1/7 Procedimiento Nº: E/01058/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 26 de junio de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra CLÍNICA DE FÁTIMA GESTIÓN, S.L.U y el doctor anestesista B.B.B., (en adelante, el reclamado). Los motivos en que basa la reclamación son que se ha accedido a su historia clínica de forma injustificada. Un anestesista que le atendió en el parto de sus dos hijos ha efectuado declaraciones juradas de lo acontecido en dichos partos vulnerando su intimidad, privacidad y el derecho a la confidencialidad y de protección de datos al elaborar las declaraciones juradas que se aportan en su escrito de denuncia. Expone la denunciante que las declaraciones se podían haber solicitado como prueba testifical. Dichos testimonios o declaraciones juradas han sido aportados por el exmarido de la reclamante, de profesión médico, a un juicio de divorcio que tuvieron lugar el 7 de septiembre de 2018 Anexa la siguiente documentación: • Declaración jurada del especialista anestesista sobre su actuación en el parto del segundo hijo de la reclamante a petición del exmarido de fecha 7 de septiembre de 2018. • Queja interpuesta ante el Real e Ilustre Colegio de Médicos de ***LOCALIDAD.1 • Historia clínica del Hospital de Fátima • Queja presentada ante la Junta de Andalucía SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/07143/2019, se dio traslado de dicha reclamación al reclamado y al médico anestesista que atendió en el parto del segundo hijo de la reclamante, el 25 de julio de 2019 y 20 de agosto de 2019 para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha de 22 de agosto de 2019 se recibe en esta Agencia, escrito de alegaciones remitido por el Hospital Fátima manifestando, en resumen, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Los motivos por los que se ha producido la presente incidencia son personales entre la paciente/reclamante y el profesional anestesiólogo, así como procesos judiciales en trámite. Esta situación de carácter personal es ajena al propio Hospital que en nada tienen que ver sus protocolos de actuación. Pese a ello el Hospital ha puesto todos los medios disponibles para minimizar esta incidencia. El Hospital ha atendido la solicitud de la reclamante. Pese a que el bloqueo de los datos, como señala el art. 32 de la LOPDGDD, se produce cuando se ejercita el derecho de supresión u oposición, se ha procedido a éste totalmente y la solicitante sólo reclamaba que no accediera el anestesista. El tratamiento de los datos de salud no solo se puede amparar en el consentimiento del interesado (que puede retirarlo en cualquier momento) si no que el art. 9.2 de la LOPDGDD, en relación con el art. 9.2.h), .
- i)e incluso el art. 9.2.
- b)del RGPD. Existen normas legales que habilitan a este tratamiento, así como está la exigencia de la conservación de estos datos por plazos legales mínimos, que en la mayor parte de los casos son orientativos. Con fecha de 3 de septiembre de 2019 se recibe en esta Agencia, con número de registro 041752/2019, escrito de alegaciones remitido por el especialista anestesista manifestando resumidamente lo siguiente: En el contexto de un complejo y desagradable contencioso de divorcio, se le solicita, a instancia de parte, la elaboración de sendos informes técnicos periciales, dada la condición de testigo en el primer parto de la reclamante, y testigo/ asistente en el segundo parto. Ninguno de los dos informes testificales periciales incluye datos clínicos personales de la Historia Clínica, a la que nunca ha accedido. Se trata de testificales juradas periciales, que no han sido tampoco difundidos por ningún medio. Ambos informes periciales fueron elaborados, a instancia de parte, bastante tiempo después de que los hechos fueran conocidos por dicha parte. Se trata de sendos informes técnicos, que elaboró como testigo, por tanto jurados, para aportar veracidad en el referido contencioso de divorcio. Termina señalando que la reclamante, en la denuncia presentada ante esta Agencia, hace referencia a la resolución de la junta directiva del Real e Ilustre Colegio Oficial de Médicos de ***LOCALIDAD.1, indicando que ha sido admitida a trámite, siendo este extremo absolutamente falso, como se puede comprobar en el documento de resolución que adjunta, y que acuerda por unanimidad, archivar el expediente. Y adjunta el siguiente documento: Resolución de la Junta Directiva del Colegio de Médicos de ***LOCALIDAD.1 que en fecha 13/2/19, acuerda archivar el expediente de información previa reservada iniciado contra el doctor, porque considera que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 hechos narrados por el en los informes no son secretos ni íntimos de la reclamante y que no se trasladan a terceros pues la información va dirigida al marido que conocía los hechos. TERCERO: Con fecha 31 de enero de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Con fecha de 16 de septiembre de 2020 se recibe en esta Agencia, escrito de alegaciones remitido por esta clínica conteniendo el listado de accesos a la historia clínica de la reclamante. Ello permite constatar que estos accesos se produjeron por personal sanitario y administrativo con accesos legitimados para proceder a los distintos procesos asistenciales y administrativos ocasionados con motivo de la asistencia sanitaria prestada a la paciente y adjunta un listado de accesos a la historia clínica de la reclamante entre el 17 de agosto de 2018 y 26 de junio de 2019 Que por tanto acreditado que en ninguno de los accesos a la historia clínica de la reclamante aparece el especialista anestesista reclamado. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 5.1.
- f)del RGPD, establece los principios que han de regir el tratamiento de los datos, señalando que deben ser: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. Por otro lado, el artículo 32 del RGPD determina las medidas de seguridad, señalando: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” Por su parte, y conforme dispone La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16: 1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clinicoasistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales. Asimismo, se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clinicoasistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” IV A través de las actuaciones de investigación realizadas por esta Agencia se ha podido constatar que los accesos realizados a la historia clínica de la reclamante fueron accesos legitimados para proceder a los distintos procesos asistenciales y administrativos ocasionados con motivo de la asistencia sanitaria prestada a la paciente, y que en ninguno de los accesos a la historia clínica de la reclamante aparece el especialista anestesista reclamado. Por tanto, debe concluirse que no se aprecia incumplimiento de las medidas se seguridad exigidas por la normativa de protección de datos que identifican los accesos efectuados a partir de los perfiles determinados para la realización de sus trabajos; siendo identificados los usuarios, fecha y hora, tipo de acceso y su autorización, que accedieron a la historia clínica de la denunciante. Cabe concluir por tanto que en el presente caso el sistema de información que gestiona la historia clínica electrónica cumple con las medidas de seguridad exigidas por el RGPD, tendentes a evitar accesos no autorizados, al acreditarse que se dispone de un control y un registro de accesos a las historias clínicas, de la cual el sistema guarda registro de tal manera que puede comprobarse posteriormente la idoneidad o no de la referida justificación aducida por el profesional para efectuar el acceso a la historia clínica. Conforme a los anteriores hechos y fundamentos de derecho procede en el presente caso el archivo del presente procedimiento por no apreciarse infracción de lo dispuesto en el RGPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a la reclamante y al reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es