AI-00359-2022

1/6  Expediente N.º: EXP202206677 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 7 de junio de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra RESIDENCIAS DEL BUEN RETIRO S.L., y SERVICIO CANTABRO DE SALUD. Los motivos en que basa la reclamación el reclamante son los siguientes: Tras recibir una llamada de su exmujer, que le hizo sospechar de accesos indebidos a su historia clínica, solicitó acceso al listado de acceso a su historia clínica desde el 17 de mayo de 2016 al 17 de mayo de 2021 ante la Gerencia de Atención Primaria del Servicio de Salud reclamado. De la documentación obtenida, determina consultas de su historia clínica desde dos centros asistenciales que no tienen justificación: "***CENTRO.1" y "***CENTRO.2". Mediante escrito, de fecha 4 de octubre de 2021, pone en conocimiento del Servicio de Salud reclamado los hechos acaecidos con la Residencia Geriátrica ***CENTRO.1, no habiendo recibido respuesta. Asimismo, a través de burofax, de fecha de entrega 14 de marzo de 2022, dirigió escrito a la Residencia Geriátrica ***CENTRO.1 informando de los accesos indebidos a su historia clínica. Manifiesta que la residencia se puso en contacto con él y le informó de que no es posible que el facultativo de la residencia accediera a su historia clínica en esas fechas y horas. Por otro lado, alega que con fecha 7 de mayo de 2021 acudió al Centro de Salud ***CENTRO.2 a realizarse una PCR, y ese mismo día su exmujer le llama para increparle sobre la prueba que se acaba de realizar. manifestando que en dicho centro de salud trabajan tres amistades de su exmujer. Documentación relevante aportada por la parte reclamante: - Dos Informes emitido por la Gerencia de Atención Primaria de los accesos desde 17 de mayo de 2016 al 17 de mayo de 2021 donde figuran los Centros: ***CENTRO.1, ***CENTRO.3 y C.S. ***CENTRO.2. - Justificante de presentación del escrito dirigido a la Dirección Gerencia del Servicio Cántabro de Salud de fecha 4 de octubre de 2021 solicitando la identidad de las personas que accedieron a la historia clínica desde la RESIDENCIA GERIATRICA DE ***CENTRO.1 en unas fechas determinadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 - Burofax dirigido a la RESIDENCIA GERIATRICA DE ***CENTRO.1, de fecha 14 de marzo de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado al Servicio Cántabro de Salud, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14 de junio de 2022, como consta en el acuse de recibo que obra en el expediente. El traslado a la RESIDENCIA GERIATRICA DE ***CENTRO.1, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue devuelto con la leyenda de desconocido, como consta en el acuse de recibo que obra en el expediente. El traslado, se reiteró a la RESIDENCIA GERIATRICA DE ***CENTRO.1 resultando devuelto con la leyenda Ausente en reparto, como consta en el acuse de recibo que obra en el expediente. El SERVICIO CANTABRO DE SALUD (en adelante SCS) procedió a dar respuesta a lo solicitado en la reclamación que interpuso el reclamante en el Organismo aportando el historial de accesos clínicos tal y como dispone el artículo 41.1 de la ley de Cantabria 7/ 2002, de 10 de diciembre: “El paciente tiene derecho a acceder a la documentación de su historia clínica y a obtener una copia de los datos que en ella figuren. Corresponde a los centros sanitarios regular el procedimiento para garantizar el acceso a la historia clínica”. Tras esta contestación, el reclamante solicita conocer la identidad de las personas que accedieron a su historia clínica, y el SCS no proporcionó esta información ya que, indica que, según el criterio expresado por la AEPD en diversos procedimientos, el derecho de acceso no legitima para saber quiénes son las personas a título individual que acceden a su historia clínica. (A este respecto, el SCS pone de ejemplo el Informe del Gabinete Jurídico Consulta AEPD 0003/2021 El SCS manifiesta que los profesionales pueden realizar teletrabajo y por tanto se permite el acceso remoto desde equipos corporativos portátiles a la historia clínica de sus pacientes dentro de los procesos clínicos y asistenciales. Los profesionales del SCS tiene deber de secreto y acuerdos de confidencialidad y está prohibido el acceso a la información para fines que no sean los asistenciales dentro de su ejercicio profesional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 El SCS expone que, dada la potencial gravedad de estos hechos, se procede a abrir expediente de información reservada para determinar en qué condiciones y circunstancias se han producido dichos accesos a la historia clínica por parte de los profesionales del SCS. TERCERO: Con fecha 7 de septiembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 23 de diciembre de 2022 se remite requerimiento de información al SCS con relación a los hechos objeto de reclamación. En relación con este requerimiento, el SCS remite un escrito indicando que: “En fecha 15 de diciembre la inspección médica da por concluido el expediente de información reservada concluyendo que los accesos son inherentes a su relación profesional y asistencial a dicho paciente por lo que no procede apertura de expediente alguno a los profesionales”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales;
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Principios relativos al tratamiento La letra
7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Conclusión La reclamación presentada se refiere al acceso injustificado a la historia clínica del reclamante por personal sanitario que presta servicios en el "***CENTRO.1" y "***CENTRO.2, dependientes del SCS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: 1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clinicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales. Asimismo se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clinicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso. El art. 32 del RGPD establece el principio de “seguridad de los datos” imponiendo al responsable y encargado del tratamiento la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo, entre otros requisitos en el apartado 4, que tales medidas tienen como finalidad evitar, entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 otros aspectos, el acceso no autorizado. La reclamada ha informado de lo siguiente en cuanto a las medidas de seguridad: - Cuentan con el registro de los accesos por parte de profesionales sanitarios a la historia clínica (HC), en cumplimiento de las obligaciones de trazabilidad impuestas por el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad, ya que ha podido comprobar los accesos realizados por los profesionales sanitarios. - Los accesos a la HC del reclamante son inherentes a su relación profesional y asistencial a dicho paciente; conclusión a la que se ha llegado tras abrir expediente de información reservada para determinar en qué condiciones y circunstancias se han producido dichos accesos a la historia clínica por parte de los profesionales del SCS. Por lo tanto, no se ha acreditado que la actuación de la reclamada como entidad responsable del tratamiento no haya sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. De acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al SERVICIO CANTABRO DE SALUD y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es