1/8 Expediente Nº: E/03398/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el HOSPITAL UNIVERSITARIO DE CEUTA, Doña A.A.A., Don B.B.B., Doña C.C.C., y Don D.D.D., en virtud de denuncia presentada por Don E.E.E., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 30 de abril de 2015, tuvo entrada en esta Agencia un escrito remitido por Don E.E.E., en el que denuncia que, tras ser intervenido quirúrgicamente en el Hospital Universitario de Ceuta, donde además presta sus servicios como médico, al incorporarse a su puesto de trabajo ha tenido constancia de que las siguientes personas, que prestan servicios en el mismo Centro, han accedido a su historia clínica sin su autorización: Don B.B.B., (Facultativo), Fechas acceso: 05/07/2013 dos ocasiones Doña C.C.C., (Facultativo). Fechas de acceso: 08/08/2013 tres ocasiones. Don D.D.D., (Facultativo) Fechas de acceso: 31/01/2014 tres ocasiones. Doña A.A.A., (Facultativo). Fechas de acceso: 30/01/2014 tres ocasiones y 15/12/2014, cuatro ocasiones. Adjunta listado de accesos realizados en las fechas comprendidas entre el 05/07/2013 y el 15/12/2014. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 1 de julio de 2015, se recibe en esta Agencia escrito del Hospital Universitario de Ceuta, en el que pone de manifiesto que: 1.1. Las cuatro personas que han accedido a la Historia clínica del denunciante, son facultativos de dicho Hospital, y como tales tienen acceso a toda la información clínica obrante en las historias, además tienen acceso a listados de Estadística como son Partes de quirófano, histórico de ocupación de camas libres, entre otros. 1.2. Se adjuntan informes de los cuatro facultativos, con relación a los hechos denunciados. 1.3. Información proporcionada por Don B.B.B.: Los accesos realizados por él se produjeron con fecha 05/07/2013, fecha en la que prestaba sus servicios como Facultativo especialista de Área de Urología y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 dependía funcional y orgánicamente de la Jefatura se Sección de dicho Servicio. No obstante teniendo en cuenta el tiempo transcurrido, no puede precisar con absoluta certeza los motivos concretos de los accesos, aunque recuerda vagamente que recibieron en el Servicio una interconsulta telefónica relacionada con el paciente en cuestión, supone que de una patología relacionada con su especialidad, y atendiendo al ejercicio de sus funciones, accedió a la Historia clínica del denunciado. 1.4. Información proporcionada por Doña C.C.C.: Habiendo transcurrido cerca de dos años desde la fecha en que se produjeron los accesos es imposible acreditar los motivos por los que se accedió, sin volver a acceder a ella. No obstante manifiesta, que al haber participado activamente en la valoración preoperatoria de este paciente, anestesia intraoperatoria y tratamiento del dolor, actividades que muy frecuentemente se desarrollan en equipo sin que todos los nombres de los implicados queden registrados en la Historia Clínica., es posible que por estos motivos accediera a la Historia del denunciante. 1.5. Información proporcionada por Don D.D.D.: Los accesos documentados en la Historia Clínica corresponden a su actividad como Facultativo Especialista de Área de Medicina Intensiva del Hospital, a cargo del paciente (denunciante) La política del Servicio de Medicina Intensiva, comprende al acceso a los datos clínicos de los pacientes de los que eres responsable, antes, durante o después de su estancia en la misma, siguiendo los criterios de “UCI Extendida”, amén de que la asistencia en cuestión, comprende además controles de calidad, evaluación de las actuaciones y revisiones continuas con fines de investigación, docencia y formación continuada. 1.6. Información proporcionada por Doña A.A.A.: Los accesos a la Historia clínica del denunciante, corresponden a su actividad como Facultativo Especialista del Área de Medicina Intensiva del Hospital, a cargo del mismo, al igual que todos los pacientes atendidos por esa Unidad. Se puede acceder a la Historia del paciente, antes del ingreso para su valoración y aceptación en la UCI, durante su estancia en la misma y después del traslado a planta, para su seguimiento. Todos los accesos realizados durante el año 2014, corresponden al ejercicio de la actividad clínico-asistencial. Con posterioridad, debido a que el denunciante es facultativo de ese Hospital, se le han solicitado repetidos Informes por parte de la Dirección del Centro y Servicio de Medicina Preventiva y Prevención de Riesgos Laborales, en relación a sus restricciones para el desarrollo de su actividad en la UCI. Dichos Informes no constan en la Historia, debido a que están fuera del ámbito clínicoasistencial. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a: “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” A su vez, el artículo 3.
- c)de la LOPD define el tratamiento de datos personales en los siguientes términos: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La LOPD no requiere, que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. Es por ello que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, entre otros supuestos, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal establece el régimen específicamente protector diseñado por el legislador para aquellos datos personales que proporcionan una información de esferas más íntimas del individuo, a los que etiqueta bajo la denominación común de “Datos especialmente protegidos”. Para las diversas categorías de éstos el precepto citado establece específicas medidas para su protección. En el supuesto específico de los datos de salud, el legislador español siguiendo al europeo (artículo 6 del Convenio 108/81 Consejo de Europa, para la protección de las personas con respecto al tratamiento de datos de carácter personal) y al de la Comunidad Europea (artículo 8 Directiva 95/46 CEE de 24 de octubre de 1995) los considera como especialmente protegidos, o sensibles, en la denominación europea o comunitaria y prevé que sólo puedan ser recabados, tratados y cedidos, cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente (artículo 7.3 LOPD). Ello quiere decir que sólo en estos supuestos específicos dichos datos podrán ser tratados. No obstante lo anterior, el artículo 8 la Ley Orgánica 15/99 establece que las instituciones y centros sanitarios, y los profesionales correspondientes podrán tratar sin consentimiento datos relativos a la salud de las personas que a los mismos acudan o hayan de ser tratados en ellos, de acuerdo con la legislación estatal o autonómica sobre sanidad. El apartado 6 del artículo 7 de la LOPD, permite al “profesional sanitario sujeto al secreto profesional”, el tratamiento de datos de carácter personal relativos a la salud, cuando “resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o para la gestión de servicios sanitarios”. En este caso resulta evidente que no se está ante uno de estos supuestos que excepcionan el consentimiento para el tratamiento de los datos relativos a la salud de la denunciante. Por tanto corresponde al Hospital y a los médicos denunciados acreditar que contaba con ese consentimiento expreso del denunciante para el acceso a los datos personales contenidos en su historia clínica o que resultaban necesarios para el seguimiento de la enfermedad o la gestión de servicios sanitarios. III Por otra parte, la LOPD regula en su artículo 4 el principio de calidad de datos que resulta aplicable al supuesto de hecho que se analiza. Este artículo debe interpretarse de forma conjunta y sistemática. El artículo 4.2 de la LOPD, señala lo siguiente: “2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El “principio de calidad”, que prohíbe utilizar datos de carácter personal para una finalidad incompatible o distinta de aquella para la que los mismos fueron recabados, se recoge en el Título II de la LOPD, como uno de los principios básicos de la protección de datos. Las “finalidades” a las que se refiere el transcrito apartado 2, están ligadas con el “principio de pertinencia” o limitación en la recogida de datos regulado en el artículo 4.1 de la misma Ley. Conforme a dicho precepto, los datos sólo podrán tratarse cuando “sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. En el caso concreto que nos ocupa en el presente expediente, resulta probado que los denunciados han utilizado los datos contenidos en la historia clínica del denunciante para una finalidad de las previstas en el artículo 16 de la Ley de autonomía del paciente, como: “instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia”. A este respecto cabe recordar que la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, define en su artículo 3 la Historia clínica como el conjunto de documentos que contienen los datos, valoraciones e informaciones de cualquier índole sobre la situación y la evolución clínica de un paciente a lo largo del proceso asistencial. Su artículo 7, sobre el derecho a la intimidad, expresa: “1. Toda persona tiene derecho a que se respete el carácter confidencial de los datos referentes a su salud, y a que nadie pueda acceder a ellos sin previa autorización amparada por la Ley. 2. Los centros sanitarios adoptarán las medidas oportunas para garantizar los derechos a que se refiere el apartado anterior, y elaborarán, cuando proceda, las normas y los procedimientos protocolizados que garanticen el acceso legal a los datos de los pacientes”. En su artículo 14 se expone lo relativo a la “Definición y archivo de la historia clínica” y en el artículo 15 explica el “Contenido de la historia clínica de cada paciente”, y por último en su artículo 16 determina cuales son los “Usos de la historia clínica”: “1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia. 2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten. 3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, de 25 de abril, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico asistencial, de manera que, como regla general, quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínico asistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso. Cuando ello sea necesario para la prevención de un riesgo o peligro grave para la salud de la población, las Administraciones sanitarias a las que se refiere la Ley 33/2011, General de Salud Pública, podrán acceder a los datos identificativos de los pacientes por razones epidemiológicas o de protección de la salud pública. El acceso habrá de realizarse, en todo caso, por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta, asimismo, a una obligación equivalente de secreto, previa motivación por parte de la Administración que solicitase el acceso a los datos. 4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones. 5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria. 6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto. 7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.” IV Tras las actuaciones previas de investigación se ha constatado que el Hospital Universitario de Ceuta conservaba los accesos efectuados a la historia clínica del denunciante y se los facilitó. Asimismo, ha indicado que los médicos denunciados tienen acceso a las historias clínicas de los pacientes del centro y a listados de estadística, como son partes de quirófano, históricos de ocupación o listado de camas libres. En cuanto a los accesos de cada uno de los médicos denunciados, cada uno de ellos ha pormenorizado el motivo de los accesos a la historia clínica del denunciante (con la exactitud posible dado el tiempo que ha transcurrido desde los accesos). Los accesos fueron consecuencia de la patología sufrida por el denunciante, interconsultas telefónicas, participación en el preoperatorio, anestesia, seguimiento de pacientes antes, durante y después de estar en la UCI; y contestación a solicitudes de informes por parte de los servicios de Medicina Preventiva y Prevención de Riesgos Laborales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Hay que tener en consideración, la Sentencia de la Sala Primera de lo contencioso administrativo de la Audiencia Nacional, de fecha 4 de marzo de 2013, en la que se fundamenta lo siguiente: “… Consta por el INSS que ha comprobado la identidad del personal que ha accedido a sus datos, y que confirma que se trataba de personal con justificación y acreditación a nivel orgánico y de funciones, por lo que de esta forma se está garantizando el uso al que se someten los datos personales.” El hecho constatado del acceso, por parte de varios médicos del Hospital Universitario de Ceuta, a los datos personales especialmente protegidos del denunciado con justificación, tal y como establece la normativa de protección de datos y sectorial, no constituye infracción de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al HOSPITAL UNIVERSITARIO DE CEUTA, a Doña A.A.A., a Don B.B.B., a Doña C.C.C., a Don D.D.D., y a Don E.E.E.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es