AI-00217-2024

(2024), la Agencia Española de Protección de Datos responde en relación con este caso: “de las actuaciones realizadas y de la documentación obrante en el expediente, no se infiere la existencia de una actuación infractora de la parte reclamada en el ámbito competencial de la AEPD, por lo que procede el archivo de la reclamación”. Puesto este hecho en conocimiento se recaba la siguiente información: En fecha 8 de diciembre de 2023 C.C.C. denuncia los mismos hechos y presenta la misma información que la parte reclamante ante esta Agencia, EXP202401038. Los antecedentes que constan en los sistemas de información son los siguientes: En el marco del procedimiento AT/00407/2024, en fecha 22 de enero de 2024 la Agencia Española de Protección de Datos, en virtud del del artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, da traslado de la reclamación a la parte reclamada. El SMS en su respuesta con fecha de entrada en la sede electrónica de esta Agencia el 22 de marzo de 2024 y n.º de registro REGAGE24e00021913098, manifiesta: - ANTECEDENTES: Con fecha 20/11/2023 tuvo entrada en el Servicio de Atención al Paciente del Área II del Servicio Murciano de Salud, el traslado de una reclamación interpuesta por C.C.C. en la que solicita se investigue accesos indebidos a su historia clínica por parte de A.A.A., ***PUESTO.1 del ***CENTRO.1. Con fecha 22/01/2024 se recibió por sede electrónica, la interposición de la reclamación por el mismo concepto ante la Agencia Española de Protección de datos (AEPD) en la que expone: “La parte reclamante expone presuntos accesos indebidos a su historia clínica por una ***PUESTO.1 (A.A.A.) que trabaja como ***PUESTO.1 en el ***CENTRO.1. Manifiesta que nunca ha acudido a realizarse tratamiento ni consulta alguna en ese hospital, y que dicha ***PUESTO.1 no le ha prestado asistencia sanitaria, habiendo difundido información sobre su historia clínica sin autorización”. Posteriormente, con fecha 28/02/2024 se recibe Diligencias Previas Proc. Abreviado ***REFERENCIA.1 en el que solicitan la siguiente información: “1. Quien o quienes han accedido a los expedientes médicos de B.B.B. y C.C.C.. 1 En la documentación que obra en el expediente se comprueba que esta fecha es 27 de marzo de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 2. Informando de dichos accesos desde el mes de marzo de 2022 al 17 de octubre de 2023, con expreso detalle de lugar o terminal desde el que se ha accedido, fecha, hora y persona que ha accedido. 3. Se informe sobre los accesos realizados en las referidas fechas y sobre dichas personas por parte de A.A.A., bien utilizando sus claves personales o la de terceros” - CONSIDERACIONES: En primer lugar, es importante destacar, que el acceso a los datos de las historias clínicas con carácter general se encuentra regulado en el artículo 15 del RGPD, […] Ahora bien, el artículo 12.5 de la LOPDGDD dispone lo siguiente: Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas. Por lo tanto, debe acudirse a lo dispuesto en la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica (LAP) por ser la norma que, por razón de la materia y especialidad, se aplica al derecho de acceso a la historia clínica. […] De otro lado, este Servicio de Salud ha comprobado a través de nuestros procedimientos de seguridad por los que se puede hacer la trazabilidad de los datos, desde su punto de origen hasta su destino final, registrando los usuarios que acceden, fechas y hora, además del sistema de información al que acceden. […] Tras comprobar dentro de los procedimientos de seguridad mencionados, el “registro de accesos” que contiene: la identificación del profesional que accede, la finalidad, la fecha y hora del acceso y a la información consultada, aportando además garantías de exactitud y autenticidad (confidencialidad e integridad), se concluye que no ha habido acceso por parte del profesional mencionado, como así se acredita a través de los documentos anexos (Doc. n.º 1). El Doc. n.º 1 recoge el resultado de la búsqueda de A.A.A. en los diferentes aplicativos de tratamiento de datos del Servicio Murciano de Salud (ÁGORA, SELENE y OMI). En base a todo lo anterior, - CONCLUSIONES […] 3. No se acredita el acceso de A.A.A. a las historias clínicas de C.C.C. y B.B.B.. En fecha 27 de marzo de 2024 la Agencia Española de Protección de Datos emite Resolución de archivo de las actuaciones practicadas en el marco del expediente EXP202401038. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 Asimismo, y como se ha indicado anteriormente, en fecha 28 de octubre de 2024 el SMS atiende la solicitud de información de esta Agencia realizada en el marco de las presentes actuaciones de investigación. Entre la documentación aportada se destaca: - El listado de los profesionales que pueden acceder a ÁGORA, donde se comprueba que no incluye a A.A.A. (en adelante, profesional identificada por la parte reclamante). Doc. n.º 1 bis de la entrada con n.º de registro REGAGE24e00082302081. - El registro de accesos desde ÁGORA a información clínica de la parte reclamante y de C.C.C., donde se comprueba que no figura el login de la profesional identificada por la parte reclamante. Doc. n.º 1 ter de la entrada con n.º de registro REGAGE24e00082302081. Accesos de la profesional identificada por la parte reclamante En el marco de las actuaciones de investigación el SMS manifiesta: - En relación con la historia clínica de la parte reclamante, la profesional identificada y los hospitales (SELENE): De modo que, sólo se han encontrado accesos de esta profesional en ***CENTRO.1 y algunos accesos en ***CENTRO.3 (***CENTRO.3), correspondientes al año 2010 y no sobre las reclamantes. Por otra parte, no se han encontrado accesos del profesional “***USUARIO.1” a ninguna de las historias clínicas correspondientes a B.B.B. y D.D.D. con CIPAS ***CÓDIGO.1 y ***CÓDIGO.2, ni en el ***CENTRO.2 (***CENTRO.2) ni en el ***CENTRO.1(***CENTRO.1). No hay registro de actividad de la usuaria “***USUARIO.1” en el ***CENTRO.2 (***CENTRO.2). Sólo existen registros en ***CENTRO.1. En cuanto a la trazabilidad de los CIPAS ***CÓDIGO.1 y ***CÓDIGO.2, únicamente se han encontrado accesos en ***CENTRO.2 (***CENTRO.2). En ***CENTRO.1 no existen historias clínicas asociadas a estas dos personas. El equipo de SELENE revisó el archivo Excel con toda la trazabilidad del usuario '***USUARIO.1' en todos los hospitales, sin aplicar filtros de fecha. De modo que, solo se han encontrado accesos en ***CENTRO.1 (área 8) y algunos accesos en ***CENTRO.3 (área 9), correspondientes al año 2010. Asimismo, el SMS aporta certificado donde se detallan los servicios prestados y categorías de la profesional identificada por la parte reclamante. Doc. n.º 8 sixies de la entrada con n.º de registro REGAGE24e00082313802. En el Doc. n.º 1 de la entrada con n.º de registro REGAGE24e00021913098 el SMS acredita que no ha habido acceso a la historia clínica de la parte reclamante por parte de la profesional que identifica en su reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales;
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Principios relativos al tratamiento La letra
7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Conclusión La reclamación presentada se refiere al presunto acceso injustificado a la historia clínica de la parte reclamante por una ***PUESTO.1 que trabaja en el ***CENTRO.1. La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: 1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clinicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 Asimismo se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clinicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso. El art. 32 del RGPD establece el principio de “seguridad de los datos” imponiendo al responsable y encargado del tratamiento la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo, entre otros requisitos en el apartado 4, que tales medidas tienen como finalidad evitar, entre otros aspectos, el acceso no autorizado. La parte reclamada ha informado de lo siguiente en cuanto a las medidas de seguridad: "(...) De otro lado, este Servicio de Salud ha comprobado a través de nuestros procedimientos de seguridad por los que se puede hacer la trazabilidad de los datos, desde su punto de origen hasta su destino final, registrando los usuarios que acceden, fechas y hora, además del sistema de información al que acceden. En otras palabras, se trata de un meticuloso seguimiento que permite saber de dónde provienen, cómo se utilizan y quién tiene acceso a ellos en cada momento, de modo que se cumpla el contenido del artículo 32.1 del RGPD que señala: (...). Tras comprobar dentro de los procedimientos de seguridad mencionados, el "registro de accesos" que contiene: la identificación del profesional que accede, la finalidad, la fecha y hora del acceso y a la información consultada, aportando además garantías de exactitud y autenticidad. (confidencialidad e integridad), se concluye que no ha habido acceso por parte del profesional mencionado (...). Búsqueda en los diferentes aplicativos de tratamiento de datos del Servicio Murciano de Salud: 1. En aplicativo Ágora no hay accesos de dicha profesional. (...) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 2. Respecto a SELENE, no ha habido ningún acceso a la Historia Clínica, como acredita el encargado del tratamiento. (...) 3. Vistos los registros realizados por el programa OMI, no consta acceso por parte de dicha profesional (...)". Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a S.M.S. - SERVICIO MURCIANO DE SALUD y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es