AI-00137-2022

1/6  Expediente N.º: EXP202105279 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 11 de noviembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SERVICIO ARAGONÉS DE SALUD (SALUD) con NIF S5011001D (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Con el fin de optar a un puesto de trabajo laboral en SALUD (…), el reclamante se sometió a un reconocimiento médico el día ***FECHA.1, llevado a cabo por los servicios de prevención de riesgos laborales de SALUD, y en el que fue calificado como NO APTO. Tras recibir dicha calificación, interpuso una queja ante el servicio de prevención de riesgos laborales para que reconsiderase dicha calificación y que tuvo como resultado la emisión de un nuevo informe con la misma calificación. Con fecha 15/09/19 solicitó acceso al registro de accesos realizados a su historia clínica y comprobó que se había producido un acceso a su historia clínica efectuado por el Servicio de Prevención del Hospital Miguel Servet en fecha ***FECHA.1. Fecha de emisión de los referidos informes donde se le declaró no apto. Con fecha 23/09/21 reclamó ante el Servicio Aragonés de Salud por accesos ilegítimos a su historia clínica para la elaboración de los citados informes. La respuesta indica que dichos accesos están basados en el art. 16.5 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica y que se llevaron a cabo en el ejercicio de las funciones que tiene atribuidas el personal que realiza los exámenes médicos para determinar la aptitud del reclamante para el puesto de trabajo concreto. El reclamante considera que se ha vulnerado el principio de confidencialidad al haberse accedido a su historia clínica sanitaria, sin su consentimiento. Junto a la notificación se aporta la siguiente documentación: 1) Primer Informe de reconocimiento médico de ***FECHA.1 2) Segundo Informe de reconocimiento médico de ***FECHA.1 3) Queja unidad Prevención de riesgos laborales 4) Contestación SALUD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 5) Registro acceso historial clínico 6) Denuncia contra SALUD de 23/09/2021 7) Contestación SALUD SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 3 de enero de 2022. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Con fecha 25 de enero de 2022 se recibe en esta Agencia escrito de respuesta indicando que la parte reclamante había presentado también una reclamación ante el Servicio Aragonés de Salud el día 23 de septiembre de 2021, en la que afirmaba que se habían producido dos accesos indebidos a su historia clínica, en fechas ***FECHA.2 y ***FECHA.1, en base a un informe de Registro de Accesos que se le había enviado el día 20/09/2019. A continuación, la parte reclamada adjunta la respuesta remitida a la parte reclamante sobre dichos accesos indebidos. Respecto al acceso del día ***FECHA.1, y en base a lo establecido en los artículos 16.5 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, 22.4 de la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales y 37.3.d del Real Decreto 39/1997, de 17 de enero, por el que se aprueba el Reglamento de los Servicios de Prevención, no se puede considerar un acceso indebido por parte de la doctora, sino que lo hizo en el ejercicio de sus funciones como parte de un procedimiento necesario para elaborar el citado informe. Concluye que el 21/01/22 han enviado contestación al reclamante informándole que es un procedimiento habitual, en el ejercicio de las funciones del personal sanitario de los Servicios de Prevención de Riesgos Laborales, que accedan a las historias clínicas de los trabajadores que están siendo evaluados, con el fin de consultar serologías y para poder contrastar las patologías del trabajador. La fecha del documento informe para la Empresa coincide exactamente con la fecha del acceso a su historia clínica por parte de la doctora, concretamente el ***FECHA.1. TERCERO: Con fecha 11 de febrero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, bajo la rúbrica “Tratamiento de categorías especiales de datos personales”, dispone: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: (…)
3. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3; (…) 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.” III Seguridad del tratamiento T El artículo 32.1 del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
4. a)la seudonimización y el cifrado de datos personales;
5. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
6. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
7. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.” IV El artículo 16.5 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica establece lo siguiente: “El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria.” Artículo 22.4 de la Ley 31/1995, de 8 de noviembre, de prevención de Riesgos Laborales. “Los datos relativos a la vigilancia de la salud de los trabajadores no podrán ser usados con fines discriminatorios ni en perjuicio del trabajador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 El acceso a la información médica de carácter personal se limitará al personal médico y a las autoridades sanitarias que lleven a cabo la vigilancia de la salud de los trabajadores, sin que pueda facilitarse al empresario o a otras personas sin consentimiento expreso del trabajador. No obstante lo anterior, el empresario y las personas u órganos con responsabilidades en materia de prevención serán informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo o con la necesidad de introducir o mejorar las medidas de protección y prevención, a fin de que puedan desarrollar correctamente sus funciones en materia preventiva.” Artículo 37.3.d del Real Decreto 39/1997, de 17 de enero, por el que se aprueba el Reglamento de los Servicios de Prevención determina lo siguiente: 3. Las funciones de vigilancia y control de la salud de los trabajadores señaladas en el párrafo
8. e)del apartado 1 serán desempeñadas por personal sanitario con competencia técnica, formación y capacidad acreditada con arreglo a la normativa vigente y a lo establecido en los párrafos siguientes: (…)
9. d)El personal sanitario del servicio de prevención deberá conocer las enfermedades que se produzcan entre los trabajadores y las ausencias del trabajo por motivos de salud, a los solos efectos de poder identificar cualquier relación entre la causa de enfermedad o de ausencia y los riesgos para la salud que puedan presentarse en los lugares de trabajo. V Conclusión La reclamación se concreta en el presunto acceso a la historia clínica de la parte reclamante, efectuado por el Servicio de Prevención del Hospital Miguel Servet, en fecha ***FECHA.1. El Servicio de Salud reclamado, durante las actuaciones de traslado, indicó que los accesos a la historia clínica de la parte reclamante eran legítimos y justificados. Aunque esta Agencia no compartiese ese criterio legitimador de los accesos a datos de salud, la posible infracción cometida estaría prescrita puesto que la falta de adopción de las medidas técnicas y organizativas que impidieran un acceso indebido garantizando el nivel de seguridad adecuado vienen reguladas en el apartado
10. f)del artículo 73 de la LOPDPGDD que establece un plazo de prescripción de 2 años para dichas infracciones. Así, puesto que los supuestos accesos indebidos se produjeron respectivamente el día ***FECHA.1 y el ***FECHA.2, las infracciones estarían prescritas cuando se presentó la reclamación ante esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Por lo tanto, se procede al archivo del procedimiento. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y SERVICIO ARAGONÉS DE SALUD (SALUD). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
11. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es