1/6 Expediente Nº: E/03291/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el HOSPITAL UNIVERSITARIO RAMON Y CAJAL, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 3 de mayo de 2013, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que denuncia que, su hija menor es paciente del servicio de psiquiatría infantil en el Hospital Ramón y Cajal. No obstante, coincidiendo con pleitos habidos entre los padres, se han producido accesos a la historia de la niña desde el Departamento de endocrinología y nutrición, sin que dichas visitas se encontraran programadas en la agenda, cuya copia se adjunta. Dichos accesos tuvieron lugar en el periodo comprendido entre el 9 de junio de 2011 y el 3 de enero de 2013. Asimismo, manifiesta que la madre ha aportado al juzgado en el trámite de una demanda, una copia de la historia clínica de la niña con un nivel de detalle que no le ha sido facilitado al padre cuando la ha solicitado. Aporta una carta del Servicio de Atención al Paciente remitida por el Hospital al denunciante, donde reconoce que la niña ha sido atendida en el Departamento de endocrinología fuera de la agenda, a petición de una empleada que presta sus servicios en ese Departamento y es familiar de la madre. Asimismo, manifiestan que desde ese Departamento se ha facilitado a la madre una copia completa de la historia de la menor. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 25 de julio de 2013, se recibió en esta Agencia escrito del HOSPITAL UNIVERSITARIO RAMON Y CAJAL, en el que pone de manifiesto lo siguiente: - Los accesos producidos a la historia de la menor se produjeron con la autorización del Jefe de Servicio de Endocrinología al se le había solicitado opinión sobre la patología endocrinológica de la niña, a instancias de la madre. Para lo cual se pidió la historia clínica de la niña en tres ocasiones. 2. Con fecha 2 de septiembre de 2013, se realizó inspección en los locales del Hospital Universitario Ramón y Cajal, poniéndose de manifiesto los siguientes hechos: - Cuando un paciente o representante de un menor, solicita el acceso a su historia clínica siempre ha de realizar la solicitud a través del Departamento de Atención al paciente, donde queda registrada tanto la solicitud como la recepción de la historia por parte del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 No obstante, en este caso, existe una reclamación presentada por el padre de la menor, con fecha de enero de 2013, en la que manifiesta que han existido accesos improcedentes a la historia clínica de su hija, por parte de terceras personas no autorizadas. Desde el Departamento de Atención al Paciente se comenzó una investigación con relación a estos hechos, para lo cual se realizan diferentes gestiones a distintos servicios obteniéndose las siguiente información: Se comprueba las fechas y servicios correspondientes a la Agenda de la menor, así como el listado de solicitudes de la historia al Archivo de Historias Clínicas del Hospital. Con fecha 14 de febrero de 2013, se remitió correo electrónico a varios servicios del Hospital, en el que comunica la reclamación presentada por el padre de la menor y se solicita que se justifique la necesidad de los accesos a la historia de la menor por parte del Servicio de Endocrinología, dado que no consta en el listado de citaciones ninguna cita en el Servicios de Endocrinología. Con fecha 18 de febrero de 2013, el Jefe de Servicio de Endocrinología, informa, mediante correo electrónico, que dichos accesos se realizaron bajo su autorización; que la paciente es sobrina nieta de una enfermera de su servicio y que le consultó su opinión sobre la patología endocrinológica de la niña, con autorización expresa por parte de la madre, y que para ello pidió la historia clínica de la paciente en tres ocasiones distintas, para analizar los datos con el Jefe de Pediatría del Hospital. Añade que la petición de la historia se realizó por orden suya, para analizar los datos clínicos y obtener copia a petición de la madre, tal y como se demuestra en el documento adjunto firmado por ella. Desde la consulta de Endocrinología se facilitó a las Inspectoras de Datos de un correo electrónico remitido por la madre de la menor, de fecha 15 de febrero de 2013, en el que confirma que ha sido ella la persona que solicitó la información sobre los resultados de las pruebas médicas realizadas a su hija, con el fin de informar con la máxima prontitud posible al padre de la menor. Desde el Servicio de Atención al Paciente, se hace entrega de dos solicitudes de la historia clínica, una realizada por el padre de la menor, en fecha 15 de marzo de 2013, y otra realizada por la madre, en fecha 15 de abril de 2013, la cual figura recogida por otra personas autorizada, que según constan el documento número 4 es la tía de la madre. Con fecha 8 de marzo de 2013, se constituye el Comité de Seguridad de la Información del Hospital tratándose, entre otros, el tema de los hechos objeto de la presente inspección, que se planteó como un caso de vulneración de la seguridad en el Hospital con el fin de tomar medidas preventivas y evitar futuros incidentes. Los representantes del Hospital manifiestan que se trató este caso concreto; no obstante, no se reflejó en el Acta de dicha reunión. Se accede a la historia clínica de la menor, comprobándose que existen, entre otros, anotaciones escritas correspondientes a tres consultas en el Servicio de Endocrinología. 3. En el transcurso de la inspección los representantes del Hospital manifiestan que, a la vista de los hechos ocurridos, se han tomado diferentes medidas, entre las que se encuentran: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 - Se pone en marcha para todo el personal medidas complementarias a las ya existentes, con relación a Protección de Datos de los Pacientes, incluyendo los accesos a historias clínicas. - Se ha solicitado un número mayor de ediciones del curso al IMAP, para intentar difundirlo al mayor número de profesionales posible. - Se han realizado auditorias complementarias a las ya existentes, a los accesos a historias clínicas automatizadas y en formato papel, dicha auditoria se presenta mensualmente en el Comité de Seguridad de los Sistemas de la Información. - Desde atención al Paciente, se ha reclamado a Servicios Centrales de la Consejería de Sanidad, el acceso a la aplicación DIANA para gestión de Derechos ARCO, cuyo acceso se da desde la Consejería de Sanidad y la cual ha sido puesta en marcha finales del mes de agosto. - Por parte del Comité de Seguridad de Sistemas de Información, se están revisando todos los protocolos existentes. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en la falta de medidas de seguridad por parte del Hospital Universitario Ramón y Cajal, al haberse producido accesos indebidos a la historia clínica de una menos, hija del denunciante. En concreto, al obtener el acceso a la historia clínica de la menor, el padre comprobó que se había accedido por el Servicio de Endocrinología, cuando la niña no había sido atendida en dicha Unidad. La normativa sectorial que regula la historia clínica, Ley 14/2002, de 14 de noviembre, de Autonomía del Paciente, establece en relación con los extremos denunciados lo siguiente: El artículo 16, en sus dos primeros apartados, referidos a los Usos de la historia clínica determina: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten.” Por otra parte, el artículo 17.6 indica: “6. Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” En el supuesto denunciado, el Jefe de servicio de Endocrinología accedió a la historia clínica de la menor con el consentimiento expreso de la madre y con la finalidad de prestarle asistencia sanitaria. III En relación al cumplimiento de las medidas de seguridad por parte del Hospital Universitario Ramón y Cajal, el artículo 9 de la LOPD establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El citado artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquélla, con la finalidad de evitar, entre otros aspectos, el acceso no autorizado por parte de ningún tercero. Sintetizando las previsiones legales citadas puede afirmarse que: - Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD. - Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD. - La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se establecen en normas reglamentarias, de modo que se eviten accesos no autorizados. - El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción del artículo 9 de la LOPD tipificada como grave en el artículo 44.3.
- h)de la citada Ley. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece de manera pormenorizada las medidas de seguridad que han de tener incorporadas en sus ficheros los responsables C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 del tratamiento de datos personales. Los ficheros que contengan datos de salud han de tener implantadas las medidas de seguridad de nivel alto. El artículo 103 de dicho Reglamento regula el registro de accesos en los ficheros con nivel de seguridad alto, como es el caso del que contiene historias clínicas, indicando lo siguiente: “1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados.” El Hospital Universitario Ramón y Cajal tiene incorporadas tales medidas de seguridad, como se constata en la entrega de la copia de la historia clínica de la menor a su padre, que pudo comprobar los accesos del Servicio de Endocrinología. Además, han iniciado una serie de medidas de seguridad complementarias para reforzar las que ya tienen incorporadas, que cumplen las exigencias de la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al HOSPITAL UNIVERSITARIO RAMON Y CAJAL y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es