1/8 Expediente N.º: EXP202502925 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos (en adelante AEPD) y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 23 de enero de 2025, la Autoridad Catalana de Protección de Datos (APDCAT) remitió, de conformidad con el artículo 14 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) a la AEPD reclamación contra SERVICIO DE SALUD DE LAS ILLES BALEARS con NIF Q0719003F (en adelante, la parte reclamada o IBSALUT). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, a raíz de solicitar el acceso a su historia clínica, considera que se habrían producido accesos indebidos a su historia clínica por parte de su exmarido (A.A.A.), así como compañeros suyos. Señala que este habría trabajado como médico de familia en el Centro de Salud de ***LOCALIDAD.1 (Illes Balears), comunidad autónoma en la que ella habría residido hasta 20XX. Así, su exmarido se habría valido de su posición para acceder de forma indebida en reiteradas ocasiones a su historia clínica y a la de sus hijos, no habiendo sido su médico de cabecera y trabajando en un Centro de Salud distinto al que les pertenecía. Refiere que ha encontrado: anotaciones médicas en su historia clínica realizadas por su exmarido de forma fraudulenta, diagnósticos hechos por compañeros de este a petición de él, y que, supuestamente este habría prescrito recetas a su nombre. Junto a la reclamación aporta: Escrito de denuncia dirigido a la APDCAT el 15/01/2025 en el que la parte reclamante manifiesta los hechos descritos. Copia de la reclamación presentada ante la Gerencia de Atención Primaria de ***LOCALIDAD.2 el 30/12/2022 en la que reitera su solicitud de acceso a la copia de su historia clínica y el informe de trazabilidad de los accesos efectuados a la misma. Copia de la reclamación presentada ante la Gerencia de Atención Primaria de ***LOCALIDAD.2 el 12/04/2023 en la que muestra su disconformidad con la historia clínica recibida y reitera su solicitud de acceso al informe de trazabilidad. Captura de pantalla del correo recibido el 21/04/2023 de la Gerencia de Atención Primaria desde (…) en el que se da por contestada la solicitud y se informa de que se dará traslado al correspondiente departamento para obtener el informe de trazabilidad. Copia de la resolución de la Gerencia de Atención Primaria de ***LOCALIDAD.2 del 25/04/2023 denegando el acceso a la información sobre los profesionales que han accedido a su historia clínica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 Copia de la respuesta, fechada el 9/05/2023, de la representante legal de su exmarido a la demanda de divorcio interpuesta por la parte reclamante (…). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada IBSALUT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 28/02/2025 como consta en el acuse de recibo que obra en el expediente. Con fecha 27/03/2025 se recibe en esta Agencia escrito de respuesta, del que se extrae la siguiente información relevante: Se confirma que el 1/02/2023 se dio respuesta a la parte reclamada, por lo que el derecho de acceso solicitado fue atendido de forma favorable. Se adjunta respuesta firmada por la Dirección de Histories Clíniques de la Gerencia de Atención Primaria de (…) (“…”) en la que se da respuesta a la petición de ejercicio de acceso presentada por la parte reclamante. Sobre la trazabilidad de la historia clínica, se afirma: “en fecha 25 de abril de 2023, se le remitió, mediante un escrito, a la usuaria que no procedía proporcionarle el registro de los datos personales de los profesionales que hubieran podido acceder a su historia clínica, de acuerdo la reiterada interpretación de la AEPD, conforme al Informe de la AEPD nº0167/2005, en el que se determina que “el derecho [de acceso] concedido al interesado por la Ley únicamente abarcaría el conocimiento de la información sometida a tratamiento, pero no qué personas, dentro del ámbito de la organización”, y, de mayor actualidad, el Informe del Gabinete Jurídico de la AEPD nº 0003/2021, en el que se concluye que “no debe entenderse incluido dentro del derecho de acceso a la historia clínica al amparo del artículo 18 de la LAP [Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica], la información referida a si ha habido accesos y a la identidad de las personas que han accedido”.” Se aporta el informe ***INFORME.1 Procedimiento Solicitud Registro de Accesos (...), que establece un criterio en las entidades y centros dependientes o vinculados al IB-Salut en cuanto al procedimiento a seguir ante solicitudes de información sobre el registro de acceso ((...)) a la historia clínica por parte de los pacientes. No se ha dado respuesta a este traslado en lo relativo a los presuntos accesos indebidos a la historia clínica de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 TERCERO: Con fecha 23/04/2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Tras el requerimiento de información efectuado a la parte reclamante solicitando por esta AEPD precisión sobre determinados aspectos de su reclamación, esta precisa el 23 de junio de 2025 que el centro de salud desde el que se produjeron los accesos indebidos a la historia clínica “es el ***CENTRO DE SALUD.2 primero, y ***CENTRO DE SALUD.1, después. El período de dichos accesos indebidos fue desde el año 20XX hasta el año 20XX”. Asimismo, señala que tuvo constancia de dichos accesos por aviso de su médico de cabecera. Por otra parte, señala que pudo constatar en el Portal del Paciente del Servicio de Salud de las Islas Baleares que tenía programadas múltiples consultas al ***CENTRO DE SALUD.1, las cuales nunca había solicitado y a las que no había acudido, ya que este no era su centro de referencia. De la respuesta de 5 de julio de 2025 y de 3 de agosto de 2025 al IBSALUT se obtiene la siguiente información: o Según el IBSALUT “no consta la programación de ninguna cita en consultas del profesional A.A.A..” o La reclamante fue asignada a la (…) el 29/01/2020, procedente del (…). El 6/07/20XX se registra su traslado a otra Comunidad Autónoma. A.A.A. ya no mantiene relación profesional con la Gerencia de Atención Primaria de ***LOCALIDAD.2. Se constata la existencia de tres accesos indebidos a la historia clínica de la parte reclamante por A.A.A.: (…), (…) y (…). Constan otros dos accesos a la historia clínica de la parte reclamante en 2022 y 2024 por otro profesional no amparados en motivos asistenciales, pero sí justificados en la atención al derecho de acceso ejercitado por la parte reclamante. Se afirma: “(…).” (traducción del original). Por otra parte, el IBSALUT contaba con medidas de seguridad en relación con el aplicativo y los registros de los accesos, así como con instrucciones, protocolos y formaciones de obligado cumplimiento para los facultativos que incluían contenidos específicos sobre el adecuado acceso y manejo de historias clínicas. o o o o FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Tratamiento de datos de categoría especial El artículo 9. del RGPD en relación con el tratamiento de categorías especiales de datos personales, establece: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico, racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera univoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.” III Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." IV Conclusión Debe señalarse que el responsable del tratamiento es la persona física o jurídica, pública o privada que decide sobre fines y medios en relación con el tratamiento de datos personales. Así, el responsable del tratamiento en el sentido del RGPD, cuando se trata de una persona jurídica es la propia organización, y no una persona o unidad dentro de la misma, aunque cuando esta última sea, en la práctica, quien lleve a cabo el tratamiento material de datos para el cumplimiento de los fines y con los medios determinados por el responsable del tratamiento. El hecho de que una persona, unidad o departamento de una organización se le haya asignado entre sus funciones la realización de un tratamiento de datos, no implica que esta persona, unidad o departamento devenga responsable del tratamiento en lugar de la organización en su conjunto. Al contrario, el responsable del tratamiento responde por sus empleados, así como por sus encargados del tratamiento, tal y como señala el artículo 29 del RGPD, pues estos actúan bajo su autoridad y siguiendo sus instrucciones. Esto ocurre en el ámbito sanitario respecto al tratamiento de datos personales realizado por los facultativos y otro personal sanitario, quienes tienen acceso a la historia clínica de sus pacientes conforme al artículo 16.5 de la LAP. No obstante, cuando un facultativo accede a historias clínicas de personas con los que no le une relación asistencial alguna, ni relación médico-paciente, y contraviene las instrucciones del hospital o centro sanitario, pasa a realizar un tratamiento de datos personales para sus propios fines, extralimitándose de manera ilícita en el ejercicio de las funciones que tiene atribuidas, deviniendo, por tanto, responsable del tratamiento. En estos términos se pronuncian las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD: “19. En principio, todo tratamiento de datos personales realizado por empleados en el ámbito de las actividades de una organización se presumirá realizado bajo el control de dicha organización. No obstante, es posible que, en casos excepcionales, un empleado decida usar datos personales para sus propios fines, extralimitándose de manera ilícita en el ejercicio de las funciones que se le hubieran atribuido (p. ej., con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 vistas a crear su propia empresa o algún fin similar) (…). (El subrayado es de la AEPD). En esos casos, asegura el CEPD “recae en la organización, en calidad de responsable del tratamiento, el deber de asegurar que se hayan aplicado medidas técnicas y organizativas apropiadas, incluyendo, p. ej., la prestación de formación e información a los empleados con vistas a garantizar el cumplimiento del RGPD”. En el presente caso, la parte reclamante presentó reclamación relativa a supuestos accesos indebidos a su historia clínica por parte de A.A.A., (…), aprovechándose de su condición de médico en el IBSALUT aun cuando no estuviera justificado por motivos asistenciales. Asimismo, se reclamaba sobre supuestos accesos indebidos de otros profesionales. Durante las actuaciones previas de investigación se ha comprobado que se produjeron tres accesos indebidos a la historia clínica de la parte reclamante los días (…), (…) y (…), todos ellos perpetrados por A.A.A., sin que, de acuerdo con el IBSALUT, existiera motivo asistencial que lo justificara. Asimismo, se ha constatado que el IBSALUT contaba con diferentes medidas y protocolos sobre el acceso y uso de historias clínicas, por lo que los accesos realizados por A.A.A. tuvieron lugar saltándose las instrucciones de esta organización. Por tanto, no cabe imputar una infracción del RGPD al IBSALUT, contra quien se reclama, en tanto que, en su caso, el responsable del tratamiento derivado de los accesos indebidos sería A.A.A.. Sin perjuicio de lo anterior, debe señalarse que los accesos indebidos perpetrados por A.A.A. se efectuaron en 2021. La LOPDGDD realiza una calificación de las infracciones a efectos de prescripción como muy graves, graves y leves en sus artículos 72, 73 y 74, estableciendo un plazo de 3, 2 y 1 año respectivamente desde que tuvieron lugar los hechos. Así, cuando la reclamación de la parte reclamante tuvo su entrada en esta AEPD el 23 de enero de 2025 cualquier posible infracción del RGPD en la que se hubieran podido llegar a traducir los mencionados accesos indebidos, habría prescrito. En consecuencia, no cabe más que proceder al archivo de las presentes actuaciones previas de investigación frente a la parte reclamada. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a SERVICIO DE SALUD DE LAS ILLES BALEARS (IBSALUT) y a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es