E-02911-2016

1/8 Expediente Nº: E/02911/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el Servicio Navarro de Salud, en virtud de denuncia presentada por Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 3 de febrero de 2015, tuvo entrada en esta Agencia un escrito remitido por Doña B.B.B., en el que declara que fue contratada para el cuidado geriátrico de una persona mayor y dependiente, tras pasar proceso de selección. Inició su trabajo el día 1 de enero de 2015. Pero al acudir a su puesto de trabajo el día siguiente por la tarde, la contratante, médico de profesión, le indica que se marche, ya que ha consultado su historial médico y ha visto que estaba en tratamiento por depresión. Según indica la reclamante, Doña A.A.A., valiéndose de su profesión médica, había accedido sin autorización y sin motivo médico, al historial de la denunciante, resultando un despido improcedente además del gravísimo perjuicio personal causado. Aporta copia de los accesos a su historial médico en el Departamento de Salud del Gobierno de Navarra verificándose que, en fecha 2 de enero de 2015, Doña A.A.A. había accedido a la historia y la analítica de la reclamante constando en el registro “accesos demográficos sin lista de trabajo” En relación con estos hechos se iniciaron actuaciones previas de inspección con la referencia E/1938/2015 que dieron lugar a un procedimiento de apercibimiento contra la médico denunciada. Tras la finalización de dicho procedimiento, se acordó el inicio de actuaciones previas de inspección para verificar la implementación de medidas de seguridad en el acceso a datos de pacientes por parte del personal médico por parte del Servicio Navarro de Salud. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En relación a las medidas de seguridad establecidas para el acceso a las historias clínicas de todos los pacientes por parte del personal médico, los representantes del Servicio Navarro de Salud manifiestan que por el hecho de tener usuario dado de alta y activo en la Historia Clínica Informatizada no quiere decir que pueda entrar en las historia clínicas de cualquier paciente y ello sea legítimo. Los accesos legítimos están regulados por la Ley Foral 17/2010, de 8 de noviembre, de derechos y deberes de las personas en materia de salud en la Comunidad Foral de Navarra. En un porcentaje muy alto de casos el acceso a la historia Clínica de un paciente estará motivado porque ese profesional sanitario está implicado en el proceso clínico de ese paciente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Para el Servicio Navarro de Salud es muy difícil relacionar de forma biunívoca a un profesional sanitario y su usuario con una lista determinada de pacientes, de forma que ese profesional sanitario pudiera entrar SOLO a las historias de esos pacientes. En muchas situaciones de salud (Urgencia, ingresos, consultas, etc.) no se puede restringir el usuario de un profesional sanitario a una lista de enfermos determinada. Así pues los profesionales sanitarios pueden entrar a la historia clínica de un paciente de dos formas: Por lista de trabajo: Al perfil de un profesional sanitario se le puede asociar listas de enfermos con los que ese profesional sanitario va a estar directamente probablemente implicado en su proceso clínico. Son listas de ingresados, o de urgencia de su centro o de consultas externas de su especialidad que pueden ser objeto de su atención sanitaria. En el registro de accesos se graba este dato: entrada "por lista de trabajo". De modo libre: Además de la opción anterior, se le ofrece a éste la posibilidad de entrar en las Historias Clínicas de modo libre, teniendo todas sus historias clínicas a su disposición. Es el profesional sanitario el que deberá saber y seleccionar aquellas historias en que está implicado en su proceso clínico y en cuales no, según los criterios de la Ley Foral 11/2002. Este dato también se graba en el acceso. Existe una herramienta de auditoría posterior para evaluar la legitimidad de los accesos a las historias clínicas de los pacientes. El Comité de Auditorías, formado por profesionales sanitarios y no sanitarios, evalúa anualmente los accesos realizados a una serie de historias clínicas, que son elegidos en base a tres criterios diferentes: Pacientes seleccionados al azar. Son pacientes con algún tipo de proceso asistencial tanto de Atención primaria, como de Asistencia Especializada. Pacientes VIP. Son personas relevantes de la vida pública que han sufrido recientemente algún tipo de proceso asistencias. Pacientes-trabajadores del Servicio Navarro de Salud-Osasunbidea, de baja médica. De estos pacientes, se auditan los accesos realizados a sus historias clínicas, de forma que en aquellos casos en que se plantea una duda razonable sobre la legitimidad de dichos accesos, el tema se investiga por parte de dicho Comité, llegándose incluso a plantearse un procedimiento sancionador contra el autor de dichos accesos. Existe la posibilidad de iniciar un proceso similar iniciado por parte del propio paciente, que solicita explicaciones sobre determinados accesos realizados por profesionales sanitarios a su historia clínica, en base a la Ley Foral 17/2010. En la aplicación que da acceso a la historia clínica se muestra al personal médico un mensaje en el que se le informa que legalmente sólo está autorizado a acceder a la historia clínica de pacientes en los que esté implicado en su proceso asistencial, que formen parte de un estudio formal y protocolizado o petición de informe o peritaje legal. Del mismo modo se le comunica que se conserva un registro de accesos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 modificación o la difusión no autorizados.” El artículo 17.1 de la Directiva 95/46/CE, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” IV La LOPD traspuso al ordenamiento interno el contenido de la Directiva 95/46, y en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma Ley Orgánica establece: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El art. 9 de la LOPD establece el principio de “seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado”. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el art. 3.
2. b)los define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Por su parte la letra
3. c)del mismo artículo permite considerar tratamiento de datos a las “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Para completar el sistema de protección en lo que a la seguridad afecta, el art. 44.3.
4. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
5. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
6. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
7. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
8. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. V El RDLOPD, en su artículo 81.1 señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88, en su punto 3, se refiere al documento de seguridad. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. En el caso que nos ocupa como establece el artículo 81.3.
9. a)del Reglamento de desarrollo de la LOPD, además de las medidas de nivel básico y medio, deberán adoptarse las medidas de nivel alto a los ficheros o tratamientos de datos de carácter personal que se refieran a datos de salud. Analizando las medidas de seguridad cuyo presunto incumplimiento se podría haber cometido por parte del Servicio Navarro de Salud cabe señalar que el artículo 91 del RDLOPD bajo la denominación "Control de acceso", dispone: “1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 “2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos." “3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados." “4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.” “5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.” Los profesionales sanitarios tienen acceso al sistema para el desarrollo de sus funciones que son garantizar la asistencia sanitaria y protección de la vida, de tal modo que el sistema se está configurado para que puedan acceder a los datos de cualquier paciente al que pueda tener que prestar asistencia, pudiendo entrar a la historia clínica de un paciente de dos formas: Por lista de trabajo: Al perfil de un profesional sanitario se le puede asociar listas de enfermos con los que ese profesional sanitario va a estar directamente probablemente implicado en su proceso clínico. De modo libre: Es el profesional sanitario el que deberá saber y seleccionar aquellas historias en que está implicado en su proceso clínico y en cuáles no. Este dato también se graba en el acceso. Establecidas por tanto estas medidas de seguridad como condiciones necesarias de acceso al sistema, la justificación del acceso queda bajo la estricta responsabilidad del profesional sanitario autorizado (o habilitado). Por tanto debe concluirse que no se aprecia incumplimiento de las medidas se seguridad exigidas por el referido artículo 91 RLOPD por cuanto no se acredita que existan usuarios que puedan acceder a recursos con derechos distintos de los autorizados habida cuenta que el sistema establece perfiles determinados, entre los que se encuentran el de los profesionales sanitarios, que pueden acceder al fichero de pacientes, para cumplir con la obligación de prestación de la asistencia sanitaria o justificar el motivo de acceso de modo libre. Por otra parte, en relación con el cumplimiento de lo dispuesto en el artículo 103 del RDLOPD, bajo la denominación “Registro de accesos”, se establece lo siguiente": “1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado." “2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido." “3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos." “4. El periodo mínimo de conservación de los datos registrados será de dos años." “5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 los problemas detectados." Ha quedado acreditado que el Servicio Navarro de Salud dispone de un control de accesos que cumple con lo exigido por el RLOPD por cuanto el mencionado Servicio aportó documentación que acredita tal extremo siendo identificados el usuario, fecha y hora, tipo de acceso, que accedió a la historia clínica de la denunciante, identificación posible gracias a la existencia de tarjeta identificativa del profesional, su firma electrónica reconocida, y su identificación como usuario del sistema con contraseña personal. A pesar de no tener vinculación asistencial con la denunciante, el sistema habilitó el acceso al rellenar la denunciada el motivo como “accesos demográficos sin lista de trabajo”. Asimismo, el Servicio Navarro de Salud efectúa auditorias para evaluar la legitimación de los accesos a las historias clínicas de los pacientes, conforme se describe en los Antecedentes de esta Resolución. Cabe concluir por tanto que en el presente caso el sistema de información utilizado por el Servicio Navarro de Salud, y que gestiona la historia clínica electrónica cumple con las medidas de seguridad exigidas por el art. 93 (control de accesos) y 103 (registro de accesos) del RLOPD, tendentes a evitar accesos no autorizados (art. 9 de la LOPD) al acreditarse que se dispone de un control y un registro de accesos a las historias clínicas, así como de listas cerradas de usuarios con acceso a las historias clínicas dado su vinculación asistencial con los titulares de las mismas, y caso de no existir dicho vínculo, la existencia de medida de seguridad que impide el acceso a aquellos usuarios que no tengan dicho vínculo o una actividad programada con el paciente, exigiendo al usuario del sistema que en estos casos, incluya una justificación para el acceso a la historia clínica, justificación de la cual el sistema guarda registro de tal manera que puede comprobarse posteriormente la idoneidad o no de la referida justificación aducida por el profesional para efectuar el acceso a la historia clínica. Conforme a los anteriores hechos y fundamentos de derecho procede en el presente caso el archivo del presente procedimiento por no apreciarse infracción de lo dispuesto en el artículo 9 de la LOPD, en relación con los artículos 91 y 103 del RLOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución al Servicio Navarro de Salud. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es