1/8 Procedimiento Nº: E/03142/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante, el reclamante) tiene entrada con fecha 17 de enero de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJERIA DE SANIDAD DE LA COMUNIDAD DE MADRID - SERVICIO MADRILEÑO DE SALUD, con NIF S7800001E (en adelante, el reclamado). Los motivos en que basa la reclamación son: La reclamante trabaja como enfermera en un Centro de Salud de Madrid, teniendo la atención médica personal en otro Centro de Salud, y ha comprobado que, tras una baja médica, al solicitar el listado de citas médicas a las que había sido convocada, constaba una cita por el Director Médico del Centro de Salud en el que trabaja, del que ella no es paciente y a la que no había acudido, por lo que sospecha que, a partir de dicha cita, alguien del citado Centro de Salud, ha podido consultar su Historia Clínica. Pidió los accesos al Servicio Madrileño de Salud, pero no le han querido dar los datos de aquellos que consultaron. Que según el denunciante tuvieron lugar a fecha de: 29 de octubre de 2018 Y, entre otra, anexa la siguiente documentación: Listado de citas proporcionada por el Centro de Salud Palma Norte. Solicitud de información al Servicio Madrileño de Salud sobre el acceso a su historia clínica en los últimos 12 meses. Resolución de la Gerencia Asistencial de Atención Primaria, de fecha 12 de diciembre de 2018, sobre la solicitud presentada por la reclamante en el Servicio de Madrileño de Salud, indicando a la reclamante que de conformidad con el artículo 15 del Reglamento (UE) 2016/679 de 27 de abril de 2016 (RGPD), y el artículo 18 de la Ley 31/2002, reguladora de la autonomía del Paciente y de derechos y obligaciones en materia de información y documentación clínica, deben concluir que no es posible atender su solicitud en los términos expuestos, por considerarla no conforme a derecho. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/01626/2019, se dio traslado de diC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 cha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Se solicitó la siguiente información: (
- i)Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que la reclamante ha recibido la comunicación de esa decisión, (
- ii)(
- ii)Informe sobre las causas que han motivado la incidencia que ha originado la reclamación, (iii) (iii) Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares y (
- iv)(
- iv)Cualquier otra que considere relevante. Con fecha de 7 de marzo de 2019, se recibe en esta Agencia contestación al traslado remitido por la reclamada manifestando, entre otros aspectos, los siguientes: - Que han remitido a la reclamante, por parte del Comité Delegado de Protección de Datos de la Consejería de Sanidad de la Comunidad de Madrid, escrito donde se reiteran los argumentos ya expuestos a la reclamante en la primera respuesta que le fue enviada por parte de la Gerencia Asistencial de Atención Primaria mediante escrito de fecha 12 de diciembre de 2018. - Que se ha realizado una auditoría de los accesos a la historia clínica de la reclamante y que estos se evaluarán en la Comisión Asesora de Protección de Datos de la Gerencia Asistencial de Atención Primaria, procediéndose a ejecutar las medidas que establece la normativa vigente en relación a los accesos no justificados que hubieran podido detectarse. TERCERO: Con fecha 18 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Requerido a la reclamada el resultado de la auditoria de accesos a la historia clínica de la reclamante, con fecha de 22 de octubre de 2019, se recibe en esta Agencia escrito de alegaciones remitido por la reclamada manifestando que han detectado accesos injustificados a la historia clínica de la reclamante. Por una parte, se detectaron accesos de la reclamante a su propia historia clínica. La Gerencia Asistencial de Atención Primaria solicitó a la reclamante información sobre el acceso a su historia clínica y se le dio plazo de quince días para formular las alegaciones correspondientes ante esa Gerencia. El extracto de estas alegaciones facilitado a esta Agencia señala: “todos los accesos indicados a mi propia historia clínica han sido por motivos asistenciales justificados, relacionados con mi propia persona, con mi autorizaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 ción, con el conocimiento de mi médico y delegación por su parte como profesional sanitario que soy e implicada en mi propia atención y cuidados, con el fin de acelerar los procesos y evitar ausencias en mi trabajo, ya que el horario de atención de mi médico coincide con mi horario laboral” Una vez analizadas las alegaciones presentadas por la reclamante, la Gerencia Asistencial de Atención Primaria estimó que la actuación de la reclamante no era conforme a la vigente Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, que en su artículo 18 establece los derechos de acceso a la historia clínica, indicando a la reclamante que el derecho de acceso del paciente a la documentación de su historia clínica está sujeto a límites que vienen determinados, entre otros, por el derecho a la confidencialidad que tienen tanto los profesionales que participan en la elaboración de las mismas (anotaciones subjetivas), como por el derecho de terceras personas que aportan datos al profesional en interés terapéutico del paciente. Por otra, se detectaron accesos por parte del Director Médico del Centro de Salud en el que trabaja. La Gerencia Asistencial de Atención Primaria solicitó a este Director Médico información sobre las causas que habían motivado la cita médica y el acceso a la historia clínica de la trabajadora de su centro y se dio plazo de quince días para formular las alegaciones correspondientes ante esa Gerencia. El extracto de estas alegaciones facilitado a esta Agencia señala: “el lunes día 29/10/2018 me comunican que falta por baja laboral otra enfermera del mismo turno y al seguir sin noticias sobre si la Sra. A.A.A. acudiría o no, y siendo imposible contactar con el departamento de personal por vía telefónica, para saber en qué situación podría estar la Sra. A.A.A. ya que seguíamos sin noticias, decidí como Director del Centro de Salud, hacer una cita en mi agenda y comprobé en un minuto que efectivamente tenía abierta una IT, cerré la historia clínica sin observar ningún dato clínico, teniendo en cuenta el artículo 7 de la LOPD y el Reglamento comunitario, que me permitiría consultar datos para el mejor funcionamiento del servicio.” Una vez analizadas las alegaciones presentadas por la reclamante, la Gerencia Asistencial de Atención Primaria estimó que la actuación del Director Médico del Centro no era conforme a la Ley 3/2018 de 5 de Diciembre, de Protección de Datos Personales y garantía de los derechos digitales y la Ley de 41/2002 de Autonomía del Paciente, indicando a este Director Médico que salvo las excepciones recogidas en su articulado, no amparan supuestos como el que se argumenta, y solamente permite el acceso a estos datos especialmente protegidos, con fines asistenciales, esto es, con efectiva realización de actos sanitarios, quedando identificada la persona que lo realiza y la fecha en la que se prestó la asistencia, con el fin de preservar los derechos de los pacientes tanto a ser atendidos correctamente como a la preservación de su honor, la intimidad y la privacidad. La Gerencia Asistencial de Atención Primaria acordó amonestar, tanto a la reclamante como al Director Médico del Centro, advirtiendo del uso debido que deben hacer los profesionales sanitarios en los accesos a las historias clínicas, evitando accesos con fines distintos a los preestablecidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16 dedicado a los usos de la historia clínica, dispone: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. (…) 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” III El artículo 5.1.
- f)del RGPD, establece los principios que han de regir el tratamiento de los datos, señalando que deben ser: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. Por otro lado, el artículo 32 del RGPD determina las medidas de seguridad, seC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 ñalando: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” Por su parte, y conforme dispone La Ley 41/2002, de 14 de noviembre, reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, en su artículo 16: 1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la legislación vigente en materia de protección de datos personales, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico asistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación previstos en el apartado 2 de la Disposición adicional decimoséptima de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales. Asimismo, se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínico asistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, de 4 de octubre, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” El Servicio de Salud de la Comunidad de Madrid tiene implantada la medida de seguridad del control de accesos, como ha quedado acreditado, al haber constatado los accesos a la historia clínica de la denunciada. Establecidas, por tanto, estas medidas de seguridad como condiciones necesarias de acceso al sistema, la justificación del acceso queda bajo la estricta responsabilidad del profesional sanitario autorizado (o habilitado). IV Tras analizar los motivos de acceso a la historia clínica de un paciente, se constata que el acceso para conocer las circunstancias de la baja médica de una trabajadora de la organización no está legitimado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 El presente procedimiento trae causa de la denuncia formulada por el presunto acceso indebido a la historia clínica de la denunciante, habiéndose acreditado en el procedimiento, a través de la información suministrada por el control de accesos al sistema del Servicio Madrileño de Salud, la existencia de 2 accesos a su historia clínica, que fueron analizados por la Gerencia Asistencial de Atención Primaria, que estimó que la actuación del Director Médico del Centro no era conforme a la Ley 3/2018 de 5 de Diciembre, de Protección de Datos Personales y garantía de los derechos digitales y la Ley de 41/2002 de Autonomía del Paciente, indicando a este Director Médico que salvo las excepciones recogidas en su articulado, no amparan supuestos como el que se argumenta, y solamente permite el acceso a estos datos especialmente protegidos, con fines asistenciales, esto es, con efectiva realización de actos sanitarios, quedando identificada la persona que lo realiza y la fecha en la que se prestó la asistencia, con el fin de preservar los derechos de los pacientes tanto a ser atendidos correctamente como a la preservación de su honor, la intimidad y la privacidad. Tampoco la reclamante puede acceder a su historia clínica beneficiándose de su trabajo y accesos para fines asistenciales determinados. La Gerencia Asistencial de Atención Primaria acordó amonestar, tanto a la reclamante como al Director Médico del Centro, advirtiendo del uso debido que deben hacer los profesionales sanitarios en los accesos a las historias clínicas, evitando accesos con fines distintos a los preestablecidos. Por tanto, debe concluirse que no se aprecia incumplimiento de las medidas se seguridad exigidas por la normativa de protección de datos que identifican los accesos efectuados a partir de los perfiles determinados para la realización de sus trabajos; siendo identificados los usuarios, fecha y hora, tipo de acceso y su autorización, que accedieron a la historia clínica de la denunciante. Cabe concluir por tanto que en el presente caso el sistema de información que gestiona la historia clínica electrónica cumple con las medidas de seguridad exigidas por el RGPD, tendentes a evitar accesos no autorizados, al acreditarse que se dispone de un control y un registro de accesos a las historias clínicas, de la cual el sistema guarda registro de tal manera que puede comprobarse posteriormente la idoneidad o no de la referida justificación aducida por el profesional para efectuar el acceso a la historia clínica. De este modo pudieron identificarse los accesos que dieron lugar a posteriori investigación por parte de la Consejería habida cuenta que la justificación reflejada por los 2 usuarios no se consideró en principio suficiente conforme a las tareas desarrolladas por los referidos usuarios. Conforme a los anteriores hechos y fundamentos de derecho procede en el presente caso el archivo del presente procedimiento por no apreciarse infracción de lo dispuesto en el RGPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución a la reclamante y al reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es