Así mismo, manifiestan que una vez que concluya la fase de investigación comunicarán el resultado. TERCERO: Con fecha 25 de abril de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la Consellería de Sanidade de la Xunta de Galicia, Servizo Galego de Saúde, por la presunta infracción del artículo 9.1 de la LOPD en relación con los artículo 91 y 103 del Reglamento de desarrollo de la LOPD (RLOPD), tipificada como grave en el artículo 44.3.

  1. h)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/24 CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la Consellería de Sanidade de la Xunta de Galicia, Servizo Galego de Saúde efectuó en síntesis las siguientes alegaciones: 1ª.La Historia Clínica Electrónica se denomina IANUS y está regulada por el Decreto 29/2009, de 5 de febrero, por el que se regula el uso y acceso a la historia clínica electrónica, y sus modificaciones. 2ª.Los medios establecidos para cumplir con lo establecido en el artículo 9 de la LOPD están recogidos en el documento de seguridad de la organización y cumplen con los requisitos legales y técnicos. Toda la información está replicada en al mendos dos centros de proceso de datos (CPD) en tiempo real y se realizan copias de seguridad. 3ª.El acceso a IANUS está limitado y debe ser justificado según la finalidad del mismo Se especifica que los usuarios tendrán acceso únicamente a aquellos recursos que precisan para el desarrollo de sus funciones, estableciéndose los diferentes perfiles y motivos de acceso identificados por la organización sanitaria y se establecen parte de las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos. Para poder acceder a IANUS se debe disponer de los siguientes medios, cuya custodia corresponde al usuario: - - Tarjeta profesional expedida por la organización con un certificado digital válido emitido por una entidad certificadora, mediante el cual toda actividad en el sistema se registra y firma con consideración de firma digital auténtica. Esta tarjeta está protegida por una clave en forma de código PIN Un usuario habilitado y autorizado (según el procedimiento establecido), en un directorio LDAP y en las tablas de control de usuarios de IANUS. Una contraseña de acceso vinculada al usuario que sólo conoce el usuario Para obtener estos medios de acceso, existe un procedimiento de autorización del acceso donde se recoge todo lo establecido en las políticas de gestión de usuarios. Este procedimiento requiere de la validación de un responsable de la unidad organizativa a nivel directivo y de un responsable de seguridad a nivel técnico para otorgar cualquier privilegio de acceso. Una vez dentro del sistema, IANUS divide el acceso a la información en función de si existe responsabilidad asistencial programada o no sobre el paciente: • Si el usuario tiene responsabilidad asistencial se permitirá el acceso a la historia clínica del paciente sin necesidad de realizar ninguna justificación del acceso • Para el resto de casos se recuerda al profesional que el sistema no tiene constancia de que exista actividad programada con ese paciente y tendrá que explicar los motivos por los que accede por este sistema (administrativos, investigación, inspección, etc), por lo cual se exige con carácter previo al acceso la elaboración y firma de una nota justificativa. En aquellos casos en que es posible limitar los accesos a listas cerradas de pacientes (p ej. pacientes remitidos a centros concertados, residencias con pacientes ingresados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/24 para larga estancia), se ha procedido a hacerlo. El personal autorizado para conceder alterar o anular el acceso autorizado sobre los recursos se recoge en el documento de seguridad de la organización y en la propia orden de alta de ficheros publicada en el Diario Oficial de Galicia (N° *** del DD de MM de AA) donde ya se identificaron toda una serie de responsables de seguridad técnicos y organizativos en los que se apoyaba el responsable de fichero en el desarrollo de sus obligaciones. En el caso de otros organismos, proveedores externos y su personal, así como cualquier personal ajeno a la organización sanitaria que tenga vínculo con la misma y pueda llegar a acceder a datos de carácter personal, además de cumplir con los mismas condiciones y obligaciones de seguridad que el personal propio, deben firmar un acuerdo de confidencialidad especifico que recoge, entre otras cláusulas, la necesidad de cumplir con la legislación vigente en materia de protección de datos. 4ª.El registro de accesos a la historia clínica electrónica se encuentra contemplado en el artículo 7 del Decreto 29/2009, de 5 de febrero, por el que se regula el uso y acceso a la historia clínica electrónica, y cumple con lo establecido en el artículo 103 del RLOPD. 5ª.Las actuaciones llevadas a cabo en relación con la denuncia formulada son los siguientes: - Una vez recibido el requerimiento de la Agencia de Protección de Datos para que se verifiquen los accesos realizados a la historia clínica electrónica del denunciante, se procede por parte de la inspección sanitaria de esta Conselleria a la apertura de la correspondiente investigación. - El instructor asignado al caso solicita a la unidad responsable de los sistemas de información la descarga completa de todos los accesos realizados a dicha historia clínica electrónica. - Dichos registros de accesos son los legalmente exigidos. Son custodiados por la Subdirección Xeral de Sistemas y Tecnologías de Información y únicamente se ponen a disposición de la inspección sanitaria o autoridades judiciales para su revisión cuando procede legalmente Son tratados como datos de carácter personal de terceras personas tal y como se deduce de la consulta del informe 0167/2005 "Naturaleza y alcance del Derecho de Acceso" generado por la Agencia Española de Protección de Datos. - Se verifica la integridad de los ficheros con los registros de accesos y se certifican los datos existentes, que son remitidos al instructor. - Tras un primer análisis se desglosan los 563 accesos registrados en:  Aquellos en los que se verifica vínculo asistencial explícito.  Los accesos realizados por el propio interesado a su historia clínica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/24  30 accesos en los que no constaba vínculo explícito y que requirieron una investigación en detalle. - Esos 30 accesos habían sido realizados por 7 usuarios distintos, que han firmado digitalmente un motivo de acceso al no existir un vínculo asistencial explícito. - Se cita a estos 7 profesionales para determinar la legitimidad de dichos accesos, proceso tras el cual 2 de los usuarios justifican adecuadamente su vínculo asistencial. - A los otros 5 usuarios se les ha abierto información previa para la tramitación de un expediente disciplinario, actualmente en fase de alegaciones. - Todos los procedimientos administrativos realizados por la Inspección Sanitaria han de ofrecer las máximas garantías y por tanto su tramitación normalmente se extiende en el tiempo; en la Conselleria de Sanidade una media de 6 meses, siendo el plazo máximo legal de un año. QUINTO: En fecha 17/05/2016 tuvo entrada en esta AEPD escrito del denunciante solicitando su personación como interesado en el procedimiento. SEXTO: En fecha 01/06/2016 la Directora de la Agencia acordó un cambio de instructor por ausencia del nombrado en el acuerdo de inicio del procedimiento. SEPTIMO: En fecha 31/05/2016 tuvo entrada en esta AEPD escrito del denunciante solicitando copia del expediente que le fue remitida. OCTAVO: En fecha 15/07/2016 tuvo entrada en esta AEPD escrito del denunciante solicitando que se requiriera a la Consellería de Sanidade de la Xunta de Galicia para que aportara al expediente copia de todas las actuaciones de investigación o instrucción practicadas por dicha Conselleria tras la recepción del requerimiento efectuado por la Subdirección General de Inspección de datos de la AEPD de fecha 16/10/2015. NOVENO: Con fecha 19/08/2016, se acordó por el Instructor del procedimiento la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/03892/2015, así como la documental aportada por la Consellería de Sanidade de la Xunta de Galicia, solicitando a la citada Conselleria la aportación de copia de todas las actuaciones llevadas a cabo para determinar los accesos realizados a la historia clínica del denunciante, incluyendo la información previa y los expedientes disciplinarios incoados en la fase en la que se encuentren, requerimiento que fue cumplimentado teniendo entrada en esta Agencia en fecha 27/09/2016 la referida documentación. DECIMO: En fecha 21/09/2016 se emite propuesta de resolución en el sentido de declarar que la Consellería de Sanidade de la Xunta de Galicia, Servizo Galego de Saúde ha infringido lo dispuesto en el artículo 9.1 de la LOPD en relación con los artículos 91 y 103 del RLOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/24 UNDECIMO: Notificada la propuesta, la Consellería de Sanidade de la Xunta de Galicia, Servizo Galego de Saúde efectuó las siguientes alegaciones: 1ª. Para poder acceder a IANUS se debe disponer de los siguientes medios, cuya custodia corresponde al usuario, y por tanto su uso y utilización se encuentran bajo su responsabilidad personal y directa:  Tarjeta profesional expedida por la organización con un certificado digital válido emitido por entidad certificadora, mediante el cual toda actividad en el sistema se registra y firma con consideración de firma digital auténtica. Esta tarjeta está protegida por una clave en forma de código PIN (Número de Identificación Personal).  Debe tratarse de usuario habilitado y autorizado (según el procedimiento establecido), en un directorio LDAP y en las tablas de control de usuarios de IANUS.  Debe disponer de una contraseña de acceso vinculada al usuario que sólo conoce el usuario. Recursos todos ellos que sólo se proporcionan por la Consellería de Sanidade y el Servizo Galego de Saúde tras la aplicación de un estricto protocolo de autorización y verificación de la pertinencia de la solicitud. Dado que estos requisitos de acceso los impone el propio sistema, las medidas de seguridad son muy estrictas, y ello facilita la identificación del personal que aun cumpliendo los requisitos de autorización de acceso, incumple sus deberes profesionales (incluido el de vinculación asistencial con el paciente, pero también deben incluirse los accesos permitidos de acuerdo con las previsiones y requisitos de las normas aplicables a la Historia Clínica Electrónica - HCE). Para entender el funcionamiento del sistema de salud de Galicia, desde el punto de vista de accesos a IANUS, es imprescindible matizar que el hecho de que no se disponga de vinculación asistencial programada no implica que no exista una vinculación asistencial. Entre las justificaciones posibles cuando no consta dicha actividad programada y se requiere una firma reconocida de confirmación para autorizar el acceso; además de los motivos citados (administrativos, investigación, inspección), también figura el de vinculación asistencial. Una parte importante de la asistencia sanitaria no tiene carácter programado, ni es posible limitarla a reglas rígidas de control administrativo. A modo de ejemplo, y únicamente a efectos ilustrativos, se pueden citar:  Casi cinco millones de urgencias sanitarias, tanto hospitalarias como extra hospitalarias (se incluyen en estas últimas atenciones realizadas en domicilios, accidentes de tráfico, etc).  Interconsultas urgentes (en las que un profesional comenta con otro un caso clínico para evaluar diagnósticos y tratamientos).  Atención fuera de programación en casos en que los pacientes se personan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/24 directamente en las consultas de los profesionales. Es práctica habitual tanto en hospitales como en centros de salud y su prohibición provocarla graves quebrantos a la población cubierta por la asistencia sanitaria pública. u Revisión de casos clínicos para priorizar procesos que requieren de una evaluación urgente (trasplantes de órganos, intervenciones quirúrgicas, diagnóstico, realización de pruebas ...) o Revisión de casos clínicos para colaborar en procesos que requieren de un apoyo urgente (colaboración en intervenciones quirúrgicas, diagnósticos compartidos, validación de pruebas...) Para dar respuesta a los casos en que la asistencia sanitaria no se puede programar, se prioriza la atención sanitaria por interés vital del paciente. Los controles administrativos y técnicos del sistema IANUS están diseñados para no demorar asistencias sanitarias de carácter urgente, evitando perjudicar desde el punto de vista de la salud y la sanidad a los pacientes. En este sentido se puede afirmar que están orientados a cumplir lo indicado en el art. 16 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, que establece una autorización genérica de acceso a la HCE, que se prevé en interés del paciente; se solicita a los usuarios que, antes de entrar en una HCE concreta, confirmen la validez y necesidad de los accesos no programados, mediante la solicitud explícita de confirmación de dicho acceso, validado mediante una firma reconocida. Recordamos de nuevo que estamos hablando de usuarios cualificados, formados y sujetos tanto a deber de secreto como a las normas relativas a protección de datos de salud que ellos conocen o deben conocer precisamente porque al acceder se solicita que registren los motivos de acceso. En el caso que nos ocupa se enviaron por esta Secretaria Xeral al inspector instructor los accesos objeto de controversia, con fecha 22 de septiembre de 2016. Se puede verificar que los accesos han sido realizados por profesionales sanitarios con vínculo directo con el Servicio Galego de Saúde, en un ámbito geográfico inmediato al demandante y que, a priori, resultarla imposible clasificar como sospechosos. En este sentido no debe confundirse autorización de acceso, con acceso ilegítimo. De hecho, ha sido posible detectarlos con agilidad en la inspección posterior al ser especialmente rígido el criterio usado a la hora de identificar los casos que no requieren de confirmación y una segunda firma reconocida (a efectos de vinculación asistencial directa, de todas las opciones para evaluar la vinculación entre pacientes y profesionales en centros de salud se optó por la más restrictiva -formar parte de la asignación asistencial directa o cupo-), que limita a un máximo de 1.500 pacientes el número de posibles accesos sin confirmación adicional y firma en IANUS. Si la gestión de accesos a los pacientes en IANUS se correspondiese con lo afirmado en la propuesta de resolución formulada por el inspector-instructor de la agencia Española de Protección de Datos, no habría sido posible determinar la existencia de accesos inadecuados, no se podría haber identificado inequívocamente a los usuarios que accedieron de manera incorrecta y tampoco se dispondría de base jurídica suficiente para tramitar los expedientes disciplinarios propuestos (actualmente hay 4 expedientes disciplinarios en trámite como consecuencia de 23 accesos presuntamente ilegítimos detectados). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/24 2º. Respecto a los 5 puntos del artículo 91 del RDLOPD ("Control de acceso"): “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.” Ningún usuario dispone de recursos excesivos para el desarrollo de sus funciones, ya que para garantizar su labor de asistencia sanitaria y protección de la vida, y en aplicación del artículo 16 de la Ley 41/2002 el sistema IANUS se implantó bajo el principio de que deben poder acceder a los datos de cualquier paciente al que pueda tener que prestar asistencia, por lo que se autoriza en las condiciones expuestas el acceso, pero la justificación del mismo queda bajo la estricta responsabilidad del profesional autorizado (o habilitado). En este caso, respecto a las personas que estando autorizadas para acceder, lo hicieron sin una justificación legitima, la Consellería de Sanidad actuó por vía disciplinaria, procedimiento que respecto a cuatro de ellas se encuentra en el momento de formular estas alegaciones en curso (de los cinco expedientes iniciales uno fue archivado con motivo de la jubilación del profesional). “2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos." Todos los usuarios están registrados en la base de datos de usuarios de IANUS, ajustándose a alguno de los tipos de perfiles existentes. Dentro de estos perfiles se ha definido cuáles pueden y deben acceder exclusivamente a listas cerradas de pacientes y cuáles han de disponer de la posibilidad de acceder a otros pacientes en caso de surgir un vínculo asistencial no previsto o programado con ellos. Esta relación se revisa de manera exhaustiva e incluso está directamente vinculada con el registro de contratos y vínculos laborales. “3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda accederá recursos con derechos distintos de los autorizados." Ningún usuario dispone de la capacidad de variar su configuración o sus privilegios de acceso. El módulo de gestión de usuarios sólo es accedido por los administradores técnicos del mismo. “4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.” Sólo los administradores del sistema, siguiendo el procedimiento de autorización de acceso aprobado por el responsable de fichero pueden conceder, alterar o anular los usuarios de IANUS y sus permisos de acceso. “5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Todo personal que pertenezca a proveedores externos (centros sanitarios concertados, ...) o personal sanitario de otras administraciones públicas han de firmar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/24 un acuerdo de confidencialidad especifico en el que se compromete al cumplimiento de dichas condiciones y obligaciones de seguridad Respecto a los 5 puntos del Artículo 103 del RDLOPD (“Registro de accesos"): “1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado." Dicho registro de accesos está en funcionamiento y ha sido utilizado para responder a los requerimientos de la Agencia de Protección de Datos en este procedimiento. “2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido." Dicho registro de accesos está en funcionamiento y ha sido utilizado para responder a los requerimientos de la Agencia de Protección de Datos en este procedimiento. “3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos." Los mecanismos están bajo el control estricto del responsable de seguridad. Se verifica que los registros se están realizando de acuerdo a lo indicado y se guarda copia de seguridad de los mismos. El sistema de grabado y copia de seguridad está incluido dentro de la política de monitorización, al mismo nivel que la ocupación del disco o el estado de los procesadores de los sistemas más críticos. Para verificar su integridad y coherencia se explotan con un DataMart (se realizan cerca de 50 millones de accesos a IANUS en un año) y actualmente se está trabajando en su explotación adicional mediante una herramienta de correlación de eventos. En el mismo sentido, en la Orden de 12 de febrero de 2014 por la que se aprueba el Plan de inspección sobre centros, servicios, establecimientos y prestaciones sanitarias para el periodo 2014-2017 se incluye una actuación específica consistente en: “b” Auditorias del acceso y utilización de la historia clínica electrónica del paciente (IANUS) y correcto uso del consentimiento informado del paciente. i.Objetivo general: verificar y evaluar el correcto uso de la historia clínica electrónica y consentimiento informado del paciente por parte de los profesionales sanitarios" “4. El periodo mínimo de conservación de los datos registrados será de dos años." Se guardan de manera ininterrumpida desde el momento en que IANUS comenzó a funcionar. “5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados." Utilizando todas las herramientas y mecanismos indicados sobre el punto 3 del artículo se elabora dicho informe, e incluso se distribuye a cada usuario un listado de los accesos que han requerido de firma de informe justificativo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/24 El artículo 6 no es de aplicación en nuestro caso Respecto a los 4 puntos del Artículo 7 del Decreto 29/2009 (“Control del acceso"): “1. Los/as profesionales podrán consultar la información contenida en la historia clínica electrónica en el ejercicio de las funciones y competencias que tengan reconocidas.“ Tal y como se ha indicado anteriormente, se les dota de dicho acceso y se perfila en base a sus necesidades profesionales. “2. El sistema IANUS identificará de forma inequívoca y personalizada a todo profesional que intente acceder a la información contenida en la historia clínica electrónica de un/a paciente o usuario/a, y verificará su autorización." Con los mecanismos de acceso antes citados se garantiza el cumplimiento de este artículo. “3. Se establecerán las medidas técnicas y operativas de control de los accesos de los/as profesionales a la información contenida en la historia clínica electrónica, en la forma que resulte más adecuada a sus circunstancias organizativas. Por defecto, este acceso se realizará mediante el uso de la tarjeta identificativa del profesional y su firma electrónica reconocida." El acceso sólo se realiza mediante el uso de la tarjeta identificativa del profesional y su firma electrónica reconocida. “4. De cada intento de acceso al sistema IANUS se guardarán, como mínimo, la identificación del/de la profesional de que se trate, la fecha y hora en que se realizó, la parte de la historia clínica electrónica accedida y el tipo de acceso. Si el acceso al sistema IANUS es denegado por no cumplirse los criterios de acceso, esta denegación quedará también registrada." Se cumple según lo indicado al respecto del art. 103 del RDLOPD. Adicionalmente, el articulo 8 del Decreto 29/2009, de 5 de febrero, por el que se regula el uso y acceso a la historia clínica electrónica: "Los/as profesionales sanitarios tienen acceso a la información contenida en la historia clínica electrónica, como instrumento fundamental para la idónea asistencia sanitaria al/a la paciente o usuario/a. El sistema IANUS habilitará el acceso a la información contenida en la historia clínica electrónica de un/a paciente o usuario/a por los/as profesionales sanitarios que intervengan en su asistencia directa en los distintos niveles de prestación." Teniendo en cuenta todo lo anterior se cumplen las medidas de seguridad, no cabe duda que se estén aplicando, pese a lo cual nos encontramos ante accesos indebidos o faltos de legitimidad, prevaliéndose de la autorización que habilita para el ejercicio profesional. De ahí que la Consellería de Sanidade haya actuado incoando expedientes disciplinarios a las personas que aun estando autorizadas para acceder a IANUS no han podido justificar el acceso (acceso indebido o ilegitimo). En este caso hay que partir de varias premisas: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/24 * Los accesos han sido realizados por profesionales sanitarios con vinculo activo con la organización * Estos profesionales sanitarios hicieron uso de las herramientas proporcionadas por la Consellería de Sanidade para poder ejercer genéricamente sus funciones según lo contemplado en el artículo 16 de la Ley 41/2002 y los artículos 7.1 y 8 del Decreto 29/2009) * Los profesionales sanitarios declararon mediante firma digital reconocida que tenían vinculación con el paciente, por lo que IANUS les habilitó el acceso al mismo Por lo que no cabe duda que la actuación procedente es la incoación de expedientes disciplinarios. La propia Consellería de Sanidade ha realizado las comprobaciones precisas a instancias del propio interesado y de la Agencia de Protección de Datos, detectando que dichos accesos carecían de legitimidad, por lo que se están tramitando los oportunos expedientes disciplinarios por posibles violaciones de la obligación de secreto y el mal uso de las herramientas que la Conselleria de Sanidade pone a disposición de sus empleados. 3º. No puede tenerse un control absoluto sobre el comportamiento de miles de profesionales sanitarios empleados por la Consellería de Sanidad que vela por un bien esencial, como es la vida de las personas. Sirva como ejemplo que 13.800 de ellos disponen de acceso a IANUS, realizando 50 millones de accesos y 43 millones de anotaciones al año en historias clínicas a través de dicha herramienta. Gracias a ello se consigue un registro fiel de los 37 millones de actos clínicos anuales en todos los centros sanitarios dependientes. La Consellería de Sanidade y el Servizo Galego de Saúde están en condiciones de afirmar que cumplen a rajatabla todos los requisitos técnicos y jurídicos fijados en la normativa de aplicación tanto a la gestión de la información sanitaria como a la gestión de los datos de carácter personal y sus medidas de seguridad. Consideramos esencial el respeto al principio de responsabilidad y capacidad individual de los profesionales involucrados en la gestión de la salud, siempre dentro de unos protocolos que les dejen margen de actuación para resolver de manera autónoma las dificultades, dudas e incertidumbres inherentes a la actividad sanitaria. Este principio no debe confundirse con la impunidad, motivo por el cual existe la función inspectora sanitaria. La seguridad de la información, según la norma ISO 27001, consiste en la preservación de su confidencialidad, integridad y disponibilidad. En un ámbito como el sanitario los tres elementos son críticos por igual y deben ser debidamente garantizados. Cuando se requiere priorizar algún requisito específico sobre otro requisito con el que puede entrar en ligera contradicción, como entendemos que ocurre a la hora de regular el derecho de acceso de los profesionales a la historia clínica de los pacientes; como autoridad sanitaria consideramos que el marco legal nos exige que prevalezca por encima de cualquier otro el interés vital del paciente y su derecho a la vida y a una asistencia sanitaria de calidad. 4º. También alegamos como cuestión de estilo una relacionada con la semántica y el significado que se le atribuye en la propuesta de resolución del procedimiento a la palabra "autorización" y su sintaxis. Desde el punto de vista de la configuración del sistema IANUS, existen autorizaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/24 de acceso (podrían denominarse habilitaciones) que deben interpretarse en el sentido literal de la palabra que, según el DRAE es “facultad o derecho para hacer algo" o lo que es lo mismo “permitir”. La interpretación semántica que debe darse es que en IANUS los accesos están autorizados, por ser realizados por profesionales sanitarios en su puesto de trabajo y utilizando los medios que la Conselleria de Sanidade debe proporcionarles para poder llevar a cabo su labor. Sin embargo la legitimidad del acceso es responsabilidad del propio autorizado, y no del sistema que pone a su disposición los medios para el ejercicio profesional. O dicho en otras palabras, acreditado el incumplimiento de las normas por las que se autoriza el acceso, debe sancionarse al culpable de dicho incumplimiento. 5º. La propuesta de resolución objeto de estas alegaciones prejuzga el hecho de que los accesos no son justificados, adelantándose a la propuesta de resolución de los expedientes disciplinarios incoados a quienes en principio incumplieron las normas de acceso abusando de la autorización de que disponen, y a la presunción de inocencia de los investigados. Probablemente no fue, no es, ni será posible actuar de modo distinto sin poner en riesgo la salud e incluso la vida de las pacientes, pues de ser el caso nos situarla en una situación de indefensión, al no existir a nuestro parecer ninguna vía razonable de dar cumplimiento a las exigencias trasladadas sin violentar nuestra obligación de asistencia a los pacientes. Pues simplemente, a modo de ejemplo piénsese en que el hecho de obligar al responsable de fichero a asegurar “a priori” la pertinencia y legitimidad de cualquier posible acceso a datos antes de su ejecución, provocaría la invalidez de cualquier proyecto de interoperabilidad de las historias clínicas electrónicas que se plantee tanto a nivel nacional como europeo. HECHOS PROBADOS PRIMERO: Con fechas 28 de mayo, 17 de junio y 3 de julio de 2015, tienen entrada en esta Agencia escritos del denunciante, en los que pone de manifiesto que es ***EMPLEADO.1 del Centro de Salud XXXX, en situación de ####, y que, ha recibido en su dirección de correo electrónico del centro de trabajo, anónimos que hacen referencia a su patología, la cual solo puede ser conocida mediante el acceso a su Historia clínica (folios 1-4) SEGUNDO: La historia clínica electrónica se gestiona mediante el sistema de información denominado IANUS desarrollado por la Consellería de Sanidade de la Xunta de Galicia, y está regulada por el Decreto 29/2009, de 5 de febrero, de la citada Consellería, por el que se regula el uso y acceso a la historia clínica electrónica (folios 140-151) TERCERO: La Consellería de Sanidade de la Xunta de Galicia manifestó que el acceso a IANUS está limitado y debe ser justificado según la finalidad del mismo. Los usuarios tendrán acceso únicamente a aquellos recursos que precisan para el desarrollo de sus funciones, estableciéndose los diferentes perfiles y motivos de acceso identificados por la organización sanitaria y se establecen parte de las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos. Para poder acceder a IANUS se debe disponer de los siguientes medios, cuya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/24 custodia corresponde al usuario: - - Tarjeta profesional expedida por la organización con un certificado digital válido emitido por una entidad certificadora, mediante el cual toda actividad en el sistema se registra y firma con consideración de firma digital auténtica. Esta tarjeta está protegida por una clave en forma de código PIN Un usuario habilitado y autorizado (según el procedimiento establecido), en un directorio LDAP y en las tablas de control de usuarios de IANUS. Una contraseña de acceso vinculada al usuario que sólo conoce el usuario Una vez dentro del sistema, IANUS divide el acceso a la información en función de si existe responsabilidad asistencial programada o no sobre el paciente: - Si el usuario tiene responsabilidad asistencial se permitirá el acceso a la historia clínica del paciente sin necesidad de realizar ninguna justificación del acceso Para el resto de casos se recuerda al profesional que el sistema no tiene constancia de que exista actividad programada con ese paciente y tendrá que explicar los motivos por los que accede por este sistema (administrativos, investigación, inspección, etc), por lo cual se exige con carácter previo al acceso la elaboración y firma en el sistema de una nota justificativa. Entre las justificaciones posibles cuando no consta dicha actividad programada y se requiere una firma reconocida de confirmación para autorizar el acceso; además de los motivos citados (administrativos, investigación, inspección), también figura el de vinculación asistencial. Una parte importante de la asistencia sanitaria no tiene carácter programado, ni es posible limitarla a reglas rígidas de control administrativo. A modo de ejemplo, y únicamente a efectos ilustrativos, se pueden citar:  Casi cinco millones de urgencias sanitarias, tanto hospitalarias como extra hospitalarias (se incluyen en estas últimas atenciones realizadas en domicilios, accidentes de tráfico, etc).  Interconsultas urgentes (en las que un profesional comenta con otro un caso clínico para evaluar diagnósticos y tratamientos).  Atención fuera de programación en casos en que los pacientes se personan directamente en las consultas de los profesionales. Es práctica habitual tanto en hospitales como en centros de salud y su prohibición provocarla graves quebrantos a la población cubierta por la asistencia sanitaria pública. u Revisión de casos clínicos para priorizar procesos que requieren de una evaluación urgente (trasplantes de órganos, intervenciones quirúrgicas, diagnóstico, realización de pruebas ...) o Revisión de casos clínicos para colaborar en procesos que requieren de un apoyo urgente (colaboración en intervenciones quirúrgicas, diagnósticos compartidos, validación de pruebas...) El sistema IANUS establece una autorización genérica de acceso a la historia clínica electrónica, que se prevé en interés del paciente; se solicita a los usuarios que, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/24 antes de entrar en una historia clínica electrónica concreta, confirmen la validez y necesidad de los accesos no programados, mediante la solicitud explícita de confirmación de dicho acceso, validado mediante una firma reconocida. La solicitud de confirmación del acceso los motivos de acceso requiere por tanto que se explicite una causa justificativa del acceso a la historia clínica habida cuenta de la inexistencia de vínculo asistencial con el titular de la misma. El personal autorizado para conceder alterar o anular el acceso autorizado sobre los recursos se recoge en el documento de seguridad de la organización y en la propia orden de alta de ficheros publicada en el Diario Oficial de Galicia (N° *** del DD de MM de AA) donde ya se identificaron toda una serie de responsables de seguridad técnicos y organizativos en los que se apoyaba el responsable de fichero en el desarrollo de sus obligaciones (folios 83-90, 188-437) CUARTO: En fecha 25/05/2015 el denunciante solicitó a la Xerencia de Xestión Integrada del SERGAS el acceso a su historia clínica así como informe sobre las personas que hubieran accedido a dicha historial (folios 21, 40) QUINTO: En fecha 26/05/2015 el denunciante solicitó a la Xerencia de Xestión Integrada del SERGAS determinada documentación clínica, en concreto dos informes médicos sobre su persona solicitados por la inspección médica (folio 39) SEXTO: En fase de actuaciones previas al presente procedimiento, fecha 16/10/2015 se solicita información al SERGAS sobre los accesos a la historia clínica del denunciante, aportándose un listado donde constan un total de 30 accesos injustificados a su historia clínica efectuados entre el fecha 14/01/2014 y 07/10/2015 por 7 usuarios distintos (folios 71-77) SEPTIMO: En el escrito de alegaciones al acuerdo de inicio del presente procedimiento, fecha 11/05/2016 la Consellería de Sanidade de la Xunta de Galicia informó que existían 30 accesos a la historia clínica del denunciante en los que no constaba vínculo asistencial explícito y que requirieron una investigación en detalle. Esos 30 accesos habían sido realizados por 7 usuarios distintos, que firmaron digitalmente un motivo de acceso al no existir un vínculo asistencial explícito. Se citó a estos 7 profesionales para determinar la legitimidad de dichos accesos, proceso tras el cual 2 de los usuarios justificaron adecuadamente su vínculo asistencial. A los otros 5 usuarios se les abrió información previa para la tramitación de un expediente disciplinario (folios 83-90, 135136). OCTAVO: En fase de alegaciones a la propuesta de resolución del presente procedimiento la Consellería de Sanidade de la Xunta de Galicia informó que, concluida la investigación 50/2015 seguida por la Inspección sanitaria de Pontevedra en relación con los accesos no justificados realizados a la historia clínica del denunciante, en fechas 03/03/2016 y 04/04/2016 la inspectora actuante elevó a la Jefatura del Servicio de inspección de servicios sanitarios propuesta de apertura de expediente disciplinario a 5 profesionales sanitarios, habiéndose acordado en fecha 22/07/2016 la iniciación de expediente disciplinario a uno de los profesionales sanitarios. La Consellería de Sanidade de la Xunta de Galicia informó que se estaban incoando los expedientes por la unidad con competencias al efecto. Aportó documentación de la investigación 50/2015, así como de la incoación del referido expediente disciplinario (folios 188-437) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/24 NOVENO: La investigación 50/2015 efectuada por la inspección sanitaria de Pontevedra concluyó la existencia de los siguientes accesos a la historia clínica del denunciante efectuados por 5 profesionales sanitarios que, sin tener vinculación asistencial con éste, accedieron tras firmar digitalmente una justificación exigida para dicho acceso por el sistema, justificación que la investigación ha considerado no es veraz: - Accesos efectuados por profesional sanitario “1” o o o Acceso en fecha 14/01/2014 (10:03) Acceso en fecha 14/08/2014 (5:36) Acceso en fecha 17/07/2015 (14:58) En los tres casos se firmó digitalmente como justificación del acceso “responsabilidad asistencial sobre el paciente” - Accesos efectuados por profesional sanitario “2” o o - Acceso en fecha 07/10/2014 (16:41) firmada digitalmente causa de acceso “Revisión historial clínico para completar historial” Acceso en fecha 03/07/2015 (14:52) firmada digitalmente causa de acceso “responsabilidad asistencial sobre el paciente” Accesos efectuados por profesional sanitario “3” o o o o o o o Acceso en fecha 24/06/2014 (11:33) Acceso en fecha 26/05/2015 (9:03) Acceso en fecha 15/06/2015 (10:26) Acceso en fecha 07/08/2015 (8:51) Acceso en fecha 07/08/2015 (8:56) Acceso en fecha 07/08/2015 (8:58) Acceso en fecha 07/08/2015 (14:01) En los siete casos se firmó digitalmente como justificación del acceso “Revisión historial clínico para estudio o investigación” - Accesos efectuados por profesional sanitario “4” o o o o o o o o o o o o C/ Jorge Juan, 6 28001 – Madrid Acceso en fecha 21/02/2014 (8:40) Acceso en fecha 21/02/2015 (8:44) Acceso en fecha 27/02/2014 (14:04) Acceso en fecha 27/06/2014 (14:12) Acceso en fecha 18/07/2014 (14:24) Acceso en fecha 29/07/2014 (14:12) Acceso en fecha 19/01/2015 (10:24) Acceso en fecha 13/03/2015 (14:07) Acceso en fecha 16/03/2015 (13:51) Acceso en fecha 20/05/2015 (12:11) Acceso en fecha 28/07/2015 (13:57) Acceso en fecha 22/09/2015 (11:56) www.agpd.es sedeagpd.gob.es 15/24 En los doce casos se firmó digitalmente como justificación del acceso “Revisión historial clínico para estudio o investigación” - Accesos efectuados por profesional sanitario “5” o Acceso en fecha 20/11/2014 (13:26) firmada digitalmente causa de acceso “Revisión historial clínico para completar historial” (folios 7277, 188-437) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/24 “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/24 garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
  3. b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte la letra
  4. c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
  5. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  6. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  7. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
  8. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
  9. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El RLOPD, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
  10. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. El artículo 88, en sus puntos 3 y 4, referido al documento de seguridad, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/24 “3. El documento deberá contener, como mínimo, los siguientes aspectos:
  11. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
  12. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
  13. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
  14. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
  15. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
  16. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
  17. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. 4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
  18. a)La identificación del responsable o responsables de seguridad.
  19. b)Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento.” El artículo 91 establece: “Artículo 91 Control de acceso 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Por su parte, y conforme dispone La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16.7 “Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.”, el Decreto 29/2009, de 5 de febrero, de la Consellería de Sanidade de la Xunta de Galicia, que regula el uso y acceso a la historia clínica electrónica dispone: “Artículo 1. Objeto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/24 El presente Decreto tiene por objeto regular el acceso y uso de la información contenida en la historia clínica electrónica, en el ámbito del sistema público de salud de Galicia y establecer este sistema como el soporte más adecuado para el manejo de la historia clínica en los centros sanitarios de Galicia. … Artículo 3. Elaboración y contenido de la historia clínica electrónica. 1. La elaboración de la historia clínica electrónica, en los aspectos relacionados con la asistencia directa al/la paciente o usuario/a, es responsabilidad de los profesionales que intervienen en ella. 2. La historia clínica electrónica se constituye como el adecuado soporte a esta asistencia y a cuyo objeto los/as profesionales que intervienen en la asistencia de los/s pacientes o usuarios/as tienen el derecho de acceso y deber de acceder y cumplimentar la historia clínica electrónica. … Artículo 4. Gestión de la historia clínica electrónica 1. La historia clínica electrónica se gestionará mediante el sistema de información corporativo denominado IANUS, con la finalidad de garantizar la calidad, accesibilidad y seguridad técnica de la información clínica, así como la coordinación y la continuidad asistencial. … Artículo 7. Control del acceso 1. Los/as profesionales podrán consultar la información contenida en la historia clínica electrónica en el ejercicio de las funciones y competencias que tengan reconocidas. 2. El sistema IAUNS identificará de forma inequívoca y personalizada a todo profesional que intente acceder a la información contenida en la historia clínica electrónica de in/a paciente o usuario/a, y verificará su autorización. 3. Se establecerán medidas técnicas y operativas de control de los accesos de los/as profesionales a la información contenida en la historia clínica electrónica, en la forma que resulte más adecuada a sus circunstancias organizativas. Por defecto, este acceso se realizará mediante el uso de la tarjeta identificativa del profesional y su firma electrónica reconocida. 4. De cada intento de acceso al sistema IANUS se guardarán, como mínimo, la identificación del/de la profesional de que se trate, la fecha y hora en que se realizó, la parte de la historia clínica accedida y el tipo de acceso. Si el acceso al sistema IANUS es denegado por no cumplirse los criterios de acceso, esta denegación quedará también registrada.” Recordemos en este punto que la Consellería de Sanidade de la Xunta de Galicia manifestó que para poder acceder a la historia clínica (IANUS) se debe disponer de los siguientes medios, cuya custodia corresponde al usuario: - C/ Jorge Juan, 6 28001 – Madrid Tarjeta profesional expedida por la organización con un certificado digital www.agpd.es sedeagpd.gob.es 20/24 - válido emitido por una entidad certificadora, mediante el cual toda actividad en el sistema se registra y firma con consideración de firma digital auténtica. Esta tarjeta está protegida por una clave en forma de código PIN Un usuario habilitado y autorizado (según el procedimiento establecido), en un directorio LDAP y en las tablas de control de usuarios de IANUS. Una contraseña de acceso vinculada al usuario que sólo conoce el usuario Una vez dentro del sistema, IANUS divide el acceso a la información en función de si existe responsabilidad asistencial programada o no sobre el paciente: - Si el usuario tiene responsabilidad asistencial se permitirá el acceso a la historia clínica del paciente sin necesidad de realizar ninguna justificación del acceso Para el resto de casos se recuerda al profesional que el sistema no tiene constancia de que exista actividad programada con ese paciente y tendrá que explicar los motivos por los que accede por este sistema (administrativos, investigación, inspección, etc), por lo cual se exige con carácter previo al acceso la elaboración y firma de una nota justificativa. Entre las justificaciones posibles cuando no consta dicha actividad programada y se requiere una firma reconocida de confirmación para autorizar el acceso; además de los motivos citados (administrativos, investigación, inspección), también figura el de vinculación asistencial. Una parte importante de la asistencia sanitaria no tiene carácter programado, ni es posible limitarla a reglas rígidas de control administrativo. A modo de ejemplo, y únicamente a efectos ilustrativos, se pueden citar:  Casi cinco millones de urgencias sanitarias, tanto hospitalarias como extra hospitalarias (se incluyen en estas últimas atenciones realizadas en domicilios, accidentes de tráfico, etc).  Interconsultas urgentes (en las que un profesional comenta con otro un caso clínico para evaluar diagnósticos y tratamientos).  Atención fuera de programación en casos en que los pacientes se personan directamente en las consultas de los profesionales. Es práctica habitual tanto en hospitales como en centros de salud y su prohibición provocarla graves quebrantos a la población cubierta por la asistencia sanitaria pública. u Revisión de casos clínicos para priorizar procesos que requieren de una evaluación urgente (trasplantes de órganos, intervenciones quirúrgicas, diagnóstico, realización de pruebas ...) o Revisión de casos clínicos para colaborar en procesos que requieren de un apoyo urgente (colaboración en intervenciones quirúrgicas, diagnósticos compartidos, validación de pruebas...) El sistema IANUS establece una autorización genérica de acceso a la historia clínica electrónica, que se prevé en interés del paciente; se solicita a los usuarios que, antes de entrar en una historia clínica electrónica concreta, confirmen la validez y necesidad de los accesos no programados, mediante la solicitud explícita de confirmación de dicho acceso, validado mediante una firma reconocida. La solicitud de conformación del acceso los motivos de acceso requiere por tanto que se explicite una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/24 causa justificativa del acceso a la historia clínica habida cuenta de la inexistencia de vínculo asistencial con el titular de la misma. El personal autorizado para conceder alterar o anular el acceso autorizado sobre los recursos se recoge en el documento de seguridad de la organización y en la propia orden de alta de ficheros publicada en el Diario Oficial de Galicia (N° *** del DD de MM de AA) donde ya se identificaron toda una serie de responsables de seguridad técnicos y organizativos en los que se apoyaba el responsable de fichero en el desarrollo de sus obligaciones. El presente procedimiento trae causa de la denuncia formulada por el presunto acceso indebido a la historia clínica del denunciante, habiéndose acreditado en el procedimiento, a través de la información suministrada por el control de accesos al sistemas IANUS, la existencia de 25 accesos a su historia clínica efectuados entre el fecha 14/01/2014 y 22/09/2015 llevados a cabo por 5 usuarios distintos quiénes, al no tener vínculo asistencial con el denunciante, y conforme exigen las medidas de seguridad del sistema, tuvieron que firmar digitalmente una causa justificativa para el acceso a la historia clínica, reflejando el sistema que éstas fueron: “responsabilidad asistencial sobre el paciente”, “revisión historial clínico para completar historial”, y “revisión historial clínico para estudio o investigación” Analizando las medidas de seguridad cuyo presunto incumplimiento se imputaba en el acuerdo de inicio del presente procedimiento cabe señalar que el artículo 91 del RDLOPD bajo la denominación "Control de acceso", dispone: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.” “2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos." “3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados." “4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.” “5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Los profesionales sanitarios tienen acceso al sistema IANUS para el desarrollo de sus funciones que son garantizar la asistencia sanitaria y protección de la vida, de tal modo que el sistema se está configurado para que puedan acceder a los datos de cualquier paciente al que pueda tener que prestar asistencia, por lo que se únicamente se autoriza el acceso a aquellos usuarios que reúnan las siguientes condiciones: - - C/ Jorge Juan, 6 28001 – Madrid Posesión de una tarjeta profesional protegida por una clave en forma de código PIN, expedida por la organización con un certificado digital válido emitido por una entidad certificadora, mediante el cual toda actividad en el sistema se registra y firma con consideración de firma digital auténtica. Ser un usuario habilitado y autorizado (según el procedimiento establecido), en un directorio LDAP y en las tablas de control de usuarios de IANUS. www.agpd.es sedeagpd.gob.es 22/24 - Tener una contraseña de acceso vinculada al usuario que sólo conoce el usuario Establecidas por tanto estas medidas de seguridad como condiciones necesarias de acceso al sistema, la justificación del acceso queda bajo la estricta responsabilidad del profesional sanitario autorizado (o habilitado). Según dispone el apartado 3 del citado art. 91 RLOPD todos los usuarios están registrados en la base de datos de usuarios de IANUS, ajustándose a alguno de los tipos de perfiles existentes. Dentro de estos perfiles se ha definido cuáles pueden y deben acceder exclusivamente a listas cerradas de pacientes y cuáles han de disponer de la posibilidad de acceder a otros pacientes en caso de surgir un vínculo asistencial no previsto o programado con ellos. Esta relación se revisa de manera exhaustiva e incluso está directamente vinculada con el registro de contratos y vínculos laborales. Por tanto debe concluirse que no se aprecia incumplimiento de las medidas se seguridad exigidas por el referido artículo 91 RLOPD por cuanto no se acredita que existan usuarios que puedan acceder a recursos con derechos distintos de los autorizados habida cuenta que el sistema establece perfiles determinados entre los que se encuentran aquellos que puedan acceder únicamente a listas cerradas de pacientes, y aquellos otros, que caso de surgir un vínculo asistencial no previsto puedan disponer de la posibilidad de acceder para cumplir con la obligación de prestación de la asistencia sanitaria. Por otra parte en relación con el cumoplimiento de lo dispuesto en el artículo 103 del RDLOPD, bajo la denominación “Registro de accesos”, se establece lo siguiente": “1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado." “2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido." “3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos." “4. El periodo mínimo de conservación de los datos registrados será de dos años." “5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados." En este mismo sentido el artículo 7 del Decreto 29/2009, de 5 de febrero, de la Consellería de Sanidade de la Xunta de Galicia, dispone: “1. Los/as profesionales podrán consultar la información contenida en la historia clínica electrónica en el ejercicio de las funciones y competencias que tengan reconocidas.“ “2. El sistema IANUS identificará de forma inequívoca y personalizada a todo profesional que intente acceder a la información contenida en la historia clínica electrónica de un/a paciente o usuario/a, y verificará su autorización." “3. Se establecerán las medidas técnicas y operativas de control de los accesos de los/as profesionales a la información contenida en la historia clínica electrónica, en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/24 forma que resulte más adecuada a sus circunstancias organizativas. Por defecto, este acceso se realizará mediante el uso de la tarjeta identificativa del profesional y su firma electrónica reconocida." “4. De cada intento de acceso al sistema IANUS se guardarán, como mínimo, la identificación del/de la profesional de que se trate, la fecha y hora en que se realizó, la parte de la historia clínica electrónica accedida y el tipo de acceso. Si el acceso al sistema IANUS es denegado por no cumplirse los criterios de acceso, esta denegación quedará también registrada." Ha quedado acreditado que el sistema IANUS dispone de un control de accesos que cumple con lo exigido por tanto por el RLOPD como por la propia normativa autonómica por cuanto la Consellería de Sanidade de la Xunta de Galicia aportó en el procedimiento documentación que acredita tal extremo siendo identificados los usuarios, fecha y hora, tipo de acceso y su autorización, que accedieron a la historia clínica del denunciante, identificación posible gracias a la existencia de tarjeta identificativa del profesional, su firma electrónica reconocida, y su identificación como usuario del sistema con contraseña personal. A pesar de no tener vinculación asistencial con el denunciante, los 5 usuarios que accedieron “indebidamente” a la historia clínica pudieron hacerlo debido a que, si bien el sistema no les facilitó de modo directo el acceso, al serle solicitada por IANUS una causa justificativa del acceso, éstos declararon mediante firma digital reconocida que tenían vinculación con el paciente, por lo que IANUS les habilitó el acceso al mismo Cabe concluir por tanto que en el presente caso el sistema de información denominado, desarrollado por la Consellería de Sanidade de la Xunta de Galicia, y que gestiona la historia clínica electrónica cumple con las medidas de seguridad exigidas por el art. 93 (control de accesos) y 103 (registro de accesos) del RLOPD, tendentes a evitar accesos no autorizados (art. 9 de la LOPD) al acreditarse que se dispone de un control y un registro de accesos a las historias clínicas, así como de listas cerradas de usuarios con acceso a las historias clínicas dado su vinculación asistencial con los titulares de las mismas, y caso de no existir dicho vínculo, la existencia de medida de seguridad que impide el acceso a aquellos usuarios que no tengan dicho vínculo o una actividad programada con el paciente, exigiendo al usuario del sistema que en estos casos, firme digitalmente una justificación para el acceso a la historia clínica, justificación de la cual el sistema guarda registro de tal manera que puede comprobarse posteriormente la idoneidad o no de la referida justificación aducida por el profesional para efectuar el acceso a la historia clínica. De este modo pudieron identificarse los accesos que dieron lugar a posteriori investigación por parte de la Consejería habida cuenta que la justificación reflejada por los 5 usuarios en el sistema IANUS no se consideró en principio suficiente conforme a las tareas desarrolladas por los referidos usuarios. Conforme a los anteriores hechos y fundamentos de derecho procede en el presente caso el archivo del presente procedimiento por no apreciarse infracción de lo dispuesto en el artículo 9 de la LOPD, en relación con los artículos 91 y 103 del RLOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento de declaración de infracción de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/24 Administraciones Púbicas AP/00021/2016. SEGUNDO: NOTIFICAR la presente resolución a la CONSELLERIA DE SANIDADE, XUNTA DE GALICIA, SERVIZO GALEGO DE SAÚDE y a Dña. B.B.B. (representante de D. A.A.A.). TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.