1/7 Procedimiento Nº: E/01057/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante, el reclamante) tiene entrada con fecha 26 de junio de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el Hospital Sagrado Corazón de ***LOCALIDAD.1 (IDCQ Hospitales y Sanidad, S.L.U. (en lo sucesivo, IDCQ), Don B.B.B., Don C.C.C. (en lo sucesivo C.C.C.), y Don D.D.D. (en lo sucesivo D.D.D.). Los motivos en que basa la reclamación son que se ha accedido a su historia clínica de forma injustificada. Un anestesista, un ginecólogo y un enfermero, que le atendieron en el parto de su primer hijo, han efectuado declaraciones juradas de lo acontecido en dicho parto vulnerando su intimidad, privacidad y el derecho a la confidencialidad y de protección de datos al elaborar las declaraciones juradas que se aportan en su escrito de denuncia. Expone la denunciante que las declaraciones se podían haber solicitado como prueba testifical. Dichos testimonios o declaraciones juradas han sido aportados por el exmarido de la reclamante, de profesión médico, a un juicio de divorcio. Que según el denunciante tuvieron lugar a fecha de 15 de marzo de 2018 y 3 de abril de 2018 Y, entre otra, anexa la siguiente documentación: Informe de hospitalización Declaraciones Quejas al Colegio de Médicos Quejas al Colegio de Enfermeros Contestación del Colegio de Médicos SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/07138/2019, se dio traslado de dicha reclamación a los reclamados, para que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Con fecha de 24 de julio de 2019, se da traslado de la reclamación a los reclamados, solicitando la siguiente información: (
- i)la decisión adoptada a propósito de esta reclamación, (
- ii)en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante, (iii) informe sobre las causas que han motivado la incidencia que ha originado la reclamación, (
- iv)informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia y (
- v)cualquier otra que considere relevante. Con fecha de 23 de agosto de 2019, se recibe en esta Agencia contestación al traslado de la reclamación remito por IDCQ manifestando, entre otros aspectos, que pese a contar el Centro con los correspondientes procedimientos de gestión, el Centro no podría haber previsto la revelación de información sobre la reclamante por parte de los facultativos. Desde el punto de vista del Centro, este intercambio de Información entre profesionales se produjo en base a las relaciones personales existentes entre ellos, por lo que el Centro no podía prever ni el mencionado intercambio de información ni mucho menos, la emisión por parte de estos profesionales de declaraciones juradas dentro del contexto de un procedimiento judicial, y que el Centro entiende por tanto, que dichas declaraciones fueron efectuadas desde el ámbito estrictamente personal de los facultativos sin que el Centro facilitase, tuviese constancia o participase de cualquier otro modo en dichas declaraciones. Y anexan, entre otros documentos: - Reclamación de la reclamante de fecha 26 de junio de 2018 indicando su negativa a que los facultativos reclamados pudieran consultar su historia clínica. - Respuesta a la reclamante con fecha de 16 de octubre de 2018 de la reclamación anterior. - Respuesta a la reclamante motivada por el traslado de la reclamación Con fecha de 3 de agosto de 2019, se recibe en esta Agencia, escrito remitido por C.C.C. manifestando que en ningún momento ha accedido a la historia clínica de la reclamante y que la reclamación ante esta Agencia está motivada por el contencioso de divorcio, con falsas acusaciones por ambas partes. Es por este contencioso, y en relación al parto de sus dos hijos, por lo que se le solicita, a instancia de parte, la elaboración de sendos informes técnicos periciales, dada la condición de testigo en el primer caso, y testigo/asistente en el segundo. Añade que ninguno de los dos informes testificales periciales que elaboró incluyen datos personales, ni clínicos, ni demográficos, ni que afecten a la intimidad, privacidad y confidencialidad de la reclamante. Ninguno incluye datos clínicos personales de la Historia Clínica. Se tratan de testificales juradas periciales, que no han sido tampoco difundidos por ningún medio, que elabora como testigo, para aportar veracidad en el referido contencioso de divorcio e indicando que la reclamante y su asistencia letrada, intentan desacreditar y anular como pruebas en el referido contencioso. Y anexa, entre otros documentos: - Resolución de archivo dictada por Real e Ilustre Colegio Oficial de Médicos de la Provincia de ***LOCALIDAD.1 de la reclamación interpuesta por la reclamante ante este órgano. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Con fecha de 17 de diciembre de 2019, se reitera el traslado de la reclamación a D.D.D. en los mismos términos que el realizado con fecha de 24 de julio de 2019. Con fecha de 13 de enero de 2020, se recibe en esta Agencia, escrito remito por D.D.D. manifestando que los informes son documentos emitidos por un Médico y que van dirigidos a otro Médico, donde se reflejan una serie de hechos que han sido presenciados por el profesional al que iban dirigidos, siendo ajena esta parte a las desavenencias posteriores entre la reclamante y su marido. En dicho informe no se recoge información de carácter médico anterior al proceso por el que fue asistida en consulta, ni sobre el curso de su embarazo, ni posterior al parto, incluyéndose únicamente datos referidos al día del parto, de los que fue testigo directo en todo momento el esposo de la paciente (reclamante) y profesional Médico. TERCERO: Con fecha 29 de enero de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Requerida información sobre los accesos realizados a la historia clínica de la reclamante, desde el 1 de enero de 2018 hasta el 15 de marzo de 2018, y el nombre de los profesionales que lo han hecho y si estaban legitimados para ello; con fecha de 2 de marzo de 2020 se recibe en esta Agencia, respuesta al requerimiento manifestando que habiendo realizado las comprobaciones correspondientes para facilitar la información solicitada no existe constancia de accesos a la historia clínica de la reclamante en el período comprendido desde el 1 de enero de 2018 hasta el 15 de marzo de 2018 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Los accesos a los que se refiere la reclamante, indica que se produjeron a principios del año 2018, cuando estaba en vigor y era de plena aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 9 de la LOPD establecía lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”; de forma similar a que se recoge en el artículo 32 del RGPD. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
- b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte la letra
- c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Sintetizando las previsiones legales puede afirmarse que:
- a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
- b)Los ficheros que contengan un conjunto organizado de datos de carácter personal, así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
- c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
- d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. El Reglamento de desarrollo de la LOPD, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
- a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. El artículo 91 establecía: “Artículo 91 Control de acceso 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Por otra parte, en relación con el cumplimiento de lo dispuesto en el artículo 103 del RDLOPD, bajo la denominación “Registro de accesos”, se establece lo siguiente": “1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado." “2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido." “3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos." “4. El periodo mínimo de conservación de los datos registrados será de dos años." “5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados." IV Ha quedado acreditado que el Hospital reclamado dispone de un control de accesos que cumple con lo exigido en la normativa de protección de datos, ya que identifica a los usuarios, fecha y hora, que accedieron a la historia clínica de la reclamante. Cabe concluir, por tanto, que en el presente caso el sistema de información que gestiona la historia clínica del Hospital reclamado cumplía con las medidas de seguridad exigidas por el art. 93 (control de accesos) y 103 (registro de accesos) del RLOPD, tendentes a evitar accesos no autorizados (art. 9 de la LOPD) al acreditarse que se dispone de un control y un registro de accesos a las historias clínicas. De este modo pudieron comprobarse los accesos a los que se refiere esta reclamación, y verificar que los médicos y enfermero a los que reclamaba por acceder a su historia clínica no lo habían hecho. Por otro lado, los profesionales sanitarios pueden efectuar peritajes que se utilicen en los procedimientos judiciales. Conforme a los anteriores hechos y fundamentos de derecho procede en el presente caso el archivo del presente procedimiento por no apreciarse infracción a la normativa sobre protección de datos personales analizada en los párrafos anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamados. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es